小议网络攻击与安全意识培训

小型企业的IT经理购买并实施昂贵的安全技术,希望能够避免网络攻击。但是他们往往忽视了一件关键的事情:员工是他们网络安全策略中最薄弱的环节。根据昆明亭长朗然科技有限公司的一项研究,成功的网络攻击中有85%是通过网络钓鱼邮件发起的,这其中又有90%是从毫无戒心的员工那里窃取的信息而进行的。CNCERT的一项统计表明:导致数据泄露的恶意软件中,有66%是通过恶意电子邮件附件安装的;28%的网络攻击涉及内部人员,而68%的安全事件是人为错误的结果。

既然网络攻击大部分源自于网络钓鱼。那什么是网络钓鱼呢?网络钓鱼是一种社会工程形式,涉及发送声称来自信誉良好的个人和/或机构的电子邮件,并诱使接收者透露诸如银行详细信息或密码之类的敏感信息,或诱使用户单击某些恶意构建的网址。网络钓鱼的技术门槛低,发动起来很容易,并且经常以脆弱的“人性”为目标。尽管在传统上,恐惧感、好奇心和乐于助人的天性是黑客利用最多的人类情感,但如今,成功的网络钓鱼尝试针对的是人类对娱乐、社交互动和奖励/认可的需求。对此,昆明亭长朗然科技有限公司网络安全研究员董志军补充说:这一点其实很容易理解,根据“马斯洛需求层次”理论,人类的情感需求很丰富,随着社会发展和人们生活水平的提高,各种情感需求如“社交需求、尊重需求和自我实现需求”都会开始大量涌现。

需知,网络钓鱼并非总是以电子邮件的形式出现,它也可能通过微信等社交媒体并搭配伪造的网站进行,看起来钓鱼网站与原始的网站域名非常相似,但是钓鱼网站会捕获人们的机密信息。此外,网络钓鱼的渠道还可包括试图收集机密信息或说服受害者转移资金的电话或短信。因此,我们需要认真应对网络钓鱼尝试,不过,单靠IT安全技术并不能阻止利用社会工程学技术操纵人们泄露机密信息的网络攻击。

那么,有什么好招儿应对网络钓鱼攻击吗?从战略上讲,利用人类情感需求的攻击,还需从人类情感入手进行防范,这是非常复杂的,我们不能让人们都变“坏”,但是却可以让人们防止他人的“坏”。从战术上讲,让人们理解这些人性、心理和情感方面的需求,理解“坏人们”可能如何利用它们,以及我们该如何防范。要实现这些,无非需要从人员要素入手,一种最有效、廉价的方法便是安全意识培训,实施安全意识培训计划可以帮助员工们提高对网络攻击的认识,提高对网络安全最佳实践的了解。那么,什么是安全意识培训和安全意识培训计划呢?

安全意识培训是对员工进行网络安全最佳实践教育的正式过程。它应教会员工如何识别欺诈性电子邮件和有害网站,并防止单击恶意链接或泄露机密数据。安全意识培训计划包括在线培训材料、基于计算机的交互式安全培训材料、员工签署培训文档确认信息安全准则、真实网络攻击的案例模拟、游戏化的练习等等要素的组合。

欧洲网络安全局一项调查表明:设计和实施定期安全培训计划以对员工进行安全最佳实践教育的组织,在过去两年内遭遇的与用户相关的数据泄露风险(如网络钓鱼)降低了48%。因此,创建引人入胜的持续安全意识培训计划将给组织机构带来许多安全方面的好处。昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划,我们有大量的高质量安全意识宣教培训内容资源,如果您需要我们帮忙策划安全意识宣传活动,或者需要安全培训课程资源,请不要客气地联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

信息安全管理的优先工作是什么

attacks-analyzed

网络攻击方法越来越高超,匿名Anonymous黑客、政府赞助、零天zero-day攻击,高级可持续性威胁APT等等成为受害者们的一个借口,实际上事态有没有那么严重呢?

不可否认的是在舆论风口浪尖的一些组织机构更容易成为攻击者的目标,然而,多数安全攻击能够成功的原因是什么呢?我们找到了微软发布的安全情报报告,让人大跌眼镜的是Zero-day溢出攻击竟然被忽略不计!利用一年内和往年的已知安全漏洞的溢出攻击合起来也不足10%。

感染或攻击成功的最主要原因是需要用户参与互动的、以及通过USB和网络需自动运行的。近半数需要用户执行某个操作才能触发,而有超过三分之一的恶意软件或攻击需要利用Windows“自动运行”功能。

了解了这些攻击矢量,负责安全管理的IT总监、经理和主管们在进行信息安全规划和运维时便可以更好地分配适当的时间、资源、人力和预算。

显然,对信息系统安装适当的安全更新修复相关的安全漏洞必不可少,不过,IT负责人却需要将更多的资源投放到最终用户的互动式操作方面。说到用户交互式操作,简单说就是防止用户有意或无意进行不当操作。如同诈骗分子远程操控受害者从柜员机上转账一样,形形色色的安全威胁也会利用最终用户的“帮忙”来实施入侵行为。比如社交工程学攻击者会冒充经理层或IT等来引诱员工泄露机密信息,网络钓鱼分子也会炮制恶意链接或附件,以期目标用户来点击和执行。

尽管通过输入校验、权限设置、内容过滤等技术措施可以一定程度地帮助防止用户不经意犯错,但是需知信息不仅仅是电子数据,信息包括人们的各种感观对世界的认知。留在人们大脑中的对公司成功至关重要的数据信息仍然是海量的。而存储于员工们的头脑中的、无法通过信息安全系统进行管控的,则需要特别的关注,而有效解决方法唯有加强员工们的安全意识教育

IT安全负责人可以通过技术手段来禁止USB、CDROM和网络“自动运行”功能,但是仍然需要教育用户不能随意开启和点击陌生U盘光盘内的可疑文件等等。

昆明亭长朗然科技有限公司是国内信息安全意识宣教领域的领航者,我们创作了大量的安全意识教程内容,包括动画视频、电子微课和知识图库等等。同时,针对管理层,我们也推出了信息安全管理基本知识相关的快速教程,欢迎有兴趣和需要的客户联系我们,洽谈采购与合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898