普普安全資訊一周概覽（1021-1027）

作者：

時(shí)間：
2023-10-27


01

企業(yè)如何做好員工安全意識提升


近年來(lái)隨著(zhù)網(wǎng)絡(luò )安全政策、技術(shù)的不斷發(fā)展，員工安全意識薄弱已經(jīng)成為企業(yè)面臨的最大風(fēng)險。提高員工安全意識，做好安全教育工作刻不容緩。結合國內外安全意識提升的資料來(lái)看，不難發(fā)現安全意識的提升主要從兩個(gè)方面進(jìn)行：安全培訓和模擬演習。以下就如何做好安全培訓和模擬演習需要關(guān)注的多項指標進(jìn)行敘述。
1.安全培訓關(guān)鍵指標。大多數的企業(yè)均在安全方面都做過(guò)或多或少的培訓工作，來(lái)確保發(fā)生安全事件人員有足夠的能力和應急措施去應對。但是為什么在這么多工作的前提下，員工在遇到真實(shí)的釣魚(yú)攻擊還是會(huì )大片的淪陷?這是因為員工沒(méi)有養成防釣魚(yú)的潛意識以及不同場(chǎng)景下的思考決策能力。綜合學(xué)習整理國外兩大安全意識培訓公司的方案，給出以下三大指標：1）課程完成率；2）知識吸收轉換率；3）非測試期間活動(dòng)檢測率。
2. 網(wǎng)絡(luò )釣魚(yú)演練關(guān)鍵指標。除去安全培訓，最直接檢測員工安全意識的辦法就是進(jìn)行模擬釣魚(yú)演練。通過(guò)打開(kāi)率、點(diǎn)擊率、上報率和彈性系數等四項指標，他們從不同維度和場(chǎng)景體現出了實(shí)施者的技術(shù)、員工的安全意識、組織的安全建設完善程度。


普普點(diǎn)評

在眾多的安全防御手段中，通過(guò)網(wǎng)絡(luò )釣魚(yú)演習提高員工安全意識和釣魚(yú)郵件識別能力，是在當前防御愈演愈烈的網(wǎng)絡(luò )安全形勢下，最經(jīng)濟的一種防御手段。因此未來(lái)企業(yè)安全建設工作中，要做到有效提升員工安全意識，就需要做到網(wǎng)絡(luò )釣魚(yú)演習標準化、指標化，員工安全意識可度量。

02

我們該如何保障電子郵件安全

因為郵件攻擊也是網(wǎng)絡(luò )攻擊的主要手段之一，特別是帶有惡意病毒、網(wǎng)頁(yè)木馬程序、特制木馬程序以及利用軟件漏洞的郵件木馬在互聯(lián)網(wǎng)上泛濫成災，郵件安全已經(jīng)成為一個(gè)安全領(lǐng)域不可忽視亟待解決的問(wèn)題。
1.做好個(gè)人信箱的安全保護工作。如果發(fā)現有陌生的郵件可以直接刪除，尤其是一定不能打開(kāi)陌生郵件的附件。
2.病毒監測程序的安裝。目前一些反病毒軟件都有郵件檢測功能，在安裝這些軟件的同時(shí)，添加郵件實(shí)時(shí)監測模塊功能，能夠提高自己郵件系統安全。
3.對瀏覽器進(jìn)行安全設置。在internet屬性中，我們可以設置internet的安全級別、本地intranet、可信站點(diǎn)和受限站點(diǎn)。
4.正確設置郵件過(guò)濾規則。用戶(hù)不想收到某人的郵件，或者某郵件發(fā)送者是陌生人，就可以把這些源地址添加到郵件的過(guò)慮規則中，從而提高了郵箱的安全性能。
5.部署郵件證書(shū)。確保電子郵件傳遞安全，包括在訪(fǎng)問(wèn)時(shí)強制執行多因素身份驗證是保護電子郵件安全的第一步。其中類(lèi)似安全郵件證書(shū)的技術(shù)方法也可以有效地幫助驗證電子郵件發(fā)送者的身份以及郵件信息的完整性。

普普點(diǎn)評

因為郵件已經(jīng)成為日常生活中不可缺少的一部分，絕大多數人都會(huì )上網(wǎng)使用電子郵件，如果沒(méi)有郵件相關(guān)的安全防范意識，郵件木馬入侵成功率較高，不管是發(fā)生在個(gè)人、公司還是政府機構，都擁有極大的安全風(fēng)險，希望引起大家的注意。

03

2022年值得關(guān)注的五種物聯(lián)網(wǎng)威脅

物聯(lián)網(wǎng)設備通常缺乏諸如加密等基本的防護能力，并且其成本越來(lái)越低，使用戶(hù)可以輕松地部署大量物聯(lián)網(wǎng)設備，為物聯(lián)網(wǎng)威脅帶來(lái)了更多的機會(huì )。其中5種攻擊方式在企業(yè)遭受物聯(lián)網(wǎng)威脅的攻擊中越來(lái)越普遍。
1.內置物聯(lián)網(wǎng)威脅。物聯(lián)網(wǎng)設備本質(zhì)上是不安全的，它們連接著(zhù)網(wǎng)絡(luò )，這意味著(zhù)網(wǎng)絡(luò )攻擊者有機會(huì )訪(fǎng)問(wèn)和攻擊它們。
2.物聯(lián)網(wǎng)威脅中的人工智能。網(wǎng)絡(luò )攻擊中使用人工智能的最新發(fā)展是用于構建和使用人工智能系統的工具的民主化。
3.成為物聯(lián)網(wǎng)威脅的Deepfake。的網(wǎng)絡(luò )攻擊者采用Deepfake視頻等工具進(jìn)行物聯(lián)網(wǎng)攻擊，例如暴力攻擊和欺騙性生物特征識別。
4.更專(zhuān)業(yè)的網(wǎng)絡(luò )犯罪。網(wǎng)絡(luò )攻擊者在技術(shù)和措施方面不斷完善，使得網(wǎng)絡(luò )攻擊者將會(huì )追求更多的利益，并且一次網(wǎng)絡(luò )攻擊就可能涉及多個(gè)團本。
5.政府層面的資助和犯罪攻擊之間的細分。許多獲得政府資助的網(wǎng)絡(luò )攻擊實(shí)際上是由與政府機構有聯(lián)系的犯罪團伙實(shí)施的，其中包括軍事和間諜機構。

普普點(diǎn)評

據調查，很多企業(yè)的IT團隊可能沒(méi)有授權或甚至不知道使用的物聯(lián)網(wǎng)設備。物聯(lián)網(wǎng)設備成為勒索軟件攻擊的首選目標。僵尸網(wǎng)絡(luò )、高級持久性威脅、分布式拒絕服務(wù)(DDoS)攻擊、身份盜竊、數據盜竊、中間人攻擊、社交工程攻擊和其他攻擊也是網(wǎng)絡(luò )攻擊者選擇的措施。此外，2022年將有更多的專(zhuān)業(yè)化攻擊和外包行為，就像企業(yè)從專(zhuān)業(yè)化、多元化和業(yè)務(wù)外包中受益一樣，物聯(lián)網(wǎng)攻擊者也是如此，網(wǎng)絡(luò )攻擊者將會(huì )追求更多的利益。

04

金融服務(wù)行業(yè)的網(wǎng)絡(luò )安全

如今越來(lái)越多的金融機構正在將業(yè)務(wù)遷移到云端。根據谷歌公司進(jìn)行的一項研究，83%的金融行業(yè)高管表示他們的企業(yè)已經(jīng)以某種方式使用了云計算技術(shù)。但有一個(gè)因素正在減緩和阻礙云計算解決方案的增長(cháng)過(guò)程，那就是安全問(wèn)題。
關(guān)于這個(gè)主題面臨一些挑戰。首先，云安全態(tài)勢沒(méi)有標準，這會(huì )讓金融行業(yè)擔心數據在云中存儲或處理時(shí)是否得到了適當的保護。其次，沒(méi)有監管要求來(lái)緩解金融行業(yè)在遷移到云平臺時(shí)可能面臨的合規性挑戰。云計算提供商以許多重要方式構建安全性，其中之一是采用云防火墻，這是一種過(guò)濾潛在危險網(wǎng)絡(luò )流量的安全解決方案。此外為了保護數據免受DDoS攻擊，提供商正在使用DDoS保護服務(wù)，該服務(wù)提供基于云計算的防御，以最準確的檢測和最快的時(shí)間來(lái)防御當今最動(dòng)態(tài)和不斷發(fā)展的DDoS威脅。密鑰管理系統是另一個(gè)新的安全發(fā)展趨勢。密碼算法用于生成密鑰，然后對其進(jìn)行加密和解密以安全地提供所需的信息，以實(shí)現系統的安全性。

普普點(diǎn)評

盡管安全解決方案是分層防御的一個(gè)重要方面，但它們并不是解決網(wǎng)絡(luò )威脅的靈丹妙藥。建議對網(wǎng)絡(luò )安全工具進(jìn)行精心規劃的補充，并且通過(guò)讓員工了解網(wǎng)絡(luò )釣魚(yú)詐騙和勒索軟件危險信號，金融機構可以預防和降低風(fēng)險，因為最常見(jiàn)的安全漏洞來(lái)源都是人為錯誤。當談到金融機構的有效網(wǎng)絡(luò )安全實(shí)踐時(shí)，安全意識培訓課程對企業(yè)的安全至關(guān)重要。

05

容器、原生云應用程序面臨的挑戰

數字化轉型加速以及更敏捷、更強大的開(kāi)發(fā)工具的需求，使云原生工作負載的增長(cháng)激增。Gartner 預計，到 2025 年將有超過(guò) 95% 的新數字工作部署在云原生平臺上，高于 2021 年的 30%。Tigera 的云原生安全市場(chǎng)狀況報告中發(fā)現，75%的公司正專(zhuān)注于云原生應用程序的開(kāi)發(fā)。云原生應用程序的開(kāi)發(fā)和部署的增加也需要更高級的可觀(guān)察性和安全能力.調查主要發(fā)現：

1.云原生應用程序的發(fā)展勢頭迅猛，并存在安全性、合規性和可觀(guān)察性問(wèn)題。
·?97% 的企業(yè)報告稱(chēng)云原生應用程序存在可觀(guān)察性挑戰；
·?76% 的企業(yè)需要為云原生應用程序提供運行時(shí)可視化。
2. 企業(yè)需要針對容器運行、訪(fǎng)問(wèn)和網(wǎng)絡(luò )的安全解決方案。
·?99% 的企業(yè)表示容器需要訪(fǎng)問(wèn)其他應用程序和服務(wù)；
·?98% 需要容器安全性，運行時(shí)安全性高居榜首。
3. 云原生和容器合規性要求正在為企業(yè)帶來(lái)延遲和挑戰。
·?95% 的人表示他們對云原生應用程序有合規性要求；
·?63% 的企業(yè)必須為合規要求提供容器級信息。

普普點(diǎn)評

采用可提高可見(jiàn)性并在容器、應用程序和網(wǎng)絡(luò )級別提供安全性的工具可以幫助企業(yè)解決云原生安全問(wèn)題，包括通過(guò)減少應用程序攻擊面來(lái)預防威脅；威脅檢測以監控已知和未知威脅；威脅緩解以快速解決暴露風(fēng)險。這些工具消除了開(kāi)發(fā)和部署過(guò)程中的障礙和延遲，同時(shí)降低了上市時(shí)間延遲、安全漏洞和合規違規的風(fēng)險。


06

區塊鏈能否解決數據泄露問(wèn)題？

區塊鏈本質(zhì)上是一個(gè)共享數據庫，由加密信息的單個(gè)片段或“塊”組成。對于要記錄在此分布式賬本中的項目，必須首先由賬本參與者驗證。這是通過(guò)隨機步驟完成的，每個(gè)步驟都通過(guò)參與者計算機的自動(dòng)算法驗證每個(gè)加密塊。不同的區塊鏈具有不同級別的參與者訪(fǎng)問(wèn)權限，一些是私有的，一些是公共的，而另一些則提供混合模型。

一旦信息被放置在區塊鏈上，幾乎不可能修改或改變它。區塊鏈的完整交易和移動(dòng)歷史對其所有參與者都是可見(jiàn)的。這意味著(zhù)與集中式數據庫不同，所有信息都存儲在單個(gè)服務(wù)器或由有限的一群人控制的數據點(diǎn)上，區塊鏈是分布式和分散的。參與其中的每個(gè)人都可以訪(fǎng)問(wèn)存儲在區塊鏈中的所有信息。正是區塊鏈的這種去中心化和加密特性賦予了它強大的力量，不需要中央機構來(lái)驗證區塊鏈內容的完整性，它包含的數據是加密的。這給尋求防止洗錢(qián)和犯罪分子利用區塊鏈匿名用于惡意目的的監管機構帶來(lái)了問(wèn)題。但區塊鏈也創(chuàng )造了有趣的、以前無(wú)法想象的方式來(lái)安全地存儲和分發(fā)數據。

普普點(diǎn)評

每年，大規模數據泄露的數量都在以令人擔憂(yōu)的比例持續增加。每天，我們都會(huì )向不同的公司傳輸大量信息：從我們的信用卡到地址、年齡、電話(huà)號碼、電子郵件地址、護照號碼等等。網(wǎng)絡(luò )犯罪分子努力通過(guò)瞄準受信任的第三方而不是追捕最終受害者來(lái)最大化他們的利潤并最小化他們被逮捕的風(fēng)險。


07

什么是加密私鑰，為什么它們很重要？

隨著(zhù)加密貨幣行業(yè)現在價(jià)值數萬(wàn)億美元，網(wǎng)絡(luò )罪犯將目標對準加密貨幣所有者，試圖獲得他們的資金也就不足為奇。一些人的名字里有數百萬(wàn)美元的加密貨幣，所以毫無(wú)疑問(wèn)，需要非常高的安全級別來(lái)保護用戶(hù)免受在線(xiàn)攻擊。這就是私鑰發(fā)揮作用的地方。這些是用于授權從錢(qián)包取款和數字簽名交易的長(cháng)行字母和數字。不同的加密貨幣可以有不同的私鑰長(cháng)度。每個(gè)加密錢(qián)包所有者都有自己獨特的私鑰，而私鑰本身存儲在錢(qián)包中。關(guān)于加密錢(qián)包的一個(gè)常見(jiàn)誤解是，它們實(shí)際上存儲加密基金，但這只是在非常間接的意義上是正確的。

實(shí)際上，加密錢(qián)包存儲私鑰，讓用戶(hù)可以訪(fǎng)問(wèn)他們的資金。私鑰本允許的情況下從錢(qián)包中提取大量的私鑰。加密錢(qián)包的所有者也有公共密鑰，其他用戶(hù)可以在任何地方看到和共享。公鑰由私鑰創(chuàng )建，并被壓縮到一個(gè)錢(qián)包地址，您可以使用該地址將資金存入某人的錢(qián)包。他們還加密交易，使其安全。但是公鑰只用于錢(qián)包存款，而不是取款。

普普點(diǎn)評


私鑰是每個(gè)區塊鏈安全性的組成部分。如果沒(méi)有你的私鑰，你就不能授權提款和交易，這意味著(zhù)你作為一個(gè)加密用戶(hù)將非常困難。另一方面，如果一個(gè)惡意的人得到了你的私鑰，你的加密基金就很容易被竊取。這就是為什么選擇信譽(yù)良好、具有一系列有用安全功能的加密錢(qián)包總是至關(guān)重要的原因。這樣，你的私鑰，也就是你寶貴的資金，就永遠安全了。