实施安全漏洞防护和恢复基础结构

项目
06/12/2024

作为零信任采用指南的内容，本文是防止或减少数据泄露造成的业务损失业务方案的一部分，并介绍了如何保护组织免受网络攻击。本文重点介绍如何部署额外的安全措施，以防止数据泄露并限制其传播，以及如何创建和测试业务连续性和灾难恢复 (BCDR) 基础结构，以便更快地从破坏性数据泄露中恢复。

对于“假定数据泄露”零信任指导原则的要素：

最大限度地减少影响范围，并对访问进行分段

在本文中进行了描述。
验证端到端加密

在本文中进行了描述。
使用分析来获取可见性、驱动威胁检测并改善防御

如实施威胁防护和 XDR 一文中所述。

本文假定你已实现了安全状况的现代化。

有关 Microsoft Azure 资源的详细信息，请参阅保护 Azure 资源免受破坏性网络攻击。

实施安全漏洞防护和恢复基础结构的采用周期

本文逐步介绍使用与适用于 Azure 的云采用框架相同的生命周期阶段（定义策略、计划、准备、采用以及治理和管理，但针对零信任进行了调整）实施防止或减少数据泄露造成的业务损失的安全漏洞预防和恢复基础结构。

下表是示意图的可访问版本。

定义策略	计划	就绪	采用	治理和管理
成果组织遵循情况战略目标	利益干系人团队技术计划技能就绪	评估测试试点	在数字资产中逐步实施	跟踪和度量监视和检测迭代提高成熟度

在零信任采用框架概述中详细了解零信任采用周期。

有关“防止或减少数据泄露造成的业务损失”业务方案的详细信息，请参阅：

概述
实施威胁防护和 XDR 的其他要素

定义策略阶段

“定义策略”阶段对于定义和规范我们的工作至关重要 - 它规范了这个方案的具体措施。在这个阶段，我们将从业务、IT、运营和战略角度了解该场景。要知道安全是一个循序渐进、不断迭代的历程，并由此定义成果，用于衡量是否在这个场景中取得了成功。

本文列出了与许多组织相关的动机和成果，作为参考建议。请根据组织的独特需求，使用这些建议来改进组织的策略。

实施安全漏洞防护和恢复基础结构的动机

安全漏洞预防和恢复基础结构的动机很简单，但组织的不同部分对执行此操作有不同的动机。下表汇总了其中的部分动机。

领域	动机
业务需求	为了以漏洞防护和恢复的状态来运营业务，作为安全的延伸。你的业务可以从一个或多个区域的数据泄露破坏中恢复，同时继续正常开展业务。
IT 需求	为了实施技术和规则以降低数据泄露可能性，例如更新本地系统和终结点，以及部署蜜罐资源来欺骗攻击者和分散其注意力，同时保持对标识安全和预配的不入侵方法。
运营需求	为了将漏洞防护和恢复作为标准操作程序。数据泄露是预期行为，但对于业务垂直领域来说，可以减轻这种不良行为。
战略需求	为了逐步提高业务从数据泄露中恢复的能力，这可能会降低网络攻击者的投资回报，同时提高运营复原能力。零信任的“假定数据泄露”原则迫使你规划并执行变更和更新，以确保业务生存、最大限度地减少数据泄露并缩短数据泄露恢复时间。

实施安全漏洞防护和恢复基础结构的结果

将零信任的总体目标“从不信任，始终验证”应用到数据泄露损害防护和减少基础结构中，为环境增加了一层重要的保护。请务必明确预期取得的结果，以便你可以为所有相关团队实现适当的保护平衡。下表列出建议的目标和成果。

目标	成果
业务结果	漏洞防护和恢复实践可将与数据泄露相关的成本降至最低并快速恢复业务流程。
调控	部署漏洞防护和恢复工具及系统，并对内部流程进行测试，为数据泄露做好准备。
组织高弹性	在安全漏洞防护和恢复以及主动威胁防护之间，组织可以从攻击中快速恢复并防止未来发生此类攻击。
安全性	漏洞防护和恢复集成到整体安全要求和策略中。

计划阶段

采用计划将零信任策略的目标转化为可行的计划。所有团队可以共同利用采用计划指导其技术工作，使之与组织的业务策略相符。

你与业务领导者和团队一起定义的动机和结果支持解决组织的具体措施问题，成为引导你明确战略方向的“北极星”。接下来是对如何实现目标的技术规划。

实施漏洞防护和恢复的技术采用涉及：

设置 Microsoft Entra Privileged Identity Management (PIM)，以保护管理员和其他特权帐户进行实时 (JIT) 访问。
提高网络基础结构的安全性。
在网络上部署蜜罐资源以引诱攻击者并提前检测到其存在。
实施全面的修补基础结构，使服务器和设备保持最新版本。
开始使用 Microsoft Purview 内部风险管理。
部署 BCDR 基础结构以快速从破坏性网络攻击中恢复。

许多组织可以采取四阶段方法实现这些部署目标，如下图所示。

阶段 1	阶段 2	阶段 3	阶段 4
保护特权帐户将网络分段实施 Azure Site Recovery 以实现关键工作负载连续性加密网络通信	为关键业务数据实施 Microsoft 365 备份和 Azure 备份实施修补计划创建蜜罐资源开始使用 Microsoft Purview 内部风险管理	为所有业务数据实施 Microsoft 365 备份和 Azure 备份为所有工作负载实施 Azure Site Recovery 获取网络流量的可见性设计威胁和业务连续性/灾难恢复 (BCDR) 响应	停止使用旧的网络安全技术实践威胁和 BCDR 响应

如果这种分阶段的方法适用于组织，则可以使用：

这个可下载的 PowerPoint 演示文稿为企业领导者和其他利益干系人展示和跟踪这些阶段及目标的进度。以下是用于此业务方案的幻灯片。
此 Excel 工作簿分配所有者并跟踪这些阶段、目标及其任务的进度。以下是用于此业务方案的工作表。

了解你的组织

推荐的分阶段技术实施方法有助于为了解你的组织提供背景信息。

每个业务方案的零信任采用生命周期的基本步骤包括盘点和确定基础结构的当前状态。对于此业务方案，需要收集有关当前情况的信息：

特权标识安全策略和要求。
网络安全做法和技术。
内部风险和管理优先级。
服务器和设备修补策略及要求。
BCDR 系统和策略。

组织规划和调整

漏洞防护和实施恢复基础结构的技术工作跨越多个重叠区域和角色：

特权标识
网络
内部风险管理
设备修补
BCDR

在构建发起计划和项目管理层次结构时，推荐使用下表总结的角色来确定和推动结果。

计划主管和技术负责人	问责
CISO、CIO 或数据安全总监	执行支持
安全性计划主管	推动取得更佳成果并促进跨团队协作
安全架构师	提供配置和标准方面的建议，特别是围绕特权标识、网络和蜜罐资源的设计方面
IT 主管	维护蜜罐资源，实施修补和系统更新要求和策略，并实施和实践 BCDR 程序
网络架构师	提供网络安全标准和做法方面的建议并实施
合规性主管	将合规性要求和风险映射到特定控制措施和可用技术，并提供检测和管理的内部风险方面的建议
安全性治理和/或 IT 主管	监视以确保符合定义的策略和要求

此采用内容的资源 PowerPoint 幻灯片组包含以下幻灯片，可针对组织情况自行定制其中的项目负责人视图。

技术规划和技能就绪情况

在开始技术工作之前，Microsoft 建议了解这些功能、其协同工作原理以及处理这项工作的最佳做法。下表包含一些可以帮助团队获得技能的培训资源。

资源	说明
模块：计划和实施特权访问	了解如何使用 PIM 来保护数据和资源。
模块：设计用于备份和灾难恢复的解决方案	了解如何为 Azure 工作负荷选择合适的备份解决方案和灾难恢复解决方案。
模块：使用 Azure Site Recovery 保护本地基础结构免受灾难影响	了解如何使用 Azure Site Recovery 为本地基础结构提供灾难恢复。
模块：使用 Azure Site Recovery 保护 Azure 基础结构	了解如何通过自定义 Azure 虚拟机的复制、故障转移和故障恢复，为 Azure 基础结构提供灾难恢复。
模块：设计并实现网络安全	了解如何设计和实施网络安全解决方案，例如 Azure DDoS、网络安全组、Azure 防火墙和 Web 应用程序防火墙。
模块：使用网络安全组和服务终结点来保护对 Azure 资源的访问并将其隔离	了解如何使用网络安全组和服务终结点保护虚拟机和 Azure 服务避免通过未经授权的网络访问。
模块：Windows Server 更新管理	了解如何使用 Windows Server Update Services 将操作系统更新部署到网络中的计算机。

阶段 1

第 1 阶段部署目标包括锁定管理员和其他特权访问帐户，使用 Microsoft 云产品备份关键业务数据，并确保所有网络流量都经过加密。

保护特权帐户

网络安全事件通常始于某种凭据被盗。攻击者会发现帐户名称（可以是已知或容易发现的电子邮件地址），然后继续确定帐户的密码。在大多数情况下，多重身份验证 (MFA) 可能会阻止此类攻击。然而，“假定数据泄露”零信任原则意味着攻击者可以并且将会使用标识访问你的网络。

进入网络后，攻击者会尝试通过入侵具有更多访问权限的帐户来提升其特权级别。攻击者的目标是入侵特权帐户，该帐户不仅有权访问大量敏感数据，还可以访问管理设置。因此，必须防止攻击者进行这种级别的访问。

首先，对于混合标识组织，必须确保用于云服务的管理员帐户或拥有特权角色的帐户不与本地 Active Directory 域服务 (AD DS) 同步也不存储在其中。如果这些帐户存储在本地，当 AD DS 或 Microsoft Entra Connect 遭到入侵时，攻击者可以对 Microsoft 云服务进行管理控制。查看同步设置，以防止并测试你的云管理员帐户是否存在于 AD DS 中。

所有拥有 Microsoft 云订阅的组织都有一个包含云帐户（包括用户帐户和管理帐户）的 Microsoft Entra ID 租户。管理员需要在 Microsoft Entra ID、Azure、Microsoft 365 或 SaaS 应用程序中执行特权操作。

保护特权帐户的第一步是需要强密码和 MFA。此外，根据“使用最低特权访问”零信任原则，在 Microsoft Entra 生产环境中使用 Microsoft Entra PIM 来提供额外的保护层。 Microsoft Entra PIM 提供基于时间和基于审批的角色激活，以降低资源访问权限过度、不必要或滥用的风险。

Microsoft Entra PIM 的功能包括：

提供对 Microsoft Entra ID 和 Azure 资源的 JIT 特权访问权限
使用开始和结束日期限时访问资源
要求获得批准才能激活特权角色
强制实施 MFA 以激活任何角色
需要理由来了解用户激活的原因
激活特权角色时获取通知
开展访问评审，以确保用户仍然需要角色

资源	说明
什么是 Microsoft Entra ID 的混合标识？	开始使用 Microsoft Entra ID Connect 的文档集。
什么是 Microsoft Entra Privileged Identity Management？	开始使用 Microsoft Entra PIM 的文档集。
规划 Microsoft Entra PIM 部署	逐步完成为特权帐户部署 PIM 的计划过程。
模块：计划和实施特权访问	了解如何使用 PIM 来保护数据和资源。

将网络分段

此目标是在网络上创建边界，以便中间分析和筛选可以保护敏感服务器、应用程序和数据。本地服务器或云中可能会出现网络分段，例如，Azure IaaS 中的虚拟网络 (VNet) 上托管的虚拟机。

建议	资源
使用多个入口/出口云微外围和一些微分段。	使用零信任保护网络
使用多个子网和网络安全组托管应用的多个层并限制流量。	将零信任原则应用于 Azure 中的分支 VNet 使用 Azure PaaS 服务将零信任原则应用于辐射 VNet

有关在 Azure 环境中进行分段的其他信息，请参阅对基于 Azure 的网络通信进行分段。

实施 Site Recovery 以实现关键工作负载连续性

Azure Site Recovery 是一种本机灾难恢复即服务 (DRaaS)，它易于部署、具有成本效益和可靠性。通过 Site Recovery 部署复制、故障转移和恢复过程，帮助在计划内和计划外中断（例如基于网络攻击的中断）期间使应用程序保持运行状态。

Azure Site Recovery 有两个主要组件：

Site Recovery 服务：Site Recovery 有助于保持业务应用和工作负荷在停机期间的正常运行，从而确保业务连续性。 Site Recovery 将在物理机和虚拟机 (VM) 上运行的工作负载从主站点复制到辅助位置。主站点发生停机时，可以故障转移到辅助位置，从该位置访问应用。在主位置再次运行后，可以故障回复到该位置。
备份服务：Azure 备份服务保证数据安全性和可恢复性。有关详细信息，请参阅上一部分。

Site Recovery 可以为以下计算机管理复制：

在 Azure 区域之间进行复制的 Azure VM
从 Azure 公共多接入边缘计算 (MEC) 到区域的复制
在两个 Azure 公共 MEC 之间的复制
本地 VM、Azure Stack VM 和物理服务器

使用 Azure Site Recovery 作为 BCDR 解决方案的一部分。

资源	说明
Site Recovery 概述	开始使用文档集。
模块：使用 Azure Site Recovery 保护本地基础结构免受灾难影响	了解如何使用 Azure Site Recovery 为本地基础结构提供灾难恢复。
模块：使用 Azure Site Recovery 保护 Azure 基础结构	了解如何通过自定义 Azure 虚拟机的复制、故障转移和故障恢复，为 Azure 基础结构提供灾难恢复。

加密网络通信

此目标更像是一种检查，用于确保网络流量已加密。请与网络团队联系，确保满足这些建议。

建议	资源
确保用户到应用的内部流量已加密： - 为面向 Internet 的 Web 应用程序强制实施仅限 HTTPS 的通信。 - 使用 Azure VPN 网关将远程员工和合作伙伴连接到 Microsoft Azure。 - 通过 Azure Bastion 使用加密通信安全地访问 Azure 虚拟机。	使用零信任保护网络 - 目标 3：用户到应用的内部流量已加密
对虚拟网络之间的应用程序后端流量进行加密。对本地和云之间的流量进行加密。	使用零信任保护网络 - 目标 6：所有流量已加密
对于网络架构师，本文有助于将推荐的网络概念放在透视中。 Microsoft 安全性和符合性架构师 Ed Fisher 介绍了如何通过避免最常见的陷阱来优化云连接网络。	网络升级（连接到云）- 一位架构师的观点

有关在 Azure 环境中进行加密的其他信息，请参阅对基于 Azure 的网络通信进行加密。

阶段 2

第 2 阶段部署目标包括对网络进行分段，以更好地控制敏感资源的流量，确保服务器和设备及时进行更新修补，创建蜜罐资源来欺骗攻击者和分散其注意力，以及开始管理内部风险。

为关键业务数据实施 Microsoft 365 和 Azure 备份

BCDR 是缓解数据泄露的要素，BCDR 基础结构的关键部分是备份和恢复。对于网络攻击，还需要保护备份免受故意擦除、损坏或加密。在勒索软件攻击中，攻击者可以加密、损坏或销毁你的实时数据和备份，使组织容易受到勒索以恢复业务运营的影响。若要解决此漏洞，备份数据的副本必须不可变。

Microsoft 提供 Microsoft 365 备份和 Azure 备份，用于本机备份和还原功能。

Microsoft 365 备份是一项新产品/服务（目前为预览版），可大规模备份 Exchange、OneDrive 和 SharePoint 工作负载的 Microsoft 365 租户数据，并提供快速还原。 Microsoft 365 备份或基于 Microsoft 365 备份存储平台构建的应用程序提供以下优势，无论租户的大小或规模如何：

数小时内快速、不可变的备份
数小时内快速还原
完整的 SharePoint 站点和 OneDrive 帐户还原保真度，这意味着站点和 OneDrive 通过回滚操作还原到特定时间点的准确状态
使用搜索进行完整 Exchange 邮箱项目还原或精细项目还原
合并的安全性和合规性域管理

有关详细信息，请参阅 Microsoft 365 备份概述。

Azure 备份服务提供简单、安全且经济高效的解决方案来备份数据，并从 Microsoft Azure 云恢复数据。 Azure 备份可以备份：

本地文件、文件夹、系统状态、本地 VM（Hyper-V 和 VMware）以及其他本地工作负载。
Azure VM 或文件、文件夹和系统状态。
Azure 托管磁盘
Azure 文件存储共享
Azure VM 中的 SQL Server
Azure VM 中的 SAP HANA 数据库
Azure Database for PostgreSQL 服务器
Azure Blob

资源	说明
模块：设计用于备份和灾难恢复的解决方案	了解如何为 Azure 工作负荷选择合适的备份解决方案和灾难恢复解决方案。
Microsoft 365 备份概述	开始使用 Microsoft 365 备份的文档集。
Azure 备份服务概述	开始使用 Azure 备份的文档集。
旨在防范勒索软件的备份和还原计划	了解 Azure 备份如何防范勒索软件攻击。

可以将 Microsoft 365 备份和 Azure 备份用作 BCDR 解决方案的一部分。

还可以使用 Azure 中的增量快照，以便在发生数据泄露后进行取证调查。增量快照是托管磁盘的时间点备份；拍摄快照后，这些备份仅包含自上次快照以来的更改。快照允许你在发生数据泄露之前建立最后一个时间点，并将其还原到该状态。

用于管理备份的用户帐户的标识保护必须使用 MFA 的强身份验证，并且应使用 PIM 进行 JIT 访问。此外，请确保使用来自其他标识提供者的辅助标识（例如本地标识或本地系统标识）来保护备份基础架构。这些帐户称为紧急情况帐户。

例如，如果网络攻击已入侵 Microsoft Entra ID 租户，并且你现在无法使用 Microsoft Entra ID 管理员帐户访问备份，则备份基础结构必须允许与已泄露的 Microsoft Entra ID 租户分开的登录。

实施修补计划

修补计划包括在整个操作系统资产中配置自动更新，以便快速推出补丁，从而避免攻击者依赖未修补的系统作为攻击途径。

资源	说明
Microsoft 中的终结点管理	开始使用 Microsoft 终结点管理解决方案概述。
终结点管理	开始使用管理终结点的文档。
将零信任应用于 Azure IaaS：自动执行虚拟机更新	为基于 Windows 和 Linux 的虚拟机配置自动更新。
可以通过 Intune 策略管理的 Windows 更新设置	使用 Microsoft Intune 管理 Windows 10 和 Windows 11 的 Windows 更新设置。

另请考虑其他设备所需的更新和补丁，尤其是符合以下条件的设备：

提供安全性。

例如 Internet 访问路由器、防火墙、数据包筛选设备和以及其他中间安全分析设备。
是 BCDR 基础结构的一部分。

例如本地或在线第三方备份服务。

创建蜜罐资源

你有意创建蜜罐资源（例如标识、文件共享、应用程序和服务帐户），以便攻击者发现它们。这些资源专用于吸引和欺骗攻击者，不属于正常的 IT 基础结构。

蜜罐资源应反映攻击者的典型目标。例如：

用户帐户名称暗示管理员访问权限，但没有蜜罐资源之外的权限。
文件共享资源的文件名暗示敏感数据，例如 CustomerDatabase.xlxs，但数据是虚构的。

部署蜜罐资源后，使用威胁防护基础结构监视它们并提前检测攻击。理想情况下，检测发生在攻击者确定蜜罐资源是虚假的并使用横向迁移技术生存之前，其中攻击者使用你自己的应用程序和工具来攻击你的资产。在对蜜罐资源进行攻击期间，还可以收集攻击者的标识、方法和动机等信息。

借助 Microsoft Defender XDR 中的新欺骗功能，你可以启用和配置看似真实的诱饵帐户、主机和诱饵内容。 Defender XDR 生成的虚假资产随后会自动部署到特定客户端。当攻击者与诱饵交互时，欺骗功能会引发高置信度警报，帮助安全团队进行调查，并允许他们观察攻击者的方法和策略。

有关详细信息，请参阅概述。

开始使用 Microsoft Purview 内部风险管理

Microsoft Purview 内部风险管理可帮助你快速识别、分类潜在风险活动并采取行动。通过使用 Microsoft 365 和 Microsoft Graph 中的日志，内部风险管理允许你定义特定策略来标识风险指标。用户内部风险的示例包括：

敏感数据泄露和数据外溢
违反保密规定
知识产权 (IP) 盗窃
欺诈
内幕交易
违反监管合规性

确定风险后，可以采取措施来缓解这些风险，并在必要时立案调查并采取适当的法律行动。

资源	说明
内部风险管理	开始使用文档集。
模块：管理 Microsoft Purview 中的内部风险	了解内部风险管理以及 Microsoft 技术如何帮助你检测、调查组织中的风险活动并采取行动。
模块：实施 Microsoft Purview 内部风险管理	了解如何使用 Microsoft Purview 内部风险管理计划内部风险解决方案、创建内部风险管理策略以及管理内部风险管理警报和案例。

阶段 3

在此阶段，你可以扩展备份和站点恢复范围以包括所有业务数据和工作负载，进一步提高防止基于网络的攻击的能力，并为威胁和 BCDR 响应创建更正式的设计和计划。

为所有业务数据实施 Microsoft 365 备份和 Azure 备份

对 Microsoft 365 备份和 Azure 备份应用于关键数据满意并且已经在恢复练习中进行了测试后，现在可以将其扩展以包括你的所有业务数据。

为所有工作负载实施 Azure Site Recovery

对 Azure Site Recovery 应用于关键数据满意并且已经在恢复练习中进行了测试后，现在可以将其扩展以包括你的所有业务数据。

获取网络流量可见性

向外部环境（例如 Internet 或本地）打开了终结点的云应用程序面临来自这些环境的攻击的风险。为了防止这些攻击，必须扫描流量中是否存在恶意有效负载或逻辑。

有关详细信息，请参阅针对已知威胁的云原生筛选和保护。

有关在 Azure 环境中获取网络流量可见性的其他信息，请参阅深入了解网络流量。

设计威胁和 BCDR 响应

数据泄露的后果可能包括攻击者使用恶意软件感染设备（这种情况可能相对容易被检测到和遏制）以及勒索软件攻击（其中攻击者已经外泄、加密或破坏了组织的部分或全部敏感数据，并针对敏感数据的暴露或恢复勒索赎金）。

在严重的勒索软件攻击中，组织可能会遭受长期的业务中断，这在许多方面与危机或自然灾害类似。将数据泄露及其引发的破坏性网络攻击视为人为危机或灾难。

因此，请务必在 BCDR 计划中包括数据泄露和高度破坏性网络攻击的可能性。在危机中或自然灾害之后用于继续业务运营的相同基础结构可以而且应该用于从攻击中恢复。

如果已制定了 BCDR 计划，请对其进行审查，以确保其包含可能受到网络攻击影响的数据、设备、应用程序和进程。

如果没有，请开始一般 BCDR 的计划流程，并将网络攻击视为危机或灾难的根源。请注意：

BC 计划可确保业务在发生危机时正常运转。
DR 计划包括通过备份数据以及更换或恢复基础结构从数据丢失或基础结构中恢复的应急措施。

DR 计划应包括恢复 IT 系统的详细过程以及恢复业务运营的流程。这些计划应该有离线备份，例如存储在具有物理安全措施的位置的便携式介质上。攻击者可以在你的本地和云位置搜寻这些类型的 IT 恢复计划，并将其作为勒索软件攻击的一部分进行销毁。由于销毁这些计划会使你恢复业务运营的成本更高，因此攻击者可以要求更多赎金。

本文中所述的 Microsoft 365 备份、Azure 备份和 Azure Site Recovery 是 BCDR 技术的示例。

资源	说明
模块：设计用于备份和灾难恢复的解决方案	了解如何为 Azure 工作负荷选择合适的备份解决方案和灾难恢复解决方案。

阶段 4

在此阶段，你可以通过针对破坏性网络攻击情况进行实践，进一步保护网络并确保 BCDR 计划和流程正常进行。

停止使用旧的网络安全技术

检查组织用于提供网络安全的技术和产品集，并确定它们对于其他网络安全功能是必要的还是多余的。每个网络安全技术也可能是攻击者的目标。例如，如果技术或产品未及时更新，请考虑将其删除。

有关详细信息，请参阅停止使用旧的网络安全技术，其中介绍了你可能不再需要的网络安全技术类型。

有关在 Azure 环境中停止使用旧版网络安全技术的其他信息，请参阅停用旧版网络安全技术。

实践威胁和 BCDR 响应

为了确保业务运营能够从毁灭性的网络攻击中快速恢复，应定期与 SecOps 团队一起实践 BCDR 计划。考虑每月或每季度以及当 BCDR 基础结构的要素发生变化（例如使用不同的备份产品或方法）时针对网络攻击执行一次 BCDR 实践。

云采用计划

采用计划是云采用成功的基本要求。实施安全漏洞防护和恢复的成功采用计划的关键属性包括：

策略和计划一致：当制定在整个数字资产中测试、试点和推出漏洞防护和攻击恢复功能的计划时，请务必重新审视你的策略和目标，以确保你的计划保持一致。这包括漏洞防护和恢复目标的优先级和目标里程碑。
不断迭代的计划：开始推出计划时，你将了解你的环境和正在使用的功能。在推出的每个阶段，重新查看与目标相比的结果，并微调计划。例如，可以重新审视之前的工作来微调策略。
对员工和用户的培训是有计划的：从安全架构师到网络、设备和 BCDR 方面的 IT 专家，每个人都经过培训，能够承担其漏洞防护和恢复责任。

有关 Azure 云采用框架的详细信息，请参阅云采用计划。

就绪阶段

使用本文中列出的资源确定计划的优先级。实施漏洞防护和恢复的工作代表多层零信任部署策略中的一层。

本文建议的分阶段方法包括在数字资产中采用有序的方式进行级联漏洞防护和恢复工作。在此阶段，重新审视计划的以下要素，以确保一切准备就绪：

已针对管理员帐户测试了 Microsoft Entra PIM 的使用，IT 管理员接受过使用它的培训
网络基础结构已根据需要进行了数据加密测试、已测试筛选访问分段，并已确定和测试运行冗余旧网络技术，以确保在删除这些技术后仍可正常运行
系统修补实践已经过测试，可以成功安装更新并检测失败的更新
已开始分析内部风险以及如何管理这些风险
已部署蜜罐资源，并已连同威胁防护基础结构进行了测试，以检测访问
BCDR 基础结构和做法已针对一部分数据进行了测试

采用阶段

Microsoft 建议采用级联迭代方法来实施漏洞预防和恢复。这样，就可以优化战略和策略，以提高结果的准确性。在开始下一阶段之前，无需等到当前阶段完成。如果一直迭代，结果会更有效。

组织采用阶段的主要要素应包括：

为所有管理员和其他特权帐户启用 Microsoft Entra PIM
实施网络流量加密、分段和删除旧系统
部署蜜罐资源
部署补丁管理基础结构
分析内部风险并将其映射到内部风险管理
为关键数据（第 1 阶段）或所有业务数据（第 3 阶段）部署和实践 BCDR 基础结构

治理和管理阶段

对组织实施数据泄露预防和恢复能力的治理是一个迭代过程。通过深思熟虑地制定实施计划并将其推广到你的数字资产中，你已经打下了基础。使用以下任务帮助你开始为此基础制定初始治理计划。

目标	任务
跟踪和度量	为关键操作和项目分配所有者，例如 IT 管理员教育和蜜罐资源管理、补丁管理、网络安全和 BCDR 过程。创建可行的计划，其中包含每个操作和项目的日期，并使用报表和仪表板来衡量进度。
监视器	- 跟踪 PIM 请求和生成的操作。 - 监视对蜜罐资源的访问。 - 监视要修补的系统是否有更新安装失败。 - 测试 BCDR 过程的完整性和还原完整性。
迭代提高成熟度	- 调查网络基础结构以查找可以删除的其他旧系统。 - 调整 BCDR 基础结构以适应新资源和功能。

后续步骤

对于此业务方案：

零信任采用框架中的其他文章：

进度跟踪资源

对于任何零信任业务方案，都可以使用以下进度跟踪资源。

进度跟踪资源	有助于…	面向的对象
采用方案计划阶段网格 - 可下载的 Visio 文件或 PDF	轻松了解每个业务方案的安全增强，以及“计划”阶段的各个阶段和目标的工作量。	业务方案项目负责人、业务主管和其他利益干系人。
零信任采用跟踪器 - 可下载的 PowerPoint 幻灯片	跟踪“计划”阶段的各个阶段和目标的进度。	业务方案项目负责人、业务主管和其他利益干系人。
业务方案目标和任务 - 可下载的 Excel 工作簿	分配所有权并跟踪“计划”阶段的各个阶段、目标和任务的进度。	业务方案项目负责人、IT 负责人和 IT 实现者。

有关其他资源，请参阅零信任评估和进度跟踪资源。

通过