人為錯誤導致網絡安全漏洞的 7 種方式
已發表: 2022-04-19根據 Verizon 在 2021 年發布的一份廣泛的網絡安全報告,“85% 的數據洩露是由人為錯誤造成的。” 在網絡安全和數據保護中,人為錯誤被定義為員工的無意行為,這些行為可能導致安全漏洞,最常導致數據洩露。
一個錯誤對公司來說可能是致命的,並造成數百萬美元的損失。 例如,Target 在 2013 年發生了一次巨大的數據洩露事件,給公司造成了 9000 萬美元的損失。 事件發生後,公司聲譽受損,需要很長時間才能重新贏得客戶的信任。
公司能否預見到可能發生的安全漏洞並加以預防? 讓我們討論最常見的人為錯誤以及如何預防這些錯誤。
- 導致網絡安全漏洞的 7 個嚴重人為錯誤
- 1.密碼衛生
- 2.數據訪問控制不足
- 3. 間諜軟件
- 4. 缺乏網絡安全意識
- 5. 釣魚郵件
- 6.軟件安全性不足
- 7.延遲修補
- 如何降低人為錯誤的風險並防止網絡安全漏洞
- 1.改進密碼管理
- 2. 控制對敏感數據的訪問
- 3. 安裝防病毒和反間諜軟件
- 4. 對員工進行網絡安全教育
- 5.過濾收到的電子郵件
- 6.更新您的安全策略
- 7.定期更新軟件
導致網絡安全漏洞的 7 個嚴重人為錯誤
人為錯誤的無意性質並不意味著它們是不可避免的。 但是,公司可以識別其安全策略中的漏洞並採取措施降低風險。 以下是可能導致安全漏洞的七種最常見的人為錯誤。
為您推薦: 2022 年保持在線保護的 17 個最佳網絡安全提示。
1.密碼衛生
NordPass 在 50 個國家/地區進行的 2021 年研究表明,“123456”組合被 1.3 億人用於登錄目的。 第二和第三最常用的密碼是“123456789”和“qwerty”,分別有 4600 萬人和 2230 萬人使用。 熟練的黑客可以在不到一秒鐘的時間內破解這種弱密碼。
除了設置糟糕的密碼外,大多數人還在個人和公司電子郵件、社交媒體帳戶和其他服務中使用相同的密碼組合。 有些人多年未更改密碼,甚至與同事分享密碼或將其寫在便籤紙上並粘貼到顯示器上。 Verizon 表示,這種對密碼粗心大意的態度導致了 61% 的安全漏洞。
2.數據訪問控制不足
為某人分配不適當的訪問權限是另一個可能導致安全漏洞的人為錯誤。 在一些組織中,不稱職的人有權訪問敏感數據。 但是,在大多數情況下,默認情況下會向員工授予如此廣泛的訪問權限,除非有特定的限制請求。
以下是由於訪問控制不當導致的最常見錯誤:
- 無意或有意刪除敏感數據。
- 進行可能導致數據洩露和數據洩漏的系統配置。
- 在系統中執行未經授權的更改。
- 將包含有價值數據的電子郵件發送給錯誤的收件人。
3. 間諜軟件
當員工在線尋找完成手頭任務的信息時,他們可能會從未經授權的來源下載文件、單擊未知鏈接或在隨機彈出窗口中單擊“是”。 此類操作可能會在您不知情的情況下在您的設備上安裝間諜軟件。 您甚至不會懷疑,在您進行日常工作時,它會記錄您的在線活動並獲取您的登錄憑據和個人信息。 然後,此惡意軟件將收集的信息傳輸給第三方,未經您的同意使用它。
最糟糕的是,間諜軟件可以從一台計算機傳播並感染公司的整個網絡。 如果沒有及時發現,會給企業造成數百萬美元的損失。
4. 缺乏網絡安全意識
在大多數情況下,導致安全漏洞的人為錯誤是意外或由於缺乏知識造成的。 不幸的是,一些組織過於專注於取得成果,而忽略了對員工進行網絡安全教育的必要性。 以下是人們由於缺乏知識而可能犯的幾個常見錯誤:
- 從可疑和授權來源下載軟件。
- 在沒有 VPN 加密的情況下連接到餐廳或酒店的公共 Wi-Fi。
- 堵塞設備,例如來源不明的美元存儲。
5. 釣魚郵件
根據 Verizon 在 2020 年進行的一項調查,20% 的網絡安全漏洞是由網絡釣魚電子郵件引起的。 單擊此類電子郵件中的惡意鏈接是代價最高的人為錯誤之一。 據報導,單條被盜記錄的平均成本為 133 美元。 想像一下,如果除了最終用戶計算機之外,整個網絡都受到感染,會對組織造成多大的損害!
6.軟件安全性不足
當員工執行重複性的日常任務時,他們會變得粗心大意,久而久之就會忽視安全程序。 他們認為,如果他們昨天的工作是天衣無縫的,那麼今天就沒有什麼可以威脅到他們了。 這種對安全程序粗心大意的態度有時會危及整個公司的安全系統。 以下是員工忽略的安全程序:
- 軟件更新:大多數員工會跳過軟件更新,因為它們花費的時間太長或出現在最不方便的時間。
- 有時,員工可以關閉防病毒或安全功能,因為它們會干擾他們的工作。 在積極使用 Internet 時讓計算機不受保護哪怕一分鐘都是危險的。
7.延遲修補
延遲修補與前一點密切相關,但更側重於軟件更新。 網絡罪犯一直在尋找軟件安全漏洞,但軟件開發人員也在這樣做。 一旦他們發現了這樣的漏洞,他們會立即修復它並發送眾所周知的補丁程序,即軟件更新。 那些按時安裝更新的人可以保護他們的設備免受安全漏洞的侵害,而每一分鐘的延遲都會增加受到威脅的風險。
Equifax 信用報告機構的案例很好地說明了為什麼不應忽視軟件更新。 2017 年,他們的軟件存在安全漏洞。 該公司知道這一點,但推遲了修補程序。 結果,他們的系統遭到黑客攻擊,超過 1.4 億美國客戶和 8,000 名加拿大客戶的個人信息遭到洩露。
您可能喜歡:您的業務網絡安全所需的文檔和協議。
如何降低人為錯誤的風險並防止網絡安全漏洞
一旦公司確定了其安全策略中的漏洞,他們就可以採取預防措施。 犯錯是人之常情; 這就是為什麼不可能完全消除風險,但可以將其最小化的原因。 查看以下七項措施。
1.改進密碼管理
由於網絡安全漏洞的最大部分是由密碼衛生不良引起的,因此公司應特別注意密碼管理。 組織應制定明確的政策,反對使用簡單密碼或為所有帳戶設置一個組合。 密碼生成工具可以幫助創建由字母、數字和符號組成的強而可靠的密碼。
此外,在所有公司帳戶中激活雙因素身份驗證也應該是政策的強制性部分。 它將加強對您帳戶的保護,並使它們無法被黑客破解。
2. 控制對敏感數據的訪問
授予所有員工對敏感數據的無限制訪問權限是公司的一個巨大錯誤。 默認情況下,應拒絕所有員工訪問。 然後,只要員工需要訪問數據以執行其工作,管理人員就應該隨時分配權限。 大多數係統甚至根據其角色具有不同的用戶權限級別。 例如,初級專家只能查看文件,而管理人員有權編輯或刪除文件。 這樣的用戶權限劃分可以保護敏感數據不被修改或意外刪除。
3. 安裝防病毒和反間諜軟件
病毒和間諜軟件會對您的設備和網絡造成破壞性破壞。 因此,受到保護比對抗其破壞性後果更為明智。 抵禦病毒和間諜軟件的最佳方法是防病毒和反間諜軟件。 McAfee Total Protection、Norton 360 和 Bitdefender Total Security 是三大值得使用的頂級反間諜軟件解決方案。 該軟件提供用於加密互聯網使用的 VPN 和用於保護設備免受外部威脅的防火牆。
4. 對員工進行網絡安全教育
大多數人為錯誤都是由於缺乏網絡安全知識造成的。 減輕此類錯誤風險的最佳方法是教育員工並提高員工對信息安全的認識。 公司應經常舉辦培訓,並向員工傳授網絡攻擊、攻擊類型和保護程序。 他們應該知道如何區分網絡釣魚電子郵件和真實電子郵件、如何報告它們以及在檢測到安全漏洞時該怎麼做。 如果您的公司有特定的安全策略,請確保您的員工了解它。
5.過濾收到的電子郵件
保護自己免受網絡釣魚電子郵件侵害的一種方法是標記從公司外部收到的郵件。 但這不是 100% 的解決方案,因為一些垃圾郵件可以模仿您公司的電子郵件域。 因此,使用檢測可疑電子郵件的安全軟件是另一種選擇。
無論您決定如何與網絡釣魚作鬥爭,請制定一個經驗法則,永遠不要下載文件或點擊可疑電子郵件中的鏈接。
6.更新您的安全策略
貴公司不應依賴員工對遵循網絡安全程序的認真態度。 你應該有一個解釋清楚的公司安全政策,描述如何處理敏感數據、如何以及何時更新密碼和其他安全規則。 但是,本指南不應過時。 確保定期更新並通知您的員工熟悉新的安全程序。
您可能還喜歡:機器學習如何用於網絡安全?
7.定期更新軟件
軟件開發人員發布補丁是因為他們發現了漏洞並希望幫助您抵禦這些漏洞。 因此,忽略和跳過軟件更新會增加您的設備受到威脅的風險。 因此,建議在補丁可用後立即安裝補丁。