本文來自嘶吼網，作者/我們會有自己的貓。
黑客正在愈發(fā)熟練地利用我們動蕩的世界來從事他們的工作——在疫情剛開始蔓延的時候，與冠狀病毒相關的網絡釣魚攻擊以及與電子通勤和遠程學習上升相關的威脅就相應地有所增加。而俄羅斯入侵烏克蘭是最新的例子，俄羅斯贊助的團體以美國及其盟友為目標，進行報復性制裁。打擊這些威脅是任何組織的重中之重，但至關重要的是，威脅環(huán)境的加劇不應該分散對安全基礎知識的注意力。
2022年的網絡安全=狂野的西部
在深入研究安全最佳實踐之前，讓我們回顧一下一些宏觀網絡安全趨勢。如前所述，疫情帶來了許多威脅，其中許多威脅仍然在繼續(xù)挑戰(zhàn)今天的企業(yè)組織。
隨著CISA多次警告俄羅斯國家支持的網絡行為者的威脅，黑客行為也變得武器化。最近，一個俄羅斯團體聲稱對哥斯達黎加政府的勒索軟件攻擊是值得稱贊的，該攻擊迫使該國宣布進入緊急狀態(tài)。雖然局勢正在演變，但這次事件也強調了政治議程與網絡安全問題之間的聯(lián)系。
勒索軟件沒有減少的跡象
這并不是說勒索組織只是國家贊助的團體進行勒索活動。他們本身所具有的財務動機使黑客正在瞄準企業(yè)，并利用日益復雜的策略來做到這一點。最近，除非支付贖金，否則黑客組織將從加密或竊取文件轉向泄露（或威脅泄露）被盜信息。一些跡象表明，黑客在針對公司之前正在進行更多的風險/獎勵計算，但鑒于與成功活動相關的支付，勒索軟件仍然是每個組織的真正威脅。
數(shù)字供應鏈頭痛加劇
除上所述，公司組織還在努力應對來自使用各種大眾市場應用程序和操作系統(tǒng)的開源軟件的供應鏈攻擊。在2021年12月首次記錄Log4J漏洞后，黑客僅用了9分鐘就進行了第一次漏洞嘗試。在補丁發(fā)布之前的頭三天，這個數(shù)字上升到83萬。雖然Log4J漏洞引起了媒體的極大關注，但它絕不是孤立的事件。開源代碼包括35%的商業(yè)軟件應用程序和高達75%的內部開發(fā)的軟件，可以毫不夸張地說，數(shù)字供應鏈的威脅表面是巨大的。
組織用新興技術加強防御
面對威脅，公司正在轉向利用新興技術來應對當今的網絡威脅。在這一需求的推動下，人工智能網絡安全市場預計將到2029年達到662億美元。新興技術有其地位，但如果企業(yè)沒有解決關鍵的基本安全因素，他們仍然會發(fā)現(xiàn)自己依舊會成為攻擊的受害者。
安全從密碼級別開始
證書是最受歡迎的黑客目標之一，但公司往往無法為他們提供足夠的保護。盡管增加了風險教育，但員工依然繼續(xù)與谷歌共享和重用密碼，發(fā)現(xiàn)至少65%的人在某些（如果不是全部的話）網站上使用相同的密碼。只需其中一個網站被違反，密碼就可以在暗網上提供給黑客。
從歷史上看，限制性密碼政策導致了這個問題。例如，強制包含特殊字符或強迫員工定期重設密碼。研究表明，這些和其他遺留方法實際上會導致密碼較弱。因此，NIST現(xiàn)在建議公司放棄這些限制性政策，轉而采用現(xiàn)代的憑證安全方法。
證書篩選的必要性
NIST目前的建議之一是，公司應專注于密碼暴露的問題而不是密碼過期。畢竟，如果員工擁有相同的密碼一年，但仍然沒有妥協(xié)，為什么要強制更改？
公司應采用動態(tài)憑證篩選解決方案，通過根據已知暴露的黑名單以及專有威脅情報檢查密碼來確保密碼的完整性。鑒于新漏洞數(shù)據暴露的速度，持續(xù)進行這種篩查也很重要。如果檢測到漏洞，公司則可以自動響應，以確保對敏感數(shù)據的保護，直到員工可以安全地訪問該帳戶。
安全研究人員強調分層方法在防止當今組織面臨的無數(shù)威脅方面具有重要性。鑒于憑據作為攻擊載體的持久流行，其中一個層關注密碼級別至關重要。否則，如果黑客可以通過利用糟糕的憑證安全性來訪問，那么投資最新的人工智能技術將一無所獲。
本文翻譯自：https://threatpost.com/youve-been-warned-overlook-security-basics-at-your-peril/180041/如若轉載，請注明原文地址
