企业面临的网络安全风险及应对策略

网络安全威胁是一种技术风险,会削弱企业网络的防御能力,危及专有数据、关键应用程序和整个IT基础设施。由于企业面临着广泛的威胁,因此通过监控和缓解最关键的威胁和漏洞。网络安全问题有七大类,包括多种威胁,以及团队应针对每种威胁实施的特定检测和缓解方法。

一、公共网络威胁

如果企业网络连接到公共互联网,则互联网上的每一种威胁也会使企业的业务很容易受到攻击。广泛、复杂的业务网络尤其难以保护;这些网络可以包括边缘和移动网络,以及分支机构网络和存储区域网络(SAN)。典型的互联网威胁包括恶意软件、恶意网站、电子邮件网络钓鱼、DNS 中毒以及 DoS 和 DDoS 攻击。

恶意软件

恶意软件是指的在干扰正常或安全计算操作的代码。单击后,电子邮件中的链接或网站上的扩展程序会立即将恶意软件下载到主机上。有时,恶意软件可以在网络中横向移动,具体取决于其能力。

防御恶意软件方案:

1、培训员工安全意识:员工是企业的第一道防线,也是最大的攻击面。他们需要知道如何降低企业面临的主要风险。

2、实施端点保护:所有设备都应安装防病毒和端点保护,以便在软件检测到威胁时自动响应。

3、对网络进行分段分段技术需要为每个网络设置策略,管理哪些流量可以在子网之间移动,并减少横向移动。

欺骗性网站

欺骗性网站是看似合法的网站,但旨在窃取互联网用户的账号凭据。威胁参与者将用户引导至站点,一旦用户输入他们的凭据,攻击者就会收集它们并使用它们登录到真正的应用程序。

防御恶意网站方案:

为所有应用程序部署多重身份验证:如果威胁参与者设法通过成功欺骗窃取你的敏感信息。

教用户识别欺骗性网站:确保员工了解虚假网站的特征,无论是语法问题、奇怪的URL还是未经批准的电子邮件将他们引导到虚假网站。

一旦了解了网站,就会将其列入黑名单:如果多个员工从同一威胁参与者导航到单个站点,请在识别 URL 后立即将其列入黑名单。

基于电子邮件的网络钓鱼攻击

电子邮件网络钓鱼是威胁行为者用来诱骗用户打开电子邮件并单击其中的链接的一种技术。它可以包括恶意软件和欺骗性网站;互联网网络钓鱼威胁有很多重叠之处。电子邮件攻击通常通过员工的企业电子邮件账户针对员工。

防御基于电子邮件的网络钓鱼攻击方案:

1、实施严格的电子邮件保护软件:通常,威胁行为者会通过带有链接的电子邮件将用户引导至欺骗性网站,例如重置密码的说明。

2、通过安全意识培训课程:员工应该确切地知道在收到不熟悉的电子邮件时要怎么处理。

3、安装下一代防火墙:在公共 Internet 和组织的专用网络之间安装它 有助于过滤一些初始恶意流量。

DNS 攻击

DNS缓存中毒或劫持会重定向合法站点的 DNS 地址,并在用户尝试导航到该网页时将用户带到该站点。

防御DNS攻击方案:

1、使用 DNS 加密:加密 DNS 连接要求团队使用 DNSCrypt 协议、基于 TLS 的 DNS 或基于 HTTPS 的 DNS。

2、隔离DNS服务器:部署隔离区 (DMZ) 以隔离来自公共 Internet 的所有 DNS 流量。

3、随时了解更新:宣布更新时,应定期修补所有 DNS 服务器。

DoS 和 DDoS 攻击

拒绝服务 (DoS)和分布式拒绝服务(DDoS)攻击是一种威胁,可以通过使计算机或整个计算机系统过载来使它们过载。它们很难预防,因为它们通常来自外部流量,而不是来自网络内的威胁,而网络中的威胁可以在系统中定位和阻止。并非每个 DoS 或 DDoS 攻击都来自互联网流量,但其中许多攻击确实来自互联网流量。

防御 DoS 和 DDoS 攻击方案:

1、实现反向代理:反向代理有自己的 IP 地址,因此当 IP 地址淹没单个服务器时,它们将转到代理的 IP 地址,并且内部服务器的 IP 地址不会轻易被淹没。

2、安装 Web 应用程序防火墙:您可以配置防火墙以监控和阻止不同类型的流量。

3、部署负载均衡器:通过将网络流量定向到可以管理它的源,负载平衡可以降低流量完全使服务器不堪重负的风险。

二、不安全或过时的网络协议

一些旧版本的网络协议存在错误,这些错误已在更高版本中修复,但许多企业和系统继续使用旧协议。最好使用最新的协议版本,至少可以避免已知的威胁,特别是如果行业需要特定的协议版本来遵守监管标准。一些最流行的网络协议包括 SSL、TLS、SNMP、HTTP 和 HTTPS。

SSL 和 TLS

安全套接字层(SSL)和传输层安全性(TLS)都是网络安全协议。任何比 TLS 1.3 更旧的 SSL 和 TLS 版本都存在多个弱点,包括允许POODLE攻击和BEAST攻击的漏洞。虽然 TLS 1.3 可能有其自身的弱点,这些弱点会随着时间的推移而被发现,但它确实修复了旧版 TLS 和 SSL 中的已知漏洞。

防御 SSL 和 TLS 威胁方案:

1、更新连接:将每个网络连接升级到最新版本的 TLS。

2、禁用旧版本:在网络上完全禁用较旧的 SSL 和 TLS 版本可确保它们不会被意外使用。

SNMP协议

简单网络管理协议是一种通用的 Internet 协议,旨在管理网络及其上的设备的操作。SNMP 版本1和 2存在已知漏洞,包括未加密传输 (v1)和 IP 地址欺骗 (v2)。版本 3 是三者中最好的选择,因为它有多个加密选项。它旨在解决 v1 和 v2 的问题。

防御SNMP威胁

将所有版本的SNMP升级到版本3,以避免以前版本中存在明显的安全漏洞。

HTTP协议

超文本传输协议是一种本质上不安全的互联网通信协议。安全超文本传输协议 (HTTPS) 是 HTTP 的加密版本。您的所有互联网连接都应加密,并且与其他网站的每次通信都应使用 HTTPS。

防御 HTTP 威胁方案

1、阻止HTTP访问:如果任何连接使用 HTTP,请尽快阻止对它们的访问。

2、将流量定向到 HTTPS:将所有尝试的 HTTP 通信配置为重定向到 HTTPS。

三、网络配置错误

网络协议或规则的简单错误配置可能会暴露整个服务器、数据库或云资源。输入错误的代码或未能安全地设置路由器或交换机可能会导致配置错误。配置错误的网络安全命令也很难找到,因为其余的硬件或软件似乎工作正常。错误配置还包括未正确部署的交换机和路由器。

常见的错误配置包括在硬件和软件上使用默认或出厂配置,以及无法对网络进行分段、在应用程序上设置访问控制或立即修补。

使用设备的默认配置

默认凭据是网络硬件和软件上出厂设置的用户名和密码。它们通常很容易被攻击者猜到,甚至可能使用“管理员”或“密码”等基本词。

防御默认配置威胁方案:

1、更改所有凭据:立即将任何默认用户名或密码切换为更强大、难以猜测的凭据。

2、定期更新密码:初始密码更改后,每隔几个月切换一次。

细分不足

网络分段是一种将网络拆分为不同部分的技术。如果网络没有划分为子网,恶意流量将更容易在整个网络中传播,并有可能破坏许多不同的系统或应用程序。

防御网络分段威胁

将网络分割为子网,并在子网之间创建安全屏障。分段技术包括为每个网络设置策略、管理哪些流量可以在子网之间移动以及减少横向移动。

访问错误配置

当团队无法安全地实施访问和身份验证协议(如强密码和多重身份验证)时,就会发生配置错误的访问控制。这对您的整个网络来说是一个重大风险。本地和基于云的系统都需要访问控制,包括默认情况下不需要身份验证方法的公有云存储桶。网络用户需要经过授权和身份验证。

身份验证要求用户提供 PIN、密码或生物识别扫描,以帮助证明他们就是他们所说的人。授权允许用户在验证自身并且其身份受信任后查看数据或应用程序。访问控制允许组织设置权限级别,例如只读权限和编辑权限。否则,您将面临权限升级攻击的风险,当威胁参与者进入网络并通过升级其用户权限进行横向移动时,就会发生这种攻击。

防御访问配置错误威胁方案

1、每个应用程序都需要凭据:这包括数据库、客户端管理系统以及所有本地和云软件。

2、不要忘记云资源:可在互联网上访问的云存储桶应具有访问障碍;否则,拥有存储桶 URL 的任何人都可以看到它们。

3、部署零信任:员工应该只拥有完成工作所需的访问级别,称为最小特权或零信任原则。这有助于减少内部欺诈和意外错误。

过时和未修补的网络资源

网络硬件和软件漏洞是随着时间的推移而暴露出来的缺陷,这要求IT和网络技术人员在供应商或研究人员宣布威胁时随时了解这些威胁。

过时的路由器、交换机或服务器无法使用最新的安全更新。然后,这些设备需要额外的保护控制。其他旧设备,如医院设备,通常不能完全放弃,因此企业可能不得不设置额外的安全性,以防止他们把网络的其余部分置于危险之中。

防御补丁管理威胁方案:

1、不要等待修补已知问题:对于网络管理员来说,立即修补固件漏洞至关重要。威胁行为者一旦得知漏洞,就会迅速采取行动,因此 IT 和网络团队应该领先一步。

2、自动执行一些工作:自动警报将帮助您的企业团队使网络资源保持最新状态,即使他们不是经常上班。

3、减少旧技术造成的危害:尽可能淘汰过时的设备。它们将继续与网络的其余部分不兼容,如果某些硬件不支持它,那么保护整个网络将具有挑战性。

四、企业员工安全威胁

团队成员会犯错误,无论是意外的代码行还是暴露给整个互联网的路由器密码。通过培训网络安全课程,只是为了降低员工将基础设施置于危险之中的可能性。

意外或粗心的错误

员工会犯很多意外的安全失误,包括在纸上或 Slack 上发布密码、让陌生人进入办公室或将身份不明的闪存驱动器插入公司计算机。有时他们知道公司的政策,但不想遵循这些政策,因为它们似乎需要更多时间,例如为每个应用程序提供新密码而不是重复使用它们。

防御错误造成的威胁方案:

1、网络安全培训课程:使培训具有互动性,以便员工保持敬业度,并确保新员工立即了解期望。

2、安装密码管理器等软件:这些可以帮助员工安全地管理他们的凭据。

3、实施数据丢失防护 (DLP) 技术:保护数据对于维护声誉和法规遵从性都至关重要。

4、限制物理工作空间:不要让企业外部人员进入托管网络硬件和软件的场所。

故意恶意的内部人员

一个经常被忽视的人为威胁领域是内部威胁,它来自打算损害企业的员工。虽然这些情况并不频繁发生,但它们可能更加危险。这些内部人员通常具有对网络的凭据访问权限,这使他们更容易窃取数据。

防御来自恶意内部人员的威胁方案:

1、让安全成为常规话题:在经理和员工一对一会议中就网络安全进行对话。向员工表明对安全是认真的。

2、举办更多培训课程:它们尤其重要,因为其他员工接受过培训,可以识别自己团队的行为。

3、实施行为分析:分析至少可以帮助团队识别一段时间内的异常行为。如果内部人员泄露数据或更改凭据,则可能是故意的。

4、招聘前对人员进行审查:要求提供推荐信和进行背景调查虽然不是万能的,但可以帮助企业雇用值得信赖的人。

五、运营技术

运营技术(OT)通常是指观察和控制工业环境的硬件和软件。这些环境包括仓库、建筑工地和工厂。OT 允许企业通过联网蜂窝技术管理 HVAC、消防安全和食品温度。

企业物联网和工业物联网(IIoT)设备也属于运营技术。当连接到业务网络时,OT 可以为威胁参与者敞开大门。

操作技术的危险

较旧的OT设备在设计时并未考虑到重要的网络安全,因此它们拥有的任何遗留控制措施都可能不再足够或可修复。运营技术的影响往往远远超出了 IT 安全的范围,尤其是在食品管理、医疗保健和水处理等关键基础设施中。OT 漏洞可能不仅仅是花费金钱或危及技术资源,就像标准网络漏洞一样,还可能导致伤害或死亡。

防御 OT 威胁方案:

1、执行详细审核:需要了解连接到公司网络的每一台设备,而彻底的审核是实现这一目标的最佳方法。

2、始终如一地监控所有 OT 流量:任何异常情况都应向 IT 和网络工程师发送自动警报。配置警报,以便工程师立即知道发生了什么。

3、对所有无线网络使用安全连接:如果OT 设备在Wi-Fi 上,请确保 Wi-Fi 至少使用 WPA2。

六、VPN漏洞

尽管虚拟专用网络(VPN)是旨在为企业的网络通信创建专用隧道的安全工具,但它们仍可能被破坏。企业应该监控您的直接团队的 VPN 使用情况和所有第三方 VPN 访问。

员工 VPN 使用情况

VPN 旨在保护团队的计算会话和相关数据(如 IP 地址和密码)不被窥探。然而,他们并不总是能实现这个目标——VPN 连接不是一种万无一失的安全方法,有时仍然可能被黑客入侵,尤其是在 VPN 连接突然短暂中断的情况下。

防御 VPN 威胁方案:

1、实施最低权限访问管理:最低权限访问权限为指定用户提供完成工作所需的权限,而不是其他任何权限。

2、随时了解补丁:单个 VPN 解决方案可能有自己的漏洞,因此请确保您的企业持续监控它们并在需要时修补弱点。

3、第三方VPN接入

当企业允许合作伙伴或承包商使用 VPN 访问其应用程序时,很难限制这些第三方对特定权限的访问。VPN 也不会保留大量数据日志以供以后分析,因此如果第三方确实滥用其权限,则很难找到违规的具体来源。

4、防御第三方 VPN 威胁

同时为承包商和其他第三方实施最低权限访问。这将限制他们对敏感业务数据和应用程序的访问。

七、远程访问

远程连接到办公室网络和资源成为在家庭办公室和其他地点完成工作的一种流行方式。不幸的是,不受信任的网络和个人设备会使业务网络和系统处于危险之中。两个主要威胁是远程桌面协议和Wi-Fi网络。

远程桌面协议

远程桌面协议(RDP)允许用户使用一台计算机与另一台远程计算机连接并对其进行控制。在大流行的早期阶段,RDP 是最常见的勒索软件攻击媒介之一。攻击者能够通过 RDP 的漏洞找到后门,或者只是通过猜测密码进行暴力攻击。远程访问木马还允许攻击者在恶意软件通过电子邮件附件或其他软件下载到计算机上后远程控制计算机。

防御 RDP 威胁方案:

1、限制密码尝试:用户应该只能输入几次密码。这样可以防止暴力攻击。

2、设置难以猜测的密码:要求所有 RDP 凭据保持良好的密码卫生。

3、限制对特定 IP 地址的访问:仅将附加到员工设备的特定地址列入白名单。

4、为 RDP 配置严格的用户策略:这包括最低权限访问。只有那些需要远程连接才能执行工作的人才应该有访问权限。

Wi-Fi 网络

其他不安全的网络连接(如未受保护的 Wi-Fi)允许窃贼窃取凭据,然后从咖啡店和其他公共场所登录业务应用程序。远程企业有多种远程访问公司资源的方法,IT 和安全团队很难锁定所有这些资源。

防御Wi-Fi威胁方案:

1、确保网络是专用的:如果可以在小型联合办公空间或其他家庭中工作,那是理想的选择,但如果在公共场所,请确保Wi-Fi需要密码。

2、使用 VPN:虚拟专用网络虽然不是万无一失的,但在Wi-Fi不安全时有助于保护您的远程连接。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/688285.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

是面试官放水,还是公司实在是太缺人?,字节原来这么容易进...

字节是大企业,是不是很难进去啊?” “在华为做软件测试,能得到很好的发展吗? 一进去就有19.5K,其实也没有想的那么难” 直到现在,心情都还是无比激动! 本人211非科班,之前在华为…

若依项目改造

ctrlalt l 格式化项目 alt f6 修改包和import包名 替换com.ruoyi 为 com.cj 替换若依版本为自己的版本 将ruoyi改成自己项目的英文名 修改中文名字 修改文件包名 修改有ruoyi的类名 : 验证码生成器包名修改:

【电路笔记】-感抗

感抗 文章目录 感抗1、概述2、感抗示例13、通过 LR 串联电路的交流电源4、感抗示例25、交流电感器的功率三角形线圈的感抗取决于所施加电压的频率,因为电抗与频率成正比。 1、概述 感抗是电感线圈的一种特性,它抵抗通过它的交流电 (AC) 的变化,类似于电阻中对抗直流电 (DC)…

探索设计模式的魅力:掌握命令模式-解锁软件设计的‘遥控器’

​🌈 个人主页:danci_ 🔥 系列专栏:《设计模式》 💪🏻 制定明确可量化的目标,并且坚持默默的做事。 引言:探索命令模式的奥秘 软件设计领域充满挑战与机遇,命令模式…

12.QT文件对话框 文件的弹窗选择-QFileDialog

目录 前言: 技能: 内容: 1. 界面 2.信号槽 3.其他函数 参考: 前言: 通过按钮实现文件弹窗选择以及关联的操作 效果图就和平时用电脑弹出的选文件对话框一样 技能: QString filename QFileDialog::ge…

MATLAB | 绘图复刻(十五) | 环形聚类树状图

本期复刻效果: 感觉出的聚类分析树状图绘制工具也不少了,未来可能会统一整理为一个工具包?(任重道远,道阻且长): 代码讲解 0 数据设置 写了比较多的注释应该比较易懂: clc; clear; close all% 样品起名s…

Linux------环境变量

目录 前言 一、环境变量 二、添加PATH环境变量 三、HOME环境变量 四、查看所有环境变量 1.指令获取 2.代码获取 2.1 getenv 2.2main函数的第三个参数 2.3 全局变量environ 五、环境变量存放地点 六、添加自命名环境变量 七、系统环境变量具有全局属性 八、环境变…

芋道---实现可退回至申请人节点(附完整代码)

现有如下需求,审批人在退回申请时,想退回至申请人节点,但目前芋道并不支持退回至申请人节点,现做如下修改,实现该需求: 步骤一:设计流程模型 首先,我们在设计流程模型时&#xff0c…

【感想】幻想利用新技术就能不劳而获者往往成为韭菜

【背景】 最近由于AI的兴起,对技术感兴趣的业务同事也越来越多,这原本是一件好事。但是在仔细了解了他们的想法后,再结合外部环境对AI热潮熙熙攘攘的炒作,我又开始觉得这些对技术的所谓感兴趣,并不像我原先认识的那么积极。 【现实的复杂度不因技术而变化】 凡是有从0开…

0205-2-数据链路层

第 3 章 数据链路层 使用点对点信道的数据链路层 数据链路和帧 数据链路层使用的信道主要有以下两种类型: 点对点信道。这种信道使用一对一的点对点通信方式。广播信道。这种信道使用一对多的广播通信方式,因此过程比较复杂。广播信道上连接的主机很多…

Linux——网络通信TCP通信常用的接口和tcp服务demo

文章目录 TCP通信所需要的套接字socket()bind()listen()acceptconnect() 封装TCP socket TCP通信所需要的套接字 socket() socket()函数主要作用是返回一个描述符,他的作用就是打开一个网络通讯端口,返回的这个描述符其实就可以理解为一个文件描述符&a…

c高级 函数+Makefile

一、作业 1.写一个函数,输出当前用户的uid和gid,并使用变量接收结果 #!/bin/bash function fun(){retid -uret1id -gecho $ret $ret1 } retfun echo $ret二、练习回顾 1.分文件编译(实现冒泡排序) 正确的:将数组的…

HTTP/1.1 如何优化?

问你一句:「你知道 HTTP/1.1 该如何优化吗?」 我们可以从下面这三种优化思路来优化 HTTP/1.1 协议: 尽量避免发送 HTTP 请求在需要发送 HTTP 请求时,考虑如何减少请求次数减少服务器的 HTTP 响应的数据大小 下面,就针对这三种思路具体看看有哪些优化…

二叉树的统一迭代法#思路

前序遍历: class Solution: def preorderTraversal(self, root: TreeNode) -> List[int]: result[] st[] if root: st.append(root) while st: nodest.pop() if node ! None: if node.right: st.append(node.right) if node.left: st.append(node.left) st.appen…

git的常用命令有哪些?

Git 是一个流行的分布式版本控制系统&#xff0c;用于跟踪文件的变化、协作开发和管理代码。以下是一些常用的 Git 命令&#xff1a; 创建和克隆仓库&#xff1a; git init&#xff1a;在当前目录初始化一个新的 Git 仓库。git clone <仓库URL>&#xff1a;克隆一个远程仓…

【Java EE初阶十六】网络原理(一)

在网络原理中主要学习TCP/IP四层模型中的重点网络协议 1. 应用层 1.1 应用程序与协议 应用层是和程序员接触最密切的&#xff1b; 应用程序&#xff1a;在应用层这里&#xff0c;很多时候都是程序员自定义应用层协议&#xff08;步骤&#xff1a;1、根据需求&#xff0c;明确…

log4net的使用步骤

log4net的使用步骤 Log4net是一个基于.NET平台的开源日志记录组件&#xff0c;它可以帮助开发人员在应用程序中添加日志记录功能&#xff0c;支持多种日志级别&#xff0c;如DEBUG、INFO、WARN、ERROR等&#xff0c;这使得开发人员可以根据需要灵活地控制日志的输出。下面是lo…

SPSSAU【文本分析】|我的词库

我的词库 文本分析时&#xff0c;可能涉及到一些新词&#xff0c;比如‘内卷’&#xff0c;这个词很可能在词典中并未出现过&#xff0c;词库也不认识它。但研究者自己认识它&#xff0c;此时可将该词纳入到新词词库中&#xff0c;让系统统计词频等信息时也对该词进行统计。当…

【监控】spring actuator源码速读

目录 1.前言 2.先搂一眼EndPoint 3.EndPoint如何被注入 4.EndPoint如何被暴露 4.1.如何通过http暴露 4.2.如何通过jmx暴露 5.EndPoint是怎么实现监控能力的 6.知道这些的意义是什么 1.前言 版本&#xff1a;spring-boot-starter-actuator 2.6.3 阅读源码一定要带着疑…

小迪安全26WEB 攻防-通用漏洞SQL 注入 SqlmapOracleMongodbDB2 等

#知识点&#xff1a; 1、数据库注入-Oracle&Mongodb 2、数据库注入-DB2&SQLite&Sybase 3、SQL 注入神器-SQLMAP 安装使用拓展 数据库注入&#xff1a; 数据库注入-联合猜解-Oracle&Mongodb 1.Oracle数据库一般会在java上执行 参考:https://www.cnblog…