本文來(lái)自微信公眾號(hào)“安全牛”。
新冠疫情正在進(jìn)入新的發(fā)展階段，然而，它所引發(fā)的企業(yè)遠(yuǎn)程混合辦公模式變革仍然在持續(xù)。毫無(wú)疑問(wèn)，這種變化大大增加了企業(yè)組織的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，因?yàn)樗粌H擴(kuò)大了潛在的攻擊面，而且還打破了傳統(tǒng)邊界安全防護(hù)模式。
總的來(lái)看，如果企業(yè)組織的遠(yuǎn)程辦公環(huán)境安全性不佳，將可能會(huì)遇到以下風(fēng)險(xiǎn)：
經(jīng)濟(jì)損失：主要包括安全事故的恢復(fù)成本，以及受到監(jiān)管機(jī)構(gòu)的罰款等；
商譽(yù)損失：企業(yè)可能會(huì)失去客戶、供應(yīng)商以及合作伙伴的信任；
數(shù)據(jù)資產(chǎn)損失：隨著網(wǎng)絡(luò)攻擊或內(nèi)部威脅的隱患不斷增加，企業(yè)數(shù)據(jù)資產(chǎn)面臨的威脅也將隨之增長(zhǎng)；
法務(wù)費(fèi)用：由于違規(guī)或敏感數(shù)據(jù)泄露，將導(dǎo)致企業(yè)的法律訴訟成本增加；
業(yè)務(wù)運(yùn)營(yíng)故障：企業(yè)可能會(huì)面臨內(nèi)部業(yè)務(wù)運(yùn)營(yíng)和關(guān)鍵供應(yīng)鏈中斷的風(fēng)險(xiǎn)。
盡管目前，保障遠(yuǎn)程辦公的安全性已經(jīng)引起了企業(yè)組織的高度關(guān)注，但在應(yīng)用實(shí)踐中，部分安全人員仍然會(huì)在配置和管理遠(yuǎn)程辦公環(huán)境方面存在一些較嚴(yán)重的錯(cuò)誤。本文收集整理了企業(yè)在遠(yuǎn)程辦公安全防護(hù)中最容易犯的10個(gè)錯(cuò)誤，以及如何有效避免這些錯(cuò)誤。
01
對(duì)遠(yuǎn)程辦公活動(dòng)缺乏可見(jiàn)性
對(duì)企業(yè)員工的遠(yuǎn)程辦公活動(dòng)缺乏可見(jiàn)性，將會(huì)嚴(yán)重削弱企業(yè)檢測(cè)和阻止安全威脅事件的能力。
雖然工作環(huán)境不同，但遠(yuǎn)程工作者往往與在辦公室工作的同事?lián)碛邢嗤?jí)別的業(yè)務(wù)系統(tǒng)訪問(wèn)權(quán)限。而據(jù)調(diào)研數(shù)據(jù)顯示，約43%的遠(yuǎn)程員工會(huì)在網(wǎng)絡(luò)安全方面出現(xiàn)錯(cuò)誤，因此企業(yè)必須采取措施將這些影響降至最低。
此外，如果遠(yuǎn)程工作人員成為惡意的內(nèi)部人員，他們會(huì)更容易竊取或破壞敏感數(shù)據(jù)，進(jìn)行商業(yè)間諜活動(dòng)，或?qū)嵤┢墼p。為了有效應(yīng)對(duì)這種威脅，安全團(tuán)隊(duì)必須能夠全面監(jiān)控所有遠(yuǎn)程辦公人員的系統(tǒng)訪問(wèn)活動(dòng)。為此，組織可以考慮部署專門(mén)的可見(jiàn)性監(jiān)控管理軟件。
02
為遠(yuǎn)程員工提供過(guò)度的訪問(wèn)權(quán)限
擁有過(guò)度訪問(wèn)權(quán)限的遠(yuǎn)程員工很可能會(huì)成為特權(quán)濫用、賬戶泄露、數(shù)據(jù)泄露和其他網(wǎng)絡(luò)攻擊的源頭。一種最有效的解決辦法是，企業(yè)盡快采取“最小特權(quán)原則”，它意味著除了執(zhí)行工作職責(zé)所需的訪問(wèn)權(quán)限外，員工幾乎不會(huì)被授予額外的訪問(wèn)權(quán)限。減少遠(yuǎn)程員工對(duì)關(guān)鍵信息的非必要訪問(wèn)，可以幫助防止?jié)撛诘陌踩{。企業(yè)還可以考慮實(shí)現(xiàn)更全面的即時(shí)訪問(wèn)管理方法，對(duì)遠(yuǎn)程特權(quán)用戶和第三方合作伙伴，采取比辦公室員工更嚴(yán)格的權(quán)限管理策略，因?yàn)橐驗(yàn)樗麄冊(cè)L問(wèn)組織基礎(chǔ)設(shè)施的特權(quán)可能會(huì)被非法提升。
03
缺乏明確的遠(yuǎn)程訪問(wèn)安全策略
如果企業(yè)缺乏明確的安全策略，將可能導(dǎo)致企業(yè)安全建設(shè)目標(biāo)的清晰度和同步性較差。遠(yuǎn)程訪問(wèn)策略（RAP）旨在指導(dǎo)組織努力確保遠(yuǎn)程工作的安全性和穩(wěn)定性。這樣的政策概述了安全人員和遠(yuǎn)程辦公人員應(yīng)該遵守的工作流程，以最大限度地減少與業(yè)務(wù)工作相關(guān)的遠(yuǎn)程網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。RAP可能是企業(yè)中更廣泛的信息安全策略（ISP）的一部分，它應(yīng)該包含用于管理組織遠(yuǎn)程工作風(fēng)險(xiǎn)的網(wǎng)絡(luò)安全解決方案和工具列表。
04
沒(méi)有統(tǒng)一管理用戶密碼
在安全性差的企業(yè)辦公環(huán)境中，遠(yuǎn)程辦公員工往往自行設(shè)置賬號(hào)密碼，并且會(huì)有弱密碼使用習(xí)慣，這增加了由于暴力攻擊、密碼噴灑和其他網(wǎng)絡(luò)攻擊而導(dǎo)致的賬戶泄露風(fēng)險(xiǎn)。根據(jù)IBM Security和Morning Consult的一項(xiàng)遠(yuǎn)程辦公研究顯示，高達(dá)35%的遠(yuǎn)程員工在其使用的業(yè)務(wù)系統(tǒng)和登錄賬戶上重復(fù)使用相同的密碼。遠(yuǎn)程工作者不良的密碼管理習(xí)慣迫使組織使用專門(mén)的安全軟件來(lái)管理用戶憑證。
05
不能真實(shí)驗(yàn)證遠(yuǎn)程用戶的身份
如果無(wú)法檢查誰(shuí)在使用賬戶，可能會(huì)導(dǎo)致對(duì)組織關(guān)鍵資產(chǎn)的未經(jīng)授權(quán)訪問(wèn)行為。如果遠(yuǎn)程辦公人員的賬戶憑證被泄露，安全人員必須有辦法防止網(wǎng)絡(luò)犯罪分子訪問(wèn)組織的資產(chǎn)。多因素身份驗(yàn)證（MFA）是一種經(jīng)過(guò)時(shí)間驗(yàn)證的方法，它可以確保有更多的因素（而不僅僅是密碼）來(lái)驗(yàn)證試圖訪問(wèn)組織網(wǎng)絡(luò)的用戶。啟用MFA后，網(wǎng)絡(luò)犯罪分子使用竊取憑證的難度將大大提升。如果企業(yè)組織希望更有效保證訪問(wèn)者身份的真實(shí)可信，應(yīng)該充分研究和了解零信任的技術(shù)理念，并考慮在組織中實(shí)現(xiàn)零信任安全體系結(jié)構(gòu)。
06
配置錯(cuò)誤的通信網(wǎng)絡(luò)
研究人員發(fā)現(xiàn)，未能正確配置企業(yè)網(wǎng)絡(luò)也是遠(yuǎn)程辦公場(chǎng)景中許多安全威脅產(chǎn)生的重要原因之一。在2022年的RSAC會(huì)議上，網(wǎng)絡(luò)安全專家Paula Januszkiewicz將“錯(cuò)誤配置的網(wǎng)絡(luò)通信服務(wù)”列為遠(yuǎn)程工作導(dǎo)致網(wǎng)絡(luò)安全事件的首要原因，而根據(jù)Titania的一份報(bào)告顯示，網(wǎng)絡(luò)錯(cuò)誤配置使組織每年損失9%的收入。為了確保組織的網(wǎng)絡(luò)系統(tǒng)和安全工具得到正確配置，企業(yè)應(yīng)該對(duì)運(yùn)維人員的操作進(jìn)行審計(jì)和控制，例如安裝用戶活動(dòng)監(jiān)控解決方案。
07
缺乏網(wǎng)絡(luò)分段
如果組織的網(wǎng)絡(luò)還是一個(gè)相互聯(lián)通的整體，那么網(wǎng)絡(luò)犯罪分子將擁有更多的訪問(wèn)機(jī)會(huì)。通過(guò)利用網(wǎng)絡(luò)分段技術(shù)，將有效限制組織網(wǎng)絡(luò)安全事件的暴露程度，并使組織能夠更好地控制誰(shuí)可以訪問(wèn)什么。通過(guò)使用網(wǎng)橋（bridges）、交換機(jī)和路由器等設(shè)備，可以將網(wǎng)絡(luò)劃分為多個(gè)子網(wǎng)，每個(gè)子網(wǎng)都能夠作為一個(gè)單獨(dú)的業(yè)務(wù)網(wǎng)絡(luò)運(yùn)行。
通過(guò)將系統(tǒng)和服務(wù)彼此隔離，安全人員可以防止一些特發(fā)的安全漏洞演變成后果嚴(yán)重的重大網(wǎng)絡(luò)安全事件。網(wǎng)絡(luò)犯罪分子遇到的阻礙越多，中途放棄的可能性就越大。因此，企業(yè)應(yīng)該考慮限制組織網(wǎng)絡(luò)之間的通信，這將幫助組織限制對(duì)敏感系統(tǒng)和數(shù)據(jù)的未經(jīng)授權(quán)訪問(wèn)行為。組織不僅可以借助路由設(shè)備在物理上分段網(wǎng)絡(luò)，還可以使用軟件在邏輯上分段網(wǎng)絡(luò)。
08
未保護(hù)員工的家庭環(huán)境
許多網(wǎng)絡(luò)安全事件的根源是由于遠(yuǎn)程員工沒(méi)有使用正確的工具和措施來(lái)保護(hù)他們的家庭辦公環(huán)境。一旦企業(yè)制定了遠(yuǎn)程訪問(wèn)策略（RAP），請(qǐng)確保所有的遠(yuǎn)程辦公人員都有效遵守它。
為了確保員工連接的環(huán)境是安全的，安全團(tuán)隊(duì)需要為他們提供一份清單，列出他們應(yīng)該做什么，以及需要避免哪些網(wǎng)絡(luò)安全錯(cuò)誤。這份遠(yuǎn)程工作安全清單通常會(huì)涵蓋以下基本事項(xiàng)：
應(yīng)用程序的使用：向員工提供一份安全應(yīng)用程序清單，并確保員工安裝了必要的軟件和操作系統(tǒng)更新；
個(gè)人設(shè)備的使用：告訴員工應(yīng)該盡量避免使用個(gè)人設(shè)備進(jìn)行遠(yuǎn)程工作，同時(shí)制定使用遠(yuǎn)程辦公設(shè)備時(shí)的安全規(guī)則，例如，員工必須讓他們的工作設(shè)備遠(yuǎn)離家人；
密碼管理要求：讓員工養(yǎng)成安全使用密碼的習(xí)慣，例如定期更新密碼、不同賬戶使用不同的密碼，以及確保密碼的復(fù)雜度適當(dāng)；
網(wǎng)絡(luò)安全指導(dǎo)：要讓遠(yuǎn)程員工了解如何正確使用殺毒軟件、vpn和其他安全工具，重要的是，員工要保護(hù)他們的家庭Wi-Fi，避免使用公共網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程工作；
電子郵件安全：企業(yè)應(yīng)該教育員工了解社會(huì)工程攻擊以及如何避免淪為受害者，要確保所有遠(yuǎn)程辦公人員僅使用公司電子郵件發(fā)送和存儲(chǔ)和工作相關(guān)的數(shù)據(jù)。
09
未開(kāi)展網(wǎng)絡(luò)安全意識(shí)培訓(xùn)
如果遠(yuǎn)程辦公人員不認(rèn)為網(wǎng)絡(luò)安全很重要，他們就可能會(huì)忘記、忽視甚至破壞關(guān)鍵的安全流程。企業(yè)應(yīng)該明確要求所有的員工定期接受網(wǎng)絡(luò)安全培訓(xùn)，讓遠(yuǎn)程員工為最新的網(wǎng)絡(luò)威脅做好準(zhǔn)備。通過(guò)培訓(xùn)，遠(yuǎn)程辦公員工將更有可能記住并使用組織的安全建議。因此，要確保有足夠的網(wǎng)絡(luò)安全事件示例，特別是網(wǎng)絡(luò)釣魚(yú)攻擊案例及其后果。如果可能的話，應(yīng)該向員工們展示在組織中可能會(huì)出現(xiàn)的各種安全威脅和攻擊事件。
10
沒(méi)有遠(yuǎn)程辦公安全響應(yīng)計(jì)劃
安全人員檢測(cè)、響應(yīng)和修復(fù)網(wǎng)絡(luò)安全事件所需的時(shí)間越長(zhǎng)，網(wǎng)絡(luò)犯罪分子對(duì)企業(yè)造成的損害就會(huì)越大。如果沒(méi)有一個(gè)提前制定的遠(yuǎn)程辦公安全事件響應(yīng)計(jì)劃，企業(yè)將在遭遇突發(fā)攻擊時(shí)，喪失寶貴的響應(yīng)時(shí)間，這也將帶來(lái)更多資產(chǎn)和商譽(yù)損失。
安全事件響應(yīng)計(jì)劃（IRP）可以充當(dāng)網(wǎng)絡(luò)安全“救生船”，它概述了安全人員在發(fā)現(xiàn)威脅時(shí)應(yīng)采取的直接和具體步驟。有效的IRP應(yīng)該包含：
●網(wǎng)絡(luò)安全事件指標(biāo)；
●最常見(jiàn)的安全事件和相應(yīng)的響應(yīng)場(chǎng)景的描述；
●事件響應(yīng)團(tuán)隊(duì)中包括的員工名單，以及他們?cè)谑录憫?yīng)中采取行動(dòng)的職責(zé)；
●恢復(fù)和事件調(diào)查措施；
●聯(lián)系利益相關(guān)者和監(jiān)管機(jī)構(gòu)，通知有關(guān)事件等。
