养成良好的安全习惯会降低风险，以下六个方式会提供帮助。
今年四月份是一个里程碑：CVE（公共漏洞和暴露）已经增加了第10万个条目。虽然我们在CVE识别符方面取得了重要的成就，但是Cisco发现高风险漏洞的数量正在逐年减少。相比于三年前，这意味着高风险漏洞影响大量用户的可能性在降低。
不幸的是，数量的减少并不总是好消息。通过去年发生的事件，我们发现不法分子能够更加容易地大规模利用公开的漏洞，因为他们认为很多公司不能或者不会保持更新周期，而且可以随时利用漏洞和工具来达到不法的目的，因此这一情况会变得更加糟糕。任何连接到网络的用户都能使用这些工具，网络渗透测试仪以及教用户如何使用漏洞工具的视频，从而来达到恶意目的。由于想要知道漏洞信息的用户数量庞大，因此这些信息沦为了交易商品，而快速编写高效的漏洞工具也未曾变得容易。
以EternalBlue为例，微软在发布了针对Windows SMB Server漏洞补丁之后不久，Shadow Brokers就在2017年4月份发布了一个黑客工具包。一个月后，WannaCry勒索软件席卷全球，并在攻击中使用了这一工具包。如果这还不够，那么在去年的6月份，全球又爆发了全新形式的勒索病毒NotPetya，这个病毒再一次使用了这一工具包。人们都看到了WannaCry和NotPetya产生的经济影响，很快，这个武器化的工具包将潜在的威胁变成了现实世界的攻击。如果上百万的用户早几个月安装了微软发布的漏洞，那么他们都能够避免这一损失。
鉴于这些威胁的成熟度和部署速度加快，很多公司的第一道防线一定包括熟知公司的资产，以及使用快速和自动化的方式来修复这些漏洞。但是尽管越来越多的人意识到他们是网络威胁的目标，但是我们很容易发现一些公司仍然未采取这些措施，以及利用增强必要恢复能力的基本安全防御措施。积极采取以下措施将会带来帮助：
●认真对待补丁。开发、实施和积极维护整个系统，为整个网络和IT基础架构安装补丁。一旦有漏洞公开，不法分子会很快利用这些漏洞。声誉好的供应商会重视这些漏洞，并尽快定期发布补丁。但是如果用户不安装的话，那么这些补丁将无任何作用。
●为此，你需要对网络进行监控。为当前的硬件和软件进行以风险为中心的评估：根据哪些产品带来最有效的价值来对产品进行排名，并根据产品的年龄、漏洞和网络弹性来确定每种产品带来的风险程度。
●如果你所处的行业不能随时进行补丁更新，如某些医疗、工业或者是物联网应用程序，那么将它们独立开来至关重要，从根本上来说，为这些系统提供安全性防护。
●另外一个人们会讨论但是通常并不会使用的领域是双因素认证。由于社会工程继续成为攻击者“武器库”中最有效的工具之一，因此双因素认证是很重要的。
●提高整个基础架构的可见性。可见性对于大型公司（积累了数年的遗留资产）以及采用了影子IT的公司来说尤为重要，因为第三甚至第四方的参与会带来更高级别的风险。
●制定政策和流程，大规模地处理这些威胁。升级旧的基础架构和系统、快速更新、以及持续备份数据。使用强大的密码管理来防止密码被共享和传播。
有效管理风险需要提高所部署的基础架构和系统的整体能力和弹性（恢复能力）。不良习惯，如不进行补丁更新以及使用过时的解决方案，会让公司的整体恢复水平处于危险的境地，从而增加风险。养成良好的安全习惯、遵循基本措施，则可以降低这一风险。
原文作者：Matt Watchinski
