【企業來稿】企業安全專業人士必須知道的五大網絡威脅

October 27, 2017 TechApple.com 編輯部

網絡正以前所未有的速度發展，實體、虛擬環境，私有和公共雲以及物聯網 (IoT) 和端點設備不斷將網絡威脅範圍大大擴大。要保護擁有高度彈性網絡世界是網絡安全專業人士面對的一大困難。在某程度上，這是因為網絡威脅在範圍和嚴重性方面持續增長，以便利用日益增長的新攻擊向量。儘管花費了數十億美元於網絡安全資源上，但反復出現的網絡罪行包括ransomware攻擊和其他網絡事件依然不斷以驚人的速度增長。

對CISOs和其他網絡安全專業人士有以下幾方面的影響:

企業和個人網上足跡續漸擴大，包括多重雲環境，令攻擊範圍增加
幾乎每種設備都可以成為攻擊目標，而且幾乎所有虛擬設備都可以用來煽動網絡攻擊
威脅攻擊變得更加智能化及自動化，使它們更難以偵測
Fortinet最近確定了五個正在推動這些網絡威脅變化的因素，這些因素使企業難以保護他們的網絡，數據和通訊設備免受惡意攻擊

物聯網 (IoT)

預測指出，在2020年前，每人將擁有4.3個互聯網連接設備。物聯網設備可分為三大類，第一類設備是我們最熟悉的消費者物聯網，例如智能手機手錶、家電和娛樂系統。用家可以利用這些設備連接到企業網絡，方便他們查閱電郵及日程等，以及瀏覽網絡等。這些工作和休閒活動的電子設備可以完成的工作不斷增加，為企業安全團隊帶來更大安全威脅。

另外兩類物聯網設備消費者較少機會遇到，商業物聯網包括庫存控制、跟踪設備、醫療設備和製造系統。而工業物聯網則用作監察儀表、泵、閥門、監視器和工業控制系統等。利用這兩類物聯網為業務帶來巨大好處，所提供的即時信息有助提升生產力和效率，從而轉化為競爭優勢。而在一些智能城市和重要基建設施上，這些工具可以節省能源，重要資源，甚至保障生命。這就是為什麼企業都如此迅速地應用物聯網科技的原因。Gartner預測，在2020年前，一半以上的業務流程和系統將由至少一個物聯網工具組成。

與此同時，物聯網同樣存在一些重大的安全挑戰。大多數物聯網設備在設計時沒有安全性納入考慮，幾乎都沒有安裝安全程式。專家預計在2020年，25%的網絡攻擊將會瞄準物聯網。

2. 雲端應用

雲端正改變企業運作模式。在未來幾年，92%以上的IT工作將由雲數據中心處理，其餘8%在傳統內部數據中心處理。由於雲端服務並不在傳統安全解決方案的範圍內，不一致程度和控制令監測及管理十分困難。此外，許多企業仍然不清楚雲端管理的工作及責任，令整個情況進一步複雜化。

雲端的安全問題是企業一大挑戰。目前，一般企業有76種不同的雲端應用，越來越多的企業更採用多雲策略，意味著企業的資源和工作流程需跨過不同的雲端服務模式，包括IaaS和SaaS。 49%的企業表示因其缺乏網絡安全技術，令雲端化步伐放緩。儘管大多數雲端服務供應商具備足夠的安全性控制措施服務，甚至達服務水準協議(SLA)的標準，但還有許多其他因素需要考慮，例如數據在不同雲環境中遷移時的可溯性、執行雲端策略的一致性、雲端的數據儲存、集中協同(orchestration)服務和政策管理，以及應對源自或經過雲環境的惡意入侵的能力。

3. 勒索軟件

基本上，每日都有勒索軟件新聞出現。在2016年，勒索軟件造成的損失超過10億美元，預計2017年將增加一倍。勒索軟件的攻擊除了變得更倡狂之外，甚至沒有經驗的網絡犯罪分子亦能利用「勒索軟體即服務」進行攻擊，並透過雲端特許經營平臺所提供的入侵及勒索工具，換取較低的前期投資成本或於後期利潤分一杯羹。

勒索軟件每日進行超過4000次攻擊，每月影響3萬至5萬部裝置，絕對不能輕視其威脅。勒索軟件最大威脅並不在於其勒索金額，而是被攻擊者系統癱瘓時間。去年受到勒索軟件攻擊的企業中，63%表示受影響裝置的系統癱瘓時間為業務帶來巨大打擊。對於醫療及重要基礎設施的供應商來說，系統癱瘓時間更足以奪命。3.5%受訪企業表示過往勒索軟件攻擊帶來巨大影響。

4. 安全通訊端層 (SSL)

網絡流量快速增長，並開始壓倒傳統安全設備。不僅僅是網絡流量不斷在上升，網絡流量所承載的機密或敏感數據都是以網絡安全科技如SSL等技術進行加密。據Fortinet第二季量度威脅報告指出，超過一半以上網絡流量被加密，持續以每年20%速度增長。

雖然SSL加密程式保護很多企業網絡數據，但同時很多網絡上犯罪份子利用這個加密程式去隱藏惡意軟件，網絡探測和惡意的網絡流量。這意味著機構必須打開和檢查每條消息，並且假設它不是惡意的，然後重新將信息包裝並發送出去。

真正行動其實比單單說出來難得多。要檢查和重新包裝安全通訊端層SSL流量是非常消耗資源，而且當網絡安全工具無法跟上進度的時候，有可能會造成嚴重性能及瓶頸問題。因此，管理敏感數據和應用程式的機構有兩個選擇，一是選擇不將關鍵的網絡流量加密，另外則是檢查被加密的流量。然而，在這個複雜和具威脅性的網絡世界中，這兩種選擇都會帶來重大風險

5. 網絡安全人才短缺?

現時企業被要求處理日益複雜和不斷演變的網絡威脅挑戰，他們同時也面對全球性網絡安全技能短缺問題。根據信息系統安全協會(ISSA) 和Enterprise Strategy Group (ESG) 的調查顯示，70%企業表示已經被全球網絡安全差距問題所影響，而當中54%受訪人士則聲稱由於缺乏網絡安全人才及適合訓練，以致他們去年遇上網絡安全問題。而且這問題將會變得越來越嚴重，據估計到2020年時，全球網絡安全人才短缺將會增加至150萬人，比現時短缺多100萬人。

網絡安全人才短缺問題不斷在增長是基於安全軟件解決方案不斷上升。而企業都紛紛將來自不同供應商的安全軟件加入到它們所分佈的網絡中，為打擊新的網絡安全威脅做足準備。但問題是，這些科技工具設計時都不是為可以在短暫和無邊界的環境中工作而設的。而且更糟糕的是，這些軟件在運作時都是與彼此隔離的，因為不同軟件都有它們單獨的配置和管理控制台，而且每次都需要人手操作去把不同數據聯繫在一起才可偵查到網絡威脅。然而，當大多數企業都在面臨人手短缺的問題時，整合和管理這些日益增長系統需要消耗大量時間和人力。