10bet黑客会从哪些地方窃取您的数据?

来源:http://www.chinese-glasses.com 作者:Web前端 人气:113 发布时间:2020-03-24
摘要:时间: 2019-11-11阅读: 110标签: 黑客 数据逐渐成为企业核心资产,也被越来越多的黑客所觊觎。黑客疯狂盗取数据,是因为这些数据对于他们来说就是产生利益价值的金库。作为一家领先

时间: 2019-11-11阅读: 110标签: 黑客

数据逐渐成为企业核心资产,也被越来越多的黑客所觊觎。黑客疯狂盗取数据,是因为这些数据对于他们来说就是产生利益价值的金库。作为一家领先的、受信任的、被广泛认可的网络安全专业新闻平台,The Hacker News 为我们揭示了在新时代下,黑客会从哪里窃取数据,并提供了防御的思路。

即使是瑟曦.兰尼斯特的阴谋诡计或者乔拉.莫尔蒙爵士父亲般的保护(译注:两者都是HBO剧集《权力的游戏》中的人物)也无法阻止攻击者攻破HBO的网络并窃取了1.5TB的数据(包括未播出的《权力的游戏》剧集)。然而,机器学习可能已经为HBO的虚拟要塞提供了更好的防护。

数据泄露爆炸式的增长给组织带来了不可估量的损失,并可能会让网络安全主管因此丢掉饭碗。

10bet 1

在本文中,我们研究了 2019 年网络犯罪分子窃取公司和政府的数据却从没被人发现的前五个地方,然后学习如何避免成为毫无道德原则攻击者的牺牲品。

人工智能(AI)和机器学习(ML)是众多辩论的主题,特别是在网络安全社区内更是如此。那么,机器学习会是下一个大的安全趋势吗?人工智能准备好了接受机器学习推动的攻击吗?总的来说,人工智能是否做好了使用的准备?无论你对于机器学习是否会成为网络安全救世主的看法如何,有两件事情却是真实的:一是分析在安全领域占有一席之地,二是机器学习在一些具体的使用案例中代表了我们今天所能给出的最好答案。

  1. 配置错误的云存储

尽管有报道称黑客使用了”复杂老道”的入侵方法,但是很有可能的是黑客或黑客团体聪明地使用了常见的攻击方法攻入了这家银幕巨头的系统,并使用了 “little.finger66″(译注:”小指头66″,”小指头”是《权力的游戏》剧集人物培提尔.贝里席的绰号)这个绰号。

2019 年,网络安全公司 Thales 对全球 3000 多名专业人士进行的全球云计算安全调查显示,48% 的企业数据存储在云端,而这一数字在三年前为 35%。

下面列举了一些使用案例,它们代表了一些会影响每一家企业的常见安全威胁。不过,机器学习可能是也可能不是网络安全的灵丹妙药,但在下面这些情况中,它肯定会有所帮助。

对比鲜明的是,只有 32% 的组织认为保护云端中的数据是他们自己的责任,其他都是指望云计算和 IaaS 供应商来保护他们的数据。更糟糕的是,有高达 51% 的组织在云端中没有使用加密或凭证化。

使用案例1:”叉鱼”(防范网络钓鱼)

(ISC)²《云计算安全报告 2019》显示,64% 的网络安全专业人员认为数据丢失和泄漏是与云计算相关的最大风险。对于 42% 的安全专业人员来说,滥用员工凭证和不当的访问控制是最大的挑战,而 34% 的安全专业人员努力在云环境中实现合规性,有 33% 的安全专业人员认为对基础设施安全缺乏可见性,这是他们最关心的问题。

网络钓鱼是今天最常见的攻击媒介,而且非常成功。这种攻击利用了个人对通信工具的熟悉,如社交媒体和电子邮件,通过附件或链接向不知情的收件人发送恶意内容。这种攻击的有效性依赖于攻击者误导最终用户点击或下载恶意有效载荷并在之后绕过内部控制的能力。目前其不断增加的破坏性和勒索软件有效载荷使得这种攻击更加严重。

但是,疏忽大意的第三方也可能是最危险的陷阱,这种陷阱在很大程度上仍然被人们低估,因为被忽视了。2019 年,Facebook、微软和丰田汽车因为第三方泄漏或违规而导致数百万客户记录丢失,被媒体毫不留情地指责。

组织可以通过从电子邮件中捕获元数据来检测这些威胁,而且这种做法不会影响用户的隐私。通过查看电子邮件标题以及对邮件正文数据的二次抽样,机器学习算法可以学习识别能够暴露恶意发件人的电子邮件模式。通过提取和标记这些微观行为,我们可以训练我们的模型来检测是否有人正在尝试网络钓鱼。随着时间的推移,机器学习工具可以根据发件人的可信赖性构建曲线图。

尽管发生了这些令人震惊的事件,但仍然很少有组织有经过周详考虑的、妥善并持续执行的第三方风险管理计划,大多数组织还停留在纸质问卷,而不进行实际核查,也不做持续监控。

使用案例2:水坑式攻击(Watering Holes)

如何防范:为你的团队提供培训,实施整个组织范围内的云安全策略,持续运行公共云存储的发现,以维护云基础设施的最新清单。

类似于网络钓鱼攻击,水坑式攻击看起来似乎是合法的网站或网络应用程序。但是,这些网站或应用程序虽然是真实的,可已经被盗用了,或者根本就是假冒的网站或应用程序,旨在引诱没有疑虑的访问者输入个人信息。这种攻击也部分依赖于攻击者误导用户以及有效攻击服务的能力。

  1. 暗网

机器学习可以通过分析诸如路径/目录遍历统计等数据来帮助机构对网络应用程序服务进行基准测试。随着时间推移不断学习的算法可以识别出攻击者或恶意网站和应用程序的常见互动。机器学习还可以监控到罕见或不寻常的重新定向模式的行为,重新定向可能指向站点主机或者来自站点主机,还可以监控引荐链接–所有这些都是典型的风险警示指标。

2019 年,安全专家 Troy Hunt 披露了 Notorious Collection #1 文件,该文件包括一组电子邮件地址和明文密码,总计有 2692818238 行。

使用案例3:内网漫游(Lateral Movement)

任何人都可以用比特币匿名购买这些数据而不留任何痕迹。作为已知最大的被盗凭证数据库之一,它只是暗网上可供出售的泄漏数据的一小部分。由于攻击的复杂性,或者只是简单的疏忽、资源或技能的缺乏,许多组织每天都遭到黑客攻击却浑然不知。

这不是一种特定类型的攻击,内网漫游攻击方法表示攻击者在网络中的移动,这是他们在查找漏洞并应用不同的技术来利用这些漏洞。内网漫游特别能够表明风险沿着杀伤链–攻击者从侦察到数据提取的活动–上升,特别是当攻击者从低级用户的机器转移到更重要的人员(可以访问有价值的数据)时。

10bet,有针对性的密码复用攻击和鱼叉式网络钓鱼(Spear phishing)很容易发动,而且也不需要昂贵的 0day 漏洞利用程序。尽管一眼看上去,它们貌似微不足道的样子,但它们的效率却有可能高得惊人。

网络流量输入记录可以告诉您访问者与网站的互动情况。机器学习了解数据的语境,可以动态地提供正常通信数据的视图。有了对典型通信流的更好理解,算法可以完成变化点检测(也就是说,当给定通信模式的概率分布发生变化,并变得不太可能像是”正常”的通信活动的时候,它能够识别出来),以此监测潜在的威胁。

大多数组织在整个公司资源中没有一致的密码策略,仅仅只是将单点登录部署到其中心基础设施中。

使用案例4:隐蔽信道检测(Covert Channel Detection)

译注:鱼叉式网络钓鱼(Spear phishing)指一种源于亚洲与东欧,只针对特定目标进行攻击的网络钓鱼攻击。当进行攻击的骇客锁定目标后,会以电子邮件的方式,假冒该公司或组织的名义寄发难以辨真伪之档案,诱使员工进一步登录其账号密码,使攻击者可以以此借机安装特洛伊木马或其他间谍软件,窃取机密;或于员工时常浏览之网页中置入病毒自动下载器,并持续更新受感染系统内之变种病毒,使使用者穷于应付。由于鱼叉式网络钓鱼锁定之对象并非一般个人,而是特定公司、组织之成员,故受窃之资讯已非一般网络钓鱼所窃取之个人资料,而是其他高度敏感性资料,如知识产权及商业机密。

使用隐蔽信道的攻击者通过不用于通信的信道传输信息。使用隐蔽信道让攻击者保持对受到威胁的资产的控制,并使用可以随时间执行攻击的战术,而且不被发现。

译注:0day 漏洞,是已经被发现(有可能未被公开),而官方还没有相关补丁的漏洞。通俗地讲就是,除了漏洞发现者,没有其他的人知道这个漏洞的存在,并且可以有效地加以利用,发起的攻击往往具有很大的突发性与破坏性。强如微软、苹果这样的公司,在面对 0day 漏洞的攻击时候,也只能采取事后补救,对系统升级等方法。不是他们不想去收集漏洞,而是那些发现 0day 的人更愿意将 0day 卖给黑产而不是提交给这些公司,而原因只有一个 —— 漏洞提交的奖励远不及卖给黑产的收益。

使用隐蔽信道的攻击通常取决于给定网络上所有域的可见性。机器学习技术可以摄取并分析有关稀有领域的统计数据。有了这些信息,安全操作团队可以更轻松地让云端攻击者现形。没有了对他们打算攻击的网络的整体了解,网络犯罪分子更难以将其攻击沿着杀伤链条向前推进。

组织中各个辅助系统各自为政,通常使用较差的密码策略,甚至缺少密码策略,但它们可以访问商业机密和知识产权。考虑到这类门户网站和资源的数量如此众多,攻击者会小心翼翼地尝试盗取凭证,最终得到他们想要的东西。

使用案例5:勒索软件(Ransomware)

重要的是,这类攻击在技术上往往无法检测,因为监控不足,或者仅仅是因为它们不会触发通常的异常警报,只是让用户进入而已。经验丰富的黑客组织会在攻击之前,仔细分析受害者的资料,然后模仿受害者在同一时间段内,从与他们同一个 ISP 子网登陆。黑客团队甚至比精明的安全分析师所支持的人工智能驱动的入侵检测系统还要聪明。

勒索软件”名符其实”。这种恶意软件擦除驱动器并锁定受感染的设备和计算机作为要挟,以换取用户的加密密钥。这种形式的网络攻击会锁定信息,直到用户放弃其密钥,或者在某些情况下,如果不支付赎金,则威胁发布用户的个人信息。

如何防范:确保 数字资产的可见性 ,实施整体密码策略和事件响应计划,持续 监控暗网 和其他资源的泄漏和事件。

勒索软件提出了一种具有挑战性的使用案例,因为攻击经常导致网络活动日志缺乏证据。机器学习技术可以帮助安全分析师跟踪与勒索软件相关的细小行为,例如与给定的整个文件系统交互的熵统计或过程。组织可以将机器学习算法集中在最初感染有效载荷上,试图识别出这些证据碎片。

  1. 已遭废弃和未受保护的网站

使用案例6:注入攻击(Injection Attacks)

根据网络安全公司 ImmuniWeb 2019 年的研究报告称,全球 100 家最大银行中,有 97 家存在易受攻击的网站和网络应用程序。一系列的问题都归咎于对开源软件、过时的框架和 JS 库的不受控制的使用,其中一些包含了自 2011 年以来公开已知的可利用漏洞。

Open Web Application Security Project (开放网络应用程序安全项目,OWASP)将注入攻击列为网络应用程序头号安全风险。(注:当前版本的OWASP Top-10已被否决,该组织已重新开始安全专业人士的数据调用和调查)。注入攻击让攻击者可以在程序中进行恶意输入。例如,攻击者会将一行代码输入数据库,当访问数据库时,就会修改或更改网站上的数据。

这份报告还显示,25% 的电子银行应用程序甚至没有受到 Web 应用防火墙的保护。最终,85% 的应用程序没有通过GDPR 合规性测试,49% 没有通过 PCI DSS 测试。

数据库日志是可以帮助识别潜在攻击的另一个信息来源。机构可以使用机器学习算法来构建数据库用户组的统计概况。随着时间的推移,算法学习了解了这些组如何访问企业中的各个应用程序,并学习发现这些访问模式中出现的异常。

译注:PCI DSS,全称 Payment Card Industry (PCI) Data Security Standard, 第三方支付行业 (支付卡行业 PCI DSS) 数据安全标准,是由 PCI 安全标准委员会的创始成员 (visa、mastercard、American Express、Discover Financial Services、JCB 等) 制定,立在使国际上采用一致的数据安全措施。PCI DSS 对于所有涉及信用卡信息机构的安全方面作出标准的要求,其中包括安全管理、策略、过程、网络体系结构、软件设计的要求的列表等,全面保障交易安全。PCI DSS 适用于所有涉及支付卡处理的实体,包括商户、处理机构、购买者、发行商和服务提供商及储存、处理或传输持卡人资料的所有其他实体。PCI DSS 包括一组保护持卡人信息的基本要求,并可能增加额外的管控措施,以进一步降低风险。

使用案例7:侦查攻击(Reconnaissance)

尽管出现了攻击表面管理(Attack Surface Management,ASM)的解决方案,但大多数企业都疲于应付外部攻击表面增长的、波动的复杂性。在粗心或超负荷的开发人员遗弃的或未知资产的列表中,Web 应用程序占据了大头。

在发起攻击之前,黑客会对目标或目标群体进行广泛的侦查。侦查包括探测网络的漏洞。攻击者将在网络的周边或局域网(LAN)内进行侦查。典型的侦查攻击探测使用了签名匹配技术,通过网络活动日志寻找可能代表恶意行为的重复模式。然而,基于签名的检测通常会产生一串嘈杂的假警报。

本文由10bet发布于Web前端,转载请注明出处:10bet黑客会从哪些地方窃取您的数据?

关键词:

上一篇:nginx开启gzip压缩和静态缓存

下一篇:没有了

最火资讯