國華盛頓郵報公司安全團隊開發(fā)出利用賽門鐵克數(shù)據(jù)庫安全與審計(SDSA)設(shè)備監(jiān)視數(shù)據(jù)庫的一系列客戶化的政策。他們是如何在已有安全策略基礎(chǔ)上做優(yōu)化的呢？又是如何保證策略的實施呢？

雖然賽門鐵克的這種設(shè)備配置了一些現(xiàn)成的安全政策，但是，這家公司不斷地優(yōu)化這些政策以便減少誤報，以便使安全團隊把注意力集中在真正的安全問題上。華盛頓郵報信息安全和隱私部門經(jīng)理Stacey Halota總結(jié)并提出了在策略優(yōu)化過程中遇到的一些經(jīng)驗。

1.你要了解你要得到什么。在執(zhí)行政策的時候，重要的是不要制定泛泛的安全政策。你要特別認真，你要知道你的要求不太過分，因為你不需要大量的沒有真正意義的信息。監(jiān)視應(yīng)用程序的ID就是一個例子。有些應(yīng)用程序在執(zhí)行各種功能的時候反復調(diào)用這個應(yīng)用程序的ID。最終用戶看不到這個ID，但是，這個ID一直在與數(shù)據(jù)庫進行互動。因此，如果你查看它更新的東西，那可能有100萬個東西。

要把重點放在異常情況方面。我們關(guān)心的是這個應(yīng)用程序ID是否來自于意想不到的地方。因此，我們知道這個應(yīng)用程序ID總是來自于應(yīng)用服務(wù)器的某個地址。我們不是在應(yīng)用程序ID每一次更新某些東西的時候都進行檢查，我們重點檢查來它的更新是否來自自某些地址以外的其它地方。你在兩分鐘之內(nèi)就可以創(chuàng)建一個這樣的政策。

2.注意漏報。即使你認真設(shè)置了政策，這些設(shè)備仍可能出現(xiàn)錯誤。例如，賽門鐵克數(shù)據(jù)庫安全和審計設(shè)備向Halota的團隊發(fā)出了這個數(shù)據(jù)庫的某些區(qū)域存在風險的警報。這個設(shè)備認為我們的數(shù)據(jù)的一個字段是一個信用卡號碼，實際上卻不是。當我們第一次看到這種警報的時候，我們認為所有這些財務(wù)記錄都應(yīng)該從數(shù)據(jù)庫中取出來。但是，這些數(shù)據(jù)實際上不是財務(wù)數(shù)據(jù)。

3.不斷改進設(shè)置。Halota認為制定政策是一個反復的過程。總的來說，我們制定安全政策用了一個月的時間。我們當時有一些現(xiàn)成的政策，但是，其它一些政策需要更長的時間。你在先制定一些安全政策，然后下個月再制定一些安全政策，之后在執(zhí)行的過程中對這些安全政策不斷地進行調(diào)整。這是你一直要做的事情。