压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

網(wǎng)絡(luò)安全事件的發(fā)生，往往意味著一家企業(yè)的生產(chǎn)經(jīng)營活動受到影響，甚至數(shù)據(jù)資產(chǎn)遭到泄露。日益復(fù)雜的威脅形勢使現(xiàn)代企業(yè)面臨更大的網(wǎng)絡(luò)安全風(fēng)險。因此，企業(yè)必須提前準(zhǔn)備好響應(yīng)網(wǎng)絡(luò)安全事件的措施，并制定流程清晰、目標(biāo)明確的事件響應(yīng)計劃。為了讓企業(yè)能夠有效地識別各種常見的網(wǎng)絡(luò)安全事件，減小破壞損失，并降低響應(yīng)的成本，本文將對網(wǎng)絡(luò)安全攻擊的發(fā)現(xiàn)、網(wǎng)絡(luò)攻擊的途徑、網(wǎng)絡(luò)攻擊的手法、網(wǎng)絡(luò)攻擊防護建議以及如何制定應(yīng)急響應(yīng)計劃等進行分析和介紹。

如何發(fā)現(xiàn)網(wǎng)絡(luò)安全事件？

現(xiàn)代企業(yè)遭遇數(shù)據(jù)泄露、勒索攻擊的新聞屢見不鮮，但由于企業(yè)往往不能第一時間掌握網(wǎng)絡(luò)攻擊的跡象，因此還有更多的安全事件沒有被發(fā)現(xiàn)。

以下是企業(yè)快速發(fā)現(xiàn)安全事件的一些方法：

• 特權(quán)用戶賬戶的異常行為。控制特權(quán)用戶賬戶是網(wǎng)絡(luò)攻擊事件的重要步驟，一旦特權(quán)賬戶出現(xiàn)異常狀況，極有可能表明有人在惡意利用該賬戶試圖進入企業(yè)的網(wǎng)絡(luò)和系統(tǒng)；
• 未經(jīng)授權(quán)訪問服務(wù)器和數(shù)據(jù)。許多內(nèi)部人員會嘗試究竟可以訪問哪些系統(tǒng)和數(shù)據(jù)。危險信號包括未經(jīng)授權(quán)的用戶試圖訪問服務(wù)器和數(shù)據(jù)，請求訪問與工作無關(guān)的數(shù)據(jù)，在異常時間從異常位置訪問系統(tǒng)，以及在短時間內(nèi)從多個不同位置登錄系統(tǒng)；
• 出站網(wǎng)絡(luò)流量異常。企業(yè)要關(guān)注的不僅僅是進入網(wǎng)絡(luò)的流量，還應(yīng)該監(jiān)測離開企業(yè)邊界的流量。這可能包括惡意人員人員正在外發(fā)大量的企業(yè)數(shù)據(jù)；
• 來源或去向異常的網(wǎng)絡(luò)流量。對于企業(yè)組織來說，其網(wǎng)絡(luò)應(yīng)用流量都是有一定規(guī)律的，一旦出現(xiàn)來源或去向異常的流量，可能表明是惡意網(wǎng)絡(luò)活動引發(fā)。管理員應(yīng)及時調(diào)查發(fā)送到未知網(wǎng)絡(luò)的流量，以確保是合法流量；
• 資源過度消費。服務(wù)器內(nèi)存或存儲空間的使用量增加也意味著有攻擊者可能在非法訪問網(wǎng)絡(luò)系統(tǒng)；
• 系統(tǒng)配置更改。未經(jīng)批準(zhǔn)的配置更改表明可能存在惡意活動，?包括重新配置服務(wù)、安裝啟動程序或更改防火墻，添加的額外計劃任務(wù)也是如此；
• 隱藏的文件。通過文件名、大小或位置的判斷，一些突然出現(xiàn)的隱藏文件很可能是可疑的惡意文件，很有可能會導(dǎo)致數(shù)據(jù)或日志信息泄露；
• 異常瀏覽行為。這些異常行為包括意外的重定向、瀏覽器配置變化或重復(fù)的彈出窗口等；
• 異常的注冊表修改。這種情況主要發(fā)生在惡意軟件感染操作系統(tǒng)后，這也是惡意軟件確保其留在受感染系統(tǒng)中的主要方式之一。

網(wǎng)絡(luò)攻擊的常用途徑

攻擊途徑是指攻擊者用來訪問計算機或網(wǎng)絡(luò)服務(wù)器、投放攻擊載荷或?qū)崿F(xiàn)惡意訪問的路徑或手段，主要包括病毒、郵件附件、網(wǎng)頁、彈出窗口、即時消息、聊天室和欺騙等。這些方法會涉及軟件應(yīng)用、硬件設(shè)備以及社會工程欺騙等。

在企業(yè)網(wǎng)絡(luò)安全事件應(yīng)用響應(yīng)中，首先應(yīng)該要妥善處理使用常見攻擊途徑的事件，包括如下：

• 外部/可移動介質(zhì)。網(wǎng)絡(luò)攻擊會從磁盤、閃驅(qū)或USB外圍設(shè)備等可移動介質(zhì)來執(zhí)行；
• 暴力消磨。這種攻擊使用暴力方法來攻擊、削弱或破壞網(wǎng)絡(luò)、系統(tǒng)或服務(wù)；
• Web攻擊。攻擊會從網(wǎng)站或基于Web的應(yīng)用程序來執(zhí)行；
• 電子郵件攻擊。攻擊通過電子郵件或其附件來發(fā)起，攻擊者引誘收件人點擊惡意鏈接、進入受感染的網(wǎng)站，或者打開受感染的附件；
• 不當(dāng)使用。這種類型的事件源于授權(quán)的用戶違反了企業(yè)的可接受使用政策；
• 無意識下載。用戶瀏覽觸發(fā)惡意軟件下載的網(wǎng)站，這可能在用戶不知情的情況下發(fā)生。無意識下載利用了Web瀏覽器中的漏洞，使用JavaScript及其他瀏覽功能注入惡意代碼；
• 基于廣告的惡意軟件。這種攻擊通過嵌入在網(wǎng)站廣告中的惡意軟件來執(zhí)行。僅僅查看惡意廣告就可能將惡意代碼注入到不安全的設(shè)備中。此外，惡意廣告還可以直接嵌入到受信任的應(yīng)用程序中，并通過它們來投放；
• 鼠標(biāo)懸停。這利用了PowerPoint等知名軟件中的漏洞。當(dāng)用戶將鼠標(biāo)懸停在鏈接上而不是點擊鏈接以查看去向時，shell腳本可以自動啟動；
• 恐嚇軟件。通過恐嚇用戶來說服用戶購買和下載危險的軟件，如果用戶下載了該軟件并允許程序執(zhí)行，系統(tǒng)就會被感染。

網(wǎng)絡(luò)攻擊的手法和目的

雖然企業(yè)永遠無法確定攻擊者會通過哪條路徑進入網(wǎng)絡(luò)，但可以總結(jié)了解一些有共性的常用攻擊方法，在每個攻擊階段中，攻擊者都會有一些特定的實現(xiàn)目標(biāo)。安全行業(yè)將這種方法名為網(wǎng)絡(luò)殺傷鏈（Cyber Kill Chain）。現(xiàn)代網(wǎng)絡(luò)攻擊通常分為以下幾個階段：

• 偵察（識別目標(biāo)）。攻擊者從企業(yè)外面評估目標(biāo)，以識別使他能夠是實現(xiàn)的目標(biāo)。攻擊者的目標(biāo)是找到那些幾乎沒有保護措施或存在漏洞的信息系統(tǒng)，進而實現(xiàn)非法的訪問；
• 武器化（準(zhǔn)備行動）。在這個階段，攻擊者會創(chuàng)建專門設(shè)計的惡意軟件。攻擊者根據(jù)在前一階段收集而來的情報，定制工具，以滿足攻擊目標(biāo)網(wǎng)絡(luò)的特定需求；
• 投放載荷（實施行動）。攻擊者會通過多種入侵方法向目標(biāo)發(fā)送惡意軟件，比如釣魚郵件、中間人攻擊或水坑攻擊；
• 利用（闖入系統(tǒng)）。威脅分子利用漏洞訪問目標(biāo)的網(wǎng)絡(luò)；一旦黑客侵入了網(wǎng)絡(luò)，他就會安裝持久性的后門植入程序，以便在較長時間內(nèi)自由訪問；
• 指揮和控制（遠程控制植入程序）。惡意軟件打開一條指揮通道，使攻擊者能夠通過網(wǎng)絡(luò)遠程操縱目標(biāo)的系統(tǒng)和設(shè)備。然后，黑客可以從管理員手中獲取整個系統(tǒng)的控制權(quán)；
• 行動（達到任務(wù)的目的）。鑒于攻擊者已掌握了目標(biāo)系統(tǒng)的指揮和控制權(quán)，接下來發(fā)生什么完全取決于攻擊者，他們可能破壞或竊取數(shù)據(jù)、毀壞系統(tǒng)或索要贖金等。

網(wǎng)絡(luò)安全事件的防護

多種類型的網(wǎng)絡(luò)安全攻擊都可能導(dǎo)致企業(yè)網(wǎng)絡(luò)安全事件的發(fā)生，企業(yè)必須要提前對此做好應(yīng)對準(zhǔn)備：

01

未經(jīng)授權(quán)的訪問

為了防止威脅分子使用授權(quán)用戶的賬戶訪問系統(tǒng)或數(shù)據(jù)，企業(yè)應(yīng)實施完善的身份驗證保護。企業(yè)應(yīng)該要求用戶提供除密碼之外的第二種身份信息比對。此外，應(yīng)該使用合適的軟硬件技術(shù)對公司的敏感數(shù)據(jù)進行加密，讓攻擊者難以訪問機密數(shù)據(jù)。

02

特權(quán)升級攻擊

攻擊者經(jīng)常使用一些特權(quán)升級漏洞，以獲取更高級別的權(quán)限。一旦特權(quán)升級攻擊得逞，威脅分子就能獲得普通用戶沒有的特權(quán)。為了降低特權(quán)升級的風(fēng)險，企業(yè)應(yīng)定期在IT環(huán)境中尋找并修復(fù)安全薄弱環(huán)節(jié)企業(yè)還應(yīng)該遵循最小特權(quán)原則，即將用戶的訪問權(quán)限制在他們完成工作所需的最低權(quán)限，并實施安全監(jiān)控。

03

內(nèi)部威脅

這是指企業(yè)的安全或數(shù)據(jù)面臨的惡意或意外威脅，通常歸因于員工、前員工或第三方，包括承包商、臨時工或客戶。為發(fā)現(xiàn)和防止內(nèi)部威脅，企業(yè)應(yīng)實施員工異常行為監(jiān)控管理，通過識別粗心、不滿或惡意的內(nèi)部人員，降低數(shù)據(jù)泄露和知識產(chǎn)權(quán)被盜的風(fēng)險。

04

釣魚攻擊

在釣魚攻擊中，攻擊者使用釣魚郵件分發(fā)執(zhí)行各種功能的惡意鏈接或附件，包括提取受害者的登錄憑據(jù)或賬戶信息。一種更有針對性的釣魚攻擊名為魚叉式網(wǎng)絡(luò)釣魚：攻擊者花時間研究受害者，以實施更成功的攻擊。有效防御釣魚攻擊始于教育用戶識別釣魚郵件。此外，網(wǎng)關(guān)郵件過濾器可以誘捕許多廣撒網(wǎng)的釣魚郵件，并減少到達用戶收件箱的釣魚郵件數(shù)量。

05

惡意軟件攻擊

惡意軟件包括木馬、蠕蟲、勒索軟件、廣告軟件、間諜軟件和各種類型的病毒。惡意軟件的跡象包括不尋常的系統(tǒng)活動，比如磁盤空間突然丟失、速度異常慢、反復(fù)崩潰或死機以及彈出廣告。安裝防病毒工具可以檢測和刪除惡意軟件。這類工具可以提供實時保護，或者通過執(zhí)行常規(guī)系統(tǒng)掃描來檢測和刪除惡意軟件。

06

拒絕服務(wù)（DoS）攻擊

DoS攻擊為此采取的手段是向目標(biāo)發(fā)送龐大流量或發(fā)送觸發(fā)崩潰的某些信息。企業(yè)通常可以通過重新配置防火墻、路由器和服務(wù)器來阻止惡意虛假流量。此外，整合到網(wǎng)絡(luò)中的應(yīng)用交付設(shè)備有助于分析和篩查數(shù)據(jù)包，即在數(shù)據(jù)包進入系統(tǒng)時將數(shù)據(jù)分類成優(yōu)先數(shù)據(jù)、常規(guī)數(shù)據(jù)或危險數(shù)據(jù)，并對有威脅的數(shù)據(jù)進行阻斷。

07

中間人（MitM）攻擊

中間人攻擊指攻擊者秘密攔截并篡改通信雙方之間發(fā)送的消息，以獲得數(shù)據(jù)訪問權(quán)。MitM攻擊的例子包括會話劫持、郵件劫持和Wi-Fi竊聽。雖然很難檢測到MitM攻擊，但企業(yè)可以采用TLS（傳輸層安全）加密協(xié)議，這種協(xié)議可以在兩個通信的計算機應(yīng)用程序之間提供身份驗證、隱私和數(shù)據(jù)完整性。企業(yè)還應(yīng)該向員工闡明使用公共Wi-Fi帶來的危險，并留意瀏覽器發(fā)出的異常威脅警告。

08

密碼攻擊

這種攻擊旨在獲取用戶密碼或賬戶密碼，包括密碼破解程序、字典攻擊、密碼嗅探器或通過暴力破解等方法。為了防護密碼攻擊，企業(yè)應(yīng)采用多因素身份驗證來驗證用戶。此外，用戶應(yīng)使用強密碼，并定期更改密碼。同時，企業(yè)還應(yīng)對存儲在安全存儲庫中的密碼進行加密。

09

Web應(yīng)用程序攻擊

Web應(yīng)用程序也是一條經(jīng)常被利用的攻擊途徑，包括利用應(yīng)用程序中的代碼漏洞以及身份驗證欺騙機制。企業(yè)需要在應(yīng)用系統(tǒng)開發(fā)階段的早期審查代碼以發(fā)現(xiàn)漏洞，靜態(tài)和動態(tài)代碼掃描器可以自動檢查這些漏洞。此外，實施機器人程序檢測功能，可以防止機器人程序非法訪問應(yīng)用程序的數(shù)據(jù)。而Web應(yīng)用防火墻可以幫助企業(yè)監(jiān)控網(wǎng)絡(luò)，并阻止?jié)撛诘墓簟?/p>

10

高級持續(xù)性威脅（APT）

APT是一種長期的、有針對性的網(wǎng)絡(luò)攻擊，在這種攻擊中，入侵者獲得對網(wǎng)絡(luò)的訪問權(quán)，并在長時間內(nèi)不被發(fā)現(xiàn)。APT的目的通常是監(jiān)控網(wǎng)絡(luò)活動并竊取數(shù)據(jù)，而不是對網(wǎng)絡(luò)或企業(yè)搞破壞。監(jiān)控進出流量可以幫助企業(yè)防止黑客安裝后門、提取敏感數(shù)據(jù)。企業(yè)還應(yīng)該在網(wǎng)絡(luò)邊緣安裝Web應(yīng)用防火墻，這有助于過濾掉常常在APT滲透階段使用的應(yīng)用層攻擊，比如SQL注入攻擊。

提升安全響應(yīng)能力的建議

企業(yè)不能在安全事件發(fā)生時才被動響應(yīng)，因此許多企業(yè)都已經(jīng)制定了安全事件響應(yīng)的策略和計劃，但隨著網(wǎng)絡(luò)威脅形勢的不斷變化，需要定期對其進行調(diào)整和優(yōu)化改進。

01

建立定期的事件響應(yīng)溝通機制

當(dāng)網(wǎng)絡(luò)安全事件發(fā)生時，不知道從何處入手可能會加劇攻擊的損害后果。當(dāng)需要制定或啟動計劃時，每個參與人員都必須準(zhǔn)確地知道自己該做什么。為確保每個人都能保持同步，使用清晰的溝通機制，提高每個安全事件響應(yīng)團隊成員對自身角色和責(zé)任的認識至關(guān)重要。當(dāng)然，這還遠遠不夠，為了讓安全事件響應(yīng)計劃能夠順利進行，每個人還必須知道其他人都在做什么，以及誰是每個工作小組的關(guān)鍵聯(lián)系人。

02

持續(xù)優(yōu)化安全事件響應(yīng)計劃

安全事件響應(yīng)計劃創(chuàng)建后，不代表可以一勞永逸了，應(yīng)該定期進行評估和審核。這一點在當(dāng)今技術(shù)和相應(yīng)的信息系統(tǒng)快速發(fā)展和變化的環(huán)境中尤為重要。安全事件響應(yīng)計劃必須定期修訂，尤其是在公司不斷成長的情況下。安全事件響應(yīng)計劃需足夠健壯，同時還需足夠靈活，企業(yè)應(yīng)經(jīng)常審查并更新事件響應(yīng)計劃。

03

主動測試計劃的有效性

企業(yè)不能在安全事件發(fā)生時才發(fā)現(xiàn)目前的響應(yīng)計劃缺陷，因此必須主動測試計劃的有效性。更重要的是，如果有足夠的練習(xí)，那些負責(zé)執(zhí)行該計劃的人會更容易做到這一點。事件響應(yīng)計劃壓力測試應(yīng)涉及到公司每一個人，這樣可以保持事件響應(yīng)計劃能夠不斷更新，并適應(yīng)企業(yè)數(shù)字化業(yè)務(wù)發(fā)展的需求，同時還有助于發(fā)現(xiàn)并修復(fù)業(yè)務(wù)部門存在的安全風(fēng)險隱患。

04

定期開展企業(yè)安全狀況審查

可靠的安全事件響應(yīng)計劃還需要健康的安全習(xí)慣。定期開展安全狀況審查將使事件響應(yīng)工作更加有效，并有助于降低事故發(fā)生的風(fēng)險。常見的審查工作應(yīng)包括更改密碼、更新和輪換密鑰、審查訪問級別以及檢查舊員工賬戶或威脅者創(chuàng)建的賬戶。

05

重視安全事件響應(yīng)培訓(xùn)

缺乏培訓(xùn)可能會導(dǎo)致事件響應(yīng)計劃不能正確的執(zhí)行和落地。企業(yè)應(yīng)該將安全事件響應(yīng)培訓(xùn)作為優(yōu)先事項并相應(yīng)地賦予預(yù)算。培訓(xùn)內(nèi)容應(yīng)該包括討論各種被攻擊的威脅場景和響應(yīng)行動的練習(xí)。通過安全培訓(xùn)可以讓每個人知道他們的職責(zé)是什么，還可以讓團隊成員之間的知識更好共享。

參考鏈接：

https://www.techtarget.com/searchsecurity/feature/10-types-of-security-incidents-and-how-to-handle-them