温馨提示：文末有瓜
多数企业缺乏网络安全基本要求，近半数不要求复杂密码
近日，安全厂商SpyCloud针对IT安全领导人员就勒索软件威胁感知及自身网络安全防御成熟度做了一次调查分析，发现虽然81%的受访人员认为自身企业网络安全高于平均水平，但很多企业实际缺乏网络安全基本要求。41%的受访企业不要求进行复杂密码管理，仅55.6%的企业采取了多因素身份验证（MFA）。此外，在2020年8月至2021年8月期间，72%的受访企业遭受过勒索软件攻击，其中13%的企业被攻击达6-10次。
报告还显示了另一个重要问题，即企业虽然意识到包括勒索软件在内的安全威胁，把钓鱼邮件列为勒索软件攻击风险最高的载体，但在实际安全行动上比较滞后，密码管理及身份认证等最基本的防御措施都未实行，甚至存在只要进行防御就不会失败，遭到勒索支付赎金即有效的认知误区。所以，想要保护企业网络安全，确实有低成本可行的方式，关键是企业是否将这些应用到实际的安全运营当中。
鉴于执法部门在大力跟踪与追查网络犯罪分子，分析师认为恶意威胁人士在访问泄露数据时会继续使用匿名VPN及代理，从而逃避执法。另外，随着数据泄露情况不断增加，网络犯罪人员将被盗数据进行货币化的途径变多，也导致暗网上针对泄露数据的关注及活动增加。
很多网络犯罪分子之所以非常关注大型零售商，在于希望从大型盈利组织勒索获利，因此拿到该类企业的网络访问权是其首要任务。企业对此需要从多方面加强数据保护，建立完善的备份策略，定期进行数据备份，同时针对日常网络安全漏洞与攻击面进行及时检测与修复。
企业是否被勒索软件攻击可能不受控制，但被勒索软件攻击后是否支付赎金却是一个企业需要考虑的问题。近日，据searchsecurity指出，Gartner相关分析师就该问题进行了讨论。分析师认为，遭到勒索攻击，虽然企业需考虑被攻击范围、勒索赎金数量、网络保险覆盖度以及备份情况，但不应该支付赎金。因为随着勒索软件即服务这种商业模式的进一步成熟，勒索软件团伙背后的操作更加专业化，除非企业没有任何备份，否则支付赎金基本上等于再次对攻击者发出邀请。另外，根据Gartner的数据显示，80%被攻击的组织再次遭受过勒索攻击。
事实上，勒索软件攻击其实可以预防，但很多企业缺少基本的安全防护。此类攻击的载体主要包括网络钓鱼、远程桌面协议（RDP）、凭证滥用及可利用的漏洞，企业可以通过多个层面防止勒索软件攻击，除日常加强员工钓鱼安全防范意识教育、针对关键数据经常备份外，还需定期打补丁、将零信任与终端检测与响应（EDR）等高级防护技术列入日常安全计划中，建立一个纵深防护安全体系。此外，云服务的不断创新与日益完善，也为企业应对勒索软件攻击提供了清晰实用的路径，基于云的文件存储不仅能够更加灵活进行信息共享，同时能够保证企业在遭受攻击后进行取证评估与恢复，避免企业面临生产受阻或者必须支付赎金的情况。
据DarkReading发布的《2021年战略安全调查》报告显示，企业对待安全的态度更加认真。70%的受访者表示受到管道运输公司Colonial Pipeline及肉类加工厂商美国JBS勒索软件攻击事件影响，增加了对于勒索软件的担忧。也有70%的受访者表示自己企业的网络安全人员过于单薄，导致人员精力有限，增加了企业数据的安全风险。
大多数攻击者都是机会主义者，他们会选择有价值且更容易攻击的目标。所以，完善的网络安全策略，能够让企业躲开大多数潜在的攻击。具体而言，一个好的网络安全策略，应该至少包括云安全、VPN与防火墙、定期更新与升级机制、多重数据备份机制、网络资产发现与加固机制、数据与系统访问权限管理、员工安全培训及安全文化打造等不同维度的内容。通过对各个方面进行投资，让企业能够从一种被动防御状态，变为更加积极主动的安全战略，最大限度减少被攻击成功的可能。
报告指出，凭证泄露是数据泄露最常见的原因，同时也是攻击者最常见的初始攻击手段，导致了20%的数据泄露。而在泄露的数据中，姓名、邮件、密码等个人数据是最常见的类型，达到44%。这些数据被攻击者利用后，从而进行其他额外的数据盗取活动。而由于凭证泄露引起的数据泄露，被企业检测到所需要的时间也是最长，达到了250天。对企业而言，数据加密、威胁情报共享、DevsecOps、有效的数据丢失防护策略以及日常人员安全的培训，都是企业应该考虑的有效措施。
本期彩蛋
点击下方名片，关注我们
觉得内容不错，就点下“赞”和“在看”
如果不想错过新的内容推送，可以设为星标哦
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...