有必要让员工如黑客般思考吗?

网络安全业界有一句俗话,说要想防黑客,你得首先成为黑客。这是典型的“以黑制黑”思维,的确,黑客比一般的民众要“聪明”。正义要战胜邪恶,自然需要“魔高一尺,道高一丈”才行。

当然了,公司都希望员工们走在网络安全的前沿,除了常规性信息安全意识培训,如基本的密码安全、计算设备安全等之外,公司会想:如果让员工们像黑客一样思考,那不就是“知己知彼,百战不殆”了吗?对此,昆明亭长朗然科技有限公司网络安全分析师董志军说:存在即合理,企业信息安全管理人员有这种想法是不奇怪的,很多企业被黑掉之后,有些IT人员竟然不知道人家是怎么黑进去的,这就是知识技能的不对称造成的。

通常来讲,破坏型的黑客由于性格原因,往往喜欢钻研技术,而不是与人沟通,所以他们不能像平常人一样找到一份合意的工作,当然也可能他们也不屑于常规的工作。这样,黑客们便在技术弱点的研究方面,很出色,也练就出一身本事和敏感度。自然,常人不容易走向这种极端,所以也就达不到黑客们的高度。这么说,攻击方似乎永远强于防守方,那被黑客入侵就成了宿命了吗?问题没有这么简单,亭长朗然公司董志军称:防守要远易于攻击,尤其是越来越多的攻击手法被公开之后。

忘掉那些黑客文化宣传片中传神的剧情吧!大神一出手,天下抖一抖。那些美国大片比抗日神剧还讲套路,完全是放大了黑客的神力,来忽悠未成年人的。在网络安全专家眼中,媒体这些夸张的手法,图样图森破。

不可否认的是黑客是数字时代的弄潮儿,他们有创造性、坚定不移且足智多谋。他们对数字世界有强烈的好奇心和探索动力,在内心深处,他们希望自己成为虚拟世界中的英雄,让世界变得更加安全。这无疑也是网络安全界“白帽”黑客们的梦想和为之努力的方向。“白帽”不用我来科普,就是正义的,非破坏型的。相对应的,那些“黑帽”黑客就是破坏型的,“灰帽”黑客就是游走于黑白两者之间的。有“白帽”黑客在,破坏型的“黑帽”黑客掀不起什么大的风浪。为什么这么说呢?董志军回答:这要从宏观上来讲,只要我们的世界大方向还是文明的,野蛮就只会慢慢消退。

不过,董志军转而提醒:虽然在宏观上,我们可以蔑视黑客,然而从微观上来说,我们并不能大意。这是因为,黑客总是在不断发现技术、人员和管理上的漏洞(也称弱点),所有的系统都有漏洞,而且通常来讲,处于攻击一方的黑客总要先于防守方先行找到漏洞。黑客一但成功利用漏洞,便会造成破坏。为了防止黑客进行破坏,在软件系统层面,通常厂商会及时发布安全补丁进行修复;在人员层面,有信息安全意识宣传教育活动;在管理层面,有多种安全体系框架和多重的管理手段来应对某一方面的失效。

如此说来,只要我们在技术上,及时修复已知的安全漏洞,部署实施多重防御措施。那些纯技术型的黑客仍然有机会,但即使有机会,破坏性也是有限的。在人员上,只要我们强化企业层面的人员信息安全意识教育,让人们认识到网络安全的重要性,掌握基本的网络安全常识,了解黑客、病毒等网络安全威胁的常规入侵手法,黑客得逞的几率也会大大降低。在管理上,只要我们遵循国际和国内领先的安全管理标准及最佳实践,补齐管理短板,不管是来自外部的黑客,还是内部的人员,都不易闹腾出什么鬼来。

回到我们的主题上来,到底有没有必要让员工们像黑客一般思考呢?我们的回答是必要且看情况而定。说必要,是指在宏观层面,我们要了解世上存在搞破坏的黑客,他们就是利用各种漏洞(弱点),我们要让自己强大起来,及时修复各种漏洞,减少黑客的可乘之机。说视情况而定,则是指在技术防范层面,我们可以让网络安全相关的人员像黑客一样思考,探索技术系统存在的弱点,并及时采取防范措施。但没必要在技术层面让普通用户变成防黑客方面的技术专家,毕竟,术业有专攻,在高级别的比拼上,有专业的白帽黑客人员对付黑帽黑客,已经足够。在低级别的比拼方面,普通用户应该采取不和那些专业黑客玩儿的战略手段,比如我们有了网络钓鱼防范意识,你黑客再强,建的钓鱼系统再逼真,老子就是不理你,不点你的链接,如果大家都能这么做,那这些钓鱼类的黑客就哭去吧。

说到底呀,我们需要培训员工常规的黑客手法,“知己知彼,百战不殆”,当我们知道了黑客们的那些下三滥手段之后,就可以轻松应对。只是黑客思维相关的培训也要有一个度。只需让普通员工参加入门级的信息安全意识培训即可,没必要让全员都参加专业的防黑技能培训。毕竟几乎所的有公司都不是网络战队,不需要打造那么多黑客级的网络战士。

昆明亭长朗然科技有限公司,有引进针对兴趣爱好者和专业人员的网络安全技能培训课程,也有针对一般用户的普及性网络安全防范课程,还有针对管理层的信息安全管理课程。不管您处于公司内部何种角色和职责,都欢迎联络我们,预览我们的在线课程,和洽谈购买及合作。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

新时代下的网络安全现状与对策

尽管每年中国企业在网络安全方面花费巨大,但是在对是否有能力感知和应对网络威胁方面,大量机构仍然信心不足。为什么呢?昆明亭长朗然科技有限公司网络安全观察员董志军表示:从技术层面讲,各种信息系统并不安全,因为存在很多未知的安全弱点(漏洞),每当新的安全弱点被发现,总有很多境外情报机构和黑客团体悄悄使用,现有的入侵侦测技术几乎无法感知,应对就更无从谈起了。即使有的系统安全弱点会及时得以公开,但网络不法集团或犯罪分子的响应速度会更快,即利用所谓的“零日漏洞”,抢在用户修复之前,就发起攻击。

信息技术方面的网络安全问题让中国企业束手无策,毕竟底层的东西往往都掌握在美国科技公司手中,多年来,芯片和操作系统一直是我们的软肋,一直是我们心中的痛,大量机构不自信也就是情有可愿的了。于是乎,各种奇葩的应对措施出现了,这造就了一大批网络安全技术公司的兴盛,毕竟网络安全关系到国家安全,这是中国不能允许外国人染指的一个关键领域。

我们接触了大量的中国机构,那些网络安全总监和经理都表示在过去的一年中,网络安全预算得到了大幅提升,因为世界不太平,贸易方面的战争、冲突和争端容易蔓延到网络上,网络安全防范方面必须得加强,在其它方面可以勒紧皮带,安全防范方面不可忽视。不过,尽管如此,网络安全决策者们仍然认为目前的网络安全状态仍然不能全面满足机构的需要,在未来,仍然需要大量的网络安全投入。

网络安全与信息化办公室一位办事人员也表示:网络安全是国家战略,我们需要各级政府与关键企业密切合作,共同建立安全威胁应对体系和框架,并不断完善我们的网络安全技术。我们需要鼓励企业和能人积极参与国家网络安全科技创新,以强化国家基础设施的安全,应对网络犯罪。

此外,该办公人员同时强调:仅仅技术方面的赶超并不足够。这与大量中国企业机构的网络安全决策者们的看法很一致,无知与粗心的国民及员工是仅次于系统未知弱点的安全顾虑。特别是和移动计算、社交媒体、物联网及云计算机关的安全漏洞,几乎都突破了传统的安全防御边界,这些因素所带来的安全风险足以让敌对势力和不法分子们发起针对性的网络攻击和破坏、知识产权和机密窃取和网络欺诈活动。

信息科技方面的创新和数字化转型在持续深入地进行着,带来的不仅仅是信息传播与生产力相关的革命,而是彻底影响着人类的活动,包括对世界的认知、生活与工作的互动……网络安全领袖们已经认识到这种未来的挑战,但是中国企业机构的领导们仍然很缺乏足够的和更新的信息安全意识,他们不知道危机已经临近,未来正面临生死挑战。

如何能有效应对至少存活下来呢?董志军表示:在信息安全紧要事务列表中,业务持续性计划与灾难恢复计划是中国企业领导们必须立即补一补的课程;其次,需要集中火力强化针对员工、供应商与合作伙伴们的安全意识与培训计划;最后,在云计算威胁和漏洞管理方面进行审核与改进。

对此,昆明亭长朗然科技有限公司推出了相关的教育培训服务及课程内容资源,欢迎有兴趣的安全及培训人员联系我们,洽谈采购与合作事宜。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898