国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

  中小企業常常忽視的十大網絡安全威脅（上）

  來源：比特網

   為了能讓有限的資源應付無窮的安全保護需求，中小企業往往不得不忽略掉各類潛在的威脅。最理想的保護措施在于防患于未然，制定策略將問題消滅在萌芽狀態。但是在這之前，我們必須了解中小企業的網絡安全威脅到底是什么？以下列舉的是最近的調查顯示的中小企業常常忽視的十大網絡安全威脅。

　　1.銀行賬戶劫持

　　網絡犯罪分子每年都會利用銀行服務類木馬襲擊上百家小型企業，他們能夠借木馬之力控制被害者的計算機，讓銀行服務器端誤以為是真正的客戶在操作。臭名昭著的Zeus正是木馬家族中最“杰出”的代表;它能夠在數分鐘時間里從企業的銀行賬戶中提取出成百上千美元，活脫脫現實世界中的吸血鬼。

　　早在2009年，網絡竊賊們就曾經對緬因州一家名為Patco的建設公司痛下殺手，通過感染該企業的計算機在不到一周的時間里從銀行賬戶中豪奪58萬9千美元贓款。盡管Patco公司及時向銀行方面遞交了事故報告，但最終仍然只追回了不到半數的損失。

　　Patco公司雖然逃過了滅頂之災，但大多數中小企業仍然面臨著網絡犯罪分子們的致命威脅。一般來說，只要是由客戶計算機遭到入侵所導致的財務損失，大多數銀行都不會給予賠償或者追討。“如果您是小型企業的負責人，請務必小心——那些惡意人士會把銀行賬戶徹底掏空，而我們一點辦法都沒有。”賽門鐵克公司安全響應部門主管Kevin Haley建議道。

　　截至目前，法庭仍然傾向于銀行方：就在去年，Patco公司的財務管理方Ocean銀行就在判決中贏得主動，獲得了不必為資金意外轉移負責的有利裁定。

　　在這樣嚴峻的事態下，最好的防御方案就是確保企業使用單獨一臺專用計算機處理網上財務事宜——這臺設備沒有郵件系統、不裝網絡瀏覽器，連操作系統也嚴禁隨意登錄，Haley告訴我們。“有能力訪問這些財務賬戶的人越多，就會有更多設備進行在線查詢及操作，同時也將帶來更高的安全風險，”他解釋道。

　　2.網站劫持

　　許多小型企業的官方網站并不會用于出售產品，而完全是為了吸引客戶。但也有不少公司跟Endless Wardrobe一樣，需要在網站上直接進行產品及服務銷售。無論是哪一種情況，拒絕服務攻擊這種致命的侵襲都極為可怕——攻擊者利用這種方式占據大量帶寬，使得網站無暇處理正?？蛻舻暮戏ń灰?。

　　過去，以拒絕服務攻擊為手段的敲詐勒索者們大多將注意力放在那些名聲不好的公司身上，例如在線博彩公司或者色情網站。但現在犯罪分子的胃口越來越大，他們已經開始對所有安全技術薄弱、無力抵御網絡攻擊的小企業們展開侵襲。

　　包括CloudFlare、Incapsula以及Prolexic在內的許多服務商都能幫助企業用戶對抗拒絕服務攻擊。他們的方法是創建一套“安全”網絡——即經過嚴格控制的業務社區，任何惡意流量在訪問企業客戶之前都會被過濾機制攔截下來，這一方面阻絕了不良請求、另一方面也保障了正常交易的進行。

　　3.由員工造成的數據泄露

　　雖然說員工是小型企業的最大財富，但他們同時也是最可能引發災難的潛在風險。他們很可能在不經意之間點擊了高危鏈接、打開了不知附件或是犯下最基本的安全失誤，總之這些“不明真相”的群眾常常扮演著攻擊者們“內應”的角色。

　　只要能夠獲得一組密碼，犯罪分子就能夠順藤摸瓜、竊取企業整套系統中的全部密碼，接下來“針對企業展開的攻擊步驟將勢如破竹、鋪天蓋地，”管理技術供應商Thrive網絡公司總裁Jim Lippie如是說。

　　除此之外，對公司心懷不滿的員工還可能搞出蓄意破壞等大麻煩來，這甚至比惡意人士的攻擊更難應對。

　　首先要對公司員工進行安全實踐教育，從選擇高強度密碼開始貫徹良好的保護機制。在許多中小企業中，員工都喜歡用同一套密碼或者有限的幾組密碼來訪問公司資源及在線服務，更有甚者還將業務密碼與個人密碼混為一談。此外，過分簡單的密碼內容也是常見的安全失誤之一。

　　其次，應該對員工進行背景調查，掌握哪些員工曾經造成過安全問題或者工作失誤。嚴格控制員工對企業敏感資源的訪問權限，例如客戶清單以及財務信息等。利用安全及員工活動監控系統收集來自網絡的信息，并劃撥50美元每人的開支對所有可疑活動及日志內容進行分析——這對于小型企業而言也許價格不菲，但中型企業絕對值得嘗試這套方案。

　　4.通過服務供應商開展的隱藏攻擊

　　大多數小型企業會借助第三方服務供應商來管理某些技術或業務難題。托管網站啦、創建內部郵件系統啦、使用云存儲服務啦或者管理銷售點系統啦，這些看似平常的工作都不是小企業自己能夠處理的，必須由第三方幫助解決。但到這兒問題就來了——只要合作關系確立，雙方就成了一條繩上的螞蚱，供應商的安全漏洞也會對我們自己產生影響。

　　CloudFlare公司所遭受的攻擊就是典型的例子，惡意人士從一開始就將目標設定為奪取CloudFlare的客戶訪問權上。比起直接對企業本身展開攻擊，很多犯罪分子更喜歡對網絡安全供應商下手——這樣可謂一箭多雕，只要攻擊得手，全部客戶都會成為任人宰割的板上魚肉。

　　根據安全服務供應商Trustwave公司(這家企業主要為零售及醫療機構提供服務)的調查分析，去年，76%的數據外泄事故與第三方系統管理有關。無獨有偶，Verizon公司發布的年度數據泄露調查報告同樣指出，在遭受數據泄露困擾的企業用戶中，有46%采用了第三方合作伙伴的管理方案，且這一比例在過去三年中持續走高。

　　現在我們需要跟自己的服務供應商好好聊聊，尋求規避風險的最佳途徑。電子郵件服務供應商必須正視安全問題的重要性，因為郵件系統往往是抵御攻擊時最薄弱的環節。

　　“對于小型企業而言，員工的郵件賬戶就像一把萬能鑰匙，能夠打開所有相關業務賬戶的大門，”Prince指出。“只要黑客成功取得郵件賬戶的控制權，那么其它所有賬戶的安保機制都將形同虛設。”許多攻擊者都會利用由云服務供應商提供的郵件賬戶恢復機制來奪取企業托管服務的控制權。舉例來說，遭遇侵襲的CloudFlare公司就選擇將的私人郵箱地址作為企業在谷歌應用的官方賬戶，這樣一來密碼重置確認郵件就落入了惡意人士手中，后果自然不言而喻。

　　“花一整天時間為官方網站被攻擊而向客戶道歉當然很不好受，但如果黑客一下子劃走數十萬美元，那么企業將立刻面臨倒閉。”——Internet Identity公司CEO Lars Harvey

　　許多新興企業及小公司都采取了與CloudFlare同樣的處理方式，這就給將來的事故埋下禍根。

　　各類財務事務也是值得關注的安全重點。第一，別利用自動票據交換交易進行企業間的轉賬活動，或者說應該盡可能禁用這項功能。其次，問問公司選擇的銀行能否提供額外的安全措施，例如雙重身份驗證、資金轉移電話確認等機制，這些都能有效阻斷惡意人士的陰謀詭計。

　　“要想安全地跟銀行打交道，大家必須先確保自己擁有強大的控制權，否則趕緊換家合作銀行，”Internet Identity公司CEO Lars Harvey告訴我們，這是一家專門處理客戶互聯網事務安全的企業。

　　討論安全性話題應該成為選擇第三方服務商的標準流程，Prince表示。由于經受到嚴重的惡意攻擊，CloudFlare公司如今要求每一家供應商都必須提供嚴格的安全保障。

　　“‘貴公司能為我們的賬戶提供哪些額外安全保護？’如今在考慮與供應商開展合作之前，我們都會首先提出這個問題，”他告訴我們。

　　每一家供應商都應該有能力提供雙重身份驗證機制，例如便攜型實時密碼生成裝置或者通過短信發送確認信息等。除此之外，我們還應該選擇安全機制健全的移動手機品牌及管理企業，這樣才能保證手機遺失后不會發生賬戶失竊等一系列后續問題。

中小企業常常忽視的十大網絡安全威脅（下）

  來源：比特網

5.針對性攻擊

　　相信大家都聽說過針對性攻擊的故事，高度機密的政府部門、安全防御代理商以及大型技術企業相繼成為惡意人士的侵襲對象——但事實證明，很多小企業也會遭遇相似的針對性攻擊。

　　針對性攻擊的目標往往是某一家單獨企業或者行業中的特定環節，攻擊者往往通過偽裝成熟人的方式在郵件中設置“魚餌”并發送給受害者。郵件中所包含的惡意鏈接或附件會促使受害者在不知情的狀態下做出有悖系統安全、危害服務登錄協議、泄露密碼等可能破壞敏感信息的行為。通常這類郵件會以商務通信的姿態出現，例如法律記錄或者虛假轉賬通知。舉個實例，幾位中型企業的財務主管就收到過來自美國專業會計師認證協會的郵件，要求他們立即填寫附件中的回執表格，否則其認證資格就會被注銷。然而，就在各位主管打開文件的同時，潛伏于其中的惡意程序就瞬間感染了系統，信息竊取木馬就此扎根于企業設備之中。

　　盡管以殺毒軟件為代表的眾多先進安全系統一直在為企業提供保護，但這類軟件依然無法始終實時跟蹤并識別攻擊者所使用的木馬程序。為了對現有防御機制做出適當補充，企業管理者必須利用監控軟件對異常流量、來自其它國家的通信請求以及大規模數據傳輸等情況，這樣也確實能夠有效提高業務安全性。一旦發現此類狀況出現，我們幾乎可以斷定企業已然遭受惡意侵襲，并需要馬上開展進一步調查。

　　“如果大家發現某些流量在自己的業務環境中肆意進出，那么必須馬上做出反應，搶在惡意程序有所行動之前加以防范，”Zscaler公司產品營銷部門主管Kapil Raina指出。

　　6.缺乏補丁更新的軟件

　　供應商一般都會針對自己的軟件產品頻繁發布補丁，但大多數小型企業都沒有及時進行安裝。在眾多可能引發問題的因素當中，由于瀏覽器插件缺乏更新所帶來的安全威脅可以說最為臭名昭著，攻擊者自然也不會放過這一好機會。多年以來，Adobe公司的Flash及Acrobat再加上甲骨文公司的Java都是攻擊者下手的不二選擇。只需花個千八百美元，網絡犯罪分子就能在網上淘換到不錯的攻擊工具包。根據賽門鐵克公司的調查，這類工具能夠借助下載攻擊檢測瀏覽器中的插件，可資利用的安全漏洞往往高達數十種之多。

　　“大家需要制定嚴格的補丁安裝政策，”TeamLogic IT公司的IT部門副總裁Vincent Plaza指出，這是一家專為小企業提供服務的IT供應商。“許多公司為了圖省事會直接開啟Windows更新檢測器，以為這樣就萬事大吉了。”恰恰相反，真正危險的并不是操作系統本身，而是日常工作中經常用到的各類軟件。所以我們必須通過專門的監控工具了解系統中的哪些軟件需要更新，并確保所有程序都在30天之內得到適當的升級。

　　明令禁止員工們使用第三方插件也是個不錯的辦法，但在執行起來可能既不順利也不愉快。“如果大家強迫公司員工避免使用Flash或者Java，那么他們的工作體驗真的會非常糟糕，同時也會對企業抱有怨言，”Raina表示。

　　資源有限是中小企業無法回避的客觀情況，但插件安全絕對不是小事，值得管理者拿出相應的資源認真打理——相信我。

　　7.網站成為惡意軟件集散地

　　小型企業常常會在創建官方網站就扔在那里不管，這種狀況在不涉及電子商務的公司群體中尤其多見。這里我要提醒大家，別以為只作宣傳的網站就不會造成危害，事實上任何疏于管理的企業內部網站都可能受到攻擊者的侵襲。

　　“也許這些網站并不會影響到企業本身，但它們卻與內部服務器緊密相連，”CloudFlare公司的Prince解釋道。“而服務器很可能成為各種惡意軟件的溫床。”

　　單單在美國本土，McAfee公司每天就會檢測出超過九千個新增惡意網站。而根據賽門鐵克公司的諾頓網絡安全服務調查，在這些運行著惡意代碼的網站中，有60%以上都是遭到感染、破壞的合法站點。這些網站并不完全屬于企業，博客及技術社區等其它一些普通站點也是惡意軟件的高發區域。

　　這種狀況會帶來哪些惡果？哈，客戶在訪問您的網站之后慘遭感染，他們還會跟您的企業打交道嗎？

　　“如果大家的網站受到惡意感染，那么所影響到的絕不僅僅是內部員工——而是所有訪問過企業站點并受到感染的客戶。相信我，他們在發現事情的嚴重性后絕不會再與您的企業有任何往來了，”賽門鐵克公司的Haley表示。

　　緊張了？別怕，解決方案在此：定期為網站安裝補丁，或者更進一步，讓托管服務商或者托管應用程序來處理這些工作。McAfee安全公司的產品及賽門鐵克公司的諾頓安全軟件都會定期檢測網站中的安全漏洞，并分析站點是否已經受到惡意感染。CLoudFlare公司及Incapsula公司則會幫助大家把攻擊活動徹底阻擋在自己的網站之外。

　　8.被忽視的陳舊系統

　　很多IT系統都會接入企業內部網絡，但有時候技術團隊會由于人員更替或者年代久遠而忘記了它們的存在。另外，員工也常常會悄悄把自己的計算機、路由器以及移動設備接入內部網絡。這些被忽視的系統很可能沒有及時打上補丁，甚至已經被惡意軟件所占據。

　　在眾多容易被忽視的系統中，有兩種最容易引發安全問題——IP語音系統與視頻會議系統。很多人沒有把這二者視為傳統軟件，因此漏洞檢測及后期維護自然也談不上了，這就等于是為攻擊者提供了一道隨意出入的大門，安全服務供應商Dimension Data公司首席顧問Nick Arvanitis告訴我們。

　　出于“通力協作、坦誠布公”的想法，很多公司會放開這些系統的訪問權，而且根本沒意識到該嚴格將其鎖定，他指出。

　　安全企業Rapid7公司在過去的一年中一直在對互聯網進行掃描，他們最終發現了約五千次針對視頻會議系統安全漏洞的攻擊活動。根據Rapid7公司的評估，以上數據說明互聯網上約有十五萬套系統存在此類漏洞。

　　從自己做起，確保這些系統處于鎖定狀態，同時像其它企業軟件一樣擁有定期更新政策。

　　蘋果Mac設備所使用的OS X系列則是另一類經常被忽視的系統。許多小型企業之所以采用OS X是相信這款小眾系統在安全性方面更加強勁。然而就在去年，針對Mac設備開展的首次大規模攻擊感染了超過60萬臺蘋果電腦。事后經過蘋果公司與殺毒軟件企業的聯合調查，才將這款名為Flashback惡意軟件控制住，阻止了情況的進一步惡化。

　　總而言之，Mac設備并非絕對安全，用戶同樣需要定期安裝補丁，同時運行殺毒軟件。

　　9.移動及無線設備

　　對于大多數中小企業而言，自帶設備辦公趨勢根本就不是啥新鮮事兒。不過正是由于這種輕信的態度，小企業沒有為嚴格控制并管理員工自有設備制定出切實有效的政策，這一點在無線網絡構建方面同樣非常明顯。

　　“幾乎很少有中小企業會將移動設備當成需要嚴肅對待的終端來考慮安全問題，”TeamLogic IT公司的Plaza表示。現在的智能手機與PC機、筆記本電腦與服務器一樣，都會使用獨立的操作系統，自然需要管理者制定有針對性的終端安全管理策略，他解釋稱。

　　目前移動設備中的安全漏洞到底處于何種狀態還沒有定論。谷歌公司最近剛剛發布了一份調查數據，結果顯示在過去一年中，通過在谷歌Play軟件商店(前身為Android Market)遭遇惡意感染的用戶比例已經下降了40%，這要歸功于谷歌公司推出的Bouncer應用程序評估系統。

　　企業Wi-Fi網絡作為移動設備辦公不可或缺的組成部分，過去也一直受到安全風險的威脅。根據安全企業Sophos公司的調查，只有五分之一的企業能夠自信地表示自己的無線網絡安全機制非常完善。

　　許多在設計上能夠有效控制并管理無線網絡及移動設備的軟件方案售價都相當高昂，一般的中小型企業根本無法承受;然而我們仍然能夠想辦法牢牢把握住無線網絡與移動設備的主控權。首先，大家在實際應用中應該選擇那些安全性好的無線方案(例如WPA2、801.11或者VPN)、為網絡訪問設置高強度密碼，同時經常掃描各類接入終端、揪出惡意設備。除此之外，我們還需要制定政策，要求員工為自己的移動設備設置解鎖密碼，并在設備丟失時能夠及時鎖死或清除所保存的內容。

　　10.聲譽損害

　　企業的品牌與聲譽是我們最為珍視的寶貴財富，但黑客的攻擊與輕率魯莽的員工都可能會對這筆財富造成難以估量的破壞。

　　首先，一旦安全體系薄弱的網站受到侵襲、數據遭遇失竊，企業在客戶心目中的形象自然會大打折扣。輕率魯莽的員工隨便登錄社交網站并大放厥詞同樣可能帶來潛在危害。建議大家制定一套社交網絡管理條例，規定哪些員工有資格以官方代表的身份在社交媒體上發表意見并面對公眾。

　　一旦企業的聲譽遭到破壞，我們必須立即組織公共關系團隊進行緊急應對、修復與客戶之間的信任裂痕。萬一遇上聲譽、錢財雙輸的狀況，那可真是賠了夫人又折兵。“花一整天時間為官方網站被攻擊而向客戶道歉當然很不好受，但如果黑客一下子劃走數十萬美元，那么企業將立刻面臨倒閉。”Internet Identity公司CEO Lars Harvey如是說。