安全专业人员必须学会的6个硬道理

在安全圈里生活并不容易。安全从业者每时每刻都处于最前线&＃xff0c;不断的与具备耐心和智慧的黑客进行战斗&＃xff0c;并且黑客总是领先一步&＃xff0c;使安全从业者处于被动中。不过&＃xff0c;他们的回报也是巨大的&＃xff0c;安全社区具有极大的行业地位&＃xff0c;安全专业人员所做工作的对于一个企业来说是十分重要的。所以&＃xff0c;安全人员的工资也是IT行业中最高的。

以下是安全从业人员必须学会接受和处理的6个问题。

1.隐藏在网络中的安全威胁

被入侵的公司可分为两种类型&＃xff0c;奇热即已知被黑客入侵的公司和被黑客入侵却尚不知晓的公司。

根据Ponemon研究所的一项研究表明&＃xff0c;平均而言&＃xff0c;公司识别安全漏洞需要花费200天的时间&＃xff0c;也就是说&＃xff0c;攻击者可以在网络中扎根超过六个月之久。

据英国域名注册公司Nominet委托开展的一项调查显示&＃xff0c;将近70%的首席信息安全官报告显示&＃xff0c;他们发现了隐藏在网络上的恶意软件&＃xff0c;有些甚至超过了一年之久。

即使是科技公司也不能幸免。 例如&＃xff0c;Citrix在给加州总检察长的信中说&＃xff0c;黑客从2018年10月至2019年3月在其网络内部删除了可能包含姓名&＃xff0c;社会安全号码和财务信息的文件。

一旦黑客攻破了防御&＃xff0c;他们便可以有条不紊地获得提升凭据和管理员权限&＃xff0c;从而访问存储在公司服务器上的有价值的数据&＃xff0c;并以避免检测的方式秘密地泄露这些数据。甚至在某些情况下&＃xff0c;黑客能够“监听”与公司有关的通信&＃xff0c;因此入侵者可以知道公司正在采取什么应对措施&＃xff0c;从而可以逃避检测。

措施

蜜罐技术或许可以帮助到你的企业&＃xff1a;蜜罐技术本质上是一种对攻击方进行欺骗的技术&＃xff0c;通过布置一些作为诱饵的主机、网络服务或者信息&＃xff0c;诱使攻击方对它们实施攻击&＃xff0c;从而可以对攻击行为进行捕获和分析&＃xff0c;了解攻击方所使用的工具与方法&＃xff0c;推测攻击意图和动机&＃xff0c;能够让防御方清晰地了解他们所面对的安全威胁&＃xff0c;并通过技术和管理手段来增强实际系统的安全防护能力。

蜜罐好比是情报收集系统。蜜罐好像是故意让人攻击的目标&＃xff0c;引诱黑客前来攻击。所以攻击者入侵后&＃xff0c;你就可以知道他是如何得逞的&＃xff0c;随时了解针对服务器发动的最新的攻击和漏洞。还可以通过窃听黑客之间的联系&＃xff0c;收集黑客所用的种种工具&＃xff0c;并且掌握他们的社交网络。

2.没有安全意识的人员可能会毁掉一个企业

对所有员工进行安全意识的培训&＃xff0c;甚至有必要定期发送假冒的钓鱼邮件&＃xff0c;诱使他们去点击恶意链接&＃xff0c;最终希望他们可以从中吸取教训。不过&＃xff0c;这是一项艰巨的任务。

攻击者会不断的发送网络钓鱼攻击&＃xff0c;使整个企业面临风险。

根据Verizon的数据泄露调查报告显示&＃xff0c;所有数据泄露事件中有32&＃xff05;与网络钓鱼有关。当企业调查网络间谍事件的根本原因以及后门的安装和使用时&＃xff0c;78%的案件中都存在网络钓鱼。

根据ProofPoint的《网络钓鱼状况》报告&＃xff0c;83&＃xff05;全球信息安全受访者都遭受过网络钓鱼的攻击。平均每25封电子邮件中就有1封是钓鱼邮件。这些数字令人感到恐慌。

当然&＃xff0c;终端用户也会遭受到其他攻击方式危机安全性&＃xff0c;其中就包括设备的丢失、被盗或成为社会工程骗局的受害者&＃xff0c;在这些威胁和骗局中&＃xff0c;他们会与未经授权的用户共享密码或其他凭据信息。

措施

选择一款第三方的反网络钓鱼软件是个简单快速的解决办法。

3.面临严重的人员配备和技能短缺

根据国际系统安全认证协会&＃xff08;ISC 2&＃xff09;的调查&＃xff0c;36&＃xff05;的网络安全专业人员最关注的问题是缺乏熟练/有经验的员工。ISC 2最新报告敲响了警钟——全球安全行业人才缺口已达400万人&＃xff0c;问题主要存在与亚太地区&＃xff08;260万&＃xff09;。不过&＃xff0c;北美的情况也不容乐视。据估计&＃xff0c;北美地区安全专业人员短缺约为55万人。

在ISC 2调查中&＃xff0c;三分之二的企业表示他们缺乏网络安全人员&＃xff0c;一半以上的企业&＃xff08;51&＃xff05;&＃xff09;表示&＃xff0c;安全人才的短缺使该组织处于中度或高度风险中。

这些发现得到了信息系统安全协会&＃xff08;ISSA&＃xff09;和分析公司Enterprise Strategy Group&＃xff08;ESG&＃xff09;的一项调查的支持。70&＃xff05;的受访者表示&＃xff0c;技能短缺已对其组织造成影响。

措施

专家建议企业应适当放宽安全人员面试时的特定证书或多年经验的严格要求。企业还应尝试培训其他部门的员工。交叉培训非常重要&＃xff0c;安全团队与其他组&＃xff08;例如DevOps或网络&＃xff09;的集成也很重要。如果安全成为每个人工作的一部分&＃xff0c;那么可以减轻安全专业人员的负担。

4.物联网所带来的安全隐患

物联网技术的应用和优势&＃xff0c;在企业和消费者环境中都起到很明显作用&＃xff0c;例如&＃xff1a;3D打印&＃xff0c;VR和AR&＃xff0c;协作机器人&＃xff0c;无人机&＃xff0c;远程传感器&＃xff0c;工业4.0&＃xff0c;自动驾驶汽车&＃xff0c;智能家居&＃xff0c;安全摄像机。 国际数据公司(IDC)的一项新预测&＃xff0c;到2025年&＃xff0c;将有416亿个已连接的IoT设备&＃xff0c;或将产生79.4 ZB&＃xff08;1ZB&＃61;1024 EB&＃xff0c;1EB&＃61;1024PB&＃xff0c;1PB&＃61;1024TB&＃xff0c;1TB&＃61;1024GB……&＃xff09;的数据。

不过&＃xff0c;造成物联网威胁的并不是设备的数量&＃xff0c;而是一些不受保护的设备影响了整个物联网安全。员工是否在智能手表上查阅过公司电子邮件&＃xff1f;是否用工作笔记本电脑连接到家庭安全系统&＃xff1f;当他们在家工作&＃xff0c;并通过VPN进入企业网络时&＃xff0c;是否在企业应用程序和nannycam之间来回切换&＃xff1f;

根据Zscaler对云流量的分析&＃xff0c;基于云的安全提供商在2019年5月每月拦截2000个基于物联网的恶意软件。到2019年底&＃xff0c;这一数字翻了7倍&＃xff0c;达到每月拦截14000个恶意软件。

大多数情况下&＃xff0c;甚至连安全专家可能都不知道某些设备会产生IoT流量&＃xff0c;从而为网络罪犯创建新的基于物联网攻击的载体&＃xff0c;但前提是攻击者知道这些潜在的漏洞。如今&＃xff0c;物联网设备的漏洞不断涌现&＃xff0c;例如摄像头、DVR和家庭路由器等。以2016年的Mirai僵尸网络为例&＃xff0c;攻击者利用消费者很少更改IP摄像机和家庭路由器上的默认密码的习惯&＃xff0c;发动了一次拒绝服务攻击&＃xff0c;破坏了大量互联网设备。

措施

安全专家应该集中精力了解网络中已经存在的未经授权的物联网设备&＃xff0c;将物联网设备放在单独的网络上&＃xff0c;限制从外部网络访问物联网设备&＃xff0c;更改默认凭据&＃xff0c;设置强密码&＃xff0c;以及应用定期的安全和固件更新。

5.安全性得不到重视

安全团队通常在以下几个方面遇到问题&＃xff1a;

· 资金&＃xff1a;公司自然希望降低运营成本&＃xff0c;提高利润&＃xff0c;创造新的收入来源&＃xff0c;在注重创新并提高客户满意度的领域进行投资。安全常常被视为一项无法收到回报的开支&＃xff0c;因此安全预算无法支持企业与威胁状况对抗。

· 高管支持&＃xff1a;公司的最高级别领导人&＃xff0c;可能无法完全理解安全威胁的严重性。一些公司的董事会中可能会有精通安全的高管&＃xff0c;但大多数公司是没有的&＃xff0c;所以企业的安全性一直得不到重视。

业务部门合作&＃xff1a;工作中业务部门所需要的通常会和安全性相互冲突&＃xff0c;他们会对安全性的建设视为阻碍因素。这可能导致有些时候各部门会绕过IT部门自行操作&＃xff0c;这当然也会造成其他的安全问题。

员工的抵制&＃xff1a;员工经常会将可保障安全性的操作&＃xff08;例如频繁的密码重置&＃xff0c;两因素身份验证或其他标准安全性做法&＃xff09;视为麻烦的工作&＃xff0c;并可能会忽略安全性的维护。

措施

安全专业人员应齐心协力&＃xff0c;深入业务部门的各个角落&＃xff0c;架起桥梁&＃xff0c;建立学科的团队协作&＃xff0c;并传达出以下信息&＃xff1a;安全是每个人的责任&＃xff0c;应该嵌入到每个业务流程中。

6.压力&＃xff0c;焦虑和倦怠

安全人员的工作并没有想象中的那么简单&＃xff0c;回顾上述的所有问题&＃xff0c;你会觉得亚历山大。根据Ponemon研究所的说法&＃xff0c;有65&＃xff05;的SOC专业人员表示感觉压力太大&＃xff0c;可能会考虑换一份工作。

在Nominet调查中&＃xff0c;有91&＃xff05;的CISO表示他们承受的压力较大&＃xff0c;另有60&＃xff05;的CISO表示很少休息。更令人不安的是&＃xff0c;接受调查的四分之一的CISO认为这份工作对他们的心理、身体健康以及个人和家庭关系有影响。

高倦怠率会导致高离职率&＃xff0c;从而加剧行业人才和技能的流失&＃xff0c;这是个恶性循环&＃xff0c;会使得安全专业人员的生活更加艰难。

措施

这个问题没有那么好解决。安全从业人员需要敞开心扉&＃xff0c;经常与同事或家人聊聊&＃xff0c;从而减轻自己的压力&＃xff0c;并要好好的改善和调整目前工作与生活的平衡。