哈爾濱中軟分享：物聯網即將全面改變網路安全

企業會需要仰賴自動化。網路安全可能會讓組織很頭痛。2016年，資料外泄讓企業付出了大約40億美元的代價，平均每次事件外泄了24,000份紀錄。2017年，數據外泄的數量預期將會成長36%。持續不斷的威脅和攻擊已經變成主流，因此在2018年，企業預計將投資超過930億美元在網路防衛上。甚至美國國會也加速通過法律，希望能夠改善這種情況。

雖然網路安全市場的支出和創新都日益增加，但所有跡象都顯示，情況只會繼續惡化。每天鏈接上網路的未受管理裝置，數量正大幅增加， Gartner預測，到了2020年，使用未受管理的裝置數量會高達200億個。傳統的安全解決方案將無法有效處理這些裝置，也無法保護它們免於受到黑客攻擊，這應該是警訊，因為2017年上半年，物聯網(IoT)設備受到的攻擊就增加了280%。其實，Gartner公司預計，到了2020年會有三分之一的黑客攻擊目標是物聯網和影子信息科技(shadow IT;編按：這是指公司人員在內部建置使用、但未經公司正式核准使用的信息系統)。

這種新的威脅局面，正在改變網路安全的攻守情勢。高階主管若是準備運用他們一直以來採取的相同心態和工具，來處理未來網路安全的挑戰，將會面臨持續失敗。

網路安全訓練的錯誤萬靈藥

對於網路安全與認知訓練的成效，目前有許多爭論主要集中在兩項相互競爭的觀點上：人類可能是安全鏈當中最有效或是最薄弱的環節。但不可否認的是，隨著社群工程攻擊(social-engineering attack)增加和愈來愈多未受管理的裝置，仰賴以人為基礎的策略是否有成效，實在令人懷疑。如果你考慮到像PhishMe這類安全服務供貨商最近公布的報告，這個說法就更有道理了;那份報告指出，80%已經完成網路安全訓練的員工，仍然容易受到網路釣魚的攻擊。

只要點擊一下連結，就會導致下載WannaCry和Petya這類惡意軟體，引發一連串的全球網路安全事件。單是這個例子，應該就可視為一項絕對的證據，證明人們一直都會是企業防衛的弱點所在。

連結第一，安全第二

目前，企業員工正在使用鏈接裝置，來推動能創造獲利的活動。它們的實用與便利，為物聯網設備在企業里建立了立足點，包括在辦公室、醫院、發電廠、製造工廠等許多地方。我們最近發現，我們82%的企業客戶都在使用智能語音助理「亞馬遜Echo」，而且幾乎都是在高階主管辦公室里。這類裝置是設計來聆聽和傳遞信息，可能可以提高生產力，但也會帶來無法量化的風險。我們最近的研究顯示，亞馬遜Echo容易受到隔空攻擊。亞馬遜已經修補了這些漏洞，可是這項發現顯示，易受攻擊的設備是多麼容易導致機密信息外泄。

鏈接裝置成長的速度飛快，信息科技部門和網路安全團隊都跟不上。鏈接裝置的製造很少受到監督或法規控管，而且都具備Wi-Fi和藍牙功能，可以立刻鏈接。把它們引進到企業環境中的人，是不具備真正安全知識或專業技能的個人使用者，這是一大風險。用戶可能考慮到生產力目標，但你根本無法指望員工會在可接受的安全準則範圍內，使用鏈接裝置。物聯網的訓練和認知計劃，絕對沒有幫助，那麼，正確答案是什麼?

重塑人與安全的關係

現在該是時候減輕你的相關人員(員工、合作夥伴和顧客等)的網路安全重擔了。持續實施安全認知計劃，可能是審慎且必要的做法，但如果你希望有任何成功的機會，就必須更仰賴智慧科技和自動化。

若要排除人為風險，表示你必須調整你對於員工、鏈接裝置和企業整體網路防衛之間關係的看法。你必須接受這個想法：物聯網和其他安全問題並不是使用者互動的問題，而是裝置和系統的互動問題。物聯網裝置的特性就是「緊密連結」，這表示它們持續處在通訊的狀態，能夠散布惡意軟體，而且不必與人互動就能夠在系統之間迅速轉換，這些全都超出了目前安全解決方案的處理範圍。網路安全威脅正在跟你的工作人員相互較量：員工仍然受到自動網路釣魚電郵的攻擊，而擁有大量網路安全分析人員的組織，根本無法管理新的鏈接裝置和軟體中出現的眾多安全漏洞。新的物聯網攻擊途徑(attack vector，或稱「攻擊向量」)出現的速度，比它們能夠被處理的速度還要更快;這類攻擊的例子像是BlueBorne和KRACK，它們會在人們周遭感染各種裝置和網路。

智能網路安全系統

為了管理目前的網路安全，你的系統必須具備智能，能夠在沒有人為監督的情況下運作，知道何時應採取主動或防禦的行動，以及如何採取這類行動。

至於鏈接裝置，未來在企業中使用的數量會非常大，因此不可能讓員工自己或者人員不足的信息科技部門和安全團隊，自行分辨和停止有風險的活動。若要能辨識出具有威脅性的裝置和行為模式，你的物聯網安全系統就必須要具備足夠智慧，能夠做到下列事項：發現所有的鏈接裝置，以及它們引進的安全漏洞;批准和拒絕網路的許可權;從不斷演變的情況中學習，以便經過一段時間之後變得更有成效。

智能產品能夠學習，了解鏈接裝置上安全和不安全的活動樣貌的模式;若只是檢視手機、喇叭或網路攝影機，是無法辨識那些模式的。我曾經看過被黑客入侵的平板計算機把影像從董事會的會議室里，傳輸到某個未公開的位置。那個平板計算機並未顯現出被駭的跡象，既有的傳統安全解決方案也沒有發現這項活動。只有透過辨識它的行為和傳輸模式，我們才能夠看出這個風險。智能系統就能夠立即辨識出這種可疑的訊息傳輸行為。

最後，智能系統能夠採取行動。一旦系統學會如何辨識可疑行為，就能夠立即停止某項裝置被惡意使用。例如，它可以完全關閉殭屍網路(botnet)的攻擊，防止它鏈接其他裝置，或是限制它能夠造成的損害。如果你能夠控制鏈接裝置，就可以維持只有一個裝置被感染，而不會讓整個網路都被黑客接管，這兩種情況的後果非常不一樣。

設計來防衛其他威脅的安全科技也是如此。無法自行辨識和阻擋攻擊的反網路釣魚技術，基本上遲早都會碰到災難。手動修補流程也沒有什麼價值。

新的現實

企業受到的攻擊來自所有方向，透過所有管道，而物聯網創造了更龐大的攻擊面。高階主管要為績效負責，或者說為缺乏安全績效負責，而企業則會面臨一連串的後果，從品牌損失、恢復原狀的成本，一直到資料外泄導致顧客流失。目前，保護你的系統和網路所牽涉到的風險，比過去更高，而新的物聯網現實情況，又讓事情更加複雜。我們過去仰賴的解決方案，例如訓練員工，無法減少企業面臨的龐大安全挑戰。物聯網的影響範圍過於複雜，傳統的安全團隊很難用舊有的解決方案來管理。現在正是時候，應該將員工從討論中排除，邁向更有智慧、也更安全的未來。

哈爾濱中軟卓越具有完善的IT職業教育體系，提供基於崗位的項目實戰訓練，投重金研發了專門針對大學生的准員工。「5R（5Real）」實訓課程體系，5R即：真實的工作環境、真實的項目經理、真實的項目案例、真實的工作壓力、真實的工作機會。課程設計主要培養學員的動手操作能力，通過實際項目讓學生熟知軟體開發的流程，每年有無數學子從哈爾濱中軟卓越走向IT行業，選擇通過正規培訓的職業教育進入IT行業。哈爾濱中軟卓越助您走近夢想，走進輝煌人生。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！