【绿盟课堂】带你实践解读网络安全

|| 导语 ||

网络安全是为了确保信息的完整性、保密性和可用性。它代表了安全防御和从安全事故攻击中恢复的能力，业务连续性和灾难恢复计划对于网络安全至关重要。

小课堂

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

▼▼▼

从狭义的network security到广义CyberSecurity

如今的网络安全不仅仅是狭义的network security ，更成为了广义CyberSecurity，我们要从实践中去了解网络安全到底是什么意思。去年国家网络安全宣传中做出重要指示「网络安全为人民，网络安全靠人民。网络安全就是国家安全」管理人员应明白，所有系统都是建立在一定的安全标准基础之上，并且员工都要经过适当培训。例如，所有代码都有漏洞，其中一些漏洞是安全缺陷。毕竟，开发者也是常人。今天这篇文章就从安全意识培训说起，给大家介绍一下关于网络安全类型、网络威胁类型和网络安全攻击形式的内容。

▼▼▼

安全意识培训

人总是网络安全规划中最薄弱的环节。培训开发人员安全地编写代码，培训操作人员优先考虑强大的安全状况，培训最终用户检测钓鱼邮件和社会工程攻击。

即使有强大的控制措施，所有公司都会遭遇某种网络攻击。通过执行基本的安全任务，很多攻击都是可轻松防护的。然而，熟练的黑客可绕过大多数防御系统和攻击面。

因此，日益增长的网络安全专业人才需求使招聘经理不得不努力填补职位空缺。这需要组织重点关注风险最大的领域。

▼▼▼

网络安全类型

网络安全范围广泛，下文介绍网络安全的核心领域。好的网络安全策略应考虑到以下这些核心领域。

1.关键基础设施

关键基础设施包括社会所依赖的网络物理系统，包括电网、水净化系统、交通灯和医院。例如，发电厂联网后容易遭遇网络攻击。负责关键基础设施的组织的解决方案是进行尽职调查，了解漏洞并进行防护。每个人都应评估其依赖的关键基础设施攻击造成的影响，然后制定应急计划。

2.狭义网络安全

网络安全应防范未经授权的入侵和恶意内部人员。确保网络安全通常需要权衡。为了更好地管理网络安全监控，安全团队越来越多地使用机器学习来标记异常流量，并生成威胁警告。

3.云安全

企业进入云计算时代带来了新的安全挑战，2017年几乎每周都有数据泄露事件发生。云提供商正在创建新的安全工具来帮助企业用户更好地保护数据，但对于网络安全而言，进入云时代并不是应对尽职调查的灵丹妙药。

4.应用安全

应用程序安全（AppSec），尤其是Web应用安全，已经成为最薄弱的攻击技术点。将应用程序快速开发和部署到云上使 DevOps 作为一门新学科应运而生。DevOps团队通常将业务需求置于安全之上，由于威胁的扩散，这种关注度很可能会发生变化。

5.IoT物联网安全

物联网是指各种关键和非关键的网络物理系统，比如家用电器、传感器、打印机和安全摄像头。物联网设备经常处于不安全状态，几乎没有安全补丁，不仅威胁用户，还会威胁互联网上的其他人，因为这些设备经常是僵尸网络的一部分。这对家庭用户和社会都带来了独特的安全挑战。

▼▼▼

网络威胁类型

保密性攻击

很多网络攻击都是从窃取或复制目标个人信息开始的，包括普通犯罪攻击，如信用卡欺诈和身份盗窃或盗取比特币钱包。国家间谍将机密性攻击作为其工作的主要部分，试图获取政治、军事或经济利益方面的机密信息。

完整性攻击

顾名思义，完整性攻击是为了破坏信息或系统，以及依赖这些信息或系统的人。完整性攻击是微妙的，是对目标的破坏。攻击者包括脚本小子，也有国家攻击者。

可用性攻击

阻止目标访问数据是当今勒索软件和拒绝服务攻击最常见的形式。 勒索软件加密目标数据，并索要赎金进行数据解密。拒绝服务攻击通常是分布式拒绝服务 DDoS攻击 ，将发送大量请求占用网络资源，使网络资源不可用。下文将介绍如何发起这些攻击。

▼▼▼

网络安全攻击形式

1.社会工程

若能够攻击人类，攻击者就不会入侵计算机了。社会工程恶意软件，通常用于交付赎金，它是最重要的攻击方法（而不是缓冲区溢出、配置错误或高级攻击）。最终用户被诱骗运行木马程序。该程序通常来自用户信任和经常访问的网站。持续的用户教育是对抗攻击的最佳措施。

2.钓鱼攻击

有时，盗取他人密码最好的方法就是进行诱骗。这是大部分钓鱼攻击成功的原因。甚至接受过良好安全培训的聪明用户也可能遭遇钓鱼攻击。这就是双因子认证机制 （2FA）成为最佳防护的原因。若没有第二个因素，盗取的密码对攻击者毫无意义，如硬件安全令牌或用户手机上的软令牌认证程序。

3.社交媒体威胁

钓鱼可不只是为了约会。可信的马甲账户可通过LinkedIn网络传播蠕虫。若有人知道您的100位职业联系人并与您谈论工作，您会认为奇怪吗? 俗话说，疏于堵洞要沉船啊。无论企业还是国家都应防护社会媒体间谍活动。

4.未安装补丁的软件

若攻击者向您发起 0Day漏洞攻击，很难责怪企业，但是，不安装补丁就好比没有执行尽职调查。若漏洞被泄露了数月或数年，而企业没有安装安全补丁，就会被指控疏忽。切记，一定要安装补丁！

5.高级持续性威胁APT

说起国家攻击者，企业中就有这类攻击者。若多个APT攻击在公司网络上玩起捉迷藏的游戏，请不要感到惊讶。若在任何地方对某人做有趣的事情，您需要考虑安全状况和复杂的APT攻击。在科技领域，没有什么比这更真实的了。很多犯罪分子和国家跃跃欲试想要偷窃拥有宝贵知识产权的产业。

	请点击屏幕右上方“…” 关注绿盟科技公众号 NSFOCUS-weixin

↑↑↑长按二维码，下载绿盟云APP