勒索軟件、惡意軟件,、網絡釣魚攻擊……這些都是現(xiàn)代企業(yè)在數(shù)字化轉型發(fā)展中面臨的諸多網絡安全威脅與挑戰(zhàn),，由此造成的危害也時有報道。然而當企業(yè)投入了巨大資源啟動網絡安全防護計劃時,，一些常見的高危風險容易被安全團隊所忽視,。其原因可能是安全人員陷入了“安全警報疲勞”狀態(tài)，或是認知不足而放松了警惕心,，然而,，這些沒有得到足夠重視的常見威脅正在企業(yè)數(shù)字化環(huán)境中到處肆虐，并隨時可能引發(fā)災難性的影響,。

　　· 公開信息的惡意利用

　　公開信息被惡意利用是企業(yè)面臨威脅之一,，但幾乎很少人會關注和談論這種威脅。事實上,，大多數(shù)的網絡攻擊發(fā)生之前,，網絡犯罪分子都會提前收集目標企業(yè)的電子郵件地址、電話號碼和社會安全號碼等基本信息,。企業(yè)安全團隊應該更加關注和重視這方面的保護,，教育企業(yè)員工如何管理他們在網上的企業(yè)與個人信息。

　　· 數(shù)據(jù)勒索攻擊

　　近年來勒索軟件攻擊者的策略頗有成效,，企業(yè)組織將會看到更多的勒索軟件攻擊,，因此安全主管們需要提前做好準備。但很多企業(yè)對勒索攻擊仍然缺乏足夠的重視,。同時,，一些企業(yè)的安全管理者存在認知誤區(qū)：我們已經對業(yè)務數(shù)據(jù)進行了備份，這樣就可以不需要支付贖金以恢復數(shù)據(jù),。然而,，現(xiàn)在勒索攻擊者的方法已有所改進，雙重勒索甚至多重勒索模式將會成為主要攻擊手段,。

　　· 用戶賬戶接管攻擊

　　用戶賬戶接管攻擊是一種威脅巨大網絡安全風險,，但是目前很少有企業(yè)已經具備有效的防護手段。網絡攻擊者不再直接攻擊高價值目標,，而是通過網絡釣魚攻擊目標的供應商和第三方供應鏈,，然后利用被攻陷的用戶賬戶向目標發(fā)送合法郵件,。美國聯(lián)邦調查局（FBA）將這種攻擊方式稱為“價值260億美元的欺詐騙局”。一旦合法賬戶被攻擊者接管,，就可以被利用下達欺詐性的訂單,，攔截商務憑證，轉移有價值的數(shù)字資產,，甚至給受害企業(yè)的品牌帶來損害,。

　　· 不斷擴大的API攻擊面

　　應用編程接口（API）是應用程序間通信的核心，它提供了對第三方驗證和數(shù)據(jù)源的訪問,。隨著API應用增長,，隨之而來的攻擊面也在不斷擴大，確保API應用安全對保護企業(yè)數(shù)字化發(fā)展安全變得越來越重要?，F(xiàn)代企業(yè)需要將確保API應用安全視為一條核心業(yè)務運營原則,。

　　· 影子SaaS應用

　　很多企業(yè)還沒有意識到技術工具的無序采購也是一大風險。龐大的軟件即服務（SaaS）市場,，讓普通員工也可以便捷地購買到應用軟件程序,，甚至是免費的，當這些應用中被導入企業(yè)業(yè)務數(shù)據(jù)時,，員工,、客戶和合作伙伴的隱私信息就可能面臨險境。雖然許多企業(yè)明確規(guī)定了應用程序必須得到批準后才能使用,，但影子SaaS應用是大多數(shù)企業(yè)還難以充分防范的安全風險之一,。

　　· 多維度的數(shù)據(jù)應用漏洞

　　隨著數(shù)字化轉型的發(fā)展，現(xiàn)代企業(yè)組織大多需要將業(yè)務數(shù)據(jù)存儲在多個數(shù)據(jù)中心和應用中,。企業(yè)數(shù)據(jù)資產會更加容易受到網絡犯罪活動,、人為錯誤,、自然災害等多方面因素的安全威脅,。然而，很多企業(yè)都沒有部署積極主動的安全措施,，為數(shù)據(jù)資產提供體系化的保護,，無法做到無論數(shù)據(jù)存放在哪里都可以被安全利用。

　　· 薄弱的網絡安全意識

　　如果我們復盤許多重大數(shù)據(jù)泄露事件,，其根本原因往往是因為企業(yè)員工有意或無意的網絡安全違規(guī)操作,，比如在辦公電腦上重復使用賬戶密碼，或者用不安全的個人設備訪問公司應用程序,。組織應給予更多的重視,，幫助每個員工管理好企業(yè)辦公網絡內外的個人安全，以更好地消除這些安全隱患,。

　　· 松懈的安全管理制度

　　目前企業(yè)最大的安全挑戰(zhàn)是在企業(yè)內部,，無論是松懈的管理制度,，還是沒有為員工提供經過優(yōu)化的工作流程，都會讓各種安全威脅從內部開始產生,。企業(yè)應該盡可能實現(xiàn)安全管理流程的自動化,，積極實施零信任安全框架，并持續(xù)開展網絡安全文化建設,，確保每個員工都能夠嚴格遵守安全規(guī)程,。

　　· 中間人攻擊

　　中間人攻擊是指攻擊者介入到兩個受害者的網絡通信中，并可以竊聽或篡改對話內容,。攻擊者會攔截并篡改受害者之間的消息,，然后將它們重新發(fā)送給另一個受害者，使消息看起來如同來自原始發(fā)送者,。這種類型的攻擊可用于竊取敏感信息,，比如登錄憑據(jù)、財務信息或商業(yè)機密,。中間人攻擊還可以被用來向網站或軟件注入惡意代碼,，然后感染受害者的計算設備和應用。為了防護中間人攻擊,，企業(yè)應該積極部署新一代加密技術和VPN協(xié)議來保護業(yè)務過程中的通信安全,。

　　· 不安全的物聯(lián)網設備

　　物聯(lián)網設備面臨的網絡威脅正在引起技術主管和網絡安全公司的關注。然而,，如果我們想為物聯(lián)網的大規(guī)模應用做好準備,，還應該為大規(guī)模生產的不達標、不安全的設備做好準備,。因此,，我們需要格外關注應用編程接口漏洞以及設備和移動應用程序之間共享數(shù)據(jù)的協(xié)議。

　　· 過于寬松的云應用環(huán)境

　　在云端,，傳統(tǒng)的物理防護邊界被打破,，只有通過嚴格的身份訪問控制才能構建起新的安全邊界。但是事實上,，目前有很多云上存儲的數(shù)據(jù)被廣泛暴露在互聯(lián)網上,，很多沒有得到授權的用戶也都可以訪問這些數(shù)據(jù)。盡管排查和消除云端有風險的訪問權限是一個復雜的,、動態(tài)的長期過程,，但企業(yè)必須立刻重視起來，并且開始采取相關的治理措施,。

　　· APP欺詐

　　由于APP欺詐通常是在用戶授權的情況下發(fā)生,，因此很難實時識別和預防，但這種威脅卻會給受害人造成直接的財產損失,。盡管很多企業(yè)在面對受害消費者追責索賠時,，會將部分責任推給對方,，但是考慮到企業(yè)品牌和用戶信任度的損害，企業(yè)也將因為APP欺詐而付出巨大的代價,。因此,，企業(yè)的安全團隊需要迅速行動起來，制定一項防止可能導致業(yè)務資金流失的APP欺詐防護計劃,，并從早期的盡職調查就開始做起,。

更多信息可以來這里獲取==>>電子技術應用-AET<<