实施CIS控制
由互联网安全中心（CIS）开发的CIS关键安全控制是一套规定性的、优先考虑的网络安全最佳实践和防御行动，可以帮助防止最普遍和最危险的攻击，并在多框架时代支持法规遵从性。
这些可操作的网络防御最佳实践是由一群IT专家利用从实际攻击及其有效防御中收集的信息制定的。CIS控制为组织提供了具体的指导和明确的途径，以实现多个法律、监管和政策框架所描述的目标。
在您的组织中实施 CIS 关键安全控制可以有效地帮助您：
为您的信息安全计划制定一个基础结构，并为您的整个安全策略制定一个框架。
遵循基于现实世界有效性的网络安全风险管理方法。
专注于可用于改善组织防御态势的最有效和具体的一组技术措施。
轻松符合其他框架和法规，包括 NIST 网络安全框架、NIST 800-53、NIST 800-171、ISO 27000 系列、PCI DSS、HIPAA、NERC CIP 和 FISMA。
CIS控件的最新版本（版本8）由一组18个网络防御建议或控件组成。版本8是版本7的扩展，由实现组（IGs）组成。IGs是新的建议指南，用于确定控制实施的优先顺序。
为了帮助各种规模的企业，IGs分为三个小组。它们基于企业的风险状况和组织可用于实施CIS控制的资源。
每个IG确定了企业需要实施的一套保障措施（以前称为CIS子控制），以减轻针对系统和网络的最常见网络攻击。CIS控制第8版共有153项保障措施。每个企业都应该从IG1开始。IG2建立在IG1的基础上，而IG3则由所有的控制和保护措施组成。
CIS控制不是一刀切的解决方案；根据您所在组织的网络安全成熟度，您可以规划并优先实施各种控制措施。
ManageEngine的IT管理解决方案套件可以帮助您满足离散的CIS控制要求，进而帮助您的组织仔细规划和开发一流的安全计划，以实现更好的网络卫生。
主动管理与基础设施物理、虚拟或远程连接的所有企业资产，或云环境中的资产，以准确确定需要监控和保护的资产总数。这还将支持识别未经授权和未经管理的资产，以便移除或补救。
在资产的整个生命周期中监控和管理资产。
从单个仪表板管理事件和库存。
确保补丁管理和资产管理。
发现并管理连接到网络的设备。
主动管理网络中的所有软件，以确保仅安装和执行授权软件，并发现未经授权和未经管理的软件，防止其安装或执行
使用集成配置管理数据库（CMDB）跟踪和管理资产。
确保ITIL-v3与资产管理兼容。
从单个控制台监视和管理资产。
允许列出应用程序并删除未经授权的软件。
制定流程和技术控制，以识别、分类、安全处理、保留和处置数据。
审核文件，识别有风险的数据，防止数据泄露。
防止通过外围设备丢失数据。
控制、管理和审核特权帐户及其访问权限的整个生命周期。
建立并维护企业资产和软件的安全配置。
实施配置以加强端点的安全性。
应用安全策略保护移动设备上的数据。
实施和管理配置以确保网络安全。
安排设备配置备份，跟踪用户活动，并通过比较配置版本发现更改。
确保完全的特权访问安全。
使用流程和工具分配和管理授权，以处理用户帐户的凭据，包括管理员帐户和与企业资产和软件关联的服务帐户。
控制、管理和审核特权帐户及其访问权限的整个生命周期。
管理和清理广告中不活跃或未使用的用户。
使用流程和工具为企业资产和软件的用户、管理员和服务帐户创建、分配、管理和撤销访问凭据和权限。
确保完全的特权访问安全。
实现端点MFA、条件访问和企业SSO。
制定计划，持续评估和跟踪企业基础架构中所有企业资产上的漏洞，以修复缺陷并最大限度地减少攻击者的机会窗口。监控公共和私营行业来源，以获取新的威胁和漏洞信息。
实施以优先级为中心的企业漏洞管理。
自动化多OS补丁管理。
识别漏洞并通过应用补丁进行补救。
收集、提醒、查看和保留事件的审核日志，这些日志可以帮助您检测、理解攻击或从攻击中恢复。
通过高级威胁分析和ML驱动的用户和实体行为分析实现集成的SIEM。
执行实时Active Directory、文件和Windows服务器更改审核。
确保防火墙规则、配置和日志管理。
监控服务器日志，查看管理员定义的错误。
提高对来自电子邮件和网络载体的威胁的保护和检测，因为这些都是攻击者通过直接参与操纵人类行为的机会。
确保浏览器的安全性和管理。
管理浏览器、加载项、扩展和插件。
防止或控制在企业资产上安装、传播和执行恶意应用程序、代码或脚本。
为用户实施基于风险的评分，以修改反恶意软件以满足特定需求。
禁用可移动媒体的自动运行、自动播放和自动执行。
建立和维护足以将范围内的企业资产恢复到受信任的事件前状态的数据恢复实践。
确保Active Directory、Microsoft 365和Exchange备份和恢复。
建立、实施和主动管理网络设备，以防止攻击者利用易受攻击的网络服务和访问点。
确保网络基础设施保持最新。
建立并维护安全的网络架构。
确保最低权限权限管理。
在CMDB的帮助下监控和管理网络中的资产。
在集成CMDB的帮助下映射资产依赖关系。
创建流程并选择适当的工具，以建立和维护全面的网络监控，并抵御企业网络基础设施和用户群中的安全威胁。
集中跨企业资产的安全事件警报，以进行日志关联和分析。
监控来自IDS或IP的日志，提取所需信息以确保网络安全。
确保企业端点中的操作系统版本和应用程序是最新的。
防止未经授权的可移动设备连接到您的网络。
通过USB和电子邮件检测并防止数据泄漏。
为远程连接到企业资源的资产提供最低访问权限。
阻止未经授权的设备连接到您的网络。
使用连续流挖掘引擎检测网络入侵。
从网络设备收集网络流量日志，以进行审查，并就网络瓶颈发出警报。
建立并维护安全意识计划，使员工更具安全意识，并确保他们拥有适当的技能，以降低企业的网络安全风险。
为Windows、macOS和Linux系统建立MFA。
确保对任务关键型资产的特权访问路径不受管理、未知或监控。
报告文件和文件夹的创建、删除、覆盖和重命名。
管理和优化计算机硬件的功耗，以节省资金和能源。
管理iOS、Android和Chrome操作系统设备的操作系统更新。
制定一个流程，评估持有敏感数据或负责企业关键IT平台或流程的服务提供商，以确保这些提供商适当地保护这些平台和数据。
安全地停用服务提供商、用户和文件服务器，而无需处理复杂的自定义脚本。
管理内部开发、托管或收购的软件的安全生命周期，以在安全漏洞影响企业之前预防、检测和修复它们。
实施以优先级为中心的企业漏洞管理。
识别漏洞并通过应用补丁进行补救。
建立一个项目，以开发和维护事件响应能力（例如，政策、计划、程序、定义的角色、培训和沟通），为攻击做好准备、检测和快速响应。
为IT安全团队创建一个门户，用独特的通知、SLA和上报程序处理事件。
通过进行渗透测试，定期评估组织防御攻击的准备情况。在红色团队的帮助下模拟攻击者的目标和行动，以检查您当前的安全态势，并获得有关防御效能的有价值的见解。
下载本指南，详细了解ManageEngine产品将如何帮助您实施CIS控件。
免责声明： 全面实施 CIS控件® （由互联网安全中心开发）需要多种解决方案、流程、人员和技术。上述解决方案是IT管理工具帮助满足CIS控制要求的一些方法。与其他适当的解决方案、流程和人员相结合，ManageEngine的解决方案有助于实施CIS控制。本材料仅供参考，不应被视为CIS控制实施的法律建议。ManageEngine对本材料中的信息不作任何明示、暗示或法定担保。
