等保整改及护网行动也难以改变的困局

不管从宏观的社会层面,还是微观的机构层面,内部威胁通常会将组织置于高危的风险之中。人为失误很容易导致组织的崩溃,小到客户的流失,大到政权的灭亡,无不例外。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:人性的弱点深入骨髓、透进基因。人类文明不断演进,悲剧历史不断重演,原因在于人性的弱点依旧。制度文化的建设越来越稳固,而对制度无知、漠视、规避的情形一点都不见少,原因仍是人性的弱点。在网络安全领域,放眼全球,粗心或无知的员工仍然是造成严重安全事故的首要原因。

网络安全威胁将永远伴随着利益的博弈而存在,昨天玩的是系统安全,今天斗的是数据安全,明天拼的是业务安全。可以说威胁是越来越复杂、高级、智能,危害也越来越大。因此,国家将网络安全上升至国家安全的战略层面,企业也视网络安全为业务持续性的重要部分。不能忽视培训其员工面对网络安全的威胁和最佳实践的首要意义。在网络安全治理方面,国家花了大功夫,不断出台法规与制度,并搞出了一些大型项目和计划,比如网络安全法、等级保护、网络安全宣传周以及护网行动等等。

网络安全威胁不仅仅是病毒等恶意软件或脚本小孩,而是有组织的国家级的犯罪集团,特别是大型网络间谍和情报组织,不仅渗透政府机关高层和盗窃商业机密,还借助网络发动文化意识形态方面的入侵。为保国家安全、社会稳定与人民福利,在核心领域如关键信息基础设施领域实施等保整改及护网行动等等,是十分必要且紧迫的工作。然而,这些“运动”的效力如何呢?一家央企行业巨头的网络安全负责人称:尽管搞这些“运动”是自上而下“被迫”的,然而我们却非常欢迎,进而积极参与其中。网络安全“运动”的成果是显而易见的,我们发现了很多安全问题并进行了整改,包括修复了一些系统安全漏洞。

说到底,任何“运动”都会让一些人从中获得一些好处,网络安全“运动”也不例外,有“运动”得有预算,就得有交易。红蓝对抗表面上是在通过搞攻防演习发现安全漏洞,实际上是一群菜鸟工程师在进行低级的安全漏洞扫描以及昂贵的渗透测试表演。应急演练更是成了彰显网络安全管理“成就”的秀场,可笑的是,即使事先排练好要给领导看的,也常常会造成临时的意外事故。究其原因,不是搞“运动”的错,“运动”的出发点是好的。此外,不管做什么事,成绩肯定是有的,通过“运动”发现技术弱点或管理漏洞等安全问题并解决问题,就是可以秀的成绩。然而,真正的问题并不是通过“运动”发现安全弱点或漏洞,这些安全弱点或漏洞本应在日常工作中发现并解决。为何要等到搞“运动”和借用“外力”呢?表面上看,这个问题的答案似乎在于内部安全力量的薄弱,然而,其范畴远远超出内部专业人员的安全水平,而是包括全体人员在内的一个整体。因此,不要希望针对专业人员搞搞安全技术和管理知识培训就可以高枕无忧了。从某种意义上讲,正是内部威胁的强大,压制着内部安全力量的提升,要靠“外力”不能说是徒劳,但可以说解决不了根本。就比如对于人体来讲,不通过内部肌体的锻炼强化,仅靠外部食药进补,就想获得健康,必然是不够的。

内部威胁是内部安全力量体味最深却最不想面对的,反腐常讲一句话,就是要“刀刃向内,刮骨疗毒,自我革命”。网络安全亦是如此,根源问题是内部威胁,需要强化内部网络安全管理。在这方面,外部的“供应商”的核心目的是搞钱,他们有多大动力和能量,能搅动出多大的波澜?对于内部威胁,网安人越是逃避,他们就越强大。因此,要积极面对,迎难而上。不是东风压倒西风,就是西风压倒东风。经历痛苦,走过转折点,坚持推进,就是胜利,乘胜追击,巩固成果。不要看动动嘴皮,说起来容易。需知,内部威胁不仅仅是孤立的,通常会被外部威胁所利用,甚至“内外勾结”串通起来。同时,内部威胁并非外部敌对势力,内部威胁带来的网络安全问题只是人民群众之间的内部矛盾,并非你死我活的阶级矛盾,所以,要成功应对,需要一定的智慧和手腕。切记:网络安全人员的秘密工作武器不是搞整风等政治运动,最稳妥的方法就是对内部员工们进行持续的网络安全教育,将其头脑用网络安全知识武装起来,赋予其网络安全常规技能,进而将网络安全方面的无知者转变成为智者和斗士。

那么,员工如何应对旨在窃取数据或任何其他有价值信息或服务的高技能犯罪分子、恶意黑客甚或国家级的网络部队呢?研究表明,大多数数字攻击都是通过极富创造性和诱骗性的网络钓鱼尝试及其他相关努力来利用人为因素的尝试。几乎90%的数据泄露是由人为错误引起的,因此增加了对员工进行持续网络安全教育的需求。恶意攻击者和其他技能娴熟的黑客通常会试图诱骗用户,让他们尽早实现对信息系统的登录尝试,从而使他们尽早访问到高价值的信息数据。因此,人们可以将其视为任何组织的网络安全防御中最薄弱的环节。这就是为什么在大多数情况下,人们是使用网络钓鱼攻击、网络钓鱼、社会工程、勒索软件和恶意软件等技术和工具的主要攻击者的原因。此外,与发现单个软件破坏组织或企业业务相比,人类更容易被进行大规模的恶意利用。尽管我们已作出所有必要的安排来改善现有的安全基础设施,但是人脑的无知将在国防战略中留下巨大的空白。借助社交媒体操纵舆论,推动社会运动或是政治革命已经成为最经济和快捷的网络战争方式。近年来,内容安全、文化安全、思想安全已经成为网络安全的重要课题,这些都与内部威胁和人员的安全意识密不可分,“人脑”的争夺致胜的关键还是得靠宣传教育。

网络安全意识培训对于所有的现代组织都很重要,特别是那些搞网络安全“运动”的关键信息基础设施领域。借助当前的IT基础架构,当今大多数黑客都在使用人工智能。对系统进行操纵造成的多数数据泄露行为都涉及某种程度的人为失误。因此,组织应该培训员工,避免受到社会工程学的攻击,以保护其开展业务的基本资源,并与客户进行完美的互动。最近,业界在网络安全攻防中提出了“人为因素”构建“人员防火墙”的概念。针对人性弱点的攻击越来越泛滥,唯一防御措施是通过教育或警示,即为员工提供安全意识培训。

总之,等保整改及护网行动也难以改变的网络安全困局,根源在内部威胁,集中表现为内部人员安全意识不足的问题,解决人性弱点问题的关键步骤在于教育,尽管人性的弱点问题非常复杂,还需要更多的措施,比如借助人工智高科技能的人员安全思想动态监管与提示系统。最后,本文提及一些“菜鸟工程师”、“低级”、“秀”、“运动”之类的用语,并不表示任何的贬低或歧视之意,只是想通过戏谑之词来引发读者的深度重视,某些机构或厂商也请不要对号入座。如果感觉受到了不良刺激,欢迎来一场网络安全真理与实践的口水仗。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

闲聊网络安全威胁与网络犯罪及应对之策

有些计算机领域的术语,并非简单的字面意思,更何况词语的多义。因此,了解语境很重要,在信息安全领域,威胁是指可能导致数据丢失或损坏,或致使正常业务运营中断的任何活动。对这个术语,昆明亭长朗然科技有限公司网络安全辅导员董志军说:初入行的网安从业者往往会在“漏洞(弱点)”、“威胁”和“风险”等术语中纠结,要走出纠结的状态,灵活将理论知识应用于工作实践之中,才是专业人员的基本素养要求。

网络安全领域的威胁分两种:物理(实体)威胁和非物理威胁。

  • 物理威胁会损坏计算机系统的硬件和基础架构。例子包括:盗窃、故意破坏甚至自然灾害。
  • 非物理威胁以计算机系统上的软件和数据为目标。

什么是实体威胁?

实体威胁,又称物理威胁,是事件的潜在原因,可能导致计算机系统损失或物理损坏。以下列表将物理威胁分为三个主要类别; 

  • 内部威胁:包括火灾、电力不稳或中断、房间过湿、温度过高或过低等等。
  • 外部威胁:包括水灾、台风、雷电、地震等。
  • 人为威胁:包括盗窃、毁坏基础设施或硬件、意外或有意的错误等。

为了保护计算机系统免受上述物理威胁,组织必须采取必要的物理安全控制措施。以下列表显示了可以采取的一些可能的措施:

  • 内部威胁:使用自动火灾探测器和灭火器可以防止火灾威胁。使用电压控制器和发电机可以防止电力不稳或中断。使用空调来控制计算机室中的湿度和温度。
  • 外部威胁:正确选址,使用排水、防风及防雷系统来保护计算机系统免受此类攻击。这些系统并不是100%完美的,但在一定程度上能减少造成损坏的机会。
  • 人为威胁:通过使用门禁出入控管、加强监控巡查、锁上重要设备和限制进入计算区域来防止诸如盗窃之类的威胁。

什么是非物理威胁?

非物理威胁,也称为逻辑威胁,是可能导致以下事件的潜在原因:

  • 系统数据丢失或损坏
  • 破坏依赖计算机系统的业务运营
  • 敏感信息丢失
  • 非法监视计算机系统上的活动

以下列表是非物理威胁的常见类型:

  • 病毒
  • 木马
  • 蠕虫
  • 间谍软件
  • 广告软件
  • 键盘记录器
  • 拒绝服务攻击
  • 分布式拒绝服务攻击
  • 未经授权访问计算机系统资源
  • 网络钓鱼
  • 其他计算机安全风险

为了保护计算机系统免受上述非物理威胁,组织必须采取适当的逻辑安全措施。以下列表显示了可以采取的一些措施:

  • 以防止病毒,木马,蠕虫等。组织可以使用防病毒软件。除了防病毒软件之外,组织还可以采取控制措施来控制外部存储设备的使用以及访问最有可能将未经授权的程序下载到用户计算机上的网站。   
  • 通过使用身份验证方法可以防止未经授权访问计算机系统资源。身份验证方法可以是强密码、智能卡或生物识别等形式。
  • 使用入侵检测及防御系统可用于侦测及防御拒绝服务攻击,当然也可能需要采取其他措施来避免拒绝服务攻击。
  • 强化内部人员安全意识教育培训来防范针对人员弱点的安全威胁,以及防范意外或有意的失误。

什么是网络犯罪?

网络犯罪是以外部威胁为主包括内部威胁的、以逻辑威胁为主包括物理威胁的、以为利用系统漏洞为主包括人员漏洞的综合性网络威胁。通常指使用计算机和网络来进行非法活动,例如传播计算机病毒、在线欺诈、进行未经授权的电子资金转移等。大多数网络犯罪都是通过互联网实施的,一些网络犯罪也可以通过短信和在线聊天应用程序使用手机进行。

网络犯罪的类型

以下列表介绍了网络犯罪的常见类型:

  • 计算机欺诈:通过使用计算机系统故意欺骗以谋取个人利益。
  • 侵犯隐私:在社交媒体、网站等上公开诸如电子邮件地址、电话号码、帐户详细信息等个人信息。
  • 身份盗用:窃取某人的个人信息并假冒该人。
  • 共享受版权保护的文件:涉及分发受版权保护的文件,例如电子书和计算机程序等。
  • 电子资金转帐:涉及未经授权访问银行计算机网络并进行非法资金转帐。
  • 电子洗钱:涉及使用计算机网络进行洗钱活动。
  • ATM欺诈:涉及拦截银行卡的详细信息,例如帐号和密码。然后使用这些详细信息从被拦截的帐户中盗取资金。
  • 拒绝服务攻击:涉及在多个位置使用僵尸计算机来攻击服务器,以将其关闭或阻断服务。
  • 垃圾邮件:发送未经授权的电子邮件,这些电子邮件通常包含广告或钓鱼消息。

威胁应对战略

尽管我们知道威胁大致有哪些,是什么,但是并没有组织可以保证在威胁发生之前就将其全面阻止。因此,必须通过强大而深入的安全入侵及违规响应策略来加强安全系统。这包括收集有关威胁的情报,可视化有关事件信息并应用分析的的能力,这些对于确定根本原因和解决安全漏洞至关重要。

在战术层面,董志军表示:针对传统的网络威胁,多种安全控制措施,比如防病毒战术都已经在生效。但是网络犯罪不断演进,手段越来越复杂化,特别是很多不法分子利用终端设备及用户的弱点,并以此当跳板来入侵信息系统,这是当下的热点话题——高级可持续性威胁APT。因此,要全面防范,需要立体的系统化的防范措施,这就需要安全专业团队的力量获得加强,同时还要发动全体职员,武装起群众,这样,才够全面,让网络犯罪活动“无孔可入”。

提升群众的安全意识任重道远,是一项长期而艰巨的任务,需要不断改进,让我们携起手来,共同奋进!昆明亭长朗然科技有限公司致力于帮助提升全民的安全意识水平,我们帮助各类型的组织机构策划、组织和实施安全意识宣教活动,我们提供多种形式的安全宣教素材内容,欢迎有兴趣和需要的单位和个人联系我们,洽谈采购与合作事宜。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898