搜索

[14068] 2019-05-05_企业内部安全之员工安全培训二三事

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-05-05_企业内部安全之员工安全培训二三事 企 业 内 部 安 全 之 员 工 安 全 培 训 二 三 事 F r e e B u f   2 0 1 9 - 0 5 - 0 5 全 球 范 围 内 数 据 泄 露 事 件 频 发 ， 引 起 了 很 多 企 业 的 重 视 。 然 而 ， 投 入 财 力 和 人 力 购 买 维 护 安 全 产 品 并 不 意 味 着 全 球 范 围 内 数 据 泄 露 事 件 频 发 ， 引 起 了 很 多 企 业 的 重 视 。 然 而 ， 投 入 财 力 和 人 力 购 买 维 护 安 全 产 品 并 不 意 味 着 1 0 0 % 的 安 全 。 企 业 安 全 中 ， 人 往 往 是 最 薄 弱 的 环 节 ， 员 工 的 无 心 之 失 或 恶 意 之 举 都 可 能 导 致 企 业 丢 失 大 量 数 的 安 全 。 企 业 安 全 中 ， 人 往 往 是 最 薄 弱 的 环 节 ， 员 工 的 无 心 之 失 或 恶 意 之 举 都 可 能 导 致 企 业 丢 失 大 量 数 据 ， 陷 入 风 险 。 因 此 ， 本 文 围 绕 企 业 内 部 安 全 中 员 工 安 全 意 识 与 培 训 相 关 的 注 意 事 项 进 行 探 讨 。 据 ， 陷 入 风 险 。 因 此 ， 本 文 围 绕 企 业 内 部 安 全 中 员 工 安 全 意 识 与 培 训 相 关 的 注 意 事 项 进 行 探 讨 。 本 文 可 与 此 前 发 布 的 《 提 高 全 员 安 全 意 识 的 6 个 方 向 》 搭 配 阅 读 。 一 、 一 、   强 密 码 与 反 钓 鱼 攻 击 强 密 码 与 反 钓 鱼 攻 击 在 员 工 安 全 意 识 培 训 中 ， 设 置 强 密 码 ； 防 范 钓 鱼 攻 击 是 最 重 要 的 两 部 分 。 V e r i z o n   发 布 的 《 2 0 1 8 年 数 据 泄 露 调 查 报 告 》 显 示 ， 钓 鱼 和 社 会 工 程 学 攻 击 造 成 的 泄 露 占 总 体 的 9 3 % 。 而 前 段 时 间 ， 黑 客 轻 易 获 取 到 2 6 亿 份 账 号 密 码 并 在 暗 网 售 卖 ， 也 引 起 了 一 阵 恐 慌 。 本 节 基 于 这 一 情 况 ， 探 讨 密 码 、 验 证 与 反 钓 鱼 培 训 的 重 要 性 及 落 实 机 制 。 强 密 码 与 验 证 强 密 码 与 验 证 2 0 0 3 年 ， 美 国 国 家 标 准 技 术 研 究 所 （ N I S T ） 发 布 规 定 ， 规 定 强 密 码 由 大 写 字 母 、 小 写 字 母 、 数 字 和 符 号 等 组 成 ， 且 每 三 个 月 （ 9 0 天 ） 左 右 需 要 更 新 一 次 。 但 事 实 上 ， 很 多 人 并 没 有 遵 守 这 个 规 定 ， 因 为 复 杂 的 密 码 很 难 记 ； 经 常 修 改 也 很 麻 烦 。 而 且 ， P @ s $ w 0 r d 、 1 L 0 v 3 U * 7 等 密 码 虽 然 符 合 大 小 写 字 母 + 数 字 + 符 号 的 组 合 模 式 ， 但 也 很 容 易 被 黑 客 破 解 。 安 全 研 究 人 员 也 认 为 这 个 标 准 并 不 够 准 确 。 最 终 ， N I S T 修 改 了 相 关 的 标 准 ， 规 定 强 密 码 至 少 包 含 6 4 个 字 符 。 用 户 但 可 以 根 据 自 己 的 习 惯 ， 用 不 同 的 词 组 成 一 句 短 句 口 令 。 这 样 更 安 全 也 更 好 记 。 同 时 ， 只 要 不 将 密 码 混 用 ， 避 免 撞 库 ， 就 不 用 频 繁 修 改 密 码 。 在 企 业 内 部 ， 可 以 实 施 这 样 的 密 码 机 制 ， 作 为 员 工 安 全 建 设 的 第 一 步 。 当 然 ， 只 使 用 强 密 码 并 不 能 确 保 安 全 。 配 合 采 用 多 因 素 认 证 和 单 点 登 录 等 身 份 认 证 方 案 才 是 验 证 环 节 的 标 配 。 识 别 钓 鱼 攻 击 识 别 钓 鱼 攻 击 不 点 击 陌 生 人 发 来 的 链 接 、 附 件 ； 就 算 是 内 部 员 工 或 熟 人 发 的 内 容 也 要 再 三 确 认 之 后 再 点 击 ； 点 击 超 链 接 之 前 仔 细 看 一 看 是 否 有 异 常 ； 收 到 邮 件 时 确 认 收 件 人 和 发 件 人 是 否 正 确 ； … … 这 些 本 该 是 企 业 员 工 防 范 钓 鱼 的 正 确 姿 势 。 很 多 企 业 在 进 行 员 工 安 全 意 识 培 训 时 ， 会 不 厌 其 烦 地 反 复 提 到 这 些 内 容 。 但 是 ， 如 果 在 企 业 内 部 发 送 钓 鱼 邮 件 进 行 测 试 ， 结 果 往 往 出 人 意 料 。 很 多 员 工 都 会 不 假 思 索 地 点 开 这 些 测 试 邮 件 。 因 为 在 实 际 工 作 环 境 中 ， 员 工 往 往 很 忙 ， 会 忽 略 这 些 问 题 。 还 有 些 人 会 认 为 ， 就 算 不 小 心 点 开 了 恶 意 链 接 ， 公 司 的 防 护 软 件 也 会 保 护 他 们 的 安 全 。 因 此 ， 定 期 针 对 内 部 员 工 进 行 钓 鱼 测 试 定 期 针 对 内 部 员 工 进 行 钓 鱼 测 试 很 有 必 要 。 要 让 员 工 明 确 了 解 企 业 的 真 实 处 境 、 面 临 的 实 际 问 题 ， 并 让 他 们 意 识 到 钓 鱼 带 来 的 危 害 。 当 然 ， 从 企 业 文 化 的 角 度 来 讲 ， 要 让 他 们 有 一 种 成 就 感 ： 不 点 击 恶 意 链 接 或 者 识 别 并 阻 止 了 钓 鱼 攻 击 ， 不 仅 保 护 自 己 的 信 息 安 全 ， 还 保 护 了 整 个 公 司 和 全 体 同 事 。 在 一 个 企 业 文 化 氛 围 较 好 的 公 司 ， 这 样 的 暗 示 效 果 具 有 积 极 意 义 。
识 别 鱼 叉 式 钓 鱼 或 社 会 工 程 学 攻 击 识 别 鱼 叉 式 钓 鱼 或 社 会 工 程 学 攻 击 与 普 通 的 钓 鱼 攻 击 相 比 ， 鱼 叉 式 钓 鱼 更 有 针 对 性 、 更 具 迷 惑 性 ， 让 人 更 难 防 范 。 鱼 叉 式 钓 鱼 攻 击 可 能 很 少 传 播 恶 意 软 件 ， 而 是 利 用 不 同 的 社 会 工 程 学 攻 击 方 法 ， 来 诱 骗 目 标 上 当 。 攻 击 者 可 以 从 领 英 等 网 站 了 解 目 标 的 各 类 信 息 ， 包 括 公 司 背 景 、 个 人 信 息 、 个 人 关 系 图 谱 等 ， 然 后 利 用 这 些 信 息 伪 造 一 些 需 求 ， 进 而 骗 取 目 标 的 账 号 密 码 甚 至 直 接 获 取 金 钱 。 企 业 不 论 规 模 大 小 ， 都 有 可 能 遭 遇 这 样 的 攻 击 。 在 对 员 工 进 行 防 范 培 训 时 ， 最 好 展 示 实 际 案 例 ， 让 他 们 了 解 攻 击 者 是 利 用 受 害 者 留 在 网 络 中 的 信 息 进 行 钓 鱼 的 多 种 方 式 。 了 解 到 这 些 内 容 ， 员 工 会 意 识 到 他 们 的 网 上 信 息 的 确 存 在 风 险 ， 进 而 提 高 警 惕 。 二 、 二 、   设 备 与 连 接 设 备 与 连 接 提 高 防 范 意 识 是 做 好 企 业 员 工 安 全 的 第 一 步 。 但 由 于 如 今 安 全 边 界 不 断 模 糊 甚 至 消 亡 ， 很 多 企 业 盛 行 B Y O D 办 公 文 化 ， 导 致 企 业 网 络 充 斥 各 种 设 备 。 这 些 设 备 接 触 过 公 共 W i - F i ； 开 通 过 蓝 牙 连 接 ； 接 入 过 不 同 的 U S B 设 备 ， 可 能 会 给 企 业 带 来 潜 在 风 险 。 这 种 情 况 下 ， 要 促 进 企 业 内 及 时 沟 通 、 开 放 交 流 。 让 员 工 一 旦 出 现 设 备 丢 失 或 者 其 他 问 题 ， 要 及 时 报 告 ， 及 时 止 损 。 如 果 因 为 各 种 原 因 出 现 拖 延 ， 拖 延 的 时 段 内 ， 设 备 中 的 内 容 都 可 能 被 不 法 分 子 获 取 ， 造 成 损 失 。 在 进 行 安 全 培 训 时 ， 要 明 确 说 明 设 备 丢 失 或 被 盗 的 情 况 ， 并 规 定 员 工 向 I T 部 门 汇 报 的 步 骤 和 流 程 。 汇 报 之 后 ， I T 部 门 应 当 立 即 封 锁 设 备 ， 避 免 信 息 被 盗 。 如 果 后 续 设 备 被 找 回 ， 也 应 当 检 查 、 重 装 。 W i - F i 和 蓝 牙 安 全 和 蓝 牙 安 全 虽 然 很 多 公 开 信 息 都 宣 称 公 共 W i - F i 不 安 全 ， 但 如 果 员 工 自 己 使 用 的 时 候 没 有 遇 到 过 问 题 ， 他 们 就 会 松 懈 并 忽 略 相 关 警 告 。 在 安 全 培 训 中 ， 需 要 向 员 工 展 示 黑 客 如 何 通 过 公 共 W i - F i 获 取 用 户 通 过 网 络 传 输 的 信 息 。 他 们 可 以 利 用 这 些 信 息 进 一 步 钓 鱼 ， 甚 至 可 以 直 接 获 取 账 号 密 码 进 而 窃 取 财 务 。 同 时 ， 黑 客 还 可 以 利 用 公 共 W i - F i 发 送 恶 意 弹 窗 小 心 ， 安 装 恶 意 软 件 并 感 染 设 备 。 蓝 牙 传 输 也 不 是 百 分 百 安 全 。 此 前 曝 出 的 蓝 牙 漏 洞 可 被 黑 客 利 用 ， 侵 入 企 业 网 络 并 窃 取 数 据 。 如 果 有 一 台 设 备 被 感 染 ， 很 可 能 将 恶 意 软 件 传 播 到 办 公 室 中 的 其 他 设 备 ， 如 计 算 机 、 打 印 机 等 。 尽 管 大 多 数 设 备 都 修 复 了 相 关 漏 洞 ， 但 难 免 有 万 一 。 所 以 ， 提 醒 员 工 不 使 用 公 共 W i F i ， 并 在 不 必 要 的 情 况 下 关 闭 蓝 牙 是 较 好 的 选 择 。
值 得 关 注 的 是 ， 目 前 有 很 多 企 业 选 择 员 工 虚 拟 专 用 网 络 进 行 流 量 加 密 ， 确 保 传 输 安 全 、 保 护 公 司 数 据 。 而 近 期 ， 新 的 办 公 安 全 理 念 是 默 认 企 业 内 外 网 都 不 可 信 ， 需 要 一 种 “ 零 信 任 ” 安 全 架 构 来 保 护 安 全 。 其 中 最 具 代 表 性 的 是 谷 歌 的 “ B e y o n d C o r p ” 框 架 。 但 这 样 的 理 念 从 设 计 到 实 践 到 成 熟 ， 还 需 要 很 长 的 路 要 走 。 避 免 使 用 避 免 使 用 U 盘 盘 U 盘 以 其 便 携 、 存 储 量 大 的 特 点 ， 成 为 很 多 人 青 睐 的 办 公 助 手 。 但 是 ， U 盘 很 容 易 丢 失 ， 且 大 多 数 人 都 没 有 将 U 盘 加 密 。 这 会 导 致 大 量 信 息 泄 露 。 有 研 究 发 现 ， 有 9 0 ％ 的 员 工 使 用 U 盘 ， 但 其 中 8 0 ％ 都 没 将 U 盘 加 密 。 而 更 严 重 的 是 ， 8 7 ％ 的 受 访 员 工 承 认 他 们 丢 失 了 用 于 工 作 的 U 盘 ， 而 且 没 有 向 公 司 汇 报 。 在 某 些 情 况 下 ， 如 果 丢 失 的 U 盘 落 入 恶 意 分 子 之 手 ， 他 们 不 仅 会 窃 取 U 盘 中 存 储 的 信 息 ， 还 会 在 U 盘 中 植 入 隐 藏 的 恶 意 程 序 ， 再 还 到 失 主 手 中 。 而 研 究 显 示 ， 4 8 % 的 失 主 找 回 U 盘 后 ， 会 毫 不 犹 豫 地 接 入 计 算 机 ， 继 续 使 用 ， 进 而 导 致 恶 意 程 序 大 规 模 传 播 。 因 此 ， 在 安 全 培 训 中 ， 提 醒 员 工 在 办 公 环 境 中 不 使 用 U 盘 ， 或 者 正 确 地 使 用 U 盘 ， 也 是 保 护 企 业 安 全 的 一 种 方 法 。 在 公 司 培 训 课 程 中 ， 通 过 让 员 工 了 解 到 活 生 生 的 例 子 ， 让 员 工 实 际 参 与 到 模 拟 和 测 试 当 中 ， 将 安 全 政 策 拆 解 成 现 实 场 景 ， 能 提 升 员 工 的 参 与 感 ， 让 他 们 将 安 全 行 为 真 正 融 入 日 常 工 作 ， 帮 助 保 护 企 业 安 全 。 * 参 考 来 源 ： 参 考 来 源 ： H e l p n e t S e c u r i t y ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理