隨著對網絡安全工作的重視，很多組織的安全實踐正變得越來越復雜,，這有利也有弊。由于許多新技術趨勢需要關注,，比如云計算應用,、物聯(lián)網系統(tǒng)和大數據應用等，會占用安全團隊很多的精力和時間,，這就容易讓一些簡單,、基礎但又不可或缺的網絡安全控制措施被忽略。例如,，很多組織的安全分析師非常關注高級漏洞的發(fā)現與響應,，卻往往忽視賬號被竊取等更容易導致數據泄露的其他危害方式。
為了讓組織的安全建設避免出現事倍而功半的情況,，安全研究人員對目前容易被忽視的基礎性安全工作進行了梳理,，可以幫助安全團隊留意常被忽視的安全風險，以提高安全性,，并隨時應對那些意想不到的挑戰(zhàn),。
01 企業(yè)內容管理系統(tǒng)中的安全漏洞
企業(yè)內容管理系統(tǒng)對現代企業(yè)數字化業(yè)務開展不可或缺。為了節(jié)省時間和資金投入,，很多公司都使用開源系統(tǒng)來開發(fā)內容管理系統(tǒng),，然而有一個問題：這類開源系統(tǒng)幾乎都會存在安全缺陷，可能被用于獲取敏感信息,。
公司可以采取幾個簡單的措施,，輕松解決這個問題。借助熟練的IT團隊,，可以將安全開發(fā)應用結合到內容管理系統(tǒng)代碼中,，防止安全漏洞出現在代碼中,。一旦盡量減小了漏洞的機率，就可以使用到位的隱私策略非常高效地處理其余方面,。
理想情況下,，內容管理系統(tǒng)全生命周期都應使用與其最兼容的安全工具來夯實，最常用的工具類型是Docker安全工具和Kubernetes安全工具,。然而,，光有這可能還不夠。企業(yè)還應始終落實一個持續(xù)評估代碼的系統(tǒng),。安全控制評估正式名為安全測試和評估（ST&E）,，評估有效確立策略的程度，評估是否按計劃執(zhí)行,，并在滿足系統(tǒng)的安全目標方面提供預期的結果,。定期進行此類評估可以清楚地了解計劃在安全方面所處的狀況。
02 防范網絡釣魚的能力不足
網絡釣魚是網絡犯罪分子進入公司內網系統(tǒng)的最常用手法,。應迅速且頻繁地向員工宣講數據保護方法以及如何發(fā)現和防止網絡釣魚騙局,。安全部門需要在工作場所和公司內網上持續(xù)開展網絡安全意識教育，而不能想當然地以為每個人都已經具備識別網絡釣魚的能力,。
安全技術部門還應該與公司其他部門之間有緊密的聯(lián)系,，這可以大幅加強網絡安全應用水平，業(yè)務人員應該毫不猶豫地向IT部門提出問題或列出潛在問題,。
我們可以通過以下幾種方法來發(fā)現潛在的系統(tǒng)危害,，將它們納入到安全意識計劃中，將有助于更好地預防網絡釣魚攻擊：
系統(tǒng)莫名其妙出現運行速度減慢是危險信號,；
如果不足夠了解情況,，不應打開來歷不明的彈出式窗口；
系統(tǒng)存儲空間大幅增加或減少,；
無法直接識別的文件和圖標,；
瀏覽器重定向到非預期網站應該引起警惕；
無法識別的網絡活動可能意味著有人企圖實施網絡釣魚,。
03 離職員工的系統(tǒng)訪問權限不能及時取消
員工離開公司后,，其具有的業(yè)務系統(tǒng)訪問權限應立即被禁用，這就需要確保公司能夠時刻了解個人訪問級別的變化與配置?，F實中,，很多社交網絡密碼之類的簡單環(huán)節(jié)可能會被忽略，從而給將來埋下隱患,。
應定期審查公司的離職程序,，以確保它們能夠與時俱進，并且沒有將公司隱私信息對外暴露。每當員工升職或調動部門時,，都應該考慮到這一點,。為所有重要系統(tǒng)啟用單點登錄（SSO），這是防止人員在離職后訪問資源的另一種解決方案,。一旦某個賬戶被禁用,，該賬戶可訪問的所有其他資源也同樣被禁用。
04 盲目依賴過時的加密方法
在企業(yè)中,，有一個最常犯的錯誤就是以為所有加密后的數據都能永遠保持安全,，盲目相信所使用的加密實踐始終無懈可擊。然而實際情況并非如此,，加密過程中很多隱藏的技術缺陷,，可能會使敏感數據面臨險境。更糟糕的是,，公司可能依賴過時的加密方案,，這些方案很容易被利用，或者無法兼顧不同系統(tǒng)之間的數據傳輸,。
改進加密的最佳方法是從標準化的加密策略開始,。明確要采用的加密方式，規(guī)范組織各級部門使用加密密鑰的做法,，了解靜態(tài)數據加密和動態(tài)數據加密,，并確保IT團隊和管理層符合最新的國際加密標準。此外,，公司還必須制定應急程序，必須具體說明在黑客攻擊得逞或加密意外失敗的情況下,，公司能夠采取有效恢復原始數據的措施,。
05 忽視物聯(lián)網設備的安全評估
在物聯(lián)網系統(tǒng)中，需要連接大量數字設備以實現優(yōu)化業(yè)務操作,。然而,，這種互連性恰恰增加了攻擊途徑和數據暴露面。在缺少可信執(zhí)行環(huán)境以及大量原代碼漏洞存在的情況下,，廣泛的物聯(lián)網連接并不是一種可靠的業(yè)務發(fā)展方法,。
企業(yè)需要盡早認識到，推動物聯(lián)網應用也意味著增加安全成本,，并從根本上加大保護網絡所需的工作量,。因此，在決定是否在公司中使用物聯(lián)網之前,，安全團隊絕不能忽視安全評估系統(tǒng)給日常運營帶來的可能風險和回報,。
更多信息可以來這里獲取==>>電子技術應用-AET<<
