2011年剛過(guò)了一半不久,世界各地的企業(yè)信息安全事故便已接二連三爆發(fā), 其中不少受害機(jī)構(gòu)更是知名企業(yè), 互聯(lián)網(wǎng)安全解決方案供應(yīng)商Check Point 軟件技術(shù)有限公司指出，此等網(wǎng)絡(luò)犯罪案件有其共通性,企業(yè)應(yīng)該從中學(xué)習(xí)預(yù)防之道。

社交工程攻擊

梁國(guó)賢表示，此等攻擊的另外一個(gè)相似之處，是它們都采用社交工程技巧。網(wǎng)絡(luò)罪犯先鎖定及操縱企業(yè)內(nèi)部的員工，以“破解人心”的方式滲透進(jìn)公司系統(tǒng)。不幸地是，用戶通常是公司安全系統(tǒng)中最脆弱的一環(huán)。黑客永遠(yuǎn)都能找到有漏洞可攻擊的使用者：或許是安全意識(shí)不足的新進(jìn)員工，或是過(guò)度熱心，以致于不小心透露太多信息的秘書(shū)。一旦進(jìn)入公司系統(tǒng)后，黑客就會(huì)不動(dòng)聲色地運(yùn)作。他們會(huì)在被偵測(cè)到且公司開(kāi)始進(jìn)行調(diào)查之前，盡可能潛伏并竊取最多的信息。有時(shí)甚至可能長(zhǎng)達(dá)數(shù)年。

此外，這些網(wǎng)絡(luò)罪犯不再是各自獨(dú)立的業(yè)余黑客。他們類似恐怖份子，具有資金、動(dòng)機(jī)及目標(biāo)，組成精密組織。黑客部署相當(dāng)多的智慧、時(shí)間及資源，精心策劃社交工程攻擊及收集信息財(cái)產(chǎn)。其造成的損害大小，完全取決于攻擊者的主觀意愿。

黑客的金礦：信息
梁國(guó)賢指出，財(cái)務(wù)信息不是唯一值得竊取的高價(jià)值數(shù)據(jù)。從這些入侵事件中所見(jiàn)，攻擊者尋求較多的是一般的客戶信息，而少為特定的賬單或信用卡數(shù)據(jù)，這類信息對(duì)垃圾郵件寄發(fā)者而言非常值得利用。

企業(yè)的客戶數(shù)據(jù)庫(kù)記錄，包括通訊方式、姓名及電子郵件等，就等于擁有許多寶貴的信息。此信息可用來(lái)制作自定義化的垃圾郵件，加注用戶的姓名、詳細(xì)數(shù)據(jù)及興趣后，便顯得十分逼真可信。比起一般的垃圾郵件，容易使得使用者開(kāi)啟自定義的垃圾郵件并按下鏈接，使垃圾郵件寄發(fā)者的獲利。

亡羊補(bǔ)牢未為晚也
梁國(guó)賢表示，公司不應(yīng)抱持著已善盡本份，因此不會(huì)受到攻擊的錯(cuò)誤觀念。鎖定目標(biāo)的攻擊日益增加，沒(méi)有任何公司能完全幸免。企業(yè)必須在網(wǎng)絡(luò)罪犯及其公司網(wǎng)絡(luò)和資產(chǎn)之間，盡可能建構(gòu)更多的屏障。

保護(hù)應(yīng)從涵蓋網(wǎng)絡(luò)、端點(diǎn)，以及連接網(wǎng)絡(luò)等多重安全性裝置間部署清晰安全策略開(kāi)始。企業(yè)需要進(jìn)行多層保護(hù)，包括功能強(qiáng)大防火墻及入侵防御系統(tǒng)(IPS)來(lái)偵測(cè)混合威脅；全面化端點(diǎn)安全解決方案，以保護(hù)端點(diǎn)及行動(dòng)裝置安全；預(yù)防性的數(shù)據(jù)外泄解決方案來(lái)保護(hù)信息資產(chǎn)。安全策略必須配合公司商務(wù)目標(biāo)，并讓內(nèi)部員工充分了解。此外，企業(yè)應(yīng)該重新仔細(xì)檢視數(shù)據(jù)資產(chǎn)的取用方式，以重新評(píng)估如何做出最妥善的保護(hù)。

梁國(guó)賢表示，在關(guān)閉對(duì)預(yù)設(shè)攻擊者的“大門(mén)”外，企業(yè)也必須努力防備其長(zhǎng)期的“后門(mén)”—也就是使用者本身。人為錯(cuò)誤是技術(shù)無(wú)法單獨(dú)解決的安全問(wèn)題，因?yàn)樗鼪](méi)有確切的修補(bǔ)方法。這必須依賴公司主動(dòng)地敦促、訓(xùn)練和教育員工，讓他們變成真正的公司信息安全衛(wèi)士。

梁國(guó)賢總結(jié)說(shuō)，Check Point提倡的“3D 安全”方針就是要協(xié)助企業(yè)應(yīng)對(duì)此等挑戰(zhàn)，這個(gè)理念的要點(diǎn)是指出安全保護(hù)應(yīng)該是一個(gè)三維的立體商業(yè)流程，通過(guò)整合安全政策、人員以及到位的執(zhí)行力，為各個(gè)層面提供固若金湯的安全防護(hù)。憑著3D安全方針，企業(yè)能夠掌握及實(shí)施一個(gè)超越技術(shù)層次的安全藍(lán)圖，確保得到周全的信息安全。