漫谈几项关键的网络安全策略

网络安全对于所有连接到互联网上的企业或组织都非常重要。互联网是一个绝佳的地方,人们可以用其进行沟通并做自己喜欢的事情。许多人以互联网为生,不过,互联网的极度流行也导致网络犯罪分子猖狂活动。

因此,我们必须在上网时保护好自己,掌握好必备的网络安全知识和技能,是保护自己和我们的业务的不二法宝。对此,昆明亭长朗然科技有限公司网络安全顾问董志军表示:网络安全是保护我们和我们的数据免受网络罪犯侵害的手段。为了最大程度地发挥和利用互联网的正向价值,我们将为您提供基本的网络安全使用常识,以帮助您武装好自己,应对各种各样的网络犯罪。

一、恶意软件的防范

每天都会有新的病毒和恶意软件被网络不法分子创建出来。有些采取特洛伊木马的形式,它们可能会对您的计算机造成破坏,保护业务免受恶意软件破坏的最佳方法是部署可靠而强大的防病毒解决方案。强大而可靠的防病毒解决方案可以在保护计算设备免受恶意软件侵害方面发挥积极作用,但前提是需要保持防病毒软件的启用和处于更新状态,过时的防病毒软件是无法对付新型的恶意软件的。

近几年,勒索软件兴起,给恶意软件防范带来了新的挑战,勒索软件不断变种,让传统的防病毒软件无法及时侦测出来,这时,人员的良好安全意识就显得越发重要,不访问不良网站、不接收未知人员发来的文件、不下载可疑文件、不开启陌生邮件附件……这些都成了防范恶意软件的基本安全卫生知识。

二、重要数据的备份

勒索软件泛滥是促使人们重视数据备份的一个重要原因,数据对于公司而言极为宝贵。数据是大多数网络罪犯在攻击公司、企业或组织时所追求的东西。数据可能是勒索软件攻击者的利用目标,也可能由于硬件故障或人为失误而丢失。无论如何,最好保持重要数据的定期备份。备份策略将使您可以将系统还原到最近保存的一个版本。从长远来看,这通常可以成为灾难时的救命稻草,并且是可以带来回报的一项网络安全策略。

这是一个大数据的时代,数据大集中于云端是最为高效的方式,这很利于数据的备份和使用。

三、访问密码的安全

使用云计算备份数据并非不利于信息保密,关键在对数据是否进行了必要的访问控制,密码是最常用的鉴别使用者身份的措施。脆弱的密码形同虚设,包括网络上曝光过的简单密码,字典中的字词,以及个人信息等。无疑,我们需要使用复杂的密码来应对蛮力攻击和密码猜解。

由于不少网站已经泄露了海量的用户名和密码的组合,加之不少人的常规密码已经被破解,个人信息也已经可被公开查询,他们都被不法分子用来在其它网站和应用上进行“撞库”攻击或重置密码,我们不得不建议为每个账户设立复杂而唯一的密码,可以使用密码管理器,或写在加密本上陌生携带。如果怀疑密码被泄露,应立即更改。

四、多重身份验证措施

对于重要的应用来讲,密码并不能成为唯一的用来进行身份验证的措施,相对来讲,较新的保护概念是二次身份验证,通常也称为双因素身份验证。这种措施是给您的帐户建立的新的安全保护层,当其他人尝试登录您的系统或帐户之时,它将为您提供多一重的保护。您应该不会陌生,它经常用于在线银行应用、电商APP、社交媒体帐户等等。双因子身份验证的工作方式是:每次当您尝试通过输入用户名和密码登录帐户时,必须从“验证”应用、短信验证码或语音来电中输入四位或六位数的代码。

多重身份验证措施可以大大减少了您被黑客入侵或访问您的私人信息的机率。

五、安全“人脑”的更新

如果您把账号、密码和验证码告诉了电话或即时消息中自称的“警察”、“领导”或“客服人员”,那什么样的网络安全技术措施都没用。这是因为,各类信息系统与人的“互动”越来越多,狡猾的网络犯罪分子不断研究各种系统应用的安全漏洞,以及使用者的弱点,成功的利用使犯罪分子盗取他人虚拟网络身份,进而是重要信息以及金钱资产。特别是社会工程学和网络钓鱼的流行,让人们认识到在应对不法分子方面,仅仅依靠安全防范技术是不足够的,给人员的“头脑”进行更新,防范利用人性弱点的攻击就显得很紧迫。

网络钓鱼攻击者会煽动情绪,营造紧迫感,或与目标人员建立起友好关系,从而诱骗人们点击链接、下载附件或提供敏感信息。时刻切记,您所在工作单位之外的任何人都不得在未经授权的情况下访问机密信息。应对社交工程攻击,切记,永远不要使用随处见到的存储器或光盘。永远不要点击来自未知发件人的链接。永远不要回复来自未知发件人的讯息。如果您收到了一封可疑邮件或消息,或发现您周围存在异常活动,请尽快按照相应的流程进行报告。

后面的话

总之,要保障网络安全,需要多项措施并重。人员、流程和技术是网络安全管理的三要素,上述列出来的一些战略方法并不全面和深入。如果您有更为深入的需要探讨的话题,请与我们联系一起聊一聊。

多年来,昆明亭长朗然科技有限公司致力于全民的网络安全与保密意识提升,我们帮助众多知名企业对员工进行安全意识教育,以让人们的“安全大脑”获得更新进而应对各类网络安全威胁,我们有在线的信息安全学习系统,以及大量的课程资源可供选购用于内部培训。如果您有兴趣了解更多,欢迎联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

短信认证对于线上交易并不安全

近来,黑客恶意复制或挂失电话卡的案例频频出现,他们此般恶劣手段的目标是击溃短信或电话认证,进而冒充他人身份,非法窃取他人的网络帐户和实施罪恶的线上交易活动。

一直以来,短信是网上银行和电商来校验用户身份的廉价和高效的机制之一,至少不必像动态口令那种多重身份验证机制需要投入硬件设备。短信的使用除了帮助验证网上交易的身份,还有一个好处是交易进行提醒,以便帐户被盗用后能及时响应,进而帮助挽回和防范进一步的损失。

黑客可能利用客户端的安全漏洞或人们脆弱的安全意识来传输和安装木马程序,进而通过个人电脑或架设钓鱼网站来窃取他人的网上交易帐户。多数网银和电商早已料到这点,并已经实施了多重的安全控管,特别是在交易环节进行额外的双重身份验证机制。

黑客现在面临的挑战是突破这第二重的身份验证机制,昆明亭长朗然科技有限公司的安全研究团队总结了黑客的如下几招方法并且进行了简单的分析。

第一种方法是通过远程控制,无论是远程控制软件还是社交工程诈骗都需要套取身份验证码,对于稍微有些安全常识的人们显然是很大的障碍。

第二种方法是绕过或突破二重身份验证,技艺超群的黑客可能挖掘和掌握了线上交易系统二重身份验证的安全漏洞,但这种情况并不多见,毕竟黑客的水平可能尚输一筹。

第三种方法则是欺骗二重身份验证措施,具体的方法类似中间人攻击,即穿插于线上系统和终端用户之间,套取用于的二重身份验证授权来骗得线上交易系统,这种方法对黑客技艺的要求和时间点的把握都比较高,成功的可能性相对较低。

第四种方法则是从用户端入手,即击溃二重身份验证的终端,简单粗暴的方式是盗窃和抢夺身份验证令牌如动态口令卡或手机,这显然风险较高,比较“稳妥”的方法是绕道获得这些设备或重置这些设备,其中针对电话和短信的认证很容易被击溃。

线上交易系统通过运营商发给终端用户的短信可能轻易被黑客通过网络窃取,黑客更能花少量投入便可克隆受害人的电话号码,当然最经济的还是持假身份证到运营商那儿挂失并重办一张电话卡。

运营商有充分的理由称其没有办法鉴定用户身份的真假,受害者又接受了在线交易服务条款,问题出在哪里?显然,多个环节是环环相扣,最大的问题当然是受害者的线上安全意识不足,至少没有充分认识到线上交易的风险特别是短信认证的先天缺陷。

同时线上交易提供商和移动网络运营商也应该有所做为,多数发达国家已经制定法律,要求网银对非客户授权的交易负责。即使银行仍然是政府的提款机,会受到一定程度的保护,但激烈的市场竞争、上市后的严格监管以及融入世界的大趋势,让垄断的“好日子”不会永久持续。

从技术层面来讲,短信认证和短信提醒功能不需废弃,而是需要增加第三重的身份验证措施。而道高一尺,魔高一丈,要有效遏制网络犯罪分子的罪恶活动,还需要加强对线上交易用户进行信息安全意识教育,这方面的重任无疑应该由线上交易服务提供商来担当。

俗话说“当局者迷,旁观者清”,线上交易服务商更多专注于核心的价值——提升身份验证方面的客户体验和改善交易的安全控管技术,在客户安全意识培训计划的制定和线上交易安全指导教程的开发方面则需要第三方的专业安全意识培训机构来帮忙,而昆明亭长朗然科技有限公司是安全意识教育方面的领导厂商,无疑是线上交易服务提供商的最佳的安全意识教育合作伙伴。

我们的方法是学习和分析造成线上交易安全事故的“人为”原因,并且根据客户的实际业务环境,量身定制适当的安全意识教育方案和制作开发相关的线上安全意识培训内容。

如果您有兴趣了解更多内容,欢迎联系我们获取更多详情。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898