未经授权访问的主要攻击向量及最佳实践泄露网络安全应用程序

2020年10月，Ticketmaster（一个售卖音乐会、景点和体育等活动的门票的平台）员工被指控多次侵入竞争对手公司的系统以“扼杀”其预售门票业务。2021年，该员工承认罪行，并因此被罚款1000万美元。

直接安全风险：

数据泄露和丢失；

因欺诈造成的经济损失；

身份盗窃；

知识产权失窃；

运营中断；

长期后果：

声誉损失和丧失客户信任；

业务持续性中断；

事件调查成本；

监管处罚；

诉讼和赔偿费用；

密码猜测。网络犯罪分子通常会使用特殊的软件来自动猜测用户名、密码和个人识别码等信息。

社会工程。社会工程策略依靠心理操纵和诱骗用户点击恶意链接、网站弹出窗口或电子邮件附件。其中，网络钓鱼、诈骗、鱼叉式网络钓鱼和冒充是欺骗员工泄露凭证的最常见技术。

利用第三方供应商的漏洞。某些第三方供应商和合作伙伴可能有权访问您的系统。黑客可能会利用供应商IT基础设施中的漏洞，破坏供应商的特权帐户，或者采用其他技术绕过组织的安全控制。

凭据填充。攻击者可以瞄准一个容易被利用的系统，渗透进去，然后使用窃取的凭证访问其他更强大的系统。之所以会出现这种情况，是因为人们倾向于在多个账户上重复使用密码。

1.采用最小特权原则

CybersecurityInsiders发布的《2023年身份和访问管理报告》发现，大约一半的组织拥有超过其职位所需访问权限的员工。

最小权限原则要求定期审查用户访问权限，以确保用户对敏感数据和关键系统的访问权限最小化。考虑到需要给员工足够的访问权限来履行他们的核心职责，在这种情况下，您可以实现一种即时方法，在需要时授予他们临时的额外访问权限。

2.实施强大的密码管理策略

考虑实现一个强大的密码管理策略，它将帮助您创建、管理和保护用户凭据。正确的策略还可以帮助您养成健康的密码习惯，保持适当的密码复杂性、长度和唯一性，并定期轮换密码。

3.使用多因素身份验证

4.监视用户活动

5.维护安全的IT基础设施

对于组织来说，定期对公司IT基础设施进行漏洞评估和渗透测试也是至关重要的。最容易被忽视的安全威胁之一是“未能及时更新保护系统”。2022年1月，红十字会系统遭到攻击，超过51.5万人的数据遭到泄露，这是一个生动的例子，说明未修补的漏洞如何导致可怕的后果。

6.采用用户行为分析（UEBA）

7.及时应对网络安全事件

8.进行安全意识培训

由于攻击者经常以人而不是设备为目标，因此您应该将“以技术为中心”的网络安全方法转变为“以人为中心”的网络安全方法，并使员工成为您的第一道防线。为此，定期开展安全意识培训，让员工了解最新的网络安全威胁，并教育他们安全最佳实践，包括如何识别可疑活动。