企业面临的典型网络安全风险及其防范策略_企业网络风险分析

3、对网络进行分段**：**分段技术需要为每个网络设置策略，管理哪些流量可以在子网之间移动，并减少横向移动。

欺骗性网站

欺骗性网站是看似合法的网站，但旨在窃取互联网用户的账号凭据。威胁参与者将用户引导至站点，一旦用户输入他们的凭据，攻击者就会收集它们并使用它们登录到真正的应用程序。

防御恶意网站方案：

**为所有应用程序部署多重身份验证：**如果威胁参与者设法通过成功欺骗窃取你的敏感信息。

**教用户识别欺骗性网站：**确保员工了解虚假网站的特征，无论是语法问题、奇怪的URL还是未经批准的电子邮件将他们引导到虚假网站。

**一旦了解了网站，就会将其列入黑名单：**如果多个员工从同一威胁参与者导航到单个站点，请在识别 URL 后立即将其列入黑名单。

基于电子邮件的网络钓鱼攻击

电子邮件网络钓鱼是威胁行为者用来诱骗用户打开电子邮件并单击其中的链接的一种技术。它可以包括恶意软件和欺骗性网站;互联网网络钓鱼威胁有很多重叠之处。电子邮件攻击通常通过员工的企业电子邮件账户针对员工。

防御基于电子邮件的网络钓鱼攻击方案：

**1、实施严格的电子邮件保护软件：**通常，威胁行为者会通过带有链接的电子邮件将用户引导至欺骗性网站，例如重置密码的说明。

**2、通过安全意识培训课程：**员工应该确切地知道在收到不熟悉的电子邮件时要怎么处理。

**3、安装下一代防火墙：**在公共 Internet 和组织的专用网络之间安装它 有助于过滤一些初始恶意流量。

DNS 攻击

DNS缓存中毒或劫持会重定向合法站点的 DNS 地址，并在用户尝试导航到该网页时将用户带到该站点。

防御DNS攻击方案：

**1、使用 DNS 加密：**加密 DNS 连接要求团队使用 DNSCrypt 协议、基于 TLS 的 DNS 或基于 HTTPS 的 DNS。

**2、隔离DNS服务器：**部署隔离区 （DMZ） 以隔离来自公共 Internet 的所有 DNS 流量。

**3、随时了解更新：**宣布更新时，应定期修补所有 DNS 服务器。

DoS 和 DDoS 攻击

拒绝服务 （DoS）和分布式拒绝服务（DDoS）攻击是一种威胁，可以通过使计算机或整个计算机系统过载来使它们过载。它们很难预防，因为它们通常来自外部流量，而不是来自网络内的威胁，而网络中的威胁可以在系统中定位和阻止。并非每个 DoS 或 DDoS 攻击都来自互联网流量，但其中许多攻击确实来自互联网流量。

防御 DoS 和 DDoS 攻击方案：

**1、实现反向代理：**反向代理有自己的 IP 地址，因此当 IP 地址淹没单个服务器时，它们将转到代理的 IP 地址，并且内部服务器的 IP 地址不会轻易被淹没。

**2、安装 Web 应用程序防火墙：**您可以配置防火墙以监控和阻止不同类型的流量。

**3、部署负载均衡器：**通过将网络流量定向到可以管理它的源，负载平衡可以降低流量完全使服务器不堪重负的风险。

02不安全或过时的网络协议

一些旧版本的网络协议存在错误，这些错误已在更高版本中修复，但许多企业和系统继续使用旧协议。最好使用最新的协议版本，至少可以避免已知的威胁，特别是如果行业需要特定的协议版本来遵守监管标准。一些最流行的网络协议包括 SSL、TLS、SNMP、HTTP 和 HTTPS。

SSL 和 TLS

安全套接字层(SSL)和传输层安全性(TLS)都是网络安全协议。任何比 TLS 1.3 更旧的 SSL 和 TLS 版本都存在多个弱点，包括允许POODLE攻击和BEAST攻击的漏洞。虽然 TLS 1.3 可能有其自身的弱点，这些弱点会随着时间的推移而被发现，但它确实修复了旧版 TLS 和 SSL 中的已知漏洞。

防御 SSL 和 TLS 威胁方案：

**1、更新连接：**将每个网络连接升级到最新版本的 TLS。

**2、禁用旧版本：**在网络上完全禁用较旧的 SSL 和 TLS 版本可确保它们不会被意外使用。

SNMP协议

简单网络管理协议是一种通用的 Internet 协议，旨在管理网络及其上的设备的操作。SNMP 版本1和 2存在已知漏洞，包括未加密传输 (v1)和 IP 地址欺骗 （v2）。版本 3 是三者中最好的选择，因为它有多个加密选项。它旨在解决 v1 和 v2 的问题。

防御SNMP威胁

将所有版本的SNMP升级到版本3，以避免以前版本中存在明显的安全漏洞。

HTTP协议

超文本传输协议是一种本质上不安全的互联网通信协议。安全超文本传输协议 （HTTPS） 是 HTTP 的加密版本。您的所有互联网连接都应加密，并且与其他网站的每次通信都应使用 HTTPS。

防御 HTTP 威胁方案

**1、阻止HTTP访问：**如果任何连接使用 HTTP，请尽快阻止对它们的访问。

**2、将流量定向到 HTTPS：**将所有尝试的 HTTP 通信配置为重定向到 HTTPS。

03网络配置错误

网络协议或规则的简单错误配置可能会暴露整个服务器、数据库或云资源。输入错误的代码或未能安全地设置路由器或交换机可能会导致配置错误。配置错误的网络安全命令也很难找到，因为其余的硬件或软件似乎工作正常。错误配置还包括未正确部署的交换机和路由器。

常见的错误配置包括在硬件和软件上使用默认或出厂配置，以及无法对网络进行分段、在应用程序上设置访问控制或立即修补。

使用设备的默认配置

默认凭据是网络硬件和软件上出厂设置的用户名和密码。它们通常很容易被攻击者猜到，甚至可能使用“管理员”或“密码”等基本词。

防御默认配置威胁方案：

**1、更改所有凭据：**立即将任何默认用户名或密码切换为更强大、难以猜测的凭据。

**2、定期更新密码：**初始密码更改后，每隔几个月切换一次。

细分不足

网络分段是一种将网络拆分为不同部分的技术。如果网络没有划分为子网，恶意流量将更容易在整个网络中传播，并有可能破坏许多不同的系统或应用程序。

防御网络分段威胁

将网络分割为子网，并在子网之间创建安全屏障。分段技术包括为每个网络设置策略、管理哪些流量可以在子网之间移动以及减少横向移动。

访问错误配置

当团队无法安全地实施访问和身份验证协议（如强密码和多重身份验证）时，就会发生配置错误的访问控制。这对您的整个网络来说是一个重大风险。本地和基于云的系统都需要访问控制，包括默认情况下不需要身份验证方法的公有云存储桶。网络用户需要经过授权和身份验证。

身份验证要求用户提供 PIN、密码或生物识别扫描，以帮助证明他们就是他们所说的人。授权允许用户在验证自身并且其身份受信任后查看数据或应用程序。访问控制允许组织设置权限级别，例如只读权限和编辑权限。否则，您将面临权限升级攻击的风险，当威胁参与者进入网络并通过升级其用户权限进行横向移动时，就会发生这种攻击。

防御访问配置错误威胁方案

**1、每个应用程序都需要凭据：**这包括数据库、客户端管理系统以及所有本地和云软件。

**2、不要忘记云资源：**可在互联网上访问的云存储桶应具有访问障碍;否则，拥有存储桶 URL 的任何人都可以看到它们。

**3、部署零信任：**员工应该只拥有完成工作所需的访问级别，称为最小特权或零信任原则。这有助于减少内部欺诈和意外错误。

过时和未修补的网络资源

网络硬件和软件漏洞是随着时间的推移而暴露出来的缺陷，这要求IT和网络技术人员在供应商或研究人员宣布威胁时随时了解这些威胁。

过时的路由器、交换机或服务器无法使用最新的安全更新。然后，这些设备需要额外的保护控制。其他旧设备，如医院设备，通常不能完全放弃，因此企业可能不得不设置额外的安全性，以防止他们把网络的其余部分置于危险之中。

防御补丁管理威胁方案：

**1、不要等待修补已知问题：**对于网络管理员来说，立即修补固件漏洞至关重要。威胁行为者一旦得知漏洞，就会迅速采取行动，因此 IT 和网络团队应该领先一步。

**2、自动执行一些工作：**自动警报将帮助您的企业团队使网络资源保持最新状态，即使他们不是经常上班。

**3、减少旧技术造成的危害：**尽可能淘汰过时的设备。它们将继续与网络的其余部分不兼容，如果某些硬件不支持它，那么保护整个网络将具有挑战性。

04企业员工安全威胁

团队成员会犯错误，无论是意外的代码行还是暴露给整个互联网的路由器密码。通过培训网络安全课程，只是为了降低员工将基础设施置于危险之中的可能性。

意外或粗心的错误

员工会犯很多意外的安全失误，包括在纸上或 Slack 上发布密码、让陌生人进入办公室或将身份不明的闪存驱动器插入公司计算机。有时他们知道公司的政策，但不想遵循这些政策，因为它们似乎需要更多时间，例如为每个应用程序提供新密码而不是重复使用它们。

防御错误造成的威胁方案：

**1、网络安全培训课程：**使培训具有互动性，以便员工保持敬业度，并确保新员工立即了解期望。

**2、安装密码管理器等软件：**这些可以帮助员工安全地管理他们的凭据。

**3、实施数据丢失防护 （DLP） 技术：**保护数据对于维护声誉和法规遵从性都至关重要。

**4、限制物理工作空间：**不要让企业外部人员进入托管网络硬件和软件的场所。

故意恶意的内部人员

一个经常被忽视的人为威胁领域是内部威胁，它来自打算损害企业的员工。虽然这些情况并不频繁发生，但它们可能更加危险。这些内部人员通常具有对网络的凭据访问权限，这使他们更容易窃取数据。

防御来自恶意内部人员的威胁方案：

**1、让安全成为常规话题：**在经理和员工一对一会议中就网络安全进行对话。向员工表明对安全是认真的。

**2、举办更多培训课程：**它们尤其重要，因为其他员工接受过培训，可以识别自己团队的行为。

**3、实施行为分析：**分析至少可以帮助团队识别一段时间内的异常行为。如果内部人员泄露数据或更改凭据，则可能是故意的。

**4、招聘前对人员进行审查：**要求提供推荐信和进行背景调查虽然不是万能的，但可以帮助企业雇用值得信赖的人。

05运营技术

运营技术(OT)通常是指观察和控制工业环境的硬件和软件。这些环境包括仓库、建筑工地和工厂。OT 允许企业通过联网蜂窝技术管理 HVAC、消防安全和食品温度。

企业物联网和工业物联网（IIoT）设备也属于运营技术。当连接到业务网络时，OT 可以为威胁参与者敞开大门。

操作技术的危险

较旧的OT设备在设计时并未考虑到重要的网络安全，因此它们拥有的任何遗留控制措施都可能不再足够或可修复。运营技术的影响往往远远超出了 IT 安全的范围，尤其是在食品管理、医疗保健和水处理等关键基础设施中。OT 漏洞可能不仅仅是花费金钱或危及技术资源，就像标准网络漏洞一样，还可能导致伤害或死亡。

防御 OT 威胁方案：

**1、执行详细审核：**需要了解连接到公司网络的每一台设备，而彻底的审核是实现这一目标的最佳方法。

**2、始终如一地监控所有 OT 流量：**任何异常情况都应向 IT 和网络工程师发送自动警报。配置警报，以便工程师立即知道发生了什么。

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

UiM-1715627499667)]

[外链图片转存中…(img-CvoSp5Rr-1715627499667)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！