貝瑞榮：2023 年資料外洩報告與資安投資
根據 2023 年貝瑞榮資料外洩報告，網路攻擊者正加固對偷竊憑證、惡意濫用許可權、人為錯誤、以及精心策劃的社交工程、商業電子郵件欺詐和虛假代表的攻擊，其攻擊手法與策略日益精細。攻擊者的策略逐步進入受害者的思維，從初次接觸到受害者落入陷阱的時間縮短。盜竊許可權憑證持續是攻擊者進入系統的最愛方法之一，攻擊者使用憑證進入系統且在系統流量中得到認可的比例從一年前的 41.6％攀升至 44.7％。
預防措施與基礎安全措施
報告顯示：儘管資安支出增加，資安企業仍未能滿足人們對安全的期望，特別是在面對精細策劃的攻擊時。改善身份取證、特權存取和端點安全，提供基礎安全措施的企業，能夠更安全地保障顧客的利益。
對策不應是加倍資安培訓支出或在資訊網站嘗試使用假的釣魚郵件來考驗員工，企業應先假定會發生資安事故，並在此發生之前採取預防措施。資安專家約翰金德瓦格建議企業研究進階的資安措施，不要同時全面保護所有資源，而是選擇逐步實施的策略，以確保系統的安全性。
有關員工的人為因素
報告強調近年來人為錯誤、社交工程和內部人員攻擊的比例日益增加。根據資料，74％的資安事故始於員工的人為錯誤、社交工程或濫用。近年來內部人員攻擊的比例也高達 19％，企業對此應予以重視，並對所使用的實體隨時進行監控。因為當企業面臨內部人員攻擊時，發現並制止此類攻擊實屬難事。當前 AI 和機器學習技術，可發現和監視可疑的網路活動，提高企業的資安水平。
攻擊策略的演變
報告強調攻擊者近年來構建的攻擊策略呈現演變趨勢，且攻擊策略的效果與風險日趨精細。美國聯邦貿易委員會甚至發布了如何避免禮品卡詐騙的指南，釣取「偉大者的」賞識並謀取利益已變得屢有發生。攻擊策略的演變可反映在攻擊策略的組成方面，如系統入侵、基本網路應用攻擊、社交工程和憑證盜竊。因此更有效地針對網路應用攻擊採取零信任策略意義重大，可透過防火牆、反指令碼、緩解-DDOS、內部隔離、網路隔離等方式提升網路安全引數。
未來方向
報告指示企業必須重描資安策略，納入人為因素、內部人員攻擊等資安威脅的考量，創造一種資安文化，讓企業能夠超越 IT 部門，
延伸閱讀
- 美國專利商標局證實申請人位址資料再次外洩
- Ofcom 將推動在新的網路兒童安全守則中，加固年齡取證、篩選和其他 40 項檢查
- Brandywine Realty Trust 表示資料已在勒索軟體攻擊中被竊取
- LockBit 的幕後主謀被起訴：我們從中學到了什麼？
- 美國聯合健康集團 CEO 表示：“也許三分之一的美國公民受到最近的駭客攻擊影響”
- AI 新創點子解決創辦人個資外洩的痛 - 這位創辦人深受影響後的啟發
- 流行的手機追蹤應用程式發現安全漏洞，使用者精確位置外洩
- Mozilla 發現大多數約會應用並不善於保護使用者資料
- 英國正在評估 AI 是否能幫助保護年輕的網路使用者
- 駭客威脅公開大量的被盜制裁和金融犯罪監視名單
