人是安然治理中最大年夜的安然隱患。不記得這句話從哪里看到的了。不外我們常常會看到近似于從一個司機郵箱滲入到企業(yè)首要系統(tǒng)的案例，愈來愈熱的apt報復(fù)打擊也選擇人作為沖破口。好比針對Google的極光報復(fù)打擊就是因為一個員工點擊了聊天動靜的鏈接從而導(dǎo)致被滲入的。
所以當防火墻建設(shè)得當，數(shù)據(jù)已加密，防病毒進級到最新，所有的辦法都放置安妥以后，不要健忘人也是一個很大年夜的風險來歷。本文會先介紹企業(yè)員工可能導(dǎo)致的安然風險和常常利用的防御編制。最后會從SIEM的角度測驗測驗一種可能的解決方案。
風險類型
社會工程學
這個大年夜家都很熟諳了。垂釣，社工庫，丟優(yōu)盤，送路由之類的。操縱人道的一些特點來實現(xiàn)報復(fù)打擊。好比某大年夜牛曾說過隨便挑一個下戰(zhàn)書往濱江阿里巴巴園區(qū)的星巴克坐著，就可以黑掉就逮易。
減緩的編制凡是就是進行用戶安然意識培訓，特別經(jīng)由過程一些實例，好比摹擬垂釣，然后公開垂釣的功能，如許用戶印象會比較深切。下次碰著近似的環(huán)境就會考慮多一些。
用戶的暗碼
起首是弱暗碼，雖然可能有各類避免弱暗碼的策略?？墒枪ぷ髦衅鹗卓紤]的是更好更快的完成工作。所以弱暗碼仍是很常見的。別的還可能有良多別的路子可能泄漏了暗碼，像工作中姑且供給給需要的第三方?jīng)]有及時點竄等等。降落風險的編制就是實施嚴格的暗碼設(shè)置策略。不外包含數(shù)字字母符號的暗碼可能仍然是字典里存在的弱暗碼。
用戶資產(chǎn)存在縫隙
大公司可能會對所有的辦公電腦統(tǒng)一治理，按時進級各類補丁?？墒谴丝逃杏鷣碛嗟脑O(shè)備類型，筆記本，手機，平板等都可能在工作頂用到。而這些設(shè)備是不是存在縫隙，是不是安裝補丁是用戶本身負責的。辦公電腦上用戶本身安裝的第三方軟件，好比瀏覽器等等可能也沒有統(tǒng)一的補丁進級策略。降落風險的編制可以經(jīng)由過程按期的縫隙掃描來降落風險。
利用各類云辦事
云辦事的利用愈來愈遍及，就拿網(wǎng)盤來講，大年夜家都在用。假定把公司的資料放在網(wǎng)盤上是不是存在風險呢。假定一些大年夜的網(wǎng)盤供給商被進侵或是數(shù)據(jù)泄漏，那么后果是不堪假想的。其實敏感資料放在第三方以后，就已不是本身可控的了。降落風險的編制可以培訓用戶安然意識，盡可能選擇靠譜的大公司的辦事，一些很是首要的資料不要放到第三方那邊。
移動設(shè)備
移動互聯(lián)網(wǎng)今天已如斯火爆了。手機中凡是也會有工作的資料，好比手機登岸了工作郵箱，手機聯(lián)系人，乃至郵箱暗碼等。不但僅是丟手機，把手機借給他人會導(dǎo)致信息泄漏。此刻手機更新?lián)Q代都很快，據(jù)查詢拜訪eBay上賣的二手手機，仍然保留有私家數(shù)據(jù)的比例超越50%?？紤]到數(shù)據(jù)恢復(fù)手藝，這類風險可能更大年夜。不知道taobao上的這個比例能有多少。前面提到過，手機其實很少有按期打補丁。所以歹意APP導(dǎo)致信息泄漏的風險也很高。因為這個是用戶本身節(jié)制的設(shè)備。所以我能想到的降落風險編制可能就是所謂的擬定安然策略，進行安然意識培訓。
解決方案的切磋
從SIEM的角度來講可以進行用戶勾當監(jiān)控，管控風險。SIEM簡單來講就是匯集環(huán)境內(nèi)的各類設(shè)備和利用的安然事務(wù)，進行統(tǒng)一解析和聯(lián)系關(guān)系闡發(fā)從而進行風險治理和告警的產(chǎn)品。
用戶勾當監(jiān)控的概念其實我們都很常常利用。就是QQ賬號異地登岸會有風險提示或高危把持會鎖定賬號。把這個概念擴大到用戶登岸公司郵箱，登岸辦事器等等賬號的勾當。下面經(jīng)由過程兩個場景看一下這個解決方案的思惟。
場景一：社工郵箱暗碼
報復(fù)打擊者先用awvs掃描公司主頁，一番測驗測驗沒有發(fā)現(xiàn)可以操縱的縫隙。然后經(jīng)由過程whois查詢到網(wǎng)站治理員的工作郵箱。經(jīng)由過程一些簡單社工和查詢社工庫獲得了該治理員的常常利用暗碼，很不幸的是這個常常利用暗碼剛好也是治理員工作郵箱的暗碼。所以報復(fù)打擊者順利登岸了治理員的郵箱。那么這個過程中，SIEM看到的是甚么過程呢。起首awvs掃描網(wǎng)站，siem獲得到這些網(wǎng)站日記以后，覺得這個來歷ip在進行測驗測驗報復(fù)打擊的行動，會把這個ip加進一個黑名單傍邊。當報復(fù)打擊者登岸郵箱的時辰，這時候辰是從一個黑名單IP登岸了高級別的治理員郵箱(可以對不合人員的賬號進行風險評級，就跟對資產(chǎn)進行分級一樣)。系統(tǒng)會發(fā)出告警。乃至可以姑且禁用這個郵箱賬號。
場景二：節(jié)制員工筆記本獲得到敏感信息
公司員工因為在社交網(wǎng)站上點擊了一個鏈接導(dǎo)致小我筆記本被節(jié)制。報復(fù)打擊者在筆記本上發(fā)現(xiàn)了一個公司辦事器的ssh賬號。那么報復(fù)打擊者在登岸辦事器的時辰SIEM可以做些甚么呢。ssh登岸辦事器，一般都是在公司內(nèi)，也就是用內(nèi)網(wǎng)地址登岸的。所以SIEM可以內(nèi)置登岸ip的白名單。按照公司的工作習慣，可以設(shè)置登岸時候通常為早九點到晚九點。那么當報復(fù)打擊者登岸辦事器的時辰，假定沒有效員工電腦做跳板，直接登岸的話。SIEM會看到一個別的地區(qū)的ip(好比美國)登岸了我們的辦事器，會產(chǎn)生告警事務(wù)。假定報復(fù)打擊者為了埋沒，選擇在夜深人靜的午夜登岸辦事器，那么剛好觸發(fā)了在非正常時候登岸的策略，也會產(chǎn)生告警。
因為各種啟事，不得當?shù)奶幩€請大年夜家多多斧正。