一些优秀的攻击面管理实践可以最大限度地减少漏洞，减少威胁行为者危害企业网络和设备的机会。
更多的云计算解决方案、远程工作系统和连接互联网的设备将增加扩大网络攻击范围的风险。减少漏洞数量的最佳方法是建立适当的企业攻击管理程序。
正确的网络攻击管理需要分析操作，以发现潜在的漏洞并了解情况。这些信息应该有助于制定计划，但成功取决于在企业的网络、系统、渠道和接触点中实施。
以下是一些在构建企业攻击面管理程序时需要考虑的优秀实践：
1. 映射攻击面
为了进行适当的防御，企业必须了解数字资产暴露的内容，网络攻击者最有可能以网络为目标的位置，以及他们需要采取什么保护措施。因此，提高网络攻击表面的可见性，并采取有效措施来处理攻击漏洞至关重要。要找到的漏洞类型包括旧的、安全的计算机或服务器、无补丁的系统、过时的应用程序和暴露的物联网设备。
预测建模有助于创建对可能发生的事件及其风险的真实描述，并进一步加强防御和主动措施。一旦你了解了风险，你就可以在攻击事件或数据违规之前、期间和之后进行建模。预计会有什么经济损失？企业的声誉会受到什么损害？企业是否会失去商业信息、商业秘密或更多数据？
SANS公司新兴安全趋势主管John Pescatore说，“成功的映射攻击策略非常简单：了解需要保护的内容（准确的资产清单）；监控这些资产中的漏洞；利用威胁情报了解攻击者如何利用这些漏洞攻击这些资产……这三个阶段的每一个阶段都需要有安全技术的熟练员工来跟上所有三个领域的变化。”
2. 最小化漏洞
企业一旦映射出攻击面，就可以采取行动，减少最重要的漏洞和潜在攻击向量的风险，然后继续执行较低的优先级任务。两个关键领域是尽可能离线运行资产，加强内部和外向网络。
大多数网络平台供应商现在提供一些工具来帮助最小化其攻击面。例如，微软的攻击面减少了(ASR)该规则允许用户阻止攻击者常用的过程和执行文件。
大多数违规行为都是由人为错误造成的。因此，建立安全意识和培训员工是减少漏洞的另一个关键方面。什么政策可以帮助他们掌握个人和工作安全？他们知道他们需要什么吗？他们应该使用什么安全实践？失败将如何影响他们和整个业务？
并非所有的漏洞都需要解决，有些漏洞无论如何都会继续存在。可靠的网络安全策略包括识别相关来源的方法，以找到更有可能使用的来源。这些都是应该处理和监控的漏洞。
大多数企业允许的访问权限超过员工和承包商所需的访问权限。适当范围的权限可以确保即使账户损坏，也不会造成中断或重大损坏。开始分析关键系统的访问权限，然后将每个人和设备的访问权限限限制在他们需要保护的资产上。
3. 建立强有力的安全实践和政策
遵循长期测试的最佳安全实践将显著减少企业的攻击。这包括实施入侵检测解决方案、定期风险评估和明确有效的政策。
以下是一些需要考虑的实践：
- 健康账户管理采用强大的身份验证协议和访问控制。
- 建立一致的修复和更新策略。
- 维护和测试关键数据的备份。
- 将网络分段，以尽量减少漏洞时的损坏。
- 旧设备、设备设备、设备和服务。
- 在可行的地方使用加密。
- 制定或限制BYOD政策和计划。
4. 建立安全监控和测试协议
随着IT强大的网络安全计划需要不断调整基础设施的变化和威胁行为者的发展。这需要持续监控和定期测试，通常通过第三方渗透测试服务。
安全信息和事件管理软件等管理软件等自动化系统完成(SIEM)。它将主机系统和应用程序生成的日志数据收集到网络和安全设备中，如防火墙和防病毒过滤器。然后，安全信息和事件管理软件(SIEM)识别、分类和分析事件，并对其进行分析。
渗透测试提供公平的第三方反馈，帮助企业更好地理解漏洞。渗透测试人员进行模拟攻击，旨在揭示关键漏洞。测试应涉及企业网络和BYOD供应商正在使用的核心元素和第三方设备。移动设备约占企业数据交互的60%。
5. 强化电子邮件系统
网络钓鱼是网络攻击者入侵企业网络的一种常见方式。然而，一些还没有完全部署电子邮件协议，旨在限制员工收到的恶意电子邮件数量。这些协议是：
- 发件人的战略框架(SPF)可防止欺骗合法电子邮件返回地址。
- 域密钥识别邮件(DKIM)可以防止“显示发件人”欺骗电子邮件地址，即收件人在预览或打开电子邮件时看到的内容。
- 基于域的邮件身份验证、报告和一致性(DMARC)允许设置如何处理相关原因SPF或DKIM识别失败或欺骗电子邮件的规则。
Aetna公司前首席信息安全官员Pescatore表示，“如果企业管理层支持所需的变更，可以确保业务收入超过安全成本，使企业转向安全软件开发，并实施强大的电子邮件身份验证。”
并非所有的建议都能实施，但他已经实现了，他采取的措施减少了软件漏洞，缩短了公司的上市时间。DMARC强大的电子邮件身份验证提高了电子邮件营销活动的点击率。
6. 了解合规性
所有企业都应制定研究、确定和理解内部和政府标准的政策和程序。目标是确保所有安全策略都符合要求，并对各种攻击和违规类型有适当的响应计划。
企业还需要建立一个工作组和战略，以便在新政策法规生效时进行审查。它和现代网络安全战略一样重要，但这并不一定意味着它应该是优先事项。Pescatore说，“合规性往往是第一位的，但几乎100%发生信用卡信息泄露的公司都符合PCI合规。但它们并不安全。”
7. 聘请审计人员
即使是最好的安全团队有时也需要外部帮助来评估企业的攻击。聘请安全审计师和分析师可以帮助企业发现可能被忽视的攻击媒介和漏洞。
他们还可以协助制定事件管理计划，以应对潜在的违规和攻击。由于没有制衡和衡量网络攻击的政策，许多企业没有为网络安全攻击做好准备。
Smart Billions公司首席技术官Jason Mitchell说：“在尝试客观地确定安全风险时，有一个外部和公平的观点可能是非常有益的。使用独立的监控过程来帮助识别风险行为和威胁，以避免成为终点问题，特别是新的数字资产、新的供应商和远程员工。”