近年來，網(wǎng)絡(luò)罪犯的人數(shù)和復(fù)雜程度都在增加，網(wǎng)絡(luò)罪犯的目標(biāo)鎖定變得更具策略性，更加專注于最大效率和獲利。隨著有關(guān)全球網(wǎng)絡(luò)犯罪的數(shù)據(jù)持續(xù)涌入，可以看出金融服務(wù)企業(yè)已然成為頭號(hào)鎖定目標(biāo)。雖然金融服務(wù)企業(yè)在網(wǎng)絡(luò)安全人員、工具和相關(guān)投資方面的支出持續(xù)超過大多數(shù)業(yè)界同行，不過網(wǎng)絡(luò)攻擊仍在持續(xù)發(fā)生。本文將總結(jié)金融服務(wù)企業(yè)成為網(wǎng)絡(luò)罪犯頭號(hào)目標(biāo)的3個(gè)關(guān)鍵原因，并為企業(yè)的防御方式提出建議。
金融服務(wù)企業(yè)成為網(wǎng)絡(luò)罪犯頭號(hào)目標(biāo)的三大原因
威脅行動(dòng)者鎖定有能力支付大筆金額的金融服務(wù)企業(yè)
金融服務(wù)企業(yè)成為威脅行動(dòng)者偏好鎖定的目標(biāo)并非巧合，其中的道理其實(shí)很簡(jiǎn)單——威脅行動(dòng)者鎖定有所需的數(shù)據(jù)可以外泄而且有能力支付大筆金額的目標(biāo)。數(shù)據(jù)能夠出售來?yè)Q取金錢，而且入侵弱點(diǎn)可以獲得數(shù)據(jù)和金錢。擁有大量金融和數(shù)據(jù)資產(chǎn)的金融服務(wù)企業(yè)是最佳目標(biāo)。這些企業(yè)不僅控制和管理有價(jià)值的數(shù)據(jù)，而且也必須滿足客戶持續(xù)需要絕佳數(shù)字體驗(yàn)的需求。
數(shù)字轉(zhuǎn)型正在擴(kuò)大攻擊范圍
客戶對(duì)于輕松實(shí)時(shí)取得金融數(shù)據(jù)的需求正在推動(dòng)金融服務(wù)企業(yè)的數(shù)字轉(zhuǎn)型。云端技術(shù)、數(shù)據(jù)分析和機(jī)器人技術(shù)正在成為大型機(jī)構(gòu)因應(yīng)數(shù)字經(jīng)濟(jì)挑戰(zhàn)和客戶期望的重要工具。但是這些新技術(shù)擴(kuò)大了攻擊范圍和威脅行動(dòng)者利用弱點(diǎn)的能力。
此外，金融服務(wù)企業(yè)目前與傳統(tǒng)競(jìng)爭(zhēng)對(duì)手、金融科技公司，甚至大型科技公司合作，為客戶提供更有吸引力的數(shù)字體驗(yàn)。客戶數(shù)據(jù)由金融服務(wù)企業(yè)收集并與合作伙伴共享，以獲得洞察力、自定義產(chǎn)品等等。但是數(shù)據(jù)遺失、濫用和甚至業(yè)務(wù)中斷的情況也因此發(fā)生。金融服務(wù)企業(yè)需要更強(qiáng)大且更安全的數(shù)字服務(wù)模型和第三方合作伙伴協(xié)助，以有效的方式滿足數(shù)字需求，不過這通常會(huì)導(dǎo)致更多的安全復(fù)雜度。這些日益復(fù)雜的IT系統(tǒng)更難進(jìn)行點(diǎn)對(duì)點(diǎn)保護(hù)。此外，僅關(guān)注法規(guī)合規(guī)性可能會(huì)造成落差。
另一個(gè)潛在的弱點(diǎn)是透過遠(yuǎn)程訪問技術(shù)運(yùn)用第三方供貨商的能力。這可能會(huì)對(duì)金融服務(wù)機(jī)構(gòu)產(chǎn)生影響，因?yàn)榭赡軙?huì)在機(jī)構(gòu)不知情的情況下進(jìn)行不安全的設(shè)定。相較于大型機(jī)構(gòu)，小型金融機(jī)構(gòu)（包括信用合作社和資產(chǎn)管理公司）可能沒有充足的IT或安全人員在現(xiàn)場(chǎng)提供深入的網(wǎng)絡(luò)安全服務(wù)。這些較小的公司也可能使用電子郵件進(jìn)行金融交易，這為威脅行動(dòng)者提供了介入交易流程的機(jī)會(huì)。
保護(hù)數(shù)字資產(chǎn)有挑戰(zhàn)性
保護(hù)數(shù)字資產(chǎn)不是一勞永逸的過程。這需要持續(xù)的監(jiān)控和管理，藉以加速數(shù)字環(huán)境和現(xiàn)用系統(tǒng)的持續(xù)演變。然而，尋找合適的內(nèi)部IT安全人員和第三方網(wǎng)絡(luò)安全廠商來支持這項(xiàng)技術(shù)對(duì)于各種規(guī)模的企業(yè)來說都很有挑戰(zhàn)性。
實(shí)施IT基礎(chǔ)結(jié)構(gòu)需要時(shí)間和專業(yè)知識(shí)。這需要企業(yè)尋找合適的團(tuán)隊(duì)成員，透過新流程來教育和帶領(lǐng)企業(yè)。此外，監(jiān)控和管理數(shù)據(jù)安全需要持續(xù)的訓(xùn)練、弱點(diǎn)測(cè)試并專注于領(lǐng)先因應(yīng)新的威脅和持續(xù)發(fā)展的威脅。隨著采用新的云端技術(shù)，團(tuán)隊(duì)成員也必須了解“共擔(dān)責(zé)任模型”以及如何執(zhí)行云端安全控制和保護(hù)敏感數(shù)據(jù)的其他設(shè)定。
金融服務(wù)企業(yè)如何阻止網(wǎng)絡(luò)攻擊？
為了妥善保護(hù)金融服務(wù)企業(yè)免于遭受網(wǎng)絡(luò)威脅，必須實(shí)施網(wǎng)絡(luò)安全措施和安全最佳實(shí)務(wù)，包括零信任、多因素驗(yàn)證(MFA)等等DevSecOps。
進(jìn)行網(wǎng)絡(luò)安全測(cè)試和訓(xùn)練也很重要。這包括每年進(jìn)行兩次超越基礎(chǔ)要點(diǎn)的深入安全意識(shí)訓(xùn)練，以便員工學(xué)習(xí)如何發(fā)現(xiàn)進(jìn)階威脅策略。訓(xùn)練計(jì)劃應(yīng)該包括針對(duì)公司個(gè)別群組的自定義模塊，說明他們會(huì)如何遭到攻擊。訓(xùn)練范例應(yīng)該涵蓋進(jìn)階網(wǎng)絡(luò)釣魚技術(shù)(每次都變得愈來愈復(fù)雜)、廣泛的社交工程策略、內(nèi)部威脅活動(dòng)的跡象(包括匿名報(bào)告問題的方法)和實(shí)體安全性。
對(duì)云端平臺(tái)的安全和IT人員進(jìn)行有針對(duì)性的深入訓(xùn)練也有其必要。任何產(chǎn)業(yè)都有弱點(diǎn)，不過金融服務(wù)企業(yè)由于控制的金融和數(shù)據(jù)資產(chǎn)而經(jīng)常淪為網(wǎng)絡(luò)攻擊的目標(biāo)。確保針對(duì)正確的領(lǐng)域進(jìn)行安全投資，而且對(duì)員工進(jìn)行適當(dāng)訓(xùn)練，藉以監(jiān)控和管理威脅，這將有助于金融服務(wù)企業(yè)更確實(shí)防范大量黑客入侵。
為了優(yōu)先處理最完善的安全作業(yè)，安全評(píng)估和滲透測(cè)試在以適當(dāng)?shù)膰?yán)格程度進(jìn)行時(shí)，可以識(shí)別弱點(diǎn)和更好的目標(biāo)投資。如需有關(guān)主動(dòng)評(píng)估網(wǎng)絡(luò)安全整備程度和需求的詳細(xì)信息，請(qǐng)聯(lián)絡(luò)Unit 42。