?近幾個月，你可能已經注意到，采用雙重或多重驗證來驗證消費者和企業(yè)帳戶的驗證方式不斷增多。這些工具幫助消費者和企業(yè)在面對防范身份欺詐、數(shù)據(jù)泄露、密碼竊取和網(wǎng)絡釣魚/勒索軟件攻擊等方面，獲得更多支持。

根據(jù)身份盜竊資源中心( ITRC )近期的統(tǒng)計數(shù)據(jù)顯示，約 92% 的數(shù)據(jù)泄露與網(wǎng)絡攻擊有關，2022 年第一季度的數(shù)據(jù)泄露比 2021 年同期高出 14%。

ITRC統(tǒng)計數(shù)據(jù)還顯示，僅在 2022 年第一季度，就有近一半（在 367 份里有154 份）的數(shù)據(jù)泄露通知中未囊括泄露原因，被指定為“未知”。這個“未知”數(shù)量比 2021 年全年的“未知”數(shù)據(jù)泄露原因高出 40%。

那么，CISO 如何讓公司阻止這些網(wǎng)絡安全攻擊呢？他們必須保持對新興技術的關注，以打擊不斷變化的威脅、系統(tǒng)漏洞和不良分子，適應不斷變化的環(huán)境。

2022 年的網(wǎng)絡黑客

事實證明，今年是企業(yè)安全漏洞遍地的一年。一個名為 Lapsus$ 的知名組織在南美開展活動，已經實施了多次的網(wǎng)絡黑客攻擊。該組織被證實是攻擊 NVIDIA、三星、T-Mobile 和 Vodafone 的肇事者。

在 T-Mobile 案例中， 2022 年 3 月 Lapsus$ 成員通過網(wǎng)絡釣魚或其他形式的社交平臺，入侵 T-Mobile 的網(wǎng)絡，危害員工賬戶。一旦進入 T-Mobile 的客戶賬戶數(shù)據(jù)庫，網(wǎng)絡犯罪分子就會試圖找到與美國國防部和 FBI 相關聯(lián)的 T-Mobile 賬戶。

Lapsus$還聲稱對微軟的網(wǎng)絡攻擊負責。這家軟件巨頭證實，其內部  Azure DevOps 源代碼庫和被盜數(shù)據(jù)是通過員工帳戶被黑客入侵的，但補充說只授予了部分訪問權限。

最近另一起安全漏洞，是通過社交平臺利用了一家公司的銷售團隊。一名偽裝成公司 IT 部門員工的網(wǎng)絡犯罪分子，聯(lián)系了該公司的銷售人員，要求提供 CRM 登錄憑證。諷刺的是，這一請求是為用戶及其核心系統(tǒng)，安裝額外的安全插件以變得更加安全的幌子下提出的。

不幸的是，至少有一名銷售人員上當受騙，犯罪分子能夠獲取他們的憑證，訪問公司的 CRM 系統(tǒng)，并在客戶數(shù)據(jù)庫中下載目標數(shù)據(jù)。

這種類型的攻擊正變得越來越普遍，并且傳統(tǒng)的訪問控制方法使這些攻擊更難以解決。

實施多重身份驗證

對于 CISO 而言，訪問所有計算機、服務器、基礎設施服務和商業(yè)應用程序時，必須至少實施雙重身份驗證 (2FA)，并已成為當務之急。增加 2FA 將有助于阻止黑客和網(wǎng)絡犯罪分子訪問系統(tǒng)，盡管這些解決方案也可以被各種巧妙的技術所規(guī)避。

一些公司使用物理安全密鑰，來實現(xiàn)額外的數(shù)據(jù)保護。例如，當多重身份驗證可用時，物理安全密鑰可以幫助阻止網(wǎng)絡釣魚攻擊。它們有多種形式，易于使用，通常是保護數(shù)據(jù)安全的廉價手段。

利用現(xiàn)有員工設備引入的其他安全措施，來應對上述毫無戒心的銷售人員提供系統(tǒng)登錄憑據(jù)的案例。例如，一家公司開發(fā)了專供用戶交易的二維碼—— Nametag * 代碼——與公司所有員工匹配，包括 IT 管理員。如果公司中的某個人收到共享登錄信息，或其他一些關鍵數(shù)據(jù)的請求時，則該動態(tài)代碼會驗證這一請求——身份、意圖和完成交易的權限都會得到驗證和批準。如果沒有它的同意，那么請求是無效的。

解決密碼問題

我們如何解決用戶密碼問題？技術解決方案就是答案嗎？例如，IT 專家能否通過將用戶的用戶名/密碼，與其設備的物理距離相聯(lián)，來提高數(shù)據(jù)安全性嗎？是否有必要從培訓、管理和用戶行為角度入手，進行更深層次的培訓？

創(chuàng)新的機會比比皆是。一些初創(chuàng)公司正將行為生物識別技術與 IT 身份管理的目的相結合起來。該平臺評估有關個人的幾個因素，例如，用戶如何走路、大聲說話、在鍵盤上打字或移動鼠標等等。單獨來看，這些因素可能不足以確認用戶身份。但是，當其中幾個結合起來時，這些特征可以創(chuàng)建一個唯一的生物特征，以近乎 100% 的準確度識別用戶。

在一個不穩(wěn)定的世界中，面對日益偏遠程/混合的工作性質，CISO 必須以多種方式保護對數(shù)據(jù)的訪問，并努力做到以下幾點：

• 學習、理解并警惕網(wǎng)絡犯罪分子一直嘗試使用不斷變化的工具和攻擊方式。
• 準備好一份網(wǎng)絡攻擊計劃或事件響應手冊。
• 為攻擊期間（或之后）的事件，準備好遏制和緩解的策略指南。
• 了解并掌握基于 AI 的新技術，它有助于最大限度地降低網(wǎng)絡安全風險。
• 與其他企業(yè)和政府/網(wǎng)絡安全社區(qū)共享數(shù)據(jù)知識和安全警報，以幫助其他人更加了解潛在威脅，以及如何最好地緩解這些潛在的破壞性事件。

隨著外部惡意勢力的崛起，以及烏克蘭戰(zhàn)爭造成額外的 IT 安全壓力，CISO 必須確保這種最基本的訪問形式得到保障，并警惕新的和不斷變化的安全風險。

來源：www.cio.com?