教你网络安全

如今，组织的信息系统和数据面临着许多威胁。而人们了解网络安全的所有基本要素是应对这些威胁的第一步。

网络安全是确保信息完整性、机密性和可用性(ICA)的做法。它代表了应对硬盘故障、断电事故，以及来自黑客或竞争对手攻击等防御和恢复能力。而后者包括从编程人员到能够执行高级持续威胁(APT)的黑客和犯罪集团的所有人，并且它们对企业的信息安全和业务构成严重威胁。因此，企业的业务连续性和灾难恢复规划对于网络安全至关重要，例如应用程序和网络安全。

安全应该成为企业的头等大事，并得到高级管理层的授权。人们所在的信息世界的脆弱性也需要强大的网络安全控制。企业的管理者很清楚所有系统都是按照某些安全标准建立的，而且员工受过适当的培训。例如，所有代码都会有一些 Bug，其中一些 Bug 是安全漏洞。毕竟，开发人员也会犯错。

安全培训

工作人员一直是企业的网络安全计划中最薄弱的部分。培训开发人员进行安全编码，培训操作人员考虑强大的安全态势，培训最终用户发现网络钓鱼邮件和社交工程攻击，而实现网络安全始于安全意识。

即使采取强有力的控制措施，所有企业都会遇到某种网络攻击。攻击者总是会利用最薄弱的环节，而企业可以通过执行基本的安全任务(有时称为“网络卫生”)，很容易防止许多攻击。就像外科医生在清洗双手的情况下进入手术室一样。同样，企业有责任执行网络安全护理的基本要素，例如保持强大的身份验证实践，并且不将敏感数据存储在可以公开访问的位置。

不过，良好的网络安全策略会超越这些基础。复杂的黑客可以规避大多数安全防御措施，其攻击面(攻击者获得进入系统的方式或“载体”的数量)正在扩展到大多数公司。例如，信息技术和现实世界正在融合，网络罪犯和间谍如今开始威胁到汽车、发电厂、医疗设备等物联网系统。同样，在采用云计算的趋势下，在工作场所自携设备(BYOD)策略以及快速发展的物联网(IoT)带来了新的挑战。捍卫这些物联网系统从未如此重要。

网络安全围绕着消费者隐私的监管环境已经进一步复杂化。遵守欧盟通用数据保护条例(GDPR)等严格的监管框架也需要新的角色，以确保企业符合 GDPR 和其他法规的隐私和安全要求。

其结果是企业对网络安全专业人员的需求不断增长，招聘人员努力填补合格人选的空缺。这种斗争要求组织重点关注一些风险最大的领域。

网络安全的类型

网络安全的范围很广，而采用良好的网络安全战略的企业都应该考虑到这一点。其核心领域如下所述：

(1)关键基础设施

关键基础设施包括人们所依赖的网络物理系统，其中包括电网、供水、交通信号灯和医院。例如，将电厂连入互联网，其容易受到网络攻击。负责关键基础设施的组织的解决方案是企业需要执行尽职调查，以了解漏洞并进行防范。而其他组织都应该评估他们所依赖的关键基础设施的攻击将会如何影响他们的运营的情况，然后制定应急计划。

(2)网络安全

网络安全防范未经授权的入侵以及具有恶意的内部人员。企业确保网络安全通常需要权衡。例如，采用访问控制(如额外登录)措施可能是必要的，但会降低生产力。

用于监控网络安全的工具会生成大量数据，这通常会漏掉有效警报。为了更好地管理网络安全监控，企业的安全团队越来越多地使用机器学习来实时标识异常流量，并警告威胁。

(3)云安全

企业迁移到云中会带来新的安全挑战。例如，2017 年几乎每周都有数据泄露来自配置不当的云计算实例。云计算提供商正在创建新的安全工具，来帮助企业用户更好地保护他们的数据，但底线仍然是：在网络安全方面，迁移到云端并不是企业执行尽职调查的灵丹妙药。

(4)应用安全

应用程序安全性(AppSec)，尤其是 Web 应用程序安全性已成为最薄弱的技术攻击点，但很少有组织能够很好防御和应对所有 OWASP 十大 Web 漏洞。AppSec 从安全编码实践开始，应该通过模糊和渗透测试来增强。

快速应用程序开发和部署到云已经看到 DeVOPS 作为一门新学科的出现。DeVOPS 团队通常将业务需求置于安全之上，而随着威胁的扩散，这种需求很可能会发生变化。

(5)物联网(IoT)安全

物联网指的是各种关键和非关键的网络物理系统，如设备、传感器、打印机和安全摄像头。物联网设备经常处于不安全状态，几乎不会提供安全补丁，不仅会对用户造成威胁，还会给互联网上的其他用户造成威胁，因为这些设备经常被发现是僵尸网络的一部分。这给家庭用户和社会带来了独特的安全挑战。

网络威胁的类型

常见的网络威胁分为三大类：

(1)对保密信息的攻击：窃取或抄袭目标的个人信息是从网络攻击开始的，其中包括诸如信用卡诈骗、身份盗用、盗取比特币钱包等各种各样的犯罪攻击。一些间谍使保密攻击成为他们工作的主要部分，寻求获取政治、军事或经济收益的机密信息。

(2)对完整性的攻击：完整性攻击是损坏、破坏或摧毁信息或系统。完整性攻击是对目标进行破坏和毁灭的破坏活动。攻击人员的范围从编程人员到一些恶意攻击者。

(3)对可用性的攻击：阻止目标访问其数据是当今以勒索软件和拒绝服务攻击形式出现的最常见现象。勒索软件加密被攻击目标的数据，并要求对方支付赎金。拒绝服务攻击(通常以分布式拒绝服务(DDoS)攻击的形式)通过请求淹没网络资源，使其不可用。

以下描述了这些攻击的执行方式：

(1)社交工程

攻击者并不攻击计算机，而是让个人用户遭受损失。用于传播勒索软件的社交工程恶意软件是第一种攻击方式(不是缓冲区溢出、错误配置或高级漏洞攻击)。最终用户被欺骗运行特洛伊木马程序，通常来自他们信任并经常访问的网站。而持续开展安全教育是对付这种攻击的最佳对策。

(2)网络钓鱼攻击

有时窃取密码的最佳方式是诱使人们泄露密码。这说明网络钓鱼取得了惊人的成功。即使是在安全方面训练有素的用户也可能受到网络钓鱼的攻击。这就是为什么最好的防御是采用双因素身份验证(2FA)的原因，这样即使密码被盗对于没有第二个因素验证的攻击者来说毫无价值，例如硬件安全令牌或用户手机上的软件令牌验证器应用程序。

(3)软件未打补丁

如果攻击者对组织实施零日攻击，那么很难责怪企业没有实施安全措施，但是补丁失败看起来就像是没有执行尽职调查。如果披露漏洞之后持续数月甚至数年，并且企业还没有应用安全补丁程序，那么就会面临风险。因此，软件及时更新补丁很重要。

社交媒体威胁

那些可信的傀儡账号可以通过 LinkedIn 网络蠕虫来创建。如果有人知道了解人们的工作内容，会觉得这很奇怪吗?预计社交媒体的攻击活动将会越来越频繁。

高级持续威胁

如果有多个高级持续性威胁(APT)攻击和入侵企业的网络，不要感到惊讶。企业需要考虑其安全状况与复杂的高级持续性威胁(APT)。这一点比技术领域更为真实，这是一个拥有丰富知识产权的行业，许多犯罪分子和国家对于窃取信息不会有所顾忌。