這聽起來是不是很不錯？你的網站運作十分順暢：內容排名靠前，表單、購物車功能正常無故障，頁面載入速度快，還能協助企業達成關鍵業務目標。你只會偶爾想起網站安全問題，例如看到其他企業服務中斷或數據外泄登上新聞的時候，總覺得自己的企業規模小，黑客不會盯上你……對嗎？錯了！遺憾的是，許多懷有善意的中小企管理者對網站安全存在認知誤區或重視不足，導致自身企業遭到嚴重消耗業務資源的網絡攻擊。忽視網站安全是成為黑客下一個目標的最快途徑，但關注度低不等同於重要性低——不論企業規模大小，網站安全都至關重要。

前路風險：普遍存在的網站安全疏忽問題

中小企管理者事務繁忙，一旦網站上線投入運作，就很容易將這項工作標記為「已完成」，轉而處理其他任務。網站安全通常不會被列為核心關注事項——等到出問題時往往已經來不及了。令人擔憂的是，近半數（48%）的中小企管理者認為自身企業規模太小、無足輕重，不會被黑客注意到。但殘酷的現實是，任何網站或雲端系統都可能成為攻擊目標。黑客常利用自動化掃描工具尋找存在漏洞的網站，完全不會考慮營運網站的企業規模如何。在Sectigo 於《網站安全現狀與威脅報告》2021年1月發布的中我們了解到，50%的中小企遭遇過網站外泄——這還只是已知的外泄事件——另有40%的中小企會遭到攻擊每月。最常見的攻擊類型包括惡意軟件注入、數據外泄和暴力破解登入嘗試，此外還存在許多新型、複雜度持續提升的威脅向量，且這些攻擊的成功率普遍很高。

網站攻擊帶來的後果十分嚴重。遭受攻擊的企業可能面臨收入損失、客戶流失、生產力下降、搜尋引擎排名下跌、知識產權被盜以及聲譽受損的風險。60%的中小企網站攻擊導致了網站停運，超過三分之一的企業遭遇了收入損失。此外，企業還可能面臨與數據外泄相關的罰款甚至訴訟。

儘管存在上述風險，該報告發現，僅有30%的中小企認為自身容易受到網絡威脅影響——這當中還包括近期剛剛遭遇過外泄事件的企業。很明顯，中小企存在過度自信的問題，儘管線上業務對其發展成功至關重要，卻仍認為自身網站不存在漏洞風險。

這是認知與現實之間的極大落差。問題從來不是是否會你的網站會不會被探測漏洞，而是何時會以及多久會被探測一次。.

走出「這種事不會輪到我」的思維誤區

如果網站安全沒有得到優先保障，企業就會面臨遭受重大損失的風險。好消息是，只需將注意力投向五項簡單的自動化技術，網站管理者和負責人就可以依托中小企的現有資源，達到大型企業級別的網站安全水平，免除後顧之憂。

1. 保持技術組件更新

在為網站選擇技術堆疊時，必須確保技術堆疊能夠得到主動更新和补丁修復，在漏洞被網絡不法分子利用之前就將其封堵。例如，自動化CMS补丁更新（如WordPress或Magento的自動更新），可以防止黑客在更新間隙侵入系統，或是利用系統舊版本的漏洞發起攻擊。網站核心版本以及所有插件的新版本發布後，必須盡快完成更新升級至最新版本。請重點關注網站上接收用戶輸入的區域，例如註冊表單，這類區域是很多攻擊的發生地。風險無處不在，攻擊者會盯上那些不及時更新的容易得手的目標。

2. 主動檢測惡意軟件與漏洞

在故障發生後收到告警，和具備提前阻斷安全事件的能力，二者存在本質區別。搜尋引擎會將存在漏洞跡象的網站加入黑名單是眾所周知的規則，而想要重新獲得搜尋引擎的信任難度極大。僅這一個例子就足以說明，為什麼中小企必須主動檢測並防範惡意軟件和漏洞。

市場上有不少易於部署的工具，可持續掃描網站的漏洞。舉例來說，假如您的網站託管在Linux伺服器上，可使用Netstat等內置工具執行掃描，從伺服器內部找出所有開放連接埠。另一種偵測網站是否存在惡意軟件問題的方法，是監察以您的網站名義發送的電郵。攻擊者盜用您的網站域名發送垃圾電郵的情況，比您想像中更為常見。

3. 配備合適工具以清除已發現的威脅

假設您在MySQL數據庫、網站檔案或網站其他核心組件中發現漏洞，接下來該如何處理？切勿在知悉威脅存在後，卻沒有抵禦攻擊的能力。請為修復工作——也就是清除威脅——做好準備。網站管理員需要借助修復軟件，在不造成業務中斷的前提下即時清除活躍漏洞。請務必選擇需要清除已發現威脅時，會優先保障業務連續性的工具。

4. 執行自動化備份

如果網站遭遇網絡攻擊，備份就是您的保障，也是復原方案的核心。有了備份您便可安心：若網站突然無法存取，您可以快速將網站還原至正確版本，所有數據都保持完整。版本控制軟件十分普及，不少主機服務亦提供定期執行數據庫備份和快照的方案。高效的備份與復原工具，對所有聯網企業而言都至關重要，可協助其快速重建丟失的資訊。

5. 實現TLS/SSL證書自動化管理

「身份」是網站極為重要的概念。網站訪客需要確認自己造訪的是您的安全網站，而非仿冒或未知網站。數碼證書（在多數瀏覽器中顯示為掛鎖圖標）可協助訪客確認，他們輸入的個人資料只會共享給經過您身份驗證的真實網站。

安全自動化的發展，大幅簡化了TLS/SSL 證書的簽發、續期和維護工作，意味着小型企業只需極少的管理投入，即可獲得身份安全防護。透過主機服務商或證書頒發機構（CA），可申請多個級別的SSL證書。不少產品會在證書需要續期時向網站擁有者發送提醒，部分產品甚至提供SSL「訂閱」服務以簡化流程。對於收集敏感個人數據或金融資訊的網頁，建議將域名驗證（DV）證書升級為擴展驗證（EV）證書，後者可提供目前最高級別的信任等級。

不要淪為下一次數據泄露或服務中斷的受害者

網絡攻擊的數量增長速度，遠快於中小企管理者的防護準備速度。請透過及時更新技術組件、主動偵測惡意軟件和漏洞、配備威脅清除工具、執行備份、實現TLS/SSL證書管理和續期自動化，保護您的機構免受攻擊後續的災難性影響。儘管網絡攻擊可能永遠不會消失，但目前已有大量可用的資源和技術，可協助您做好周全準備。互聯網始終在發展和擴張，您機構的網站安全防護水平也應隨之提升。