如何建立一个网络堡垒

如何建立一个网络堡垒

作者：Harris编译 2023-05-09 07:10:53安全 应用安全 事实证明，这种防御架构在今天可以像3000年前一样，保护组织免受我们这个时代最致命的威胁——勒索软件的祸害。

本文讨论了组织如何保护其数字资产免受勒索软件的侵害。

几个世纪以来，古希腊激发了思想家和数学家的灵感，产生了许多有影响力的概念和理论，塑造了现代生活和欧洲文化。

迈锡尼古城就是一个最好的例子。这座城市坐落在伯罗奔尼撒半岛上，以其大胆的商人、凶猛的战士和杰出的工程师而闻名，他们建造了非凡的桥梁、功能齐全的排水系统和异常坚固的城墙。五个世纪以来，从公元前1600年到公元前1100年，它的城墙坚固，保护着当时最重要的贸易中心之一的财富。

勒索软件日益猖獗

事实证明，这种防御架构在今天可以像3000年前一样，保护组织免受我们这个时代最致命的威胁——勒索软件的祸害。

勒索软件是一种威胁，它捕获并锁定组织的重要资产，将其作为人质，直到赎金要求得到满足。攻击者的典型套路是用网络钓鱼邮件攻击组织的员工，窃取他们的访问凭证，让他们进入网络。一旦他们获得了最初的立足点，他们就可以横向移动，升级他们的特权，泄露敏感数据，然后劫持他们的系统并要求支付赎金，所有这些都在几个小时内完成。

网络安全工具的谬误

勒索软件受害者面临的最大挑战之一是整个过程的速度。这是由于组织设计其网络和系统访问的方式。

为了帮助员工安全地访问他们的工作资源，许多组织认为特权访问管理(PAM)、身份访问管理(IAM)和单点登录等单一访问工具是一种解决方案。他们认为，他们可以把所有数据集中在一个地方，在周边设置围栏，让员工使用自己的密码访问网络，并使用检测工具抵御外部威胁。

从源头介绍了两个致命的内部漏洞

然而，他们没有意识到这个过程从源头上引入了两个致命的内部漏洞。

首先，通过让员工自己设置工作密码，他们没有意识到他们已经失去了对自己安全的控制。想象一下，让员工在现实世界中为你的房子、商店和工厂制造钥匙。那些钥匙不再是你的了。因此，组织既无法控制也不知道他们的密码是否被共享、出售、被盗或在个人账户中重复使用。因为登录工作是如此的常规，使用被盗员工凭证的攻击者不会被发现是一种威胁。这就是为什么许多漏洞没有被威胁监控工具注意到的原因。

其次，通过使用单一访问工具，组织没有意识到它们会造成一次失去一切的风险。有了一个被盗的密码或生物识别信息，入侵者就可以窃取2FA令牌来通过初始安全检查点，并在网络中自由移动而不受阻碍，因为系统之间没有分段访问。

这两个嵌入式内部漏洞的持续存在解释了为什么攻击者可以在几小时内从登录到勒索软件攻击。

通过分段访问和分层防御击败勒索软件

这个模型与人们在迈锡尼看到的防御体系形成了对比。为了保护他们的城市，迈锡尼人建造了第一道大门，叫做狮子门，它向城市本身开放。一旦进入城市，有第二个门可以进入驻军。进入要塞后，还有第三道门通往国王的宫殿。他们应用了分层安全的关键概念，将他们最宝贵的资产保存在城市结构的更深处。这意味着，如果攻击者设法溜进城市，他们仍然无法窃取驻军的武器或国王宫殿的宝藏。

因为企业密码是打开他们王国大门的钥匙，他们也可以使用类似的分层安全保护。如果组织收回对安全的控制权，不再让员工自己访问，并对每个门使用不同的加密密码进行分段访问，他们也将拥有一座坚不可摧的堡垒，并能够将勒索软件拒之门外。

现在，如果攻击者进入网络，他们将无法在网络的其他部分自由漫游，无论他们设法在一扇门后面收集到什么，对于发动勒索软件攻击来说都是微不足道的。

迈锡尼的分层防御和分段进入的智慧，几个世纪以来一直很强大，今天仍然有意义。现在是组织应用它的时候了:

商业领袖提高网络安全的五大建议

1.不要把你所有的资产放在一个地方，在一个单一的访问:分开资产，并设置不同的锁来保护每个访问，所以你只需要更换一个钥匙，如果一个门被破坏。千万不要使用主密码，因为它们会同时打开所有的门。

2.永远不要使用某人的身份进行访问:生物识别和声音不是秘密的，也很容易复制，尤其是现在有了人工智能。它们也是不可更改的访问密钥，使员工终身面临身份被盗用的风险。

3.不要让人类制造密码:总是使用工具生成长随机的高熵密码，这样无论是现在还是以后，量子计算机都无法破解它们。

4.为员工提供加密密码:这样，他们就不会知道、分享、出售或泄露密码。这可以确保你控制你的网络和数据的密码，而不是你的员工。

5.更好地存储最重要的密码:尽量将关键密码保存在凭证堡垒的较深层，这样它们就最难被获取。

责任编辑：武晓燕 来源：机房360 网络堡垒勒索软件