全面剖析两大攻击事件 堵塞漏洞预防资料外泄
全面剖析两大攻击事件 堵塞漏洞预防资料外泄
近几个月来，香港多家公私营机构接连遭受网络攻击，导致大量个人资料被盗，并被放至暗网出售，严重影响机构声誉。香港个人资料私隐专员公署近日发布了两份调查报告，详细列明了早前香港数码社区及以保障消费者权益的法定机构攻击事件中的漏洞。本文将深入剖析两宗事件的起因，并提供相关预防措施的建议。
两大外洩事件發生經過
两宗攻击事件，首先是本地数码社区的资讯系统遭勒索软件攻击。根据私隐专员公署的调查报告指出，有超过 400GB 的数据被盗，当中包括13,632 名僱傭人士、求職者及離職僱員的個人資料被放至暗网出售。
相隔一个月左右，以保障消费者权益的本地法定机构同样也是资讯系统遭勒索软件攻击，私隐专员公署调查报告指出，事件导致93个系统遭到恶意加密，11个伺服器及端点装置被黑客入侵，四个载有個人資料的档案遭受未获准许的查阅，涉及超过450名人士的个人资料，包括投诉人、资讯科技服务供应商的员工、该机构的现职及已离职员工。
根据调查结果显示，两宗事件分别是由以下五大缺失导致：
漏洞 | 数码社区 | 某保障消费者权益的法定机构 |
|---|---|---|
(一) 勘测措施及防护措施 | 资讯系统欠缺有效勘测措施 | 没有妥善设定用作勘测及拦截网络安全威胁的网络安全软件 |
(二) 多重认证功能 | 未有为远端存取资料启用 | 未有为远端存取资料启用 |
(三) 保安审计及措施 | 资讯系统的保安审计不足 | 欠缺足够保安措施禁止或防止于测试伺服器内储存个人资料 |
(四) 资讯保安政策 | 有欠具体政策 | 欠全面及具体政策 |
(五) 个人资料处理 | 不必要地保留个人资料 | 保障个人资料私隐及网络安全意识不足 |
调查结果显示，两宗事件中的安全漏洞大同小异，反映现时普遍企业及机构的网络安全策略不够全面，单单只靠防火墙等措施并不足够抵御现今智能化、多元化的攻击手段。根据以上两大机构的漏洞，以下是整合后的建议措施：
漏洞一：欠缺有效勘测及防护措施
在现今混合工作模式和远端办公的新常态下，企业的端点（如桌面电脑、手提电脑和流动装置）数量不断增加，加上有可能随时随地连接公共 Wi-Fi，令每个端点都可能成为攻击的潜在入口。
解决方案：
企业应采用多元化、多层防禦策略。
资产梳理：一个有效的网络安全策略，识别自身所有资产实为关键。企业可透过资产梳理服务，精確梳理所有数码资产，并找出高价值的关键资产（如个人资料），分析其暴露风险面，可在之后优先实施相关的安全保护措施。
信息安全评估：在梳理资产后，企业应进行信息评估，识别网络基建及应用程式中潜在的漏洞，并根据报告及作出修正，防患于未然。
端点安全：针对不断增加的端点，企业可采用端点侦测及回应（EDR）服务，透过自动威胁侦测、监控及修复功能，优化回应率，快速应对网络钓鱼、勒索软件及恶意软件等端点威胁，有效减低安全风险。
多元化防护措施：企业应采用多种防护方案，如网站应用程式防火墙（WAF），新世代防火墙（NGFW），用户行为分析（UEBA）和流量分析（NTA），结合托管式安全服务（MSS），拦截多变的网络安全威胁。
漏洞二：未有为远端存取资料启用多重认证功能
解决方案：
对于可远端存取资料的账号，实施多重身份认证（MFA）是最简单直接的方法。此外，应定期审视账号的存取权限，减少账号被盗时黑客可查阅的资料。
随着企业越来越依赖云端应用，企业应采用安全存取服务边缘（SASE）。其零信任网络存取（ZTNA）能力可以根据使用者身份进行认证，允许精细存取控制，让企业用户在访问云端原生平台和应用程式时提供安全私人连接。此方案同时可为所有网络用户进行威胁检测并立即消除威胁，为所有直接连至云端资料的访问点提供多一重保障。
漏洞三、四：保安审计、措施不足及资讯保安政策欠具体
解决方案：
企业应采纳第三方供应商的托管式安全服务，由专业团队提供24×7实时监察，以确认及分析企业的网络安全漏洞，并通过每月检讨会议审视及修正不足之处，避免资讯系统审计不足的情况。
托管式安全服务中的专业团队可纵览全局，鉴别威胁优先次序，为企业制定全面及具体的网络安全措施、政策及处理程序，加强全方位防护能力。
漏洞五：个人资料处理
对于两宗事件个人资料的处理手法，反映出员工的网络安全意识不足。
解决方案：
企业应定期安排内部员工培训，提高整体安全意识，并落实严格措施，要求员工遵守相关守则。
另一方面，企业应定期进行网络攻防演练，让员工实际参与整个流程，以增加其投入感和安全意识，在处理敏感资料及应对潜在威胁时能够应对自如。