联合防御：如何让网络安全成为企业文化的一部分

主要观点

• 网络安全需要不同部门之间的协作，消除隔阂，共同达成目标。
• 将红队（攻击者）和蓝队（防守者）结合，创建紫队来优化企业的安全性。
• 将安全视为软件质量的一部分，让开发者主动参与安全工作。
• 在设计阶段解决漏洞能节省成本并提高安全性。

在9月26日于佛罗里达州奥兰多举行的CyberRisk Alliance InfoSecWorld会议上，专家讨论了网络安全的协作方式，强调各方面需共同努力，打破孤岛效应。成功的安全策略必须从防御和攻击的安全专家的使命对齐开始，并延伸至驱动创新的应用程序开发者和架构师。

会议上，安全运营总监Kim Jones以《星际迷航》中的“心灵共鸣”形容这一过程，强调运营企业的网络安全团队往往分隔专业，红队和蓝队之间缺乏有效的知识分享。

“蓝队专业人士理解防御的重要性，但不一定懂坏人是如何攻击的。红队则在没有提供建设性知识的情况下试图突破防御。” Jones指出。

借由有效的协作，红队和蓝队之间的紫队概念应运而生，这样可以结合他们的观点和专业技术来优化组织的安全性。Jones表示：“紫队就像一个开放的练习，让我们能够共享资讯，以更好地防卫业务。”

安全哲学：不仅仅是红队和蓝队

这一哲学不仅适用于红队、蓝队和紫队。会议主持人Ed Adams指出，安全的色彩应该是五光十色的，所有人都必须参与这个集体思维。Adams提到LouisCremen在2020年创造的“InfoSecWheel”概念，其中增加了由应用开发者和程序员组成的黄队。通过将红队和蓝队的情报与这个黄队分享，可以有效促进橙队和绿队的思考，并将攻防安全原则融合到DevOps过程中。

Adams宣称，最近出现的一个积极的思维转变是，组织开始将安全视为软件质量的一个方面，这在过去20年中并不普遍。当时，安全与产品开发是截然不同的两个领域，但这一情况正在发生改变。

“在进行蓝队操作时，我们骄傲地教导开发者如何实施必要的安全控制来防止攻击。” 来自Datadog的安全工程经理Trupti Shiralkar补充道。

在设计阶段修复漏洞的价值：所有颜色都重要

一旦应用程序上线，情况就会改变。研究显示，在设计阶段修复漏洞通常比生产阶段进行修复要便宜得多。Shiralkar接著指出：“紫队的价值在于，当我们在设计阶段结合攻击技术与安全控制时，我们能把修复漏洞的平均时间减少到原来的三分之一，安全价值回报也非常高。”

重要的是，所有观点都应该被听取，并得到相对平等的重视。

“所有颜色都重要，”BCD旅行的高级副总裁及CISO Sherron Burgess表示。 “每一种颜色在某种程度上都是必不可少的。”

然而，如何让应用开发者或黄队成员与攻防安全专家配合，解决他们的创新需求呢？Burgess建议，公司可以强制执行最低安全标准，以确保生产流程遵循，并努力创建一种将安全视为全公司责任的文化。

“如果存在