扔U盘测试安全意识是否科学

博彩业站点喜欢在市区街头扔六合彩收据和VIP卡来引诱路人上钩,安全业的老外们也喜欢在停车场或办公楼附近扔些U盘进行安全测试,受其影响,国内的信息安全从业人员也开始陆续使用这种安全意识测试手段。

商业竞争激烈造成商业间谍无处不在,他们希望通过各种渠道获取竞争者的重要信息数据,当通过恶意挖角、威逼利诱不成之时,便会想到使用黑客攻击手段。而大型组织几乎都仍安装企业防火墙,想通过网关大门直驱进入公司内网已非事,通过其它渠道特别是利用普通员工来进行渗透已成为一种新的趋势。近来,U盘价格锐降至白菜价,通过在竞争对手的地盘内丢弃事前构建好的黑客U盘来发起渗透攻击不失为一种高级“木马”战术。

传统上,企业网络信息安全的工作主要是来防范外部威胁,实际上尽管安全管理层清楚地知道绝大多数安全事故起源于内部,但内部往往被认为是可信区域,员工们也被认为是可信的“自己人”。

多数公司的网络信息安全团队早早地在网络边界部署了强力的安全控管措施——防火墙、入侵检测与防御、网关防病毒等等。在来自外部的安全威胁大多被控管了之后,安全团队又开始强化内网安全,实施了包括网络准入、上网行为管理、网络过滤、监控和审计等等措施。在终端桌面,更是不会放松警惕,实施和不断更新着——防病毒、个人防火墙、补丁管理程序以及类似的工作站安全加固工具等等。

相比于单个终端工作站,边界网关的保护范围大不相同,自然安全投入要多得多,这让边界网关处于相对稳健的状态,即使是技艺高超的黑客也并不容易轻松拿下专业的网络安全防火墙的控制权限。

终端电脑的安全保护级别当然不能与整个边界网关相比,再加之最终用户被业界公认为是信息安全保障体系中最弱的一环,当然会成为黑客所利用的对象。针对终端电脑和最终用户,攻击者可能会发送钓鱼邮件,或通过社交网络进行诱骗,或通过电话进行社交工程攻击,或者便是本文要讨论的,通过扔U盘的方式。

构建能够自动运行黑客程序的U盘并不难,攻击者的成本算起来真的直逼白菜了。捡到U盘的人们往往以为发了意外小财,更可能充满了好奇心,于是将U盘插入到工作用电脑的USB插孔,于是悲剧来了。就像特洛伊故事中的情节一样,黑客事先植入到U盘中的恶意软件发作了,感染了一个又一个文件,传播到一台又一台电脑……

记得给伊朗核电站造成严重破坏的事故的Stuxnet蠕虫也利用了USB进行传输,所以,即使网络进行了内外隔离,员工们仍然不免会交叉使用USB设备,精心构建的病毒程序会自动搜索和分析机密文件并悄悄打包和伺机回传……

安全专家们如何获得测试的结果呢?通过回传终端电脑的用户数据或发送一个客户电脑标识信号指令到指定位置即可,安全业界通过评估和分析这项指标来了解员工们的安全意识。

近期,一家大型机构委托昆明亭长朗然科技有限公司进行了一项U盘安全意识测试,共丢弃了20个U盘,其中有19个U盘发回了信息,而这19块U盘至少被插进了23台电脑。可见问题的严重性,不过负责此项安全测试工作的亭长朗然公司安全分析师Bob Xue称:我们正在对最终用户进行安全意识教育,其中就包含防范陌生移动介质攻击一项。我们随机询问了员工们的反应,不少员工认为这种手段很新颖,必须小心防范。我们打算在一个季度后再测试一下,相信届时情况会有大的改观。

如果您对上述扔U盘安全意识测试的方法有兴趣或疑问,欢迎联系我们深入讨论或洽谈合作。

usb-device-security-awareness

轻松实现安全意识

继“安全朗朗然”系列安全意识教育视频之后,昆明亭长朗然科技有限公司又推出全新信息安全意识和培训解决方案——“轻松实现安全意识”。这种简便易用的方案采用了高品质的安全意识课件,能够帮助众多中小型企业甚至大型公司快速实施有效的安全意识教育,进而降低由于人员因素而带来的商业风险和强化对安全法律法规的遵从。

安全管理体系中最弱的一环是人员,最近美国一项研究表明,追溯数据泄露事故的起因,90%和人为错误有关,尽管如此安全意识培训却仍然被许多组织所忽略。昆明亭长朗然科技有限公司的安全培训顾问Alice Wong称:安全培训负责人并不是刻意去忽略安全意识培训,因为多数公司安全管理层并不清楚到底要培训哪些内容,以及如何进行有效地安全意识培训。

合规问题不仅仅限定于信息系统的安全,不管是互联网安全保护技术措施规定,信息系统安全等级保护基本要求,信息科技风险监管,还是ISO27001,SOX,HIPPA,PCI-DSS等国内外信息安全相关保护标准规范都有要求公司对员工进行必要的信息安全意识培训,以便让员工们了解和遵守相关的法律法规和安全规章制度。亭长朗然公司的Alice说:多数组织能够认识到合规对安全意识培训的要求,但是又没有足够的资源来建立权威的培训计划。

针对上述两项驱动力量和现实困难,亭长朗然公司设计研发出“轻松实现安全意识”培训课程,专门针对无论拥有数十数百或成千上万员工的各类组织,只需花费可承担的合理费用便可满足高难度的安全意识教育需求。

“轻松实现安全意识”是一套在线安全意识培训课程,最终用户只需使用网络浏览器登录访问学习网站便可轻松开始在线学习。这种基于电脑的培训方式在发达国家已经很流行,国内则刚刚起步,但是它的优势却很明显。多种安全意识模块课题可供选择,灵活的方式让最终培训时长可以从半个小时至五个小时。针对移动终端设备和HTML5的支持更让学员可以随时随地进行安全意识的主动学习,证书模块也可让成功完成测试的学员打印出课程证书。

“轻松实现安全意识”也很方便安全培训负责人或培训管理员跟踪学员们的学习进度和安全意识测试情况,而这些后台跟踪管理操作也是可以非常“轻松实现”的。同时,针对各类安全相关政策比如保密协定等文件的员工签署,也可方便地通过系统进行电子化认可,即能省却大量人力和纸张,也能帮助促进员工安全意识的提升。

各类供选择的安全意识模块充分考虑了业界的最佳实践,包括常见的办公场所安全、物理环境安全、敏感数据保护、移动计算安全、社交工程防范、互联网安全、工作站安全、桌面清洁等等。除此之外,在内容的深度和广度方面更提供多种不同的版本供选择,当然针对有特殊安全策略、标准或流程的客户,亦能快速实施定制化设计制作服务。

昆明亭长朗然科技有限公司位于中国的大西南,欢迎和我们联系洽谈安全意识培训合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898