在網(wǎng)絡(luò)安全方面，總是會(huì)出現(xiàn)一些問(wèn)題，這是因?yàn)殡y以避免人為錯(cuò)誤。即使是最安全的系統(tǒng)也會(huì)帶來(lái)風(fēng)險(xiǎn)，而居心不良者一直尋找利用任何漏洞的機(jī)會(huì)。

因此，網(wǎng)絡(luò)安全有時(shí)就是“變化越多，它們就越保持不變”。這也是提出的安全建議主要是適應(yīng)新環(huán)境而不是硬重啟的原因。

[[325048]]

然而，人們現(xiàn)在生活的時(shí)代似乎一切都在改變。在家遠(yuǎn)程工作的員工是否仍面臨著同樣的安全挑戰(zhàn)和采用同樣的緩解策略?

如今面臨的挑戰(zhàn)也在不斷發(fā)展，并且有時(shí)突然出現(xiàn)。那么人為錯(cuò)誤仍然是一個(gè)主要問(wèn)題嗎?這是肯定的，但是之前對(duì)人為錯(cuò)誤的定義可能解釋為對(duì)于疫情相關(guān)的焦慮，以至于很多人現(xiàn)在都有這種感覺(jué)。

盡管可能不需要提醒員工使用強(qiáng)密碼，但需要記住，即使在平常工作的時(shí)候，也會(huì)定期得到提示，表明設(shè)定的一些密碼很脆弱。與在線安全的其他基本知識(shí)一樣，密碼強(qiáng)度也成為了人們面臨的主要問(wèn)題。

NetEnrich公司網(wǎng)絡(luò)安全業(yè)務(wù)主管Vikram Chabra指出：“只要人們?cè)谶h(yuǎn)程工作，網(wǎng)絡(luò)攻擊面就會(huì)增加，企業(yè)和個(gè)人的信息就會(huì)變得更加脆弱。”

4個(gè)遠(yuǎn)程安全挑戰(zhàn)

在這里更適用的說(shuō)法是需要安全基礎(chǔ)設(shè)施“重?zé)ㄉ鷻C(jī)”，因?yàn)楸M管仍然適用，但如何使用可能需要在疫情期間進(jìn)行增強(qiáng)或修訂。以下對(duì)企業(yè)員工在遠(yuǎn)程工作時(shí)需要注意的4個(gè)常見(jiàn)挑戰(zhàn)進(jìn)行分析。

1. 將更多的安全責(zé)任轉(zhuǎn)移給員工

企業(yè)、政府、教育和其他類型的組織一直秉承“安全是每個(gè)人的責(zé)任”這樣的理念。例如，這個(gè)概念的版本會(huì)在DevSecOps場(chǎng)景中定期出現(xiàn)，或者在任何可能出現(xiàn)問(wèn)題的地方出現(xiàn)。

大多數(shù)安全專家也知道這一點(diǎn)：“安全是每個(gè)人的責(zé)任”，這可能是一個(gè)理想的目標(biāo)。即使在具有遠(yuǎn)見(jiàn)的公司，這個(gè)觀點(diǎn)很少出現(xiàn)在日常工作中。銷售團(tuán)隊(duì)會(huì)關(guān)注這一點(diǎn)嗎?他們更關(guān)心的是銷售業(yè)務(wù)。金融部門會(huì)關(guān)心這一點(diǎn)嗎?他們更關(guān)注的是如何更多獲利。

現(xiàn)在有許多人在家中遠(yuǎn)程工作(可能在書(shū)房、客廳、臥室，或者他們可以完成工作的任何地方)，很多員工可能沒(méi)有意識(shí)到，安全責(zé)任實(shí)際上也更多地轉(zhuǎn)移到了其個(gè)人身上。隨時(shí)可以訪問(wèn)個(gè)人設(shè)備和服務(wù)的家庭網(wǎng)絡(luò)以及其他的媒介，現(xiàn)在已經(jīng)成為員工日常工作和生活的一部分。

瞻博網(wǎng)絡(luò)公司全球安全戰(zhàn)略總監(jiān)Laurence Pitt說(shuō)：“在企業(yè)的辦公室，員工可以獲得安全措施的保護(hù)，企業(yè)在安全基礎(chǔ)設(shè)施方面進(jìn)行了大量投資，以確保采用正確的解決方案來(lái)保護(hù)數(shù)據(jù)安全，并防止外部威脅。而在家中遠(yuǎn)程工作的員工，采用企業(yè)設(shè)備或個(gè)人的設(shè)備也許會(huì)有一定程度的保護(hù)措施，但是這種網(wǎng)絡(luò)環(huán)境將會(huì)顯著增加風(fēng)險(xiǎn)。”

員工在家遠(yuǎn)程工作需要重新考慮一些事情，并盡可能地進(jìn)行調(diào)整。NetEnrich公司的Chabra指出，盡管惡意軟件等外部威脅一如既往地存在，但內(nèi)部風(fēng)險(xiǎn)也在增加。影子IT可能也會(huì)經(jīng)歷某種復(fù)興。

例如，“使用強(qiáng)密碼”向企業(yè)員工提供有關(guān)家庭網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)的建議和提醒。如果員工仍然使用默認(rèn)網(wǎng)絡(luò)的名稱和密碼(很多人的網(wǎng)絡(luò)密碼都標(biāo)注在路由器上的標(biāo)簽上)，那么他們很容易遭到網(wǎng)絡(luò)攻擊者的攻擊。路由器的管理員憑據(jù)也是如此，眾所周知，大多數(shù)主要的硬件廠商都知道該憑據(jù)。

Pitt s說(shuō)：“員工有責(zé)任將企業(yè)的安全意識(shí)應(yīng)用到自己的環(huán)境中，以承擔(dān)額外的責(zé)任。”

2. 更容易受到詐騙的影響

在員工的日常工作以某種方式被顛覆的時(shí)候，很容易出現(xiàn)人為錯(cuò)誤。雖然員工遠(yuǎn)程工作可以極大地提高生產(chǎn)力，但是員在家工作在安全方面添加了許多新變量。

Pitt說(shuō)：“很多員工在家工作時(shí)有很多干擾因素：例如孩子、寵物或家務(wù)等各種事項(xiàng)。網(wǎng)絡(luò)攻擊者采用針對(duì)寬帶連接的惡意軟件，在其家庭網(wǎng)絡(luò)中尋找遠(yuǎn)程工作者這樣的目標(biāo)。”

這就是與冠狀病毒疫情相關(guān)的網(wǎng)絡(luò)釣魚(yú)欺詐和其他網(wǎng)絡(luò)攻擊普遍存在的原因。Pitt指出，網(wǎng)絡(luò)釣魚(yú)攻擊不僅僅是電子郵件，還包括短信、社交媒體和其他網(wǎng)絡(luò)聯(lián)系方式。

Pitt說(shuō)，“人們需要關(guān)注那些看似有用的信息鏈接的詐騙短信。如果不知道信息的確切來(lái)源，千萬(wàn)不要點(diǎn)擊鏈接。”

人們需要了解疫情期間有關(guān)網(wǎng)絡(luò)釣魚(yú)詐騙的一些誤區(qū)。當(dāng)員工在家工作時(shí)，這是一個(gè)前所未有的高風(fēng)險(xiǎn)。

如果企業(yè)的員工遇到網(wǎng)絡(luò)釣魚(yú)詐騙活動(dòng)，需要舉報(bào)可能發(fā)生的安全事件。SAS公司首席信息安全官(CISO)Brian Wilson為此提出建議，當(dāng)人們擔(dān)心成為受害者會(huì)受到報(bào)復(fù)時(shí)，網(wǎng)絡(luò)釣魚(yú)攻擊會(huì)迅速加劇。

正如Red Hat公司首席安全架構(gòu)師Mike Bursell指出的那樣，任何人都可能發(fā)生這種情況。

3. 虛擬專用網(wǎng)(VPN)并不是靈丹妙藥

虛擬專用網(wǎng)(VPN)長(zhǎng)期以來(lái)一直是遠(yuǎn)程工作采用的主流網(wǎng)絡(luò)，但它并不能解決一切問(wèn)題。這里的根本問(wèn)題是，即使是習(xí)慣于定期進(jìn)行遠(yuǎn)程工作的員工現(xiàn)在也可能過(guò)于依賴虛擬專用網(wǎng)(VPN)以作為保障。

Pitt說(shuō)，“當(dāng)員工在家工作時(shí)，大多數(shù)人都會(huì)使用虛擬專用網(wǎng)(VPN)，這使員工的電腦就像在公司辦公室一樣工作，并且可以不采用身份驗(yàn)證，在某些情況下，這是訪問(wèn)企業(yè)信息的唯一方法。但是，虛擬專用網(wǎng)(VPN)也是接入全球互聯(lián)網(wǎng)的瓶頸，很多的用戶減緩了訪問(wèn)速度。”

NetEnrich公司的Chabra指出，該公司最近對(duì)某些虛擬專用網(wǎng)(VPN)進(jìn)行了意外的壓力測(cè)試。Chabra說(shuō)：“通常，由于虛擬專用網(wǎng)(VPN)服務(wù)器或家庭網(wǎng)絡(luò)服務(wù)提供商(ISP)的帶寬減少、許可證和節(jié)流問(wèn)題受到限制。企業(yè)需要確保員工可以通過(guò)虛擬專用網(wǎng)(VPN)進(jìn)行連接，并且要有足夠的許可證和帶寬。”

那些支付個(gè)人賬單、閱讀新聞的員工可能采用企業(yè)虛擬專用網(wǎng)(VPN)進(jìn)行登錄。甚至進(jìn)入一些公司帳戶，如基于云計(jì)算的電子郵件和其他SaaS應(yīng)用程序，可能更好地服務(wù)于虛擬專用網(wǎng)(VPN)之外的多因素身份驗(yàn)證和其他協(xié)議。一般來(lái)說(shuō)，虛擬專用網(wǎng)(VPN)不應(yīng)被視為防范外部威脅的靈丹妙藥。

Pitt說(shuō)，“在大多數(shù)組織中，虛擬專用網(wǎng)(VPN)旨在保護(hù)對(duì)業(yè)務(wù)服務(wù)的訪問(wèn)，諸如銀行和社交媒體之類的常規(guī)在線活動(dòng)不受影響。如果企業(yè)的政策允許，在開(kāi)始工作時(shí)不要自動(dòng)加載虛擬專用網(wǎng)(VPN)，也就是在需要時(shí)使用它，而在不需要時(shí)卸載。”

4. 安全優(yōu)先級(jí)被打亂

員工面臨最大的挑戰(zhàn)之一是安全優(yōu)先級(jí)被打亂。甚至具有強(qiáng)大安全計(jì)劃的企業(yè)也可能會(huì)遇到這種情況。但是現(xiàn)在不是放棄的時(shí)候。例如，出于上述所有原因，安全意識(shí)培訓(xùn)與以往一樣重要。如何、何時(shí)、何地創(chuàng)造這種意識(shí)可能會(huì)發(fā)生轉(zhuǎn)變，但這仍然是需要的。

修補(bǔ)程序是另一個(gè)例子;它可能很容易推遲，但未修補(bǔ)的系統(tǒng)將繼續(xù)是網(wǎng)絡(luò)攻擊者的目標(biāo)。雖然短期內(nèi)可能會(huì)進(jìn)行分類工作，但不要長(zhǎng)期忽視。

JetPatch公司首席執(zhí)行官Shai Toren說(shuō)：“由于IT團(tuán)隊(duì)迅速改變了優(yōu)先事項(xiàng)，以幫助員工開(kāi)展遠(yuǎn)程工作，打補(bǔ)丁可能會(huì)被迫退居次要地位。這可能會(huì)使很多企業(yè)員工受到漏洞的影響。”

另一個(gè)可能尚未引起足夠重視的關(guān)鍵領(lǐng)域是：用戶權(quán)限可能需要即時(shí)修改。

Cyber​​Ark公司執(zhí)行副總裁Adam Bosnian表示：“曾經(jīng)為IT部門指定的權(quán)限現(xiàn)在對(duì)于其他部門(如財(cái)務(wù)和法律部門)來(lái)說(shuō)是必需的措施，這些部門需要訪問(wèn)云計(jì)算控制臺(tái)、RPA控制臺(tái)和業(yè)務(wù)流程管理工具。隨著特權(quán)用戶的定義的發(fā)展，安全團(tuán)隊(duì)經(jīng)常難以保持可見(jiàn)性，以了解這些用戶在何時(shí)何地從遠(yuǎn)程工作位置訪問(wèn)什么。”

Bosnian補(bǔ)充說(shuō)，隨著企業(yè)員工逐漸適應(yīng)，無(wú)論是解決緊迫的優(yōu)先事項(xiàng)還是填補(bǔ)可能缺乏人手的空白，某些員工的日常職責(zé)正在不斷發(fā)展，而沒(méi)有提前通知。

Bosnian說(shuō)：“在某些情況下，員工要求的特權(quán)高于他們通常擁有的特權(quán)，并且常常賦予他們沒(méi)有適當(dāng)安全策略的權(quán)利。這使得網(wǎng)絡(luò)攻擊者更容易利用通常授予強(qiáng)大內(nèi)部人員的訪問(wèn)權(quán)限，利用該權(quán)限發(fā)起和執(zhí)行攻擊，并可能獲得對(duì)所有基礎(chǔ)設(shè)施的控制權(quán)。這意味著員工需要對(duì)此格外警惕。”