建站
咨詢
售后
建站咨詢
新聞中心
?據(jù)Randori與ESG聯(lián)合開展的《2022年攻擊面管理現(xiàn)狀報告》數(shù)據(jù)顯示，在過去一年中，隨著遠程辦公人員數(shù)量、云解決方案和SaaS應(yīng)用程序使用量的不斷增加，企業(yè)組織的網(wǎng)絡(luò)應(yīng)用攻擊面進一步擴大。從表面上看，攻擊面擴大并不奇怪，因為世界一直朝著更為互聯(lián)和分散的方向發(fā)展，連接到互聯(lián)網(wǎng)的計算設(shè)備自然會持續(xù)性增加。
成都創(chuàng)新互聯(lián)堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都網(wǎng)站建設(shè)、成都做網(wǎng)站、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的資溪網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！
但值得警惕的是，很多企業(yè)的安全團隊難以跟上數(shù)字環(huán)境快速擴張和不斷變化的步伐，因為缺乏對其有效管理的工具和流程，結(jié)果導(dǎo)致了暴露給攻擊者的漏洞與安全團隊已知的風險之間存在巨大差異。
以下梳理總結(jié)了現(xiàn)代企業(yè)在數(shù)字攻擊面方面最常見的7種風險和挑戰(zhàn)：
1.脆弱的訪問控制管理
雖然現(xiàn)代企業(yè)都在不斷完善網(wǎng)絡(luò)應(yīng)用系統(tǒng)訪問的安全性，但攻擊者仍有辦法找到并利用與訪問控制授權(quán)相關(guān)的漏洞。此外，很多云服務(wù)商的安全措施常常不夠有效，脆弱的云授權(quán)方法也難以阻止攻擊者在進入云后提升權(quán)限，擴大對敏感數(shù)據(jù)的訪問權(quán)。由于如今的云服務(wù)具有易用性和簡單性，這樣很多非專業(yè)技術(shù)人員也可以在云端配置IT應(yīng)用服務(wù)，但這將不可避免地導(dǎo)致安全性疏忽和錯誤配置。
2.易受攻擊的域名系統(tǒng)
域名系統(tǒng)（DNS）是互聯(lián)網(wǎng)數(shù)據(jù)訪問的基礎(chǔ)性部分，但由于其在設(shè)計時并未考慮可能的安全風險，因此其天然就易受網(wǎng)絡(luò)攻擊。如今，幾乎每家企業(yè)都在其數(shù)字供應(yīng)鏈中使用各種DNS服務(wù)器，因此攻擊者已將DNS服務(wù)器視為非常具有吸引力的攻擊目標，通過漏洞利用就可以劫持系統(tǒng)，這樣就可以獲得類似“內(nèi)部人員”等級的信任度，并以此輕松發(fā)動網(wǎng)絡(luò)攻擊。
3.第三方Web應(yīng)用與系統(tǒng)
幾乎所有的現(xiàn)代企業(yè)都需要利用Web應(yīng)用程序進行關(guān)鍵業(yè)務(wù)運營，這意味著要在其中存儲和共享大量敏感數(shù)據(jù)，包括電子郵件地址、密碼和信用卡號等。這些Web應(yīng)用程序會與多個第三方系統(tǒng)和服務(wù)交互或連接，這無疑會進一步加大了訪問該服務(wù)的攻擊面。攻擊者正在密切關(guān)注數(shù)字供應(yīng)鏈中的攻擊途徑，包括通過SQL注入攻擊獲得的漏洞、權(quán)限配置錯誤以及身份驗證缺陷等，獲得數(shù)據(jù)訪問權(quán)限。因此，現(xiàn)代企業(yè)不僅需要保護自己組織的應(yīng)用程序，每個相關(guān)聯(lián)的Web應(yīng)用程序和第三方系統(tǒng)也都需要受到保護。
4.不安全的郵件服務(wù)
電子郵件仍然是企業(yè)員工、客戶、合作伙伴之間最流行的業(yè)務(wù)溝通方式之一。電子郵件易于訪問和使用，這也讓它容易受到網(wǎng)絡(luò)攻擊。每家組織使用不同的內(nèi)外電子郵件服務(wù)器進行日常通信，這意味著電子郵件安全保護方面的最佳實踐會因公司和服務(wù)商而不同。網(wǎng)絡(luò)攻擊者經(jīng)過訓(xùn)練，可以識別易受攻擊的電子郵件服務(wù)器，并發(fā)起企圖接管的活動。一旦他們進入電子郵件服務(wù)器，就會向他們能夠接觸到的任何人實施基于電子郵件的釣魚攻擊。
5.失去控制的影子IT
影子IT指組織的員工在未經(jīng)IT團隊批準的情況下使用的信息化技術(shù)，包括系統(tǒng)、軟件、應(yīng)用程序和設(shè)備。近年來，隨著員工在家中使用個人設(shè)備登錄辦公，影子IT大行其道。員工經(jīng)常通過云存儲來遷移工作負載和數(shù)據(jù)，卻不了解相關(guān)的安全標準和風險，組織的安全團隊也沒有給予密切關(guān)注。有時，員工在創(chuàng)建公服務(wù)時可能配置出錯，導(dǎo)致漏洞被利用。與此同時，由于影子IT的性質(zhì)，IT和安全部門難以對這些設(shè)備漏洞進行有效的監(jiān)控和管理，因此往往不能及時了解安全事件的攻擊過程。
6.海量的聯(lián)網(wǎng)資產(chǎn)和設(shè)備
目前，全球連接互聯(lián)網(wǎng)的計算設(shè)備數(shù)量達到數(shù)十億，增長速度驚人，這主要是因為現(xiàn)代企業(yè)數(shù)字化轉(zhuǎn)型發(fā)展的速度之快前所未有。顯然，管理這么多的網(wǎng)絡(luò)連接需要一個大型的、復(fù)雜的、分布式的、專門構(gòu)建的基礎(chǔ)設(shè)施。而事實上，在許多企業(yè)的網(wǎng)絡(luò)中，仍然存在大量長期未使用的服務(wù)器、系統(tǒng)和應(yīng)用程序等，這些資產(chǎn)使用過時的軟件，缺少甚至完全沒有日常安全維護，并長期暴露在網(wǎng)絡(luò)攻擊者面前。
7.云計算的責任共擔模式
云計算（無論公有云還是私有云）為組織更新和發(fā)展數(shù)字化基礎(chǔ)設(shè)施提供了一種快速、簡單且便宜的方式。不過美國國家安全局（NSA）表示，隨著組織進一步將業(yè)務(wù)和數(shù)據(jù)上云后，同時也將自己置于更大的風險環(huán)境之中。云服務(wù)提供商都使用云安全共擔責任模型，比如谷歌云、亞馬遜云和微軟Azure云。因此，云應(yīng)用的大部分安全責任仍然需要由使用這些云的企業(yè)來承擔。比較復(fù)雜的是，不同的云服務(wù)商所提供的安全承諾和服務(wù)各不相同，這就給多云應(yīng)用的企業(yè)帶來困擾，因為需要針對不同的云上數(shù)據(jù)和應(yīng)用分別制定不同的安全策略。
參考鏈接：https://www.scmagazine.com/perspective/cloud-security/seven-deadly-sins-hiding-in-the-companys-attack-surface?
標題名稱：現(xiàn)代企業(yè)數(shù)字攻擊面中的七大安全挑戰(zhàn)
URL網(wǎng)址：http://www.dlmjj.cn/article/djdpeps.html
