Check Point为企业安全支招 为员工漏洞打上“补丁”

在过去的几年中，频发的网络安全事件时刻提醒并警示我们：对网络安全来说，企业员工与技术一样发挥着至关重要的作用。而很多企业往往会忽略人为因素，并没有培训员工或让其参与到安全策略定制或执行中，帮助企业保护敏感信息。其实保护企业网络安全，仅仅依靠投入大量资金部署单个安全硬件是不够的，要防御种类繁多的安全威胁，必须是技术与员工教育双管齐下。

现在，诸如社交工程一样，利用员工进行攻击的黑客技术发展颇为迅速。在过去两年，就有将近半数企业遭遇了25次或更多的攻击，其中载有“鱼叉式网路钓鱼”（spear phishing）透过电子邮件和社交网络传播是最为普遍。每起安全事故带来的损失约为25,000至100,000多美元。

Check Point北亚洲区地区总监梁国贤表示:“造成此种趋势主要有两个因素。首先，对于大多数雇主来说，企业缺少适当的政策方针和员工培训。其二，大量社交媒体平台如雨后春笋般涌现，并且公开了大量个人最新或者其所在公司信息。黑客借此攫取信息创建员工个人资料，然后选定攻击目标并研究攻击企业的切入点，从而提高了成功的可能性。”

一旦成功进入，黑客便利用一系列工具，层层追溯，获取公司高层甚至董事会成员的信息。利用这些信息，访问企业商业敏感数据。但是，这些攻击是如何发生的？黑客又是使用何种方法？

社交网络监控

与从“前门”直接攻入不同，社交工程攻击则需更多技巧和计划。监控是了解潜在“目标”的关键一步，可为黑客提供以下关键问题的答案：

§ 关键员工：谁是企业网络安全的负责人？

§ 安全政策：企业已经制定并执行了哪些执行安全政策？

§ 加密数据流：在非工作时间，对外SSL传输是否允许？

如今收集上述信息比过去容易很多。社交网络和其他在线工具可以提供前所未有的信息来了解、窥探企业和员工的一切，黑客可迅速全面掌握攻击目标的情况。

§ 企业网站和招聘广告中的信息可让黑客更好地了解企业的安全状况，从而帮助攻击者完善其使用工具并发起攻击，从而增加成功的可能性。

§ LinkedIn帮助黑客确定潜在攻击目标，新进员工和供应商最易成为下一个目标。

§ Facebook and Twitter则因可提供个人喜好与兴趣，成为黑客信息来源的金矿，帮助黑客开发出更多可行的攻击。

§ Foursquare等手机服务网，如果用户使用公开网络登陆，就让黑客很容易追踪。

收集信息就这么简单，而这些信息使攻击者攻击企业网络准备一切就绪。

现在的威胁

在企业中选出目标之后，黑客渗透企业网络最常利用的手段主要有以下几点，了解这些将对提高员工意识和教育员工起到至关重要的作用。

§ 恶意附件可能是员工遇到的最常见攻击载体之一，作为“鱼叉式网路钓鱼”的诱饵，一旦被打开，恶意软件便自动装载，典型的文件扩展名为微软文档和PDF。

§ 隐蔽强迫下载（drive-by downloads）经常发生在访问包含代码的恶意网站或者伪造的网站时，它利用访问者浏览器的安全漏洞，在其不知情的情况下安装恶意软件。

§ 零日攻击(zero-day attacks)利用一个或多个未知漏洞进行攻击，例如Stuxnet就利用Windows的4个未知漏洞，提高了目标设备或电脑无防御地被大范围攻击的可能性。

梁国贤表示，上述并非代表所有攻击手段，但是整合这些和其它攻击手段便可以击破企业外部边界，使攻击者直击业务核心。

层层追溯

攻击的目的一般有三种：获得经济获益、竞争优势或报仇。在企业网络中建立立足点之后，黑客就专注于接近预定目标，通常情况下预定目标是高级决策者。最常见方法就是从目标电脑上取得一份文档，透过远程访问终端使其感染病毒，然后将邮件发送至目标电脑并发出转发指令。目标电脑收到来源可靠的附件，文档被打开后，就会被安装病毒，建立后门程序。

不可修补的人为因素

企业员工在安全进程中不可或缺，他们易被误导或进行错误操作而导致感染恶意软件或无意识地造成数据丢失。其实，员工才应该是第一道防线。然而目前，多数企业在安全防护中并未重视用户的参与。

要实现在今天IT环境下所需的保护等级，企业不能仅仅将安全视为一系列不同技术的组合，而应该是一个以用户为核心的商业流程。不断的培训和界定明确的安全政策是教育过程中的关键。

定期让用户参与，有助于帮助用户提升安全意识，从而变得更加警惕。增加对“鱼叉式网路钓鱼”等威胁的了解，将帮助用户预防威胁并在安全事故发生时能及时地补救。

梁国贤总结说，Check Point提倡的“3D 安全”方针就是要协助企业应对此等挑战，这个理念的要点是指出安全保护应该是一个三维的立体商业流程，通过整合安全政策、人员以及到位的执行力，为各个层面提供固若金汤的安全防护。凭着3D安全方针，企业能够掌握及实施一个超越技术层次的安全蓝图，确保得到周全的信息安全。