网络安全事件的发生，往往意味着企业的生产经营活动受到影响，甚至数据资产泄露。日益复杂的威胁形势使现代企业面临更大的网络安全风险。因此，企业必须提前准备应对网络安全事件的措施，制定流程清晰、目标明确的事件响应预案。为了使企业能够有效识别各种常见的网络安全事件，减少损害损失，降低应对成本，本文将探讨网络安全攻击的发现、网络攻击的途径、网络攻击的方法、建议针对网络攻击防护以及如何制定应急预案等进行分析介绍。如何检测网络安全事件？现代企业遭遇数据泄露和勒索攻击的情况并不少见。然而，由于企业往往不能在第一时间把握网络攻击的先兆，导致更多的安全事件没有被发现。以下是企业可以快速发现安全事件的一些方法：特权用户帐户的异常行为。控制特权用户帐户是网络攻击事件中的重要步骤。一旦特权账户出现异常情况，极有可能是有人恶意利用该账户试图进入企业网络和系统；未经授权访问服务器和数据。许多内部人士试图弄清楚他们可以访问哪些系统和数据。危险信号包括未经授权的用户试图访问服务器和数据、请求访问与工作无关的数据、在异常时间从异常位置访问系统以及在短时间内从多个不同位置登录系统；出站网络流量异常。企业不仅要关注进入网络的流量，还要监控离开企业边界的流量。这可能包括恶意行为者发送的大量公司数据；具有异常来源或目的地的网络流量。对于企业组织而言，其网络应用流量具有一定的规律性。一旦出现异常来源或目的地的流量，就可能表明它是由恶意网络活动引起的。管理员应及时调查发送到未知网络的流量，以确保它是合法流量；过度消耗资源。增加服务器内存或存储空间的使用也意味着攻击者可能正在非法访问网络系统；系统配置更改。未经批准的配置更改表明可能存在恶意活动，包括重新配置服务、安装启动程序或更改防火墙，以及添加的额外计划任务；隐藏文件。从文件名、大小或位置判断，一些突然出现的隐藏文件很可能是可疑的恶意文件，可能导致数据或日志信息泄露；异常的浏览行为。这些异常行为包括意外重定向、浏览器配置更改或重复弹出窗口等；注册表修改异常。这主要发生在恶意软件感染操作系统之后，这是恶意软件确保其留在受感染系统上的主要方式之一。网络攻击的常见方法攻击方法是指攻击者访问计算机或网络服务器，传递攻击载荷，或实现恶意访问的路径或手段，主要包括病毒、邮件附件、网页、弹窗、即时消息、聊天室和欺骗等等。这些方法可能涉及软件应用程序、硬件设备和社会工程欺骗。在应对企业网络安全事件的应用程序中，首先应妥善处理使用常见攻击媒介的事件，包括以下内容：外部/可移动媒体。网络攻击是从可移动媒体执行的，例如磁盘、闪存驱动器或USB外围设备；蛮力。使用蛮力方法攻击、削弱或破坏网络、系统或服务的攻击；网络攻击。攻击是从网站或基于网络的应用程序进行的；电子邮件攻击。攻击通过电子邮件或其附件发起，攻击者诱使收件人点击恶意链接，进入受感染的网站或打开受感染的附件；使用不当。此类事件是由于授权用户违反了企业的可接受使用政策而导致的；无意下载。用户浏览到触发恶意软件下载的网站，这可能在用户不知情的情况下发生。无意识下载利用Web浏览器中的漏洞使用JavaScript和其他浏览功能注入恶意代码；基于广告的恶意软件。这种攻击是通过嵌入在网站广告中的恶意软件进行的。仅查看恶意广告就有可能将恶意代码注入不安全的设备。此外，恶意广告可以直接嵌入到受信任的应用程序中并通过它们进行投放；鼠标移到。这利用了PowerPoint等知名软件中的漏洞。一个shell脚本，当用户将鼠标悬停在链接上而不是单击它以查看去向时，可以自动启动该脚本；恐吓软件。通过恐吓手段说服用户购买、下载危险软件，如果用户下载软件并允许程序执行，系统就会被感染。网络攻击的方法和目的虽然企业永远无法确定攻击者会通过哪条路径进入网络，但可以总结和了解一些具有共同特征的常见攻击方法。在每个攻击阶段，攻击者都会有一些特定的目标。安全行业将这种方法称为网络杀伤链。现代网络攻击通常分为以下几个阶段：侦察（识别目标）。攻击者从企业外部评估目标，以确定是什么使他能够实现目标。攻击者的目标是找到几乎没有保护或没有保护或漏洞的信息系统，以获得未经授权的访问；武器化（行动准备）。在此阶段，攻击者创建专门设计的恶意软件。基于前一阶段收集的情报，攻击者定制工具以满足目标网络的特定需求；丢弃有效负载（执行操作）。攻击者通过各种入侵方法向目标传送恶意软件，例如网络钓鱼电子邮件、中间人攻击或水坑攻击；利用（闯入系统）。威胁行为者利用该漏洞获得对目标网络的访问权限；一旦黑客进入网络，他就会安装一个持久的后门植入程序，以允许长时间免费访问；命令和控制（植入物的远程控制）。恶意软件打开一个命令通道，允许攻击者通过网络远程操纵目标的系统和设备。然后黑客可以从管理员那里控制整个系统；行动（实现使命的目的）。既然攻击者已经获得了目标系统的命令和控制权，接下来会发生什么完全取决于攻击者，无论是破坏还是窃取数据、关闭系统、索要赎金等等。网络安全事件防护各种类型的网络安全攻击都可能导致企业网络安全事件的发生，企业必须提前做好准备：1.未授权访问以防止威胁使用授权用户帐户访问系统或数据，企业应实施全面的认证保护。企业应要求用户提供除密码外的二次身份信息比对。此外，应使用适当的硬件和软件技术对公司的敏感数据进行加密，使攻击者难以访问机密数据。2.提权攻击攻击者往往会利用一些提权漏洞来获取更高级别的权限。一旦提权攻击成功，威胁者就可以获得普通用户所没有的特权。为降低特权升级的风险，公司应定期查找并修复其IT环境中的安全漏洞。公司还应遵循最小权限原则，将用户的访问权限限制为完成工作所需的最小权限，并实施安全监控。3.内部威胁这是指对企业安全或数据的恶意或意外威胁，通常归因于员工、前员工或第三方，包括承包商、临时工或客户。为了发现和预防内部威胁，企业应实施员工异常行为监控和管理，通过识别粗心、不满或恶意的内部人员来降低数据泄露和知识产权盗窃的风险。4.网络钓鱼攻击在网络钓鱼攻击中，攻击者使用网络钓鱼电子邮件分发执行各种功能的恶意链接或附件，包括提取受害者的登录凭据或帐户信息。一种更有针对性的网络钓鱼攻击称为鱼叉式网络钓鱼：攻击者花时间研究受害者，以便进行更成功的攻击。有效防御网络钓鱼攻击始于教育用户识别网络钓鱼电子邮件。此外，网关邮件过滤器可以捕获许多广泛传播的网络钓鱼电子邮件，并减少到达用户收件箱的网络钓鱼电子邮件的数量。5.恶意软件攻击恶意软件包括木马、蠕虫、勒索软件、广告软件、间谍软件和各种类型的病毒。恶意软件的迹象包括异常的系统活动，例如磁盘空间突然丢失、速度异常缓慢、反复崩溃或死机以及广告弹出窗口。安装防病毒工具可以检测并删除恶意软件。此类工具可以提供实时保护，或执行定期系统扫描以检测和删除恶意软件。6.拒绝服务(DoS)攻击DoS攻击通过向目标发送大量流量或通过发送触发崩溃的某些信息来实现此目的。企业通常可以通过重新配置防火墙、路由器和服务器来阻止恶意虚假流量。此外，集成到网络中的应用交付设备可以帮助分析和筛选数据包，即在数据包进入系统时将数据分类为优先数据、正常数据或危险数据，并阻断威胁数据。7.中间人（MitM）攻击中间人攻击是指攻击者偷偷拦截和篡改两个通信方之间发送的消息以获得数据访问权限。MitM攻击的示例包括会话劫持、电子邮件劫持和Wi-Fi窃听。虽然MitM攻击难以检测，但企业可以采用TLS（传输层安全性）加密协议，该协议在两个通信计算机应用程序之间提供身份验证、隐私和数据完整性。企业还应该教育员工使用公共Wi-Fi的危险，并注意浏览器关于异常威胁的警告。8、密码攻击这类攻击的目的是获取用户密码或账号密码，包括密码破解程序、字典攻击、密码嗅探器等方法，或通过暴力破解等方式。为防止密码攻击，企业应采用多因素身份验证来验证用户身份。此外，用户应使用强密码并定期更改。同时，组织还应该对存储在安全存储库中的密码进行加密。9、Web应用攻击Web应用也是一种经常使用的攻击路径，包括利用应用中的代码漏洞和身份认证欺骗机制。企业需要在应用系统开发阶段的早期审查代码以发现漏洞，静态和动态代码扫描器可以自动检查这些漏洞。此外，实施机器人检测以防止机器人非法访问应用程序数据。Web应用防火墙可以帮助企业监控网络，阻断潜在的攻击。10高级持续性威胁(APT)APT是一种长期的、有针对性的网络攻击，在这种攻击中，入侵者获得网络访问权并在很长一段时间内未被发现。APT的目的通常是监控网络活动和窃取数据，而不是破坏网络或企业。监控传入和传出流量可以帮助公司防止黑客安装后门和提取敏感数据。组织还应在网络边缘安装Web应用防火墙，这有助于过滤APT渗透阶段经常使用的应用层攻击，例如SQL注入攻击。提升安全响应能力的建议企业不能在安全事件发生时被动应对。因此，许多企业已经制定了安全事件响应策略和计划。但随着网络威胁态势的不断变化，需要定期进行调整和优化。提升。1、建立定期的事件响应沟通机制当网络安全事件发生时，无从下手可能会加剧攻击的危害。当需要制定或启动计划时，所有相关人员都必须确切地知道该做什么。为确保每个人都在同一页面上，使用清晰的沟通机制来提高每个安全事件响应团队成员的角色和职责的意识至关重要。当然，这还不够。为了使安全事件响应计划发挥作用，每个人还必须知道其他人在做什么以及每个工作组的主要联系人是谁。2、不断优化安全事件响应计划安全事件响应计划制定后，并不意味着可以一劳永逸，应定期进行评估和审查。这在当今技术和相应信息系统快速发展和变化的环境中尤为重要。必须定期修订安全事件响应计划，尤其是随着公司的发展。安全事件响应计划需要稳健且足够灵活，以便经常审查和更新。3、主动检验预案的有效性企业不能只在安全事件发生时才发现当前应对计划的缺陷，必须主动检验预案的有效性。更重要的是，通过足够的练习，那些负责执行该程序的人会更容易做到这一点。事件响应计划的压力测试应该让公司的每个人都参与进来，使事件响应计划能够不断更新和适应企业数字化业务发展的需要，也有助于发现和修复潜在的安全风险。业务部门。4.定期进行企业安全态势审查可靠的安全事件响应计划还需要健康的安全习惯。定期的安全态势审查将使事件响应更加有效，并有助于降低事件风险。常见的审计工作应包括更改密码、更新和轮换密钥、审查访问级别以及检查旧员工帐户或威胁参与者创建的帐户。5.重视安全事件响应培训缺乏培训可能导致事件响应计划的执行和落地不正确。组织应将安全事件响应培训作为优先事项并相应地进行预算。培训应包括讨论各种攻击威胁情景和响应行动的练习。通过安全培训，每个人都知道自己的职责是什么，也可以让团队成员之间更好地分享知识。参考链接：https://www.techtarget.com/searchsecurity/feature/10-types-of-security-incidents-and-how-to-handle-them
