远程办公时代身份已成为杀手锏 企业如何应对身份仿冒带来的复杂威胁

 

面对愈发复杂的威胁形势，作为企业安全管理者，应该如何避免身份攻击带来的安全问题呢？来自Censornet 的安全专家 Richard Walters建议从防范内部数据泄露、防范社会工程学、防范社交媒体攻击、解决人为因素四个层面着手应对。
 

 

 

根据今年的Verizon 数据泄露调查报告，几乎一半的攻击都涉及被盗凭据。但事实上，这些被盗的凭据并非都是外部攻击者窃取的，而是由内部员工泄露造成的。最近发生的一起 OpenSea NFT 数据泄露事件就证明了这一点，其电子邮件数据库被一名员工泄露。

 

据ID Watchdog称，内部威胁导致的数据泄露占比高达60%。随着云在不断增长的网络中推送数据，风险也呈指数级增长，使内部人员更容易访问敏感数据或凭据。

 

因此，为了应对内部员工泄露数据的威胁，通过身份即服务 (IDaaS) 和其他基于身份的安全系统管理未经授权的网络访问是发现异常和可疑行为的重要手段。他们还可以将网络内的操作与特定身份联系起来，以控制数据访问甚至应用内下载。

 

一个优秀的 IDaaS 解决方案应该能够在整个组织的生态系统中应用基于身份的、上下文感知的规则，以便在导致违规之前发现未经授权的行为。它应该能够自主运行，根据上下文数据对正确的用户进行身份验证，并根据可疑活动阻止访问。

 

随着组织构建更大、更复杂的基于云的数据环境，组织应该创建一个零信任环境，以防止内部威胁和外部风险。通过智能、自主的防御技术，企业在确定用户是否有权访问系统或数据时，还可以实施不仅仅分析密码或一次性代码的系统。IP 地址、过去的行为、端点 ID、地理位置和一天中的时间只是智能 IDaaS 平台应收集和分析的一些数据点，以决定是否应授予访问请求。

 

 

如今，网络钓鱼攻击者一天比一天更聪明、更大胆，CEO 欺诈和破坏商业电子邮件 (BEC) 的企图构成了日益严重的威胁。据FBI数据统计，BEC 现在造成的损失比任何类型的网络诈骗都要多，去年受害者损失超过 23 亿美元。

 

应对网络钓鱼和社会工程学攻击，组织政策可以帮助减少威胁。例如，实施处理电子邮件请求以进行紧急银行转账的流程，确保手动批准超过一定阈值的付款，并持续培训所有员工，可以确保网络钓鱼电子邮件不会导致财务和声誉破坏性破坏。

 

需要强调的是，员工网络安全意识培训必须与结合了内容分析、威胁情报和高管姓名检查的多层电子邮件安全相结合。

 

这意味着，如果员工收到一封包含“'紧急电汇”或类似字样的电子邮件，则应主动对其进行标记。然而，这只是第一步，不足以全面防范 BEC 和 CEO 欺诈。下一步是标记外部电子邮件并使用执行跟踪来识别标题和信封字段中的高级领导姓名。根据安全域列表检查电子邮件也可以降低风险，并减少误报的可能性。

 

 

2022 年第一季度，52%的网络钓鱼诈骗事件都涉及到了LinkedIn，在这些攻击事件中，犯罪分子以企业员工为目标，试图通过LinkedIn窃取他们的企业凭证和数据。如果有企业员工跨平台重复使用LinkedIn的登录凭据，就可能引发更大的威胁。

 

事实上，采用MFA多因素认证就可以大幅降低类似风险，并防止密码网络钓鱼、盗窃或暴力攻击导致的未经授权的访问。此外，使用联合身份标准进行控制以使用密码以外的其他方式对用户进行身份验证也很重要。如果将弱密码替换为安全令牌，这一攻击问题就会迎刃而解。但不幸的是，尽管IDaaS 和 MFA 可以确保他们窃取的凭证不允许未经授权的访问，但诈骗者总能找到一种方法来窃取他们需要的信息——或者诱骗员工交出信息。

 

 

一个组织的员工可能是其最大的资产，但他们同样是网络安全风险因子。因此，企业管理者应该致力于在内部构建安全的文化氛围，告诉员工们不要轻易点击不被信任的邮件，并不断向大家普及网络钓鱼技术的原理。

 

IDaaS 同样可以在这个过程中发挥特殊作用，比如，他可以限制员工使用未经允许的应用程序，并将企业的身份保护策略扩展到所有应用程序，限制这些应用程序中的威胁行为。通过锁定与人为网络安全风险相关的漏洞，组织可以提高其网络弹性并降低遭受破坏的风险。

 

当前，组织的安全边界已经消失——但取而代之的是一种新常态，在这种新常态中，上下文语境为王，而身份则是其中不可或缺的一环，为了解决人为因素、社交媒体攻击、内部威胁和BEC所带来的挑战，组织必须确保新边界的安全，否则下一步要面对的就是攻击事件带来的高昂恢复成本。