一个专注预防的安全策略不是十分安全的。CIO需要引导IT安全预算转向攻击检测和响应方面。

让我们把坏消息移开：你的企业有一个过时的IT安全预算方法，且几乎肯定浪费宝贵的美元。那些钱本可以在阻止被攻破时产生影响的。

如果还有少许安慰的话，那就是很多企业正犯着同样的过错：把太多预算放在阻止攻击，而不是投资在威胁检测和响应上。幸运的是，变化的强弱法并不难懂。虽然IT安全预算的必要改变起初可能会痛苦，但最终会获得更高的安全性。这就是我们本章将要讨论的。

检测和响应与预防同样重要

从获取对你的IT基础设施未授权访问，到找到敏感数据，每一个故意攻击都想预防，是不可能的。从早期的破坏，像Heartland Payment Systems（哈特兰支付系统）和Epsilon Data Management（艾普赛隆数据管理公司），到最近发生事故的Target（泛欧实时全额自动清算系统）、Home Depot（家得宝）和Sony Pictures（索尼影业），攻击者一再证明总有办法能通过几乎任何一家企业的预防安全控制——防火墙、入侵防护、基于签名的防病毒软件、单因子身份鉴别，甚至是那些在信息安全和承诺上投入重金的行业（比如金融和零售业）的公司。

浓缩一下就是，好人常犯错误——配置错误的防火墙、未打补丁的Windows电脑或者隐藏在网络钓鱼电邮里的零日攻击，坏人仅仅需要成功一次。防范技术帮助确保每个攻击者无法进入，但是正如那些引人注目的事故所展示的，经验老道的攻击者仍然可以进入。

取而代之，企业应该慎重对待缩减预防开销，转向攻击检测和响应软件产品。检测和响应技术——网络和终端威胁检测、恶意软件沙盒化、基于策略的白名单、能加速和减轻应急响应的产品。假设最坏情况，给企业提供新方法来鉴别、分类和区分异常现象的优先级，然后执行快速的隔离、补救和事后分析。

检测和响应能力正逐渐成为信息安全体系的必要元素，与预防产品并肩作战；越来越多的企业认识到了这个重要趋势，但还需要加快速度。为了实现此目标，IT安全预算的配置必须改变。

IT安全预算：预防攻击 VS 攻击检测

现在，正如我们确定的，只是预防的策略并不十分安全。那为什么企业仍然在这方面投入大量资金？根据产业估计，企业有史以来已经投入超过75%的信息安全技术预算在预防性技术方面。不幸的是，攻击者将此视为机会。幸好，研究显示投资百分比正在下降。然而，许多首席信息官要么无法充分认清预防安全技术正在缩减的效力，要么还没能与他们的首席信息官们合作以落实看似必要的预算增加。

从某种意义上来说，是合乎逻辑的：预防性产品过去一直在用，供应商一直致力于提高他们的质量，而替代方案则是投资在更新的、较少被验证的、也更难向C级别的主管们说明的技术。正因如此，以下事情变的要紧起来：首先，让CIO理解开始显著改变IT安全预算开销方案的必要性。其次，不仅通过鼓励他们的CIO们为转变做计划，还要启动与高层执行长官们对话以铺平道路来支持和促进该转变过程。

转变的另一个障碍是，虽然从理论上讲是往检测和响应上多花一些钱，但实际上这意味着在预防上减少投入。防火墙等仍然是需要的，且还要维护和升级。两种趋势帮助明显：遗留和同时代的安全技术的会聚，以及遗留安全产品种类迅速的商品化。

举例子，一种具有破坏性的供应商最新的中等下一代防火墙（NGFW），它也包含入侵预防系统（IPS）技术。它贡献高达36Gbps的防火墙吞吐率和7 Gbps的IPS吞吐率，花费（低的5项价格，包括支持）却只是顶级供应商的类似产品的六分之一。甚至在一两年前，这都看似不可能实现，但是新技术的进步已经使一些供应商能提供便宜、高性能融合的IPS-NGFW产品。它创造巨大的成本节约机会，值得进入企业的挑选产品目录。

另一个例子是在终端。一个擅长终端威胁检测和响应（EDR）的供应商已经认识到，尽管基于签名的终端反病毒产品很大程度上在持续地检测危险病毒软件上是无效的，但是很多企业仍然因为服从的原因需要这些产品。因此，供应商把杰出供应商的免费病毒探测软件和他们自己的EDR平台集成在一起，使顾客既能获得集成预防和检测技术的双重好处，又能消除终端预防成本负担。

不要忽略改变安全市场动力的机会

像这样的新机会一直在涌现，CIO应该鼓励首席信息安全官们要随时留意减少遗留区域的开销，以追求先进的安全技术。确实，变化的信息安全市场动力使发展的企业引人注目的减少在预防技术上的成本，轮流允许他们增加检测和响应的开销。

预算转变的速度和规模因企业而异，没有最对的百分比。要紧的是首席信息官们不仅要小心这场转变，还要在他们企业内部积极培养该转变。如此做法是一条漫长的道路，能减少企业成为毁灭性破坏的牺牲者的风险。