威胁是全球性的，但影响是具体的——任何行业的任何企业，都应该研究防范战略，以减轻这种威胁带来的业务风险。

“信任，但验证”这句古老的口头禅已经让位于零信任安全模型，该模型假设对手已经突破了企业的边界防御。有必要研究一些降低高级持续性威胁(APT)风险的方法。

美国国家标准与技术研究所(NIST)特别出版物(SP)800-172强调，纵深防御(DID)战略的增强安全要求包括3个核心组成部分：

1. 防渗透架构(PRA)

2. 限损操作

3. 网络弹性生存能力 

“尽管企业尽了最大努力实施保护措施，但APT仍可能会找到破坏或突破边界防御的方法，并在防御者的系统中部署恶意代码。”

该网络战略意识到，尽管企业尽了最大努力来实施保护措施，但APT仍可能找到破坏或突破边界防御的方法，并在防御者的系统内部署恶意代码。当这种情况发生时，企业必须能够使用保障措施和对策来检测、智取、迷惑、欺骗、误导和阻碍对手——即消除对手的战术优势并保护企业的关键计划和高价值资产(HVAS)。

网络攻击、物理攻击或欺骗等攻击对业务运营构成威胁，需要企业重新考虑其网络防御方案。有两个高价值的信息标准可以影响可信网络防御的建立，包括美国国防部(DoD)建立的网络安全成熟度模型(CMMC)标准和NIST SP800-172。更高的CMMC成熟度级别是专门针对APT而设计的。未来的网络防御战略应该受到CMMC和NIST SP 800-172的影响。

企业应将重点放在加强其安全能力上，以降低APT风险。NIST已经为加强安全要求建立了极好的参考标准，NIST SP 800-172。加强的安全要求代表保护敏感信息的方法，包括个人身份信息(PII)、个人数据(PD)、受控非机密信息(CUI)或企业认为具有高价值的任何其他信息。

企业需要将强化的安全要求整合到其网络防御战略中，例如：

• 将以威胁为中心的方法应用于安全需求规范 

• 采用支持逻辑和物理隔离的系统和安全架构，使用系统和网络隔离技术、虚拟机和容器

• 对最关键或最敏感的操作实施双因素认证 

• 将持久存储限制在隔离的飞地或域 

• 为系统和网络实施合规的连接方法 

• 通过建立解决系统和系统组件更改的权威来源来扩展配置管理需求 

• 定期将企业系统和系统组件更新或升级到已知状态，或开发新系统或组件

• 采用具有高级分析功能的安全运营中心(SOC)来支撑企业系统的可持续监控和保护 

• 使用欺骗手段，在敌人用于决策和试图渗透时的信息的价值和真实性，他们所处的环境方面迷惑和误导敌人

CMMC通过减轻APT对敏感和机密信息和资产构成的风险，确立了对网络弹性的要求。该模型使用5个级别来衡量网络安全成熟度，并将一组流程和实践与要保护的信息的类型和敏感性以及相关的威胁范围保持一致。CMMC成熟度级别的第4级和第5级是专门设计的，APT是必须满足的安全需求重点。CMMC认证是国防部国防工业基地(DIB)的一项要求，该基地由30多万家国防部供应商组成。那些面临APT风险的特定供应商将被要求满足CMMC成熟度级别的第4级和第5级。

CMMC模型是每一位高级网络安全专业人员学习和理解其对降低网络风险适用性的极佳参考。企业应考虑开展CMMC认证，以建立可信的、基于证据的辩护。

有远见的企业要把重点放在以下描述的三个部分。 

第一个部分是使用技术和程序来限制对手破坏组织系统，并在系统中实现持续存在的体系结构。 

第二个关键部分是设计系统、任务和业务功能，以提供准备、抵御、恢复和适应网络资源受损的能力，从而最大限度地提高任务或业务操作的效率。 

最后，第三个部分是对使用或启用网络资源的系统的不利条件、压力、攻击或危害进行预测、承受、恢复和适应的能力。

设想对手已经进入您的内网。每个组织都必须重新设想网络防御，以降低业务风险。