Pure 新知
什麼是 OCTAVE 威脅模式？

什麼是 OCTAVE 威脅模式？

在網路攻擊不僅可能發生，而且是不可避免的時代，企業組織必須採取主動策略來識別並降低風險。威脅建模是一種方法，提供結構化的方式來評估弱點、瞭解威脅並保護關鍵資產。

營運關鍵威脅、資產與弱點評估（OCTAVE）威脅模型，是管理網路安全風險的全面架構。OCTAVE 由卡內基梅隆大學軟體工程研究所設計，超越技術評估，納入組織優先事項。這種雙重方法使網路安全措施與業務目標保持一致，因此特別適用。

本文深入探討 OCTAVE 威脅模型，探索其元件、方法、優勢和實際應用，以建立彈性網路安全策略。

什麼是 OCTAVE 威脅模式？

營運關鍵威脅、資產和弱點評估（OCTAVE）威脅模型是基於風險的架構，旨在識別、評估和減輕網路安全風險。與主要關注技術的傳統模式不同，OCTAVE 強調安全實務與組織目標的一致性，確保在對關鍵營運的影響下評估風險。

OCTAVE 的核心整合了三個關鍵要素：

營運關鍵威脅：找出可能中斷營運的潛在行動或事件
資產：從敏感資料到關鍵基礎架構，優先處理最重要的事項
弱點：了解這些資產可能暴露在威脅之下的弱點

OCTAVE 威脅模型的關鍵要素

OCTAVE 的成效在於其整體方法，建立在三個核心要素之上：

資產

資產是 OCTAVE 模型的基礎。無論是有形還是無形，這些資源都為組織帶來價值，並需要保護。

資訊資產：這包括敏感資料，如客戶資訊、智慧財產和商業機密。舉例來說，醫療保健服務提供者的電子健康記錄（EHR）系統是病患照護與法規遵從性的關鍵資訊資產。
基礎架構資產：伺服器、網路設備和儲存系統構成了 IT 作業的骨幹。保護這些資產可確保業務永續性。
人力資產：員工扮演著重要的角色，因為他們的專業知識和存取權限可以保護並揭露關鍵系統。無論是有意或意外的威脅，通常都是此類別的主要焦點。

威脅

威脅是指可能利用弱點並傷害資產的潛在行動、事件或情況。OCTAVE 會根據威脅的起源對威脅進行分類：

外部威脅：這些來自組織外部，包括駭客、自然災害或供應鏈中斷。舉例來說，針對關鍵基礎架構的勒索軟體攻擊將歸類為外部威脅。
內部威脅：通常來自公司內部的員工、承包商或值得信賴的合作夥伴。如憑證處理不當，以及資料盜竊等惡意行為等疏失都屬於此類。

弱點

弱點是組織系統、流程或政策中的弱點，可能被威脅利用。常見的範例包括過時的軟體、設定不良的防火牆，或缺乏員工對網路釣魚的訓練。舉例來說，在傳統系統上執行的電子商務公司可能會發現過時的加密協定會讓客戶的付款資料暴露於潛在的入侵中。

OCTAVE 可同時分析這些元件，協助企業組織建立處理風險的優先路線圖。

OCTAVE 方法的 3 個階段

OCTAVE 方法分為三個不同階段，每個階段都有助於制定全面的風險管理策略。

第 1 階段：建立資產型威脅概況

這個階段的重點在於了解組織的關鍵資產，以及他們面臨的威脅。流程包含：

識別資產：Teams 為關鍵資訊、基礎架構和人力資源編製目錄。舉例來說，一家製造公司可能會將其生產線控制系統列為高優先權資產。
分析威脅：潛在威脅會對應至每項資產。例如，針對智慧工廠中物聯網（IoT）裝置的網路攻擊，可能會中斷生產。

本階段的結果清楚說明了哪些項目需要保護，以及與每項資產相關的特定風險。

第 2 階段：找出基礎架構的弱點

在此階段，組織評估其技術環境，以發現可能使資產暴露於威脅的弱點。活動包括：

技術評估：弱點掃描工具等工具可辨識系統、網路和應用程式的弱點。
內容分析：調查結果與營運風險相關，以評估其實際影響。

舉例來說，如果金融公司發現未修補的資料庫伺服器，就會將此弱點連結至未經授權存取客戶財務資料的潛在風險。

第三階段：制定安全策略和計劃

最後階段會將前兩個階段的深度資訊轉化為可行動的策略。關鍵步驟包括：

風險優先順序：風險是根據其可能性和潛在影響進行排名。例如，影響面向客戶應用程式的風險，可能比內部報告工具來得優先。
緩解計劃：制定政策、技術和流程，以處理優先風險。組織可以使用 Pure Storage® SafeMode 快照等工具，建立不可變的備份來保護關鍵資料免受勒索軟體攻擊。

這個階段可確保資源導向最重大的風險，將安全工作的影響最大化。

OCTAVE 威脅模式的優勢

採用 OCTAVE（營運關鍵威脅、資產和弱點評估）框架的組織，不僅能增強網路安全狀態，還能使安全工作與總體業務目標保持一致，從而實現一系列策略優勢。

全面的風險管理
OCTAVE 將技術與業務觀點融合，以全面整合的方式進行風險管理。它能讓組織在關鍵資產和營運優先事項的背景下評估網路安全風險。這樣的雙重重點不僅能確保找出漏洞，還能從其對業務永續性和目標的潛在影響方面加以理解。OCTAVE 考量組織脈絡，有助於識別對業務真正重要的風險情境，而不只是專注於孤立的技術威脅。

資源的優先順序
OCTAVE 讓組織能夠做出以資料為導向的決策，決定要在何處最有效地分配有限資源。它專注於高價值資產，例如敏感的客戶資料、智慧財產或核心營運基礎架構，並確保企業最關鍵的要素優先受到保護。這種優先順序可降低資源分配的可能性，降低對安全性措施的影響，從而實現更有效率的資安策略。OCTAVE 將安全投資與業務優先事項保持一致，將不必要的成本降至最低，並最大化投資報酬率。

主動式威脅緩解
OCTAVE 架構的主要優勢在於能夠協助企業組織採取主動的網路資安方法。OCTAVE 鼓勵前瞻性思考，讓組織在潛在威脅演變為實際入侵或事件之前，預測風險並做好準備。這樣的前景帶來更有效的威脅緩解策略。例如，組織可能使用 OCTAVE 的風險評估流程來識別其任務關鍵系統的潛在弱點，例如過時軟體版本、設定錯誤的網路或存取控制不足，並實施糾正措施，例如修補或設定變更，以防止入侵。如此一來，企業就能大幅降低成功遭到攻擊或資料外洩的機會，避免財務損失與聲譽受損。

提升整個組織的風險意識
OCTAVE 讓組織各層級的主要利害關係人參與風險評估流程，以培養安全意識的文化。這種廣泛的參與有助於確保安全性不被視為單純的技術問題，而是組織整體風險管理策略中不可或缺的一部分。OCTAVE 結合了業務領導者、技術專家和營運人員的深度資訊，有助於建立更全面、全面的風險理解。這種合作方式提高了領導階層的接受度，並加強了跨職能的溝通，進而實現更有效的風險管理。

可擴充性與適應性
OCTAVE 具有高度適應性，可以擴展到適合各種規模和部門的組織，從小型新創公司到大型跨國公司。其彈性本質可量身訂做的風險管理方法，隨著組織成長或新威脅的出現而不斷演進。無論是快速擴展的科技公司還是製造公司，OCTAVE 都提供結構化但可自訂的方法，以管理在不斷變化的環境中仍舊存在的網路安全風險。