持续威胁暴露管理-CTEM-应用实践指南 (持续威胁暴露管理)

主动安全防御的理念已经被提出很多年，但是很多安全专家对这种想法似乎已经不再抱有希望，原因是新型的网络攻击始终都在不断变化，攻击者有充分的时间和资源来设计新的攻击策略，以绕过防御、逃避检测。因此，基于拦截攻击这种思路所设计的主动网络安全模型在实践中表现得往往差强人意。

在此背景下，研究机构Gartner提出了一种主动式安全防御新思路——持续威胁暴露管理(Continuous Threat exposure Management，CTEM)。它并不关注攻击事件本身，而是关注攻击路径，站在攻击者的角度去思考攻击可能发生在哪里，以及可能采用的攻击战术和实施手段。由于大多数企业组织的数据泄露都可以归因为有限的攻击面可见性，而CTEM正是强调了实时性的安全威胁发现、修复和缓解。

CTEM的应用价值

CTEM通过鼓励安全团队采用主动的风险管理心态，而非传统模型的被动心态，这将有效改变企业内部和外部攻击面管理模式。正是因为这一特点，Gartner将CTEM列为“2023年顶级网络安全趋势”。根据Gartner的预测，到2026年，成功实施CTEM计划的组织所遭受的网络攻击威胁将会减少三分之二以上。

Gartner认为，CTEM是一种更加务实且有效的系统化威胁管理方法论，可以有效降低组织遭到安全泄密事件的可能性。通过优先考虑高等级的潜在威胁处置，CTEM实现了不断完善的安全态势改进，将“修复和态势改进”从暴露面管理计划中分离，强调有效改进态势的处置要求。同时，CTEM计划的运作有特定的时间范围，它遵循治理、风险和合规性(GRC)的要求，可为企业长期安全管理战略的转变提供决策支撑。

通过优先考虑高等级的潜在威胁处置，CTEM实现了不断完善的安全态势改进，并将”修复和态势改进”从暴露面管理计划中分离，强调基于企业实际业务状况改进安全威胁态势的处置要求。同时，CTEM计划的运作有特定的时间范围，它遵循治理、风险和合规性的综合要求，可为企业长期网络安全管理战略转型提供决策支撑。

此外，通过将风险评估模型从基本的时间点(point-in-time)方法转移到实时(real-time)风险意识，CTEM管理模型会非常适合于供应商风险管理计划，因为在传统的时间点模型中，仅在计划评估时的单个时间点描绘第三方安全风险的图像。而通过将风险评估与持续的攻击面监控相结合，企业可以将实时组件整合到第三方攻击面管理中，安全团队能够始终了解每个供应商的安全状况，从而了解数据泄露的易感程度。

CTEM应用实践

尽管CTEM有很多优点，但其真正实现也并不容易，因为这需要安全运营团队长期投入大量时间、人员及其他资源。企业在实施CTEM计划时，需要让威胁暴露面管理评估成为一种常态，并将暴露面管理变成多层次的过程，具体包括：

为了保障CTEM项目的顺利实施，研究人员总结了以下实用性建议：

1、确保现有的风险缓解流程都已优化并可扩展

由于在CTEM计划实施后，系统之间的数据共享需求将显著增加，因此必须首先优化当前的威胁发现和风险管理程序。否则，安全团队将需要把大部分时间花在集成故障排除上，而不是管理攻击面，这就违背了制定CTEM计划的初衷。

2、设计有效的事件响应计划

只有当组织能够及时响应每个检测到的威胁时，CTEM计划所增强的威胁可见性才能真正发挥作用。事件响应计划可帮助安全团队在实时网络攻击的压力下，有条不紊地采取适当的威胁响应措施。

3、绘制内、外部攻击面

企业的攻击面管理解决方案应该能够映射出所有的攻击面，只有实现充分的可见性才能完全符合CTEM的要求。因此，攻击面管理解决方案需要可以检测复杂的攻击向量，例如生命周期结束的软件、链接到易受攻击 服务器 的域、未维护的页面等，所有这些风险都能被轻松解决，从而快速减少攻击面。

4、采取基于风险的方法

增强的可见性使安全团队能够了解其攻击面状态。但是，只有当安全团队了解如何有效地分配风险缓解工作时，这些信息才有用。基于风险的漏洞管理方法(RBVM)是一个框架，可用于帮助安全团队决定将安全响应工作的重点放在哪里。通过明确定义的风险偏好，RBVM框架会根据威胁对组织安全状态的可能影响来判断优先处理哪些威胁。

5、持续地优化改进

实时威胁可见性的要求已经超越了传统的数字领域。在潜在威胁渗透到组织网络之前，企业所有的员工在发现这些威胁方面都会起着至关重要的作用。因此，建议尽快更新组织的网络安全意识培训计划，强调日常业务环境中威胁可见性和警惕性的重要性，并根据每个员工的日常反馈，不断更新优化CTEM流程与目标。

参考链接：

中国古代四大发明的发明者和时间？

造纸技术的发明造纸技术的发明是我国古代四大发明之一，是中华民族对世界文明的最杰出的贡献之一。 中国最早的文字是刻在甲骨上，铸在青铜上，后来写在竹简上的。 到了公元前2世纪，我国西汉初期已经有蚕丝做成的绵纸，可用以书写或作画，但价格昂贵，难以普及。 到公元105年，蔡伦C92(8-1)在总结前人制造丝织纸和植物纤维纸经验的基础上，发明了用树皮、破鱼网、破布、麻头等作原料，制造成了价格低、取材易、能大量生产而且适合书写的植物纤维纸，才使纸成为普遍使用的书写材料。 C92(8-2)所示为当时造纸的工艺过程。 又经过200多年的发展，逐步完善，最后完全代替了竹木简。 中国的造纸术大约在公元7世纪经朝鲜传到日本。 公元8世纪中叶传到阿拉伯。 到公元12世纪，欧洲才仿效中国的方法开始设厂造纸。 中国造纸术的发明对世界文化的发展和交流起到重大的促进作用。 指南针的发明在中国发明指南针以前，人类在茫茫大海中航行，常常会迷失方向，造成舟覆人亡的事故。 是中国人发明了指南针，使人类航行有了方向。 我国在战国时代就发现了磁石的指南特性，并发明了叫做司南的定向仪器。 司南由天然磁石琢成光滑的磁勺和刻着方位的铜盘组成S7(4-1)。 使用时，用手转动勺子，当勺子停下来的时候，勺把所指的方向为南。 到了北宋发明了人工磁化方法之后，人们用磁铁与铁针摩擦，使铁针磁化，并将其放入方位盘中制成世界最早的磁针式指南仪器--罗盘指南针。 指南针的应用，促进了各国航海事业的发展。 活字印刷术的发明印刷术分雕版印刷和活字印刷两种。 雕版印刷是用刀在木板上雕刻成凸出来的反写字，然后涂上墨，放上纸张，用刷子刷印在纸上。 每印一种新书，木板就得从头雕起，速度很慢。 如果刻出差错，还得重新刻起。 北宋刻字工人毕升在公元11世纪，用质细且带有粘性的胶泥，做成一个个四方形的长柱体，在上面刻上反写的单字，每个字一个印，放到土窑里用火烧硬，形成活字。 然后按文章内容，将字依顺序排好，放在一个铁框上做成印版，再在火上加热压平，就可以印刷。 印刷结束后把活字取下，下次还可再用。 到了元代发明了木活字，并创造出比较简捷的适于汉字复杂特点的转盘排字法。 即把木活字按音韵排列在两个能转动的大木盘上，排字工坐在两盘中间，转动木盘拾字排版。 其后又发明了铜、锡、铅等金属活字，使活字印刷得到了改进。 从此中国发明的活字印刷术在世界各国推广开来。 火药的发明我国秦汉以后，炼丹家用硫磺、硝石（硝酸钾）等物炼丹制药，从偶然发生爆炸的现象中得到启示。 再经过多次实践，找到了火药的配方。 火药是用硝石、硫磺和木炭三种物质混合制成的。 这三种成分按适当比例配制好之后，一经点火就迅速燃烧放出大量白色气体。 受压于有限空间的气体可用来进行爆破或推进射弹。 因此火药可用于焰火或炮弹的引信。 大约在公元13世纪我国的火药制造技术传到了波斯、印度和阿拉伯国家。 几十年以后，又传到欧洲。 火药还可以用于开矿、开山、筑路、挖河等多项工程建设中。

机械专业可以考哪些证书？

首先要看你往机械类的什么方向发展，机械按照国家证书来讲，比较吃香的是注册机械工程师，等级分为初级和工程师级，国家级的考试需要对机械理论掌握比较扎实，也就是照本宣科型的，只要肯记，背多点，要考过还是比较容易的，当然因为是注考，所以都讲究经验。 1 ．申请认证机械工程师 申请人须有良好的职业行为，遵守道德规范，并提供以下有效文件：（ 1 ）大学毕业证书；（ 2 ）外语证书；（ 3 ）计算机证书；（ 4 ）机械工程师“综合素质与技能”考试合格证书；（ 5 ）参加中国机械工程学会颁布的《机械工程类专业技术人员继续教育科目指南》中所规定的一门课程的培训并取得合格证书；（ 6 ）实际工作经历，专科毕业四年以上（非机械类需六年），本科毕业三年以上（非机械类需五年），同等学历者十五年以上，申请人必须有一年以上在生产、科研企业工作经历，并提供工作总结报告（由本人岗位上级写出工作业绩评语并需经单位领导签署意见及公章证明）。 2 ．申请认证专业工程师 除满足申请机械工程师认证条件外，需要取得专业工程师资格考试合格证书并有两年以上相关专业工作实践。 （详见各专业工程师考试要求） 资格考试 凡申请机械工程师资格认证的人员，必须通过教育部考试中心组织的全国统一资格考试，并成绩合格。 资格考试每年 11 月份举行。 凡申请专业工程师者，除通过教育部考试中心组织的全国统一考试，成绩合 格。 还须参加中国机械工程学会组织的专业工程师资格考试，成绩合格。 此外，就要看你公司的实力了，一般而言，规模小，实力差的公司，大多数都做机械制造，也就是加工类的，不管是一般的机床开始数控机床，你需要考的就是加工类的证书，当然这样的公司工薪不会很高，如果公司规模中等，那么公司很需要做设计这方面的人才，机械设计的话，就需要你能够熟练应用CAD了，这里的CAD不仅仅是指AUTOCAD软件，要根据你公司情况来定，PLM市场上，主要有5种：AUTOCAD，UG，SOLIDWORKS，PRO/E，CATIA，难度递进，你可以根据你公司实际采用软件的情况来学习某一个软件，这里要提一点的是，软件都是国外发明的，我们要学好CAD软件不是一件容易的事情，证书只能再筛选简历的时候用，正真的面试是靠技术说话，国外的大型CAD软件从制作到设计再到出图，都有一系列的规范和要求，你除了要熟悉GB以外，其他国家的标准包括ISO的标准都要知道一点，对你以后的发展是很有利的。 最后就是大规模的机械公司了，这些公司希望和国外的公司比拼，希望在国际上有一定的知名度，那么要进入这样的公司所拿到的证书就比较难的，一般要尝试考取国际机械工程师认证，其次设计类的软件最好是原厂认证，除了以上两点，最重要的是经验，多参加一些大型项目的设计制作，对你以后工作的习惯和设计方式都会有很大的影响，大公司的设计讲究制度和效率，仅仅是拿证书去应聘，自身如果没有十足的能力的话，想进去是基本不可能的。

2014关于美国留学打工的方式有哪些？

美国留学生打工是锻炼自己，丰富人生经历的好机会。 美国留学大学的学生在学习之余，有大把大把的自由时间，所以去到美国的留学学生，有很多通过这些空暇的时间，勤工俭学打工，赚一点小钱。 一般来说，在校的学生，有两种方式的时都希望可以间可以用于打工赚钱。 美国留学生打工方式之一是对去到美国的留学生，在上学期间，学校一般会允许每周20个小时的打工时间，相当于part time job， TA， RA都是如此。 20个小时是上限，不过笔者自己曾一周打工22小时左右，也无人过问。 但是最好不要超过25个小时，毕竟触犯了法律就不好了。 这个20个小 时的时薪一般是10美金左右，主要工作的地方时学校的食堂，图书馆，公寓，以及不同院系的实验室，主要的工作任务就是打杂。 相对来说工作轻松，而且对口语 的提高有很大帮助。 另外如果有幸到食堂打工，还可以顺便解决伙食问题，一举两得。 笔者就曾经在校咖啡馆打工，深得经理器重。 不过在马上就要成为建校以来第 一位外籍部门经理的时候，由于学业的繁重和其他工作的原因，和经理含泪相拥而别。 寒假暑假时，20个小时可以上升到40个小时，变成 full time job。 美国留学生打工方式之二是在上学期间，完成大部分课程以后，或者在假期期间，美国大学可以提供Curricular practical training programs(CPT)，时间总和是一年，可以分几次使用。 CPT是美国大学的实习项目，在CPT期间，学生是full time position，和实习所在公司或机构的员工享有同等待遇。 CPT不但可以在金钱上满足留学生的生活，对毕业以后找工作也非常有帮助。 但是原则 上，CPT的工作必须与所学专业相关，这有两层解释：1，实习是所在program的一个组成部分，也就是说实习是必须的，这种情况相对较少，而且真有这 种事，所有的paperwork应该是一路绿灯，甚至连实习的地方系里都找好了;2，就是在外面工作，同时注册1-N个学分的实践课，学分并不是毕业必须 的，但是必须注册，第2种情况发生的概率比较高。 CPT项目推广较好的学校有：Drexel University， University of Cincinnati， IIT美国留学生打工方式之三就是大多数人知道和关心的OPT-Optional Practical Training，简称OPT。 它是美国政府给予在美完成学位后的国际学生从事相关专业的一段工作实习时间，一般为1年。 近两年应用学科，包括工程，应用 数学等OPT时间提升到了29个月。 OPT为期一年，有大学的international office帮助国际学生提交美国国土安全局申请。 有效日期为国土安全局通过审批之日起以后365天。 不过必须在OPT有效起始日期三个月内找到工作，否 则3个月后OPT自动失效。 这里给大家说一个小窍门。 你可以在确定毕业的那个学期中提前申请OPT，也就是 pre-OPT，这段时间的OPT是不计入那三个月的找工作时间的。 如果三个月时间实在找不到，可以随便找一个志愿者工作，这也是可以延长OPT时间的。 美国留学生打工还有一种是 打黑工，大多数是去到华人餐厅。 这个既不鼓励也不推荐，一是违反了美国的基本法律，二是的确很累。 不过如果确实因为经济原因需要打黑工的话，尽量去一些自己比较熟悉的餐厅，因为安全问题非常重要。 原文来源：