關鍵基礎設施保護：四大免遭網路攻擊的秘訣

E安全5月18日文 關鍵基礎設施已成為全球網路攻擊的主要目標，因為關鍵基礎設施為民眾提供的是必需服務，因此一旦遭到攻擊，破壞性自然不言而喻。

上周，席捲全球的勒索病毒「WannaCry」讓醫院和火車站等系統陷入癱瘓，現在仍在繼續擴散、蔓延，令全球眾多組織機構、學校、企業等陷入恐慌。

基礎設施遭遇攻擊的事件也不是第一次發生。

近期，美國大城市就經歷過大規模斷電。上月，美國達拉斯的緊急警報器遭遇黑客入侵，156個警報器持續40分鐘響個不停。

這已不是新興趨勢：伊朗政府2013年就曾攻擊過紐約北部一個水壩。這足以說明，關鍵基礎設備的安全存在巨大漏洞。黑客入侵防不勝防，關鍵基礎設施應做好預防措施勢在必行。

1. 安全的社交媒體訪問

許多關鍵基礎設施組織機構在使用社交媒體。

雖然社交媒體能使組織機構快速接觸受眾，並發布重要信息，然而，社交媒體同時也會被攻擊者盯上。社交媒體賬號極易被入侵。品牌、名人和媒體因發布不恰當的言論向公眾致歉已屢見不鮮。

雖然這類攻擊只會令某些公司頭疼，然而對關鍵基礎設施而言，可能會造成災難性的後果。這些組織機構需採取額外的預防措施，以確保只有經批准的適當人選才能發布信息等，以免引發集體譴責。

2013年，美國聯合通訊社Twitter賬號上發布了假消息稱，白宮發生爆炸奧巴馬受傷，一度引發市場恐慌，股市暴跌，最後被證實該賬號遭遇黑客入侵。

2.遏制低技能社會工程

關鍵基礎設施還需注意，切勿讓社會工程影響內部人員。

例如，黑客冒充維修人員或讓接待人員回答看似無傷大雅、但可能會影響安全的問題。

腦補下畫面，您可能會聯想到間諜驚悚片的場景，但這種現象會在現實中發生，並應成為關注的問題。知名安全顧問凱文·米特尼克及其團隊已經發現這個軟肋，他發現每家公司都存在這樣的隱患。因此，關鍵基礎設施需識別每個人的身份，無論是網上還是當面接觸的人員。

3.放棄靜態密碼

關鍵基礎設施必須停止依賴靜態密碼。

組織機構被入侵，其個人信息、用戶名和密碼被公之於眾的悲劇幾乎每天都在上演，雖然許多這類入侵針對的是消費者，但是對關鍵基礎設施同樣帶來重大威脅。

靜態密碼很容易被惡意軟體或不法分子竊取、劫持或重放。靜態密碼的風險太大，無法有效保護任何組織機構和民眾。相反，關鍵基礎設施的組織機構應利用基於動態密碼和反重放技術的解決方案，從而百分之百確定另一端的在線交易對象是誰。

4.提高安全標準

大多數企業部署的安全措施遠遠滿足不了核電廠、供水系統、水壩或電網的安全需求。

比如，美國的關鍵基礎設施和關鍵資源（CIKR）須滿足超出國家標準與技術研究所（NIST）第4級的安全要求。

雖然第4級是最高的保障等級，但還遠遠不夠。除了密碼令牌，美國的關鍵基礎設施還必須能防止惡意軟體和會話重放攻擊（Replay Attack），這是確保所有關鍵基礎設施受保護的唯一方式。

保護關鍵基礎設施安全是網路安全專業人士的重中之重，許多專家已經在呼籲政府制定更嚴格的計劃解決安全問題。上述步驟只是一些預防措施，但網安專業人士需保持警覺，進而持續解決不斷變化的網路威脅格局。

E安全註：本文系E安全獨家編譯報道，轉載請聯繫授權，並保留出處與鏈接，不得刪減內容。

@E安全，最專業的前沿網路安全媒體和產業服務平台，每日提供優質全球網路安全資訊與深度思考。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！