慎防這些常見的網絡安全陷阱

儘管近年數碼安全相關技術已取得長足進步，但長期存在的認知誤區仍在不斷削弱各行業的系統安全防護能力。

一般互聯網用戶出現安全操作失誤或許並不令人意外，但這類問題並非只存在於一般用戶群體之中。以下是一些即使是經驗最豐富的 IT 專業人員也依然會認同的常見謬誤：

謬誤 1：最低限度的管控措施已經足夠。
這種觀點認為只要部署了任何管控措施就足以阻擋惡意攻擊者。在當今環境下，這顯然是不成立的。僅使用用戶名和密碼進行身份認證的企業或許會認為自身已得到保護，但最低限度的管控措施遠遠不足夠。

即使企業使用的遺留系統未提供其他內置安全選項，也必須設法增強自身的管控能力。強化安全的方式始終存在——所有企業都應當探索這些方案，這一點十分重要。請記住，每家企業的數據對惡意攻擊者而言都具備一定價值，因此最低限度的安全管控措施不足以構成有效的防護屏障。如果企業必須使用無法重構的遺留系統，應當將該遺留系統列入需要重點監控的系統清單，或是補充其他形式的安全管控措施，例如網絡隔離。

謬誤 2：所有類型的風險都可以用同一種方案解決。
並非所有多因素認證（MFA）的安全能力都處於同一水平，持有高價值資訊的企業也未必能選擇合適的 MFA 方案。企業所選 MFA 方法的安全等級，必須與企業資訊對惡意攻擊者的價值相匹配。如今企業才剛剛開始意識到，需要採用與自身業務風險等級相适配的 MFA 方案。存儲高價值資訊（包括銀行資料、社會保障號碼、信用卡號、健康資料等）的企業，必須採用比無此類資訊的企業更安全的認證流程。

謬誤 3：僅需虛擬私人網絡（VPN）即可保障安全。
該謬誤涉及四類問題：節點終端、扁平化網絡、憑證防護以及最小權限原則。使用虛擬私人網絡（VPN）的用戶往往默認加密隧道已經足夠安全，卻未考慮可能影響存取安全的其他因素。即使 VPN 運作穩定，以下任何一種行為都會將 VPN 用戶置於風險之中：

• 未評估節點終端（即 VPN 服務提供商）的可信程度
• 企業採用扁平化網絡架構，導致外部 VPN 接入可存取過多內部網絡資源
• 使用安全強度不足的憑證載體
• 用戶權限分配過高

許多 VPN 用戶都會忽視上述注意事項，這違反了最小權限原則，也會將用戶置於風險之中。

謬誤 4：始終可以通過異常監控和黑名單偵測並阻斷惡意攻擊者。
這兩類技術本身都具備優秀的防護能力，但單獨使用時無法為企業提供充分的安全保障。即便如此，許多企業仍過度投入、高估這類系統的防護價值，同時忽略了需要與之配套疊加的其他防護措施。

這兩類措施都是企業整體安全體系中不可或缺的組成部分，但如果將其作為安全體系的核心支撐，就等同於默認技術方案能夠識別出系統內的惡意攻擊者。黑客的攻擊行為往往與合法網絡流量特徵完全一致，且通常會使用合法憑證。如果認為黑客每次嘗試入侵時其行為都會觸發告警，會讓企業面臨極高的安全風險。

謬誤 5：本地部署等同於安全。
儘管各行業都在持續向雲化網絡轉型，但許多 IT 專業人員仍然認為，伺服器和身份管理系統部署在本地，比採用雲端解決方案能讓企業獲得更強的管控能力。這種觀點並不正確。自行持有硬件、託管自有系統並不會讓系統變得更安全。

謬誤 6：操作系統本身是可信的。
這是許多硬件廠商都會陷入的謬誤，其根源通常是廠商選擇默認信任 Active Directory。不論是出於認知不足還是判斷不確定，這類設備的安全架構師往往盲目信任設備運行的操作系統不存在安全風險。即使許多操作系統廠商已經承認存在白帽研究員早就指出的漏洞，或是部分漏洞已被惡意攻擊者積極利用，這些架構師仍抱有這種假設。我們已經走出了盲目信任遺留操作系統安全管控能力的階段，是時候轉向更強大、更現代的、基於應用而非基於網絡的認證體系了。

謬誤 7：憑證載體不需要保護。
不論使用哪類數碼證書，都必須以某種方式保護憑證載體。許多用戶，尤其是時間緊迫的開發或運維人員，會犯下硬編碼憑證的錯誤，這類行為可能導致憑證泄露。不論是通過軟件還是其他方案——例如憑證保險庫——未對憑證採取保護措施的用戶，都會讓自身面臨極高的安全風險。

謬誤8：憑證無需管理。
受居家辦公安排、新興應用場景及其他技術發展的推動，諸多企業的數碼證書數量已迎來爆發式增長。許多企業發現，其IT部門已難以應對網絡中規模龐大的數碼證書。但遺憾的是，僅完成數碼證書部署遠遠不夠。企業需要可靠的集成化管理體系，確保數碼證書不會過期、應吊銷的證書及時吊銷，也不會因其他問題遭到泄露。

如需了解更多謬誤內容，可收聽根本原因, 第192期《2021年我們仍然存在的14個安全誤區》。