普普安全资讯一周概览（0402-0408）

您当前位置:首页新闻资讯普普资讯

作者：

时间：

2022-04-08

1、数据安全:大多数企业忽略的三件事

（1）不受信任的计算程序

零信任技术是什么?怎么知道某人的计算机程序、算法或分析程序是安全的?零信任技术可以完全自信地验证，例如使用指纹，可以将商定的代码与正在执行的代码进行实时比较。否则，无法对企业的合规团队或法律团队说：“我们的数据始终以正确的方式使用。”

（2）未经验证的输入

当企业处理第一方数据(或敏感数据)时，需要绝对确定只有允许访问的数据才会被访问。企业需要一种绝对可靠的验证技术，不仅在最初，而且在整个数据的处理和使用过程中，这样不仅可以了解某人是如何获得的，还可以了解发生了什么。(3)未经授权的数据移动或挖掘

企业需要的是能够控制对非正式调用和数据查询的访问，对于企业来说，无论是在广告技术领域还是其他领域，都需要能够明确、一致、永久地解决这个问题。

普普点评

毫无疑问，很多企业如今都在认真对待数据安全。有些企业甚至可能拥有强大的防火墙、完善的数据治理规则、专业的安全团队以及加密等数据保护名单，因此在安全方面感觉良好。事实上，大多数企业都忽略了三个主要的数据保护风险，这可能是有些安全和十分安全之间的区别。

2、评估网络上的行为风险:五项关键技术

（1）异常值建模：使用机器学习基线和异常检测来识别异常行为，例如用户从无法识别的IP地址访问网络，用户从与其角色无关的敏感文档存储库下载大量IP，或者来自与该企业没有业务往来的国家/地区的服务器流量。

（2）威胁建模：使用来自威胁情报源和违反规则/策略的数据来寻找已知的恶意行为。这可以快速轻松地筛选出简单的恶意软件。

（3）访问异常值建模：确定用户是否正在访问不寻常的东西或他们不应该访问的东西。这需要提取有关用户角色、访问权限的数据。

（4）身份风险概况：根据人力资源数据、监视列表或外部风险指标确定事件中涉及的用户的风险程度。例如，员工最近由于没有升职可能更有可能对企业怀恨在心，并想进行报复。

（5）数据分类：标记与事件相关的所有相关数据，如事件、网络段、资产或涉及的帐户，为调查警报的安全团队提供场景。

普普点评

行为分析如果做得正确，可以产生足够准确的警报，以实现自动化响应。这种方法提供的大量场景意味着自动修复操作可以非常有针对性，例如删除一个用户对一个系统的访问。这意味着意外干扰合法业务流程的可能性较低。反过来，这可能为首席信息官或首席信息安全官提供帮助，自动化响应是可行的。

3、云安全:这三个因素易造成云安全风险

1.不断推陈出新

当企业过多的将注意力放到应用、程序等的推陈出新上，可能会对云计算平台的配置产生影响。开发人员可以定期对生产代码进行小幅更改，采用变通的方法对应用和程序进行更新，以避免在需要进行调整时获得管理员权限的耗时过程。

2.增加应用程序的互联性

企业与第三方或应用程序组件之间的联系越多，出现错误配置的可能性就越大。常见的API错误包括对象级别、用户级别和功能级别的授权中断，在企业的API中暴露太多信息也可能为黑客提供破解其代码的线索。

3.云计算基础设施的复杂性

云计算架构的复杂性对错误配置风险有重大影响。单一的云环境的风险有限，但在多租户云环境中，随着IT人员需要进行配置以确保黑客不在同一台机器上的虚拟机上运行代码，风险就会增加。当代码和数据在各种不同的地方存储和处理时，多云或混合云架构中的风险会呈指数级增长。

普普点评

越来越多的企业将业务迁移到云平台，这个大趋势让我们不得不加强对云安全的重视。企业的云计算服务大多是由云计算服务商提供的，想要得到更安全、更长远的发展，企业中相关的技术人员需要多多关注云安全，以确保配置正确并且不会无意中泄露数据。

4、未来:超自动化

网络安全左移和右移的理念已经得到业内的广泛认可，但除了应用安全，无处不在且不断快速增长的网络空间资产更是令打补丁这项工作成为了不可能的任务。似乎只剩下一条路可走，自动化，或者说智能化更加准确些。因为，不仅是实时性，前瞻和预测也同样重要。只有机器速度的识别、理解和响应，安全团队才能够在几乎不需要人工干预的情况下，主动、快速地解决问题。自动化将完成大部分工作，人只是最终的仲裁者，根据机器提供的智能分析采取适当的行动决策。这个过程区别于传统的自动化，可称之为超自动化。

在接下来的五年里，我们将看到超自动化在漏洞补丁管理中的广泛应用。如果说漏洞管理时代开始于2011年，基于风险的漏洞管理开始于2017年(Wanncry和Nopetya)，那么从2023年至2025年将是从基于风险的漏洞管理过渡到超自动化管理的时期。

普普点评

到2025年，我们应该看到更多的安全控制以代码的形式编写并嵌入到软件中，比如将策略作为代码，将安全作为代码，将开发作为代码。同样，我们将补丁作为代码，暴露面作为代码，漏洞枚举作为代码。“作为一种代码”(as a code)将成为未来十年的流行语。随着它成为热门话题，我们将在“自动化技术嵌入软件”方面取得巨大进展。

5、2022年三大SaaS安全威胁

当不法分子打算攻击你的SaaS应用程序时,他们会使用更基本，更复杂的方法。正如Kevin Mitnick 在他的“勒索云”视频中所说的那样，通过SaaS应用程序攻击商业电子邮件帐户的传统路线遵循以下方式：

网络不法分子发送包含OAuth应用程序的钓鱼邮件
用户点击该链接
用户登录自己的帐户
应用程序请求用户允许访问阅读电子邮件和其他功能
这会创建一个OAuth令牌，直接发送给网络不法分子。
OAuth令牌使网络不法分子能够控制基于云的电子邮件或驱动器等。(取决于所获取权限的范围)
不法分子通过 OAuth来访问电子邮件或者驱动等，并将其加密。
用户再次登录到他们的邮箱和驱动时，就会发现自己的信息已被加密。勒索软件生效了。
用户收到勒索信息：他们的信息已被加密，必须通过付钱来恢复权限。

普普点评

经过多年来的发展，SaaS逐渐被运用于各大企业，不但降低了成本，也方便了软件的维护。由于SaaS的数据和服务均部署在云端，所以用户可以打破空间的限制，随时随地地通过浏览器来办公。但这同时也带来了更多的安全隐患。提高效率和便利的同时，我们更要把安全放在首位，否则只会得不偿失。

6、为什么低代码和身份验证必须共存

对于希望在数字经济的市场竞争中获胜的企业来说，软件开发已经成为一项关键任务。它越来越多地推动技术创新甚至颠覆行业。然而，构建、测试和验证主要代码块通常需要几个月的时间，找到处理这项任务的人才可能是艰巨的。

由于技能差距和规模交付，许多企业转向低代码应用程序开发平台来更快地构建和交付应用程序。

然而，在采用低代码工具的热情中，经常被忽视的是，这些类型的开发平台会影响企业的许多领域，其中包括身份验证和网络安全。

与身份验证系统集成不良的后果可能是重大的，尤其是随着业务需求的变化以及企业需要开始添加新功能，例如无密码身份验证、多因素身份验证(MFA)、身份证明。如果没有强大的身份管理框架，人工管理大量授权和身份验证可能会很困难，并且会破坏安全性，包括零信任计划。

普普点评

使用低代码开发框架构建应用程序时，一种更易于管理的方法是将它们连接到身份服务的单个抽象层。这解决了与低代码环境中的身份管理相关的三个主要挑战：摆脱特定于平台的方法，摆脱将应用程序与特定身份提供者绑定的低代码工具，以及建立符合企业特定需求的身份框架。

7、勒索软件攻击凶猛,我们如何防范?

勒索软件几乎无处不在，每11秒就会发生一次新的勒索软件攻击。从以前的邮件附件传播，到现在网页链接植入传播，攻击手段不断翻新，稍微不注意，就有可能被黑客组织们盯上。我们经常看到某某机构数据泄露，某某系统被攻击，这些事件都与勒索软件攻击有关。

勒索软件，是近几年兴起一种新型网络犯罪方式，它通常是通过木马病毒加密被害者系统里的文件或者数据，要求在特定时间内按照他们要求的方式支付赎金，以取得解密钥匙。如果在指定时间内黑客没有收到赎金，那么它将永久性删除或者锁定数据，或者将数据在暗网上售卖，给被害者造成无法弥补的损失。勒索软件已成为全球企业和组织面临的主要网络威胁。

勒索软件的攻击，通常会给黑客组织带来可观回报。勒索软件的平均赎金金额，从2018年的5000美元，到2019年的8.4万美元，到2020年上升到21.3万美元，2021年则超过32.3万美元。

普普点评

勒索软件攻击的领域越来越广，服务业、能源、制造业、金融等行业都在攻击者的目标范围内；三星、育碧、英伟达、微软等大型科技公海710，政府部门、大学、医疗机构等等，都遭受到不同形式的勒索软件攻击。勒索软件威胁正成为笼罩在互联网世界的恶梦。我们只有勇于面对，做好防范，才是上策。

上一篇:普普安全资讯一周概览（0409-0415）下一篇:普普安全资讯一周概览（0326-0401）