2011年10大安全威脅 國家資助的黑客攻擊占首位
原創(chuàng)【51CTO 獨(dú)家翻譯】全球著名應(yīng)用程序和數(shù)據(jù)安全解決方案廠商Imperva公布了2011年十大安全威脅趨勢的預(yù)測，將有助于IT安全專業(yè)人員幫助組織抵御下一波網(wǎng)絡(luò)安全攻擊。
1、國家資助的黑客攻擊：APT趨向產(chǎn)業(yè)化
國家贊助的黑客通常會實施有針對性的網(wǎng)絡(luò)攻擊，混合了商業(yè)黑客行業(yè)的觀念和技術(shù)，這種攻擊和傳統(tǒng)的以金錢利益為目的的攻擊有所不同，但使用的技術(shù)都差不多，這些高級持續(xù)性威脅（Advanced Persistent Threat[APT]）攻擊會使用諸如自動化和病毒傳播技術(shù)，使它們更加強(qiáng)大，攻擊成功的可能性更大，大家還記得Stuxnet吧，它就是這樣的例子，Stuxnet不是為了獲得你的銀行卡密碼，相反它是為了獲得你基礎(chǔ)設(shè)施的控制權(quán)。
這兩種攻擊（商業(yè)黑客產(chǎn)業(yè)和APT）使用相同的技術(shù)，因此有些安全保護(hù)措施可以適用于兩者，從積極的一面來看，你可能還沒有被網(wǎng)絡(luò)黑手黨發(fā)現(xiàn)，因此不會受到APT攻擊威脅，因為APT是持續(xù)的，如果一個攻擊不成功，另一個馬上就會開始，傳統(tǒng)的安全保護(hù)措施在這時會顯得蒼白無力，無法抵御這些由國家支持的黑客組織發(fā)起的冷酷攻擊。對企業(yè)和政府而言，這意味著要在整個組織層增加監(jiān)控和建立安全控制。
2、內(nèi)部威脅遠(yuǎn)比你想象的要糟糕
在新的一年里，我們預(yù)計來自內(nèi)部的攻擊將會與日俱增，數(shù)據(jù)竊取和安全破壞常常有內(nèi)部員工的份兒，這個時候最重要的是要揪出始作俑者，而不是考慮如何保護(hù)數(shù)據(jù)，如果你不知道內(nèi)部威脅源隱藏在哪個角落，談何保護(hù)呢？為了阻止內(nèi)部威脅，組織應(yīng)該：
實施強(qiáng)制訪問控制，根據(jù)業(yè)務(wù)需要，該訪問的則授予訪問權(quán)，不該知道的就永遠(yuǎn)接觸不到，最主要的就是消除權(quán)限分配不當(dāng)。
給數(shù)據(jù)中心提供適當(dāng)?shù)脑L問審計工具，這些審計工具應(yīng)該能監(jiān)控誰在什么時候訪問了什么數(shù)據(jù)。
3、瀏覽器中間人攻擊將會膨脹
瀏覽器中間人（Man in the Browser，MitB）攻擊將會上升，進(jìn)而將目標(biāo)轉(zhuǎn)向更多類型的在線應(yīng)用程序，因此，在線服務(wù)供應(yīng)商應(yīng)該將其列入2011年重大事項清單，盡量將消費(fèi)者頭上懸著的風(fēng)險轉(zhuǎn)移到自己頭上。
雖然代理木馬大多數(shù)時候責(zé)任都在用戶一方，但MitB攻擊迅速成為在線服務(wù)供應(yīng)商關(guān)注的焦點，他們必須為自己的用戶提供保護(hù)，正如汽車制造商也必須遵循行車安全技術(shù)的發(fā)展，類似ABS，安全氣囊和ESP等保護(hù)司機(jī)和乘客的技術(shù)才會越來越多，而不是僅靠我們小心駕駛，因此在線服務(wù)供應(yīng)商必須在安全保護(hù)方面加大投入，要能夠監(jiān)控已感染的用戶，并能提供有效的指導(dǎo)消除威脅，這樣的技術(shù)包括強(qiáng)設(shè)備認(rèn)證，客戶分析，會話流跟蹤和站點到客戶端驗證。
4、社交網(wǎng)絡(luò)中的隱私和安全
2011年我們將會看到社交網(wǎng)絡(luò)的安全威脅會越來越大，隱私保護(hù)將成為焦點。最重要的兩個因素是安全和信任，雖然可以保護(hù)個人信息不被其它應(yīng)用程序用戶看到，但對于受信任的朋友，你卻無法保證他不會泄露你的私密資料或以此為目的來接近你，就目前的社交平臺來看，安全和信任還存在相當(dāng)大的問題，跨站腳本（XSS）和跨站請求偽造（CSRF）正成為巨大的威脅。
明年在社交平臺安全保護(hù)方面各個服務(wù)商肯定會投入更多資源，在應(yīng)用程序?qū)颖Ｗo(hù)，強(qiáng)認(rèn)證，帳戶控制和惡意軟件檢測等方面將會有所突破。
5、文件安全
2011年我們將會看到更多資料外泄案例，特別是非結(jié)構(gòu)化數(shù)據(jù)，我們會看到各類組織在這方面加大保護(hù)力度，主要是做好文件服務(wù)器的安全措施和文件本身的訪問控制。明年會有更多針對企業(yè)機(jī)密文件的攻擊，這類數(shù)據(jù)將會受到極大的威脅，不僅僅是被復(fù)制，還可能會遭致徹底毀壞，在重視數(shù)據(jù)庫安全的今天，企業(yè)必須提前做好敏感文件的防護(hù)工作。
但憑現(xiàn)在的技術(shù)和工具，要做好文件保護(hù)可能是一件很困難的事情，因為每個文件都是一個獨(dú)立的實體，確定其所有者，設(shè)置訪問權(quán)限和跟蹤訪問情況都是無比巨大的工作量，即使你再仔細(xì)，總會有疏漏，因此對敏感文件作強(qiáng)加密保護(hù)是稍微可靠的方法。
我們希望在2011年能看到更多云數(shù)據(jù)安全產(chǎn)品，這些產(chǎn)品必須適應(yīng)私有云和公共云環(huán)境，在這方面安全廠商還滯后于云計算和黑客產(chǎn)業(yè)的發(fā)展，許多小型在線服務(wù)供應(yīng)商目前正面臨云安全威脅。
如果將所有云計算類型統(tǒng)一起來看（私有云，公共云，PaaS，IaaS和SaaS），不管是服務(wù)商還是用戶都面臨許多挑戰(zhàn)，概括起來如下：
維護(hù)不同用戶數(shù)據(jù)集之間的防彈分區(qū)；
為共享相同邏輯或物理平臺的應(yīng)用程序提供不同級別的數(shù)據(jù)安全保護(hù)；
保護(hù)用戶數(shù)據(jù)，預(yù)防云管理員的窺視；
提供特殊基礎(chǔ)設(shè)施（VM，Amazon AMI）上的解決方案；
管理云中應(yīng)用程序和數(shù)據(jù)安全。
我們預(yù)計2011會出現(xiàn)更好的云應(yīng)用程序安全保護(hù)技術(shù)，但數(shù)據(jù)安全解決方案將會稍微滯后一點。
7、移動設(shè)備危及數(shù)據(jù)安全
移動設(shè)備的迅速普及將會在來年給應(yīng)用程序和數(shù)據(jù)安全工作帶來極大的挑戰(zhàn)，我們將會看到越來越多的組織在忙于傳統(tǒng)的應(yīng)用程序和數(shù)據(jù)安全工作外，疲于應(yīng)對數(shù)量越來越多的移動設(shè)備帶來的安全風(fēng)險。
過去兩年的事實證明，移動設(shè)備已經(jīng)成為企業(yè)員工廣泛使用和接入企業(yè)網(wǎng)絡(luò)的辦公工具，如ERP，CRM和文檔管理都可以看到移動設(shè)備的影子，安全人員時刻擔(dān)心這些設(shè)備是否會丟失或被盜，因為一些敏感數(shù)據(jù)可能會因此而泄露。
隨著移動設(shè)備漸漸成為主流，在線服務(wù)供應(yīng)商也會提供適合這些設(shè)備使用的應(yīng)用程序版本，我們預(yù)計這樣下去以前一些舊的漏洞可能會再次浮出水面，特別是身份識別和驗證，應(yīng)用程序很可能會被攻擊者偽造的信息欺騙。
此外，一些所謂的"強(qiáng)"多因子身份驗證方案會失效，例如，使用一次性密碼（OTP）的應(yīng)用程序往往會通過手機(jī)短信的方式給用戶發(fā)送一次性密碼，但經(jīng)過精心設(shè)計的木馬可以輕易獲得通過手機(jī)短信發(fā)送的一次性密碼。
可感染移動設(shè)備的惡意軟件已經(jīng)出現(xiàn)（如Zitmo），復(fù)雜的應(yīng)用程序更容易遭受它們的攻擊，這和我們現(xiàn)在使用的桌面平臺是一樣的。
我們預(yù)計明年與移動設(shè)備相關(guān)的事故會呈指數(shù)級增長，組織必須開始規(guī)劃如何保護(hù)這些設(shè)備，以及如何與企業(yè)網(wǎng)絡(luò)交互，工具和程序必須到位，如殺毒軟件，加密和認(rèn)證，特別要監(jiān)控這些設(shè)備訪問了哪些企業(yè)資源（數(shù)據(jù)庫，文件，內(nèi)部網(wǎng)絡(luò)），應(yīng)用程序提供商也要一起配合做好安全防護(hù)工作，包括漏洞修復(fù)，信任度重新評估，以及新的認(rèn)證和授權(quán)計劃。
8、黑客們在打壓下試圖奮起反抗
2011年，網(wǎng)絡(luò)犯罪將會出現(xiàn)兩種變化，首先，許多小型犯罪團(tuán)伙將會歇業(yè)，為什么呢？安全研究人員將會持續(xù)觀察黑客的行動，一有機(jī)會就會將他們從地洞中揪出來，黑客們也不會甘心束手就擒，他們會想出更多反偵察方法。其次，大一點的團(tuán)伙會兼并或組合，以鞏固和壯大他們的實力。
2010年即將畫上句號，我們也看到更多這樣的例子：
9月底，Zeus僵尸網(wǎng)絡(luò)頭目和相關(guān)成員被逮捕，其實安全人員早已跟蹤了他們一年時間，包括成功滲透了他們的C&C服務(wù)器，同樣命運(yùn)的是Bredolab僵尸網(wǎng)絡(luò)的主要成員，在Zeus頭目被逮捕三周后，他們手上也戴上了冰冷的手銬。
10月中旬，Avalanche釣魚詐騙集團(tuán)結(jié)束了長達(dá)2年的瘋狂，它們釋放的MitB木馬曾讓無數(shù)人中招。
10月末伊朗網(wǎng)軍（ICA）發(fā)起了帶有強(qiáng)烈政治目的的DDoS攻擊，并登廣告出租他們的機(jī)器人。
10月末，曾經(jīng)是競爭對手的spyEye和Zeus開始尋求合并，以謀求重生。
9、網(wǎng)絡(luò)安全已成為業(yè)務(wù)流程的一部分
英特爾CEO歐德寧說："我們認(rèn)為安全已經(jīng)成為計算的第三大支柱"，可見廠商對安全的態(tài)度已經(jīng)發(fā)生了重大轉(zhuǎn)變，那么企業(yè)是怎么想的呢？
目前，網(wǎng)絡(luò)安全不能脫離業(yè)務(wù)，為此，安全團(tuán)隊必須重新審視自己的角色，例如，過去，CIO的職責(zé)是銷售筆記本電腦，今天，CIO必須建立供應(yīng)鏈，過去，CISO負(fù)責(zé)分發(fā)殺毒軟件和設(shè)置防火墻，今天他們必須知道數(shù)據(jù)駐留在哪里，數(shù)據(jù)的移動，以及如何保護(hù)它們，很明顯，今天的工作也比過去復(fù)雜多了，這意味著安全專家首先要成為業(yè)務(wù)流程專家。
10、數(shù)據(jù)安全和隱私法規(guī)
就象報紙的頭版一樣，許多企業(yè)每天都會泄露大量的機(jī)密信息，政府部門應(yīng)通過立法來加強(qiáng)對敏感數(shù)據(jù)的保護(hù)，前不久FTC（聯(lián)邦貿(mào)易委員會）和歐盟（OU）協(xié)商在大西洋兩岸建立統(tǒng)一的數(shù)據(jù)安全法，因為對跨國公司而言，要同時遵守兩邊的法律可能會比較困難，政府應(yīng)該出面建立一個共同的框架，給企業(yè)帶來真正的方便。
【編輯推薦】
