一隻手放在筆記型電腦的鍵盤和滑鼠墊上,正在輸入使用者名和密碼以進行登入

網路安全 – 如何在 2022 年及早做好準備

在 2022 年,也要如同往年一樣,為網路安全及早做好準備。隨著針對資料外洩的最新罰則開始施行,資料安全已成為攸關企業存亡的重大議題。疫情帶來的挑戰致使企業逐漸轉向混合辦公模式,也迫使資安主管在調整政策和協議以因應全新環境時,必須多方設想周到。

為了瞭解如何及時應對日益增長的威脅,我們邀請 #KingstonCognate 專家舉辦了一場 Twitter 問答活動。 Sally Eaves 教授擔任主持人。此外,這場活動也邀請了 Kingston 專家社群的成員出席,與大家分享一些寶貴的見解,以及對於來年的預測。

持續演進的網路威脅:發生的形式、原因及場域

隨著全球企業逐漸轉向遠端辦公模式,加上個別網路上的使用者裝置驟增,安全威脅的緊張形勢也在一夜之間大幅加劇。此外,網路威脅的範圍擴大加上伴隨而來的相關風險,也讓有心人士有機會利用無數新的攻擊管道,透過最新發現的漏洞發動攻擊:

此外,Sally Eaves (@sallyeaves) 教授也觀察到:「對於資安即服務的需求也正在日益高漲。舉例來說,攻擊者每完成一件任務,便可領到 $250 美元的報酬 (甚至更高);阻斷服務攻擊的價碼則為每個月 $311 美元左右,依此類推。由此可見,網路犯罪的經濟規模正在快速增長。」

隨著威脅數量增加,網路攻擊的頻率及複雜度也正在與日俱增。但這些轉變從何而來?「勒索軟體、身分盜用、社交工程和關鍵基礎設施故障,皆是因應數位時代而生的網路犯罪模式,因為人類的行為及互動日益受到科技的影響。」Giuliano Liguori (@ingliguori) 說。

其中最明顯的一項轉變,或許在於任何規模大小的公司都可能淪為攻擊目標。回首昔日,只有企業網路這樣的大魚才會成為攻擊者的目標。反觀今日,每個人都可能淪為受害者。

Bill Mew (@BillMew) 認為:「這將是一場長期的網路安全軍備戰,因為雙方都在使用人工智慧及其他先進技術。白帽研究員運用這些技術來偵測並修補漏洞,黑帽駭客則藉助這些技術找出漏洞,並加以利用。」

資訊安全長為何徹夜難眠?

一位男士在夜間工作時,在辦公室內使用自己的筆記型電腦和手機

Sally Eaves 教授指出,威脅行為者正在持續變換策略,而這可說是一大隱憂。以勒索軟體為例:「我預測攻擊者可能不會再將公司資料加密用以勒索,而是改採要脅公布資料的做法,迫使客戶在支付贖金或監管罰鍰之間做出選擇。類似這樣的轉變特別值得我們深究。唯一不變的就是變化 - 用這句話來形容現況,可說是再貼切也不過。」

資訊安全長面臨的另一項挑戰,在於如何評估人為風險。不幸的是,相較於投資實體設備,針對安全意識、培訓及企業文化進行投資的效益較不明顯,也讓風險管理的量化變得更加不易。

此外,隨著企業投入的資源日益無法防範針對韌體發動的網路安全攻擊,究竟需要投入多少經費和資源來防範威脅,已成為企業必須面對的另一個課題。「資訊安全長若是發現,能讓他們做好資安工作的資源竟是如此匱乏,恐將對於各種可能發生的突發狀況備感憂心。還有些人則擔心,個別員工的「社交」行為一旦遭駭,即有可能搖身一變成為來自公司內部的威脅。」Rafael Bloom (@RafiBloom73) 說。

歸根結柢,企業必須從員工教育著手,才能打好網路防護的基礎,及時因應各種最新變化。然而,企業似乎總是不會將員工教育經費用在對的地方,或是對於防範威脅真正至關重要的領域或角色上。Ellie Hurst (@Advent_IM_Comms) 根據自身經驗指出:「企業總是將大部分的預算用在技術上,但我們知道資料外洩往往是由行為引起的。」

在強化網路安全的領域踏出重要的第一步

Sally Eaves 教授指出,Sally Eaves 教授指出,強化網路安全的關鍵在於「打好基礎」,而需要採取的行動包括「如實稽核、提升監控能力、減少資料誤差及複雜性,並強化因應攻擊的應變能力。畢竟,只要維持良好的網路衛生習慣,便已能抵禦 98% 的攻擊。」

Bill Mew 接著補充,除了培養良好的網路衛生習慣,「打好基礎」的必要行動還包括:「1.培訓和安全意識 - 特別是針對網路釣魚。2.多因素驗證 (MFA)。3.網路安全必需品,例如修補程式、防毒軟體和防火牆。」

Sarah Janes (@SarahkJanes) 提醒我們:「中央必須提供更多支援。除了經費以外,中央還必須指派技術人員推動必要的變革,並與企業進行一對一的合作。」

定期套用更新和修補程式、頒布密碼複雜度原則,以及封鎖非必要的防火牆連接埠,皆是有助於提升安全性的措施。此外,Neil Cattermull (@NeilCattermull) 認為,「資料映射及監控」是強化網路安全的一大要素。他提出的建議是,定期刪除非必要的儲存資料、資料輕量化加上設定存取權限制,以及制訂明確的資料保留政策,皆有助於進一步保護企業的敏感資訊。「時至如今,我們必須假設每個資料接觸點都需要保護。因為稍有不慎,任何一個接觸點都可能成為駭客入侵的漏洞!」

無論您在提升網路安全的過程中處於哪一個階段,Kate Sukhanova (@ThisIsKateS) 建議每個企業都應該「從系統和產品的設計階段就開始重視網路安全,而不要等到事後才來補強。」而隨著中小企業的數位生態系統越來越常淪為網路攻擊的目標,Giuliano Liguori 做出以下補充:「想要打造一個應變能力更強的生態系統,關鍵就在於協同合作及夥伴關係。」

端點網路安全的重要性

對任何組織的網路安全健康來說,端點安全防護都扮演著高度重要的角色。一開始應先將重點放在資料遺失防護上,也就是查看您的員工儲存在本機裝置上的資料。加密型 USB 隨身碟能為敏感資料的儲存及傳輸做好安全把關,因此可以在此階段發揮重大功效。

Roland Broch (@rolandbroch) 建議:「所有端點裝置皆應依照預先定義的理想安全層級,遵守對應的相關規定,以及公司的合規性要求。」任何一部從防火牆外部連線至 IT 部門的裝置都是端點,也都可能淪為攻擊目標,因此全都需要妥善保護及管理。Elena Carstoiu (@elenacarstoiu) 強調:「現今的商業環境允許員工上班時使用自攜裝置 (BYOD),並使用同一部裝置隨機連接各個 Wi-Fi 網路、甚至出入各種使用場合,因此端點安全防護變得格外重要」。端點偵測與回應 (EDR) 是一個正在發展中的領域;對於端點安全解決方案的需求量十分可觀,這可能是拜傳統的中控管理企業網路不斷擴張所賜。然而,當操作端點的使用者成為網路「最脆弱的環節」時,您又該如何拿捏好控管的嚴格程度?「防控過於嚴格,可能導致生產力下降;過於開放,又等於是在邀請駭客登門拜訪!」Nigel Tozer (@NigelTozer) 表示。

所以,到底怎麼做才是對的?

Kate Sukhanova 認為:「加密是企業應預設使用的功能 - 但加密本身對於社交工程的防禦能力近乎於零,因此務必得搭配零信任機制。」值此同時,新興科技也開始登場獻技。「Android 和 iOS 等作業系統現在皆已配備端點保護功能,例如生物特徵 ID、密碼管理,以及多因素身份驗證支援等。」Rafael Bloom 在觀察後指出。有些端點保護平台則使用精密複雜的方法 (例如機器學習) 來自動執行安全調查。

如果企業將上述所有因素全納入考慮,是否就能打造出萬無一失的安全防線?答案恐怕是否定的。Sally Eaves 教授認為,未來的風險恐怕只會有增無減。「除了端點選擇眾多之外,彈性工作模式加上無處不在的應用程式也意味著,一度使用周邊安全機制建立的傳統信任邊界早已不復存在。」

端點已不再屬於個人所獨有;Bill Mew 也同樣認為:「如今已沒有一勞永逸或萬無一失的安全防護之道 (就連美國國家安全局也曾遭到駭客入侵)。」他的結論是:唯有同時加強風險意識、培養網路衛生習慣,並明智地運用各種安全技術和措施 (例如零信任、SASE 和 EDR 解決方案),才能真正妥善防護持續演進的端點安全環境。

Kingston Technology 自栩為加密型 USB 隨身碟領域最值得信賴的顧問。我們知道,唯有通盤瞭解各項安全目標,才能規劃出合適的解決方案。Kingston 的「諮詢專家」團隊可協助您運用我們的加密型 USB 隨身碟解決方案,成功降低安全風險。無論您做什麼,Kingston 總是與您同在,致力於支援您的業務需求。儘管 2022 年對組織來說可能會充滿意想不到的挑戰和機會,但我們相信,我們的解決方案得以支援企業應對任何技術挑戰。

#KingstonIsWithYou #KingstonIronKey

電路板晶片組上的 Kingston 諮詢專家圖示

請教專家

要規劃適當的解決方案需要對專案目標有通盤了解。讓 Kingston 專家引導您完成作業。

請教專家

相關文章