771771威尼斯.cm安全资讯一周概览（1007-1013）
密码无疑是保护账户安全的最常用措施之一，随着互联网木马和攻击的日益猖獗，许多企业的密码应用却成为整体安全体系中最薄弱的环节之一。以下为常见密码攻击手段以及应对措施。1.暴力破解攻击。防护措施：账户锁定、密码长度和密码短语超过20个字符、泄露密码防护、自定义字典以及多因子身份验证(MFA)等。2.字典攻击。防护措施：密码长度/密码短语超过20个字符、泄露密码防护、自定义字典以及MFA等。3.密码喷洒攻击。防护措施：密码长度/密码短语超过20个字符、阻止增量密码/常见模式、泄露密码防护、自定义字典以及MFA。4.网络钓鱼。防护措施：网络安全意识培训、MFA、配置电子邮件banner以及邮件服务器配置(DKIM、SPF等)。5.击键记录器攻击。防护措施：安全意识培训、最新的恶意软件防护、恶意URL防护、MFA、阻止未知的USB设备等。6.社会工程攻击。防护措施：加强企业安全意识培训，应用安全的MFA方法。7.密码重置。防护措施：加强帮助台的验证/MFA、开展安全意识培训、结合MFA的自助式密码重置(SSPR)。
由于密码是非法攻击者闯入企业网络环境的最简单途径之一，正面临着越来越多的攻击威胁。为了更好地保护企业的密码免受攻击，企业应定期梳理企业面临的风险，并加强安全意识培训。
攻击面是未经授权的系统访问的入口点总数。物联网的攻击面超越了入口点，其中包括物联网设备、连接软件和网络连接的所有可能的安全漏洞。当前对物联网设备安全的关注包括网络威胁者不仅可以破坏支持物联网设备的网络和软件，还可以破坏设备本身。此外，物联网设备的采用速度比能够提供安全、可靠连接的流程和协议更快。企业面临的五大物联网安全威胁，包括：物联网僵尸网络、DNS威胁、物联网勒索软件、物联网物理安全、影子物联网。面对这些威胁，首先，企业IT团队必须采取多层次的方法来缓解物联网安全风险，还应该针对不同类型的物联网攻击采取特定的防御措施。其次，监督物联网设备的IT团队应该为网络上的任何设备制定强密码策略，并使用威胁检测软件来预测任何潜在的攻击。IT管理员可以用来防止安全攻击的基本策略包括设备漏洞评估、禁用不需要的服务、定期数据备份、灾难恢复程序、网络分段和网络监控工具。数据保护策略是提高物联网安全性的另一种方式。尽管物联网部署由于其分散的性质而难以部署，但它有助于增加一层安全性。IT团队可以使用可见性工具、数据分类系统、数据加密措施、数据隐私测量和日志管理系统来确保数据安全。
由于云迁移的增加以及移动应用的广泛应用，软件开发安全生命周期（SSDLC）成为了越来越多企业的首选。如今SSDLC已经转变为我们今天所用的持续交付-操作循环。开发者在软件开发过程中通常考虑的是特性、截止日期、延展性和速度，以及生产事故以及宕机时间方面的事，而不考虑安全。因此，在所有项目的每个阶段都实现安全性几乎是不可能的，并且开发出没有bug并且不会宕机的应用是极具挑战性的，所以要将安全整合到开发的每个阶段中，其前提是从一开始就确保安全团队的参与，以便最大限度地避免发生错误并保护开发过程。理想情况下，通过适当的培训，有效的内部沟通，注重安全性的设计以及严格的测试流程，这些错误都能被很好地控制，从而降低其所带来的不良影响。简单将，加强开发团队与安全团队的沟通与协作，使其步调一致，才能更好地实现技术的进步以及安全风险的管控。尽管安全对于软件的开发的不可或缺的，但几乎所有的软件开发过程都会受到安全性的“阻碍”。安全标准对于开发团队往往是不可行的。这大多是由于安全团队不够了解应用安全和企业面临的风险波动之间的关联。
一个员工失手点击了钓鱼邮件，可能会对企业、政府乃至非营利组织带来严重后果。利用窃取到的数据，欺诈者可以透露商业敏感信息、操纵股票价格或进行各种间谍活动。此外，鱼叉式钓鱼攻击还可以部署恶意软件来劫持计算机，将该计算机所在的网络变成可用于 DoS 的庞大僵尸网络。面对钓鱼网站，应该如何识别呢？一、留意域名。辨别钓鱼网站的最直接的方法就是对比它的域名是不是官方域名；二、链接要小心。切勿单击来自陌生人的电子邮件和即时消息中的链接或所有看上去可疑的链接；三、观察网站内容。仿冒网站上没有链接，用户可点击栏目或图片中的各个链接看是否能打开；四、查看安全证书。针对大型电子商务网站或网银站点需要查看其安全证书。
数据泄露事件发生之后，大量数据被泄露并在线暴露。因此，鱼叉式网络钓鱼攻击具有高度针对性和定制性，并且比传统的网络钓鱼攻击更有可能取得成功。攻击者可以使用泄露的信息来发起严格针对组织的大型网络钓鱼活动。要安装防火墙、杀毒软件并定期更新。养成以上良好习惯，就可以识别跟防范钓鱼网站诈骗。
云的好处是弹性、易用，因而也更具成本效益。软件即服务(SaaS)是未来，通过这种订阅式的在线服务，用户可以节省管理、更新和保护应用程序所需的时间、精力和资源。然而，SaaS有个明显的坏处，安全风险。事实上，基于云的服务现在是恶意软件最常见的交付方式。据SASE厂商Netskope的统计调查，近70%的黑客和漏洞攻击都是从云服务下载的，97%的云应用程序是在未经安全团队授权甚至是不知情的情况下使用的。SaaS安全性首先需考虑所使用在线服务的可见性。安全团队应该考虑登录信息是否使用了足够的加密，检查在线服务过去是否遭到过黑客攻击，如果是的话，提供商做出了哪些响应措施。在线服务的安全性还取决于人们使用它的方式。如确保员工在登录SaaS服务和网络时使用不同的凭证等。SaaS安全性需要考虑的另一个方面是不同SaaS应用之间的交互，即SaaS的连接性，包括应用程序和服务相互发送通知等功能。SaaS或其他基于云的服务每年可以为企业节省大量资金，除了成本以外，云还可以提高灵活性、提高效率、更好地利用数据和更好的为客户服务。然而，所有这些都可能以安全为代价。通过增加对SaaS在组织内活动的可见性，安全团队可以确保在充分享受这些服务的同时，避免风险。
近年来，软件定义广域网 (SD-WAN)技术被企业广泛应用，SD-WAN继承了SDN控制与转发分离、集中控制的理念，将物理上的分布网络抽象为统一管理的逻辑网络，以便更加灵活地使用和调度，实现了企业在总部和分支机构、数据中心和云平台之间的快速组网。但是不经意间也创造了新的攻击面，为勒索软件、APT、病毒蠕虫和其他恶意软件提供了入侵机会。安全风险可能来自以下几个方面：(1) 非法接入。非法的设备或用户接入网络；(2) 渗透入侵。SD-WAN网络中的管理中心和数据中心等担负着认证、授权、管理、数据收集、数据存储的重要任务，最容易成为黑客攻击的目标。(3) 数据泄露。SD-WAN通过因特网传输时存在数据被截取或被篡改、仿冒的安全风险。(4) 业务安全。网络中的数据中心、各分支节点或云端业务数据，容易遭受病毒、木马、勒索软件带来的威胁和攻击。(5) 运维风险。当企业分支节点越来越多溯源取证并及时做出响应带来了很大管理挑战，处置不及时会产生相应的运维风险。
企业广域网中信息流动跨度变大，信息服务或用户数据分布在不同地区甚至是不同国家，SD-WAN建设需要遵从当地的法律法规。比如我国政务网组网中的合规要求之一就是使用国密算法或国密产品。
勒索软件即服务(RaaS)是针对勒索软件攻击趋势的一种新的商业模式。这是一种分散且大部分自动化的分发模式，可以支持勒索软件运营商快速增长的需求。勒索软件即服务是一个在线平台，任何人都可以通过发布勒索软件来开展自己的业务。从本质上来说，这是内部人员工作风险的完美示例。但是，加入勒索软件即服务(RaaS)并不需要成为“局外人”。只需支付少量费用即可访问勒索软件即服务(RaaS)后端并开展自己的业务。企业的另一端(分发和部署勒索软件)完全由后端自动化，因此用户可以专注于开发他们独特的勒索软件。勒索软件即服务运作模式为：一旦勒索软件即服务(RaaS)开发人员分发了他们的“产品”，潜在的分支机构就会购买一个或多个副本。这项服务的后端有一个自动附属系统，可以同时处理多个用户，用于管理分支机构及其产品。一旦会员购买完成，他们可以立即开始使用勒索软件并将其分发给受害者。每个会员都有一个控制面板，允许他们跟踪和监控勒索软件引起的攻击次数。勒索软件即服务是网络攻击者在数字世界中侵占受害者财产的最新威胁之一，旨在与自定义勒索软件一起使用，这就是人们在将来会看到更多此类软件的原因。勒索软件即服务起初可能看起来很吓人，但在造成任何损害之前，可以通过适当的保护软件和预防措施将其阻止。每个人都应采取某些预防措施来保护自己免受勒索软件的侵害，这一切都是为了保持警惕，尤其是在互联网上。