8 个最容易被忽视的安全威胁

企业只会注意到明显的安全威胁,对于一些不明显的危险可能会被忽视。

恶意广告

Malwarebytes首席恶意软件情报分析师Jerome Segura表示,在过去一年的时间里,虽然恶意广告已逐渐消失。对于新的目标群体而言它仍然是一种威胁。

攻击者之前将恶意软件作为攻击目标指向知名媒体网站,这些攻击引起很多关注。现在,他们开始转向流量较小知名度较低的品牌:例如,外国网站和文件共享网站。

Segura:“通常,那些人不会像知名网站那样关心访客。恶意广告常常被忽略。”

攻击者主要依靠恶意广告来获取收入,同时也收集身份或安装恶意软件到计算机中,方便后期将计算机添加到僵尸网络中。并且投资者比管理网站的负责人更容易忽视恶意广告。

SiteLock的WordPress推广人员Logan Kipp解释道:“一个没有全程参与项目的人。他们通常会忽略恶意广告,这些广告看起来像是正常的。除非他们知道查看源代码,否则它就不会被人怀疑。

每天维护应用程序的工作人员注意到这些问题。企业可以通过打补丁系统和使用广告拦截器来减少恶意攻击。

物联网

SentinelOne安全战略负责人耶利米·格罗斯曼(Jeremiah Grossman)表示:“如果有任何东西在关注之下,那就是人们认为不是物联网设备的物联网设备。”

当许多人想到物联网设备时,他们就会想到智能配件或联网设备。这不一定是所有小型设备。例如:Target在2013年的漏洞,该漏洞始于HVAC系统的渗透。

也就是说,企业还没有意识到关键基础架构之外的新型IoT设备如何使它们面临风险。

64%的美国人在家中工作,例如,他们的冰箱被黑客入侵,可能会使企业数据面临风险。大多数人没有意识到这一风险,并且没有适当地保护他们的家庭网络,但这个问题可能影响到企业安全。

如果您的冰箱是可入侵的,并且与笔记本电脑一起在您的网络中,那么笔记本将面临危险。企业知道要保护关键基础设施,但他们很少关注联网的家用电器,婴儿监视器和门锁的安全性。

物联网安全性问题制造商并不提供长期支持,从而使安全存在巨大隐患。从制造商角度来说,在十年内停产是更有利企业效益的,因为更换硬件的成本非常高。

不良的加密做法

企业并没有忽略加密,但是他们忽略了正确的加密做法。大多数人已经掌握了传输中数据的加密,但是无法保护静态数据,也无法充分发挥加密作用。

如果我们没有适当的密钥控制和身份访问管理,加密就没有了保证。身份验证和数据管理的崩溃使信息面临风险。

不严谨的密钥管理降低攻击者的门槛。许多企业将加密密钥与数据存储在同一系统上,并将密钥提供给许多员工。当每个人都可以使用钥匙时,就像没有被锁定一样。

内存攻击

内存攻击占到20%~30%。攻击者通过使受害者从恶意文档或受感染网页上启动恶意软件。

但无文件攻击是很难捕获的威胁,因为磁盘上没有踪迹。内存中的攻击是非常隐秘的,被捕获的可能性很小。重新启动计算机后,攻击就消失了。

当攻击目标是消费者和企业时,无文件攻击在计算机中占用很小的内存,这是一个非常有针对性的攻击媒介。

企业可以通过在不需要端点或禁用宏,来防御内存中的攻击。但并不是应对所有内存攻击都有效。

开源小程序

BluVector首席执行官Kris Lovejoy说:“几年前,当我们构建一个应用程序时,我们就想到了。写程序人员可能是几乎没有安全经验的第三方代理,他们可能跳过过去使用的检查点和测试。

开发人员在不安全的开发环境中使用可能有害的工具来构建和测试应用程序。攻击者可以将仍在生产中的应用作为目标,甚至非关键的app成为获取更敏感信息的网关。

当今的开发人员使用框架和小部件创建应用程序。他们喜欢的开源工具,其中许多组件是由威胁参与者构建的。他们中的许多人正在寻找后门以窃取员工信息。

尽管开发人员不一定需要安全培训,但应与安全团队合作以确保安全性。

“Evil maid”攻击

随着越来越多的人将未加密的公司设备带到家庭办公室,咖啡馆,酒店,机场和其他Internet连接的地方,这些增加了遭受攻击的风险。将笔记本电脑放在无人看管的地方,可能有人会使用它。

当攻击者可以物理访问个人计算机时,除非具有完善的硬盘驱动器加密功能,否则计算机将处于危险中。例如,“”Evil maid”攻击目标机器,窃取信息或安装恶意软件。这种攻击不会被人发觉,因为计算机并未被盗。

商务旅行还有面临更多安全风险。例如:从会议厅或酒店商务中心的计算机登录电子邮件帐户。在这个过程中输入的信息将会被记录下来。

移动设备中的数据

越来越多的人依靠移动设备完成工作,但是企业并未采取措施保护这些数据。越来越多的构成了威胁。

我们正进入笔记本电脑风行一时的时代。人们正在使用智能手机,平板电脑……在这些设备上访问大量数据,但这些数据的存储方式并不像笔记本电脑那样。要确保用户将数据存储在正确的位置而不是在其个人iCloud帐户中,必须进行很多配置管理。

不仅企业数据面临风险,许多终端用户对于移交社交信息也不会三思而后行。用户所有数据都会面临泄露风险。

员工缺乏安全意识

缺乏个人隐私和对数据安全性的理解不仅是业务上的一个威胁,而且是整个社会所忽略的威胁。

安全通常被认为是技术问题,而不是企业中每个人的问题。学生从小就沉迷于技术,但是直到他们工作之后,才首次接触网络安全实践。

我们需要尽早进行安全培训,帮助人们了解数据的泛滥程度。以及如果不保证数据安全,会对您的个人生活产生的什么影响。

与更了解风险的高管相比,黑客针对的对象是能够访问敏感信息但安全知识较弱的员工。所以加强对非技术员工的安全意识培训是必要的。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!