Help net security：透過這些基本步驟加強 Kubernetes 安全態勢

隨著雲原生技術的普及,Kubernetes已成為現代應用部署的主流平台。然而,Kubernetes環境的複雜性也帶來了諸多安全挑戰。本報告基於SparkFabrik CTO Paolo Mainardi的訪談內容,探討了全面加強Kubernetes安全性的關鍵策略。

首先,容器映像安全是Kubernetes安全的基石。開發者應從以下幾個方面著手:使用最小化或可信的基礎映像;定期更新映像及其依賴項;進行自動化的漏洞掃描;實施映像簽名機制;移除不必要的組件;生成軟體物料清單(SBOM);以非root用戶運行容器。這些措施能顯著降低容器映像帶來的安全風險。

其次,網絡分段在保護Kubernetes環境中扮演著至關重要的角色。它能有效限制潛在攻擊的影響範圍,並有助於滿足合規要求。實施網絡分段的最佳實踐包括:預設拒絕所有流量;戰略性使用命名空間或啟用硬多租戶;利用網絡策略API;採用支持網絡策略的CNI插件;定期審核和測試策略;實施日誌記錄和監控;自動化策略部署。這些做法能確保對集群內流量進行精細控制。

再者,集群配置錯誤是Kubernetes安全漏洞的主要來源之一。常見的錯誤配置包括:容器權限過大、RBAC配置不當、API服務器暴露、缺乏TLS加密、etcd配置不安全、使用默認配置、缺少網絡策略等。為避免這些陷阱,團隊應遵循最小權限原則、嚴格執行RBAC策略、保護API服務器、全面啟用TLS、加強etcd安全、自定義配置以滿足安全要求、實施Pod安全標準、進行定期審計和合規檢查、自動化配置管理、持續監控和警報。

隨著組織向CI/CD和DevOps實踐轉型,將安全性集成到持續集成和交付流程中變得尤為重要。具體做法包括:在開發生命週期早期引入安全實踐;自動化安全掃描,包括代碼分析、依賴項檢查、容器映像掃描;採用策略即代碼;對基礎設施即代碼進行安全檢查;設立安全門檻;使用准入控制器;整合安全的密鑰管理解決方案;提供實時安全反饋;加強開發人員的安全意識培訓;自動化合規檢查。這種DevSecOps方法能確保從開發到部署的全程安全。

最後,鑑於Kubernetes的動態和可擴展特性,實時威脅檢測成為一大挑戰。組織應採取多方面的實時安全監控方法:部署Kubernetes原生安全工具;進行運行時安全監控;集中化日誌和監控;利用Kubernetes審計日誌;與SIEM解決方案集成;應用機器學習進行異常檢測;實施自動化事件響應;確保全方位的可視性;定期更新和調整安全工具;加強安全運營團隊的培訓。

總的來說,加強Kubernetes環境的安全性需要從容器映像安全、網絡分段、正確配置、CI/CD集成到實時監控等多個層面同時入手。只有採取全面而系統的方法,並在整個組織中培養安全意識,才能真正建立起強大的Kubernetes安全防線。隨著雲原生技術的不斷發展,我們還需持續關注新興的安全威脅和最佳實踐,不斷完善和更新我們的安全策略。

詳情請看：

Strengthening Kubernetes security posture with these essential steps

Read More

Help net security：彈性勝於依賴：為不可預測的數位世界中的 IT 故障做好準備

在當今瞬息萬變的數位世界中，資訊科技系統的可靠性和韌性變得前所未有地重要。然而，無論科技多麼先進，任何IT系統都無法完全免疫於失敗。硬體故障、軟體錯誤、環境因素、網絡安全威脅以及人為錯誤等各種因素都可能導致系統崩潰。因此，組織需要採取積極主動的方法來應對這些挑戰，以確保業務的連續性和穩定性。

文章強調了準備和警惕的重要性。只有在做好充分準備的情況下，我們才能有希望保持安全。當問題發生時，擁有適當的流程和協議來處理這些問題意味著組織已經為復原做好了準備。這種思維方式應該成為任何有關網絡安全討論的起點，無論是在董事會還是在安全運營中心。

一個關鍵的策略是IT基礎設施的多樣化。長期以來，IT部門為了降低成本和簡化運營，往往採用將所有雞蛋放在一個籃子裡的方法。然而，隨著現代運營的複雜性和規模不斷增加，這種曾經可靠的策略現在開始顯現出裂痕。今年夏天全球Crowdstrike IT故障的事件就凸顯了這一點，從醫療保健到交通基礎設施的各個領域都受到了影響。這個事件暴露了當前IT系統的固有風險，即單一故障可能導致廣泛的中斷。

為了應對這種風險，IT團隊需要考慮採用「平台的平台」的多元化策略。這意味著使用多個供應商和混合雲環境，確保不同的系統可以獨立運作和恢復，同時在危機期間相互支持。雖然這種策略增加了生態系統的複雜性，但它通過確保組織準備好恢復並能夠應對複雜、混合和基於雲的環境中的廣泛中斷，從而降低了風險。

除了多樣化之外，實時監控和數據信心也是至關重要的。IT團隊需要對整個IT基礎設施有完整的可見性，並能實時訪問準確的數據。這種水平的監控和預見性對於在問題升級為更大的問題之前預先解決它們是至關重要的。投資於不僅提供可見性，還提供自動警報和預測性洞察的工具變得尤為重要。

深度防禦是另一個關鍵概念。組織需要部署多層安全和操作控制來保護系統。每一層——無論是防火牆、加密、訪問控制還是事件響應機制——都協同工作以確保系統的彈性。例如，一個系統的漏洞可以通過其他保護措施來緩解，從而幫助防止級聯故障。

最終，IT故障不僅僅是一種可能性——它們是不可避免的。組織必須採取主動策略，專注於早期檢測、持續監控和風險預防。這意味著為最壞的情況做計劃，同時也為恢復做準備。商業連續性是IT基礎設施管理的支柱之一，它不僅關乎在一切順利時的最佳表現，還確保系統在面對重大中斷時能夠快速恢復並繼續運作。

採取全面的IT管理方法，預測失敗並制定恢復計劃，對於在當今快速發展的數字世界中保持競爭優勢至關重要。這需要一種前瞻性的方法，專注於多樣化、實時監控、主動風險管理和分層安全。畢竟，失敗的風險不是是否會發生的問題，而是何時會發生的問題。

通過投資於彈性，組織可以減少未來的中斷，增強運營穩定性，並最終在競爭激烈的數字環境中保持領先地位。這種方法不僅能夠應對當前的挑戰，還能為未來的不確定性做好準備，確保組織在面對任何IT危機時都能夠迅速恢復並繼續前進。

詳情請看：

Resilience over reliance: Preparing for IT failures in an unpredictable digital world

Read More

Fortinet：確保薄邊緣位置的安全並不需要太複雜

隨著數位化加速和混合工作模式的普及,越來越多企業開始採用精簡邊緣(Thin Edge)部署。這種部署方式將現場硬體設備最小化,並盡可能利用雲端資源。常見的精簡邊緣部署包括自助服務亭、ATM機、衛星辦公室和家庭辦公室等。雖然規模不一,但各行各業的組織都有精簡邊緣部署的需求。

精簡邊緣部署的安全性尤為重要,因為這些小型網路可能成為駭客入侵的突破口。然而,在每個精簡邊緣位置部署專用的網路防火牆設備通常是不必要、不可能或成本過高的。此外,許多物聯網設備和終端設備無法安裝安全軟體代理。因此,需要一種既經濟實惠又易於管理的解決方案來保護這些部署。

Fortinet提供了多種靈活的解決方案來保護精簡邊緣部署。其核心是FortiOS作業系統,它統一了Fortinet的安全平台,確保了整個網路的安全策略一致性。具體的解決方案包括:

1. 遠端FortiGate:可以是硬體設備或虛擬機,部署在本地數據中心或雲端,用於控制、配置和管理遠端部署的精簡邊緣網路設備。

2. FortiGate即服務(FGaaS):無需購買FortiGate設備,以服務形式提供相同的高性能安全保護。

3. FortiSASE:Fortinet的安全訪問服務邊緣(SASE)解決方案,可與Fortinet的無線局域網產品組合集成,為精簡邊緣和相關設備提供安全保護。

這些解決方案的優點在於:

1. 靈活性:可以根據不同的精簡邊緣類型和位置選擇合適的技術方案。

2. 易於管理:可以集中管理和控制遠端設備,無需現場IT人員。

3. 全面保護:可以為所有設備提供全面的安全檢查,包括無法安裝代理的物聯網設備。

4. 成本效益:避免了在每個位置部署專用防火牆的高成本。

5. 一致性:基於統一的FortiOS平台,確保了整個網路的安全策略一致性。

隨著工作方式的持續變革,精簡邊緣部署將繼續增長。如果在部署時沒有採取有效且易於管理的安全措施,這些位置將變得更加脆弱。Fortinet的解決方案不僅提供了強大的安全保護,還具有極大的靈活性和可擴展性,能夠適應各種精簡邊緣部署場景。

這種安全策略的重要性在於,它既滿足了企業數位化轉型和靈活辦公的需求,又確保了網路安全不被忽視。在當今複雜多變的網路環境中,這種平衡至關重要。企業需要在追求效率和創新的同時,始終將安全放在首位。

Fortinet的解決方案展現了網路安全技術的發展趨勢:從傳統的單點防禦,轉向了更加智能、靈活且全面的安全架構。這種架構能夠適應不同規模和類型的網路環境,為企業提供統一的安全管理和控制。

總的來說,隨著精簡邊緣部署的普及,企業需要重新思考其網路安全策略。Fortinet的解決方案為這一挑戰提供了有效的答案,使企業能夠在保證安全的同時,充分利用數位化轉型帶來的機遇。未來,隨著技術的不斷進步,我們可以期待看到更多創新的安全解決方案,為日益複雜的網路環境提供更好的保護。

詳情請看：

Securing Thin Edge Locations Doesn’t Need to be Complicated

Read More

The hacker news：混合密碼攻擊的工作原理以及如何防禦它們

隨著科技的進步,網絡犯罪分子不斷改進他們的攻擊手法,以突破現有的網絡安全防線。其中,混合密碼攻擊(Hybrid Password Attacks)結合了多種破解技術,大大提高了攻擊的效率和成功率。本文將探討混合攻擊的特點、常見類型,以及組織如何有效防禦這種新興威脅。

混合攻擊的核心在於結合不同的破解方法,發揮各自的優勢。最常見的組合是暴力破解(Brute Force)和字典攻擊(Dictionary Attack)。暴力破解通過窮舉所有可能的字符組合來猜測密碼,而字典攻擊則利用常用密碼列表來加速破解過程。這種混合策略既保留了暴力破解的全面性,又借助字典攻擊提高了效率。

除了密碼破解,混合攻擊還可能結合社會工程學等非技術手段,從多個角度對目標發起攻擊,增加防禦難度。另一種值得注意的變種是掩碼攻擊(Mask Attack),攻擊者利用已知的密碼構造規則來縮小猜測範圍,提高破解速度。

面對如此複雜的威脅,組織需要採取多層次的防禦策略:

1. 實施多因素認證(MFA): 即使密碼被破解,MFA仍能阻止未授權訪問。

2. 要求更長的密碼: 20個字符以上的密碼可顯著增加暴力破解的難度。建議使用由多個隨機單詞組成的密碼短語。

3. 禁用弱密碼和常見模式: 避免使用容易被猜到的詞語或鍵盤排列。

4. 定期審計已洩露密碼: 使用如Specops Password Auditor等工具掃描Active Directory,及時發現和處理已被洩露的密碼。

5. 強化密碼策略: 採用如Specops Password Policy等解決方案,全面提升密碼安全性。該工具可以:

   - 持續掃描並阻止超過40億個已知洩露密碼

   - 引導用戶創建強密碼或密碼短語

   - 支持多層防禦,抵禦複合攻擊

   - 鼓勵使用更長的密碼

   - 確保符合行業合規要求

值得注意的是,混合攻擊不僅限於密碼破解,還可能涉及其他技術和社會工程手段的組合。因此,組織需要採取全面的安全策略,包括員工培訓、系統更新、網絡監控等多個方面。

隨著攻擊者不斷創新,網絡安全防禦也需要與時俱進。組織應該定期評估自身的安全狀況,及時發現並修補漏洞。同時,培養員工的安全意識也至關重要,因為人為因素往往是安全鏈中最薄弱的一環。

總的來說,混合密碼攻擊代表了網絡威脅的新趨勢。面對這種多面性的挑戰,組織需要採取同樣靈活多變的防禦策略。通過實施強大的密碼政策、利用先進的安全工具,並持續educate員工,組織可以大大降低被成功攻擊的風險。在這個網絡威脅不斷演變的時代,保持警惕和適應性將是確保網絡安全的關鍵。

詳情請看：

How Hybrid Password Attacks Work and How to Defend Against Them

Read More

Help net security：歐盟透過網路彈性法案來保護互聯產品

近日,歐盟理事會通過了《網絡韌性法案》(Cyber Resilience Act, CRA),這項新法規旨在提高消費者使用數位元件產品的安全性。該法案的出台標誌著歐盟在網絡安全領域邁出了重要一步,展現了其在保護公民數位權益方面的決心與遠見。

CRA的核心是為數位產品制定全歐盟範圍內的網絡安全標準。這裡的數位產品主要指那些直接或間接與其他設備或網絡連接的產品,涵蓋範圍相當廣泛,包括智能家電、電視、恆溫器、玩具、可穿戴健康設備和嬰兒監視系統等。值得注意的是,某些特定領域的連接產品,如醫療設備、網絡設備、汽車和航空產品等,由於已有existing歐盟法律規定其網絡安全要求,因此不在CRA的管轄範圍內。

該法案的主要目標是為安全數位產品的開發設定邊界條件,確保硬件和軟件產品在投放市場時存在較少的漏洞,並要求製造商在產品的整個生命週期內認真對待安全問題。同時,CRA還致力於創造條件,使用戶在選擇和使用數位元件產品時能夠考慮網絡安全因素,例如通過提高產品支持期限的透明度。

CRA根據產品的風險分類建立了不同的網絡安全要求。網絡安全風險較低的產品需要進行基本的合規性評估,而風險較高的產品(如管理關鍵基礎設施或個人數據的產品)則需要更嚴格的第三方評估和認證。這種分級管理的方式既確保了高風險領域的安全,又避免了對低風險產品造成過重的監管負擔。

法案還特別考慮到了微型企業和中小企業面臨的特殊挑戰,採取了一系列措施以減輕它們的負擔。例如,微型企業分發的免費和開源軟件,特別是非商業性質的,面臨較少的監管義務。這體現了法案在促進創新和保護安全之間尋求平衡的努力。

為了改善漏洞處理,CRA要求製造商設立單一聯繫點用於漏洞報告;向指定的計算機安全事件響應小組(CSIRT)和歐洲網絡與資訊安全局(ENISA)報告正在被積極利用的漏洞和嚴重事件;並記錄其數位元件產品中包含的組件。這些措施有助於建立一個更透明、更安全的數位生態系統。

CRA的實施將分階段進行,預計在正式生效36個月後全面適用,部分條款可能會提前實施。這為企業和組織提供了充足的時間來調整和適應新的監管環境。

總的來說,《網絡韌性法案》的出台反映了歐盟在應對日益複雜的網絡安全挑戰方面的前瞻性思考。它不僅為製造商提供了明確的安全指引,也為消費者創造了一個更安全的數位環境。然而,法案的實際執行效果還有待觀察,特別是在平衡安全需求與創新動力,以及處理跨境監管等方面可能面臨挑戰。

隨著數位化程度的不斷深化,類似CRA這樣的法規將在全球範圍內產生深遠影響。它可能成為其他國家和地區制定相關法規的參考,推動全球網絡安全標準的統一。對於企業而言,遵守CRA不僅是法律要求,更是提升競爭力的機會。對消費者來說,這意味著在享受科技便利的同時,能夠擁有更多的安全保障。

詳情請看：

EU adopts Cyber Resilience Act to secure connected products

Read More

Help net security：資訊長需要一個結合人工智慧、網路和安全的平台

在當今科技快速發展的時代，人工智能（AI）無疑是最受矚目的領域之一。然而，根據Extreme Networks的最新調查顯示，大多數首席信息官（CIO）和高級IT領導者更關注的是網絡和安全的融合。這項調查於2024年7月至8月期間進行，涵蓋了200名來自各行各業的CIO和高級IT領導者，為我們提供了寶貴的洞察。

調查結果顯示，CIO們將2024年下半年的三大IT優先事項排序為：1）保護企業網絡安全，2）整合網絡和安全，3）評估和部署AI。這一排序反映了當前IT領導者面臨的挑戰和機遇。值得注意的是，高達88%的受訪者表示，他們希望擁有一個集成網絡、AI和安全的單一平台。這一數據凸顯了業界對平台化、強大集成生態系統和簡化用戶體驗的迫切需求。

網絡安全無疑是CIO們的首要關注點。34%的受訪者將保護網絡列為首要任務，57%將防範潛在威脅列為三大挑戰之一。這些數據清楚地表明，網絡安全不再是一個可以事後添加的功能，而是必須從一開始就融入整個IT架構中。事實上，96%的受訪者認為網絡是強大的網絡安全和風險管理策略的基礎，這進一步強調了網絡安全的重要性。

雖然AI的實施是大多數組織的優先事項，但調查也揭示了一些常見的障礙。49%的受訪者在實施AI時遇到了網絡帶寬挑戰，30%表示缺乏適當的員工指導和培訓。此外，40%的受訪者表示他們對AI的最大擔憂是保持數據安全。這些發現突顯了在推進AI項目時，組織需要全面考慮基礎設施、人才培養和安全問題。

調查還反映了向雲網絡過渡的趨勢。36%的受訪者將無縫過渡到雲網絡列為三大優先事項之一。這種轉變旨在提高IT效率並降低總體擁有成本（TCO）。與此同時，平台化趨勢日益明顯，反映了對能夠在單一、可管理的用戶體驗中整合多個嵌入式組件的統一可擴展解決方案的需求。

值得一提的是，可持續發展實踐正成為越來越多公司的優先事項。88%的受訪者同意IT部門有責任推薦有助於減少公司碳足跡的技術。這表明，隨著AI等技術消耗更多能源，IT部門在實現公司可持續發展目標方面扮演著越來越重要的角色。

總的來說，這項調查為我們提供了寶貴的洞察，揭示了當前CIO和IT領導者面臨的挑戰和機遇。它強調了網絡安全、AI集成和可持續發展的重要性，同時也凸顯了對統一平台的迫切需求。這些發現不僅反映了當前的IT格局，還為未來的技術投資和策略制定提供了重要指導。

面對這些趨勢和挑戰，組織需要採取全面的方法。首先，他們應該將網絡視為其平台化策略的基礎，並在此基礎上整合AI和安全功能。其次，在推進AI項目時，需要同時關注基礎設施升級、員工培訓和數據安全。最後，將可持續發展納入IT策略也變得越來越重要。

隨著技術的不斷發展，IT領導者需要保持靈活性和前瞻性。通過採用統一的平台方法，組織可以更好地應對當前的挑戰，並為未來的創新奠定基礎。最終，那些能夠成功整合網絡、安全和AI的組織將在數字化轉型的競賽中佔據優勢地位。

詳情請看：

CIOs want a platform that combines AI, networking, and security

Read More

Help net security：CISSP 和 CompTIA Security+ 成為最受歡迎的安全憑證

在當今快速發展的科技環境中,網路安全已成為各行各業的首要議題。O'Reilly最新的調查報告揭示了目前網路安全領域面臨的嚴峻挑戰和未來的發展趨勢,為我們提供了寶貴的洞察。

首先,人工智能(AI)安全技能的短缺問題日益突出。調查顯示,33.9%的科技專業人士報告稱AI安全技能嚴重不足,尤其是在應對新興威脅如提示注入(prompt injection)等方面。隨著AI技術在各行業的廣泛應用,這一技能缺口凸顯了專門培訓的迫切需求。組織必須及時調整培訓策略,以確保安全團隊具備應對AI相關安全挑戰的能力。

其次,雲端安全專業知識的缺乏同樣令人擔憂。儘管雲計算技術已存在近二十年,但38.9%的受訪者仍將雲安全視為最顯著的技能短缺領域。這一現象反映出,隨著企業持續推進雲遷移進程,相關的安全專業知識卻未能及時跟上,潛在地增加了組織面臨雲特定安全威脅的風險。

面對這些挑戰,業界正積極尋求解決方案。調查顯示,34.4%的受訪者將AI驅動的安全工具列為來年的首要優先事項,緊隨其後的是安全自動化(28.2%)。這表明網絡安全防禦正朝著自動化方向快速發展,旨在提高效率並彌補人才短缺。

然而,在高科技威脅日益複雜的同時,傳統的"低技術"威脅仍不容忽視。55.4%的受訪者將釣魚攻擊視為主要安全隱患,其次是網絡入侵(39.9%)和勒索軟件(35.1%)。這一現象強調了全面員工培訓的重要性,即使是在高度數字化的環境中,人為因素仍是安全防線的關鍵。

在應對措施方面,多因素認證(MFA)、端點安全和零信任模型等技術得到了廣泛採用。然而,認證和持續教育的重要性不容忽視。儘管51.3%的公司要求員工持有安全認證,但仍有40.8%的安全團隊成員未獲認證。CISSP和CompTIA Security+成為最受歡迎的認證,反映了行業對專業資格的重視。

值得注意的是,80.7%的雇主要求安全專業人員進行持續教育,其中32.2%要求每年至少41小時的培訓。這種對持續學習的重視反映了威脅環境的快速變化。安全專業人士主要通過在線課程(88.8%)、書籍(76.6%)和視頻(75.2%)等方式保持知識更新,顯示了多元化學習方式的重要性。

最後,調查強調了全員安全意識培訓的重要性。40.1%的受訪者認為,提高所有員工的安全意識培訓是改善組織安全狀況的最關鍵步驟,甚至超過了增加人員配備和改進安全工具的重要性。

總的來說,這份調查報告揭示了網絡安全領域正面臨前所未有的挑戰和機遇。AI和雲技術的快速發展帶來了新的安全隱患,同時也為安全防禦提供了創新工具。在這個變革的時代,持續學習和全面培訓成為了組織應對安全威脅的關鍵。未來,成功的網絡安全戰略不僅需要先進的技術支持,更需要培養具備全面技能的安全人才,以及提升整個組織的安全意識。只有這樣,企業才能在日益複雜的數字世界中構建起堅實的安全防線。

詳情請看：

CISSP and CompTIA Security+ lead as most desired security credentials

Read More

Help net security：CISO 管理不斷成長的攻擊面的策略

在數位轉型和遠端工作趨勢的推動下,企業的攻擊面管理策略正面臨前所未有的挑戰與變革。本文根據Detectify公司CEO Rickard Carlsson的訪談,探討了當今資訊安全長(CISO)在管理日益擴大的攻擊面時所面臨的挑戰與應對策略。

首先,傳統的邊界防禦觀念已不再適用於現代企業環境。Carlsson指出,現今幾乎不存在辦公室工作與遠端工作的區別,也沒有內部和外部的明確界限。企業需要保護的是一個不斷擴張、動態且複雜的外部攻擊面,包括終端設備、雲服務和第三方應用程序。

在這種情況下,CISO面臨著多重挑戰。他們必須努力維持對整個攻擊面的可視性,跟上快速演變的技術變化和新興攻擊向量,同時還要應對日益增加的合規和監管要求。更棘手的是,他們需要在資源有限的情況下完成這些任務,並承受著為企業創造價值的巨大壓力。

為了應對這些挑戰,Carlsson建議企業採用自動化和持續性的資產清查策略。傳統的手動資產清查往往無法反映攻擊面的實時狀態,容易導致數字暴露和域名相關漏洞被忽視。相反,自動化和持續性的掃描可以幫助安全團隊即時識別和監控攻擊面的變化,包括IP、端口或雲服務提供商的變更。

實時監控和自動化工具在現代攻擊面管理中扮演著關鍵角色。Carlsson建議CISO選擇能夠賦能其團隊的工具,從簡化攻擊面發現過程,到提供最準確和嚴格的評估,再到將發現無縫整合到現有工作流程中以實現快速修復。他特別強調了減少誤報的重要性,因為處理誤報會浪費寶貴的時間,而這些時間本可用於解決實際風險或創造商業價值。

在衡量攻擊面管理策略的有效性時,Carlsson認為不應僅關注修復的漏洞總數。相反,CISO應該根據其獨特的業務環境定義風險,並專注於解決那些真正對組織有影響的事件和漏洞。他建議關注相關問題的檢測和修復時間,以及是否符合合規要求和審計結果。

最後,鑑於許多組織依賴第三方供應商和雲服務提供商,Carlsson強調了管理擴展攻擊面風險的重要性。他建議CISO尋找能夠提供自動化和實時可視性的工具,並能夠管理跨多個雲提供商託管的資產中的問題。雖然某種程度的暴露是不可避免的,但CISO需要根據行業特性和數字成熟度來確定可接受的風險水平。

總的來說,隨著企業的數字化轉型和遠程工作的普及,攻擊面管理變得越來越複雜和重要。CISO需要採用更加動態、自動化和全面的方法來管理和保護其組織的攻擊面。這不僅需要先進的工具和技術,還需要一種新的思維方式,將攻擊面管理視為一個持續的、策略性的過程,而不是一次性的任務。通過採用這種方法,組織可以更好地應對當前的網絡安全挑戰,並為未來的威脅做好準備。

詳情請看：

CISOs’ strategies for managing a growing attack surface

Read More

Help net security：量子困境：遊戲規則改變者還是遊戲終結者

近年來，人工智能和量子計算的快速發展令人驚嘆。短短幾年間，AI已經能夠回答複雜的科學問題，而量子計算也正在從理論走向現實。這項突破性技術利用量子力學原理，以超越傳統超級計算機的速度和規模執行複雜運算。與傳統計算機不同，量子計算機使用量子位元，可以同時處於多個狀態，從而實現更高效的並行計算。

然而，正如人工智能一樣，量子計算的發展也伴隨著各種風險和不確定性。本文將探討量子計算可能帶來的主要風險和挑戰。

首先，網絡安全和隱私保護是最令人擔憂的問題之一。量子計算機有潛力破解目前最強大的加密算法，這可能導致敏感信息被盜取，威脅國家和組織安全。一些專家認為，某些不法分子可能已經開始收集加密數據，等待未來用量子計算機解密。

其次，政府干預可能會影響量子計算技術的發展和應用。出於國家安全考慮，政府可能會限制這項技術的使用，或者將其用於自身目的。這種干預可能會阻礙創新，並迫使企業在複雜的法規中艱難前行。

第三，獲取創新技術的難度可能會加大。量子計算需要高度專業的知識和昂貵的硬件，這可能會讓許多組織望而卻步。相反，擁有資源的競爭對手或敵對勢力可能會率先掌握這項技術，從而獲得競爭優勢。

第四，技術債務問題將更加突出。企業面臨著是全面更新技術還是繼續利用現有資源的兩難選擇。這種機會成本將成為企業決策的重要考量因素。

第五，偏見和錯誤可能會被放大。量子計算雖然能夠處理海量數據，但如果底層數據存在偏見或錯誤，可能會導致更大規模的不公平決策，加劇社會問題。此外，量子計算機對外部環境非常敏感，可能會產生計算錯誤。

最後，量子計算可能會帶來顛覆性的變革。它可能會徹底改變某些行業的運作方式，淘汰傳統方法。這可能會給企業帶來機遇，但也可能導致市場格局的重大變化。

面對這些挑戰，企業應該採取積極行動。首先，要確保核心資產和關鍵流程的安全。其次，探索量子加密技術，為未來做好準備。第三，與雲服務提供商保持溝通，了解他們如何保護數據和應用。第四，關注供應鏈合作夥伴的技術準備情況。最後，與同行合作，共同應對挑戰。

量子計算的發展既充滿機遇，也伴隨著風險。企業需要保持靈活性，重新思考現有流程和思維方式。那些提前做好準備的企業將更有可能把握機遇，推動創新，保持韌性，並在競爭中脫穎而出。

總的來說，量子計算技術的發展令人振奮，但我們也需要謹慎對待其潛在風險。只有在充分認識和準備的基礎上，我們才能真正發揮這項革命性技術的潛力，推動社會進步。

詳情請看：

The quantum dilemma: Game-changer or game-ender

Read More

The hacker news：增強多層雲中的偵測和回應的 5 個步驟

隨著全球組織越來越多地採用雲端環境,雲端安全策略變得愈發重要。然而,傳統的"左移"安全實踐已不足以應對當前的威脅環境。本文提出了五個關鍵步驟,旨在提升組織在多層雲端環境中的實時檢測和回應能力,值得深入探討。

第一步強調了運行時可見性和保護的重要性。傳統的監控工具往往只關注環境的特定層面,而缺乏全面的視角。文章建議使用eBPF(擴展伯克利封包過濾器)感測器,這種技術能夠在不影響生產環境的情況下,提供跨整個堆疊的深度實時可觀察性。這種方法不僅能夠展示資產之間的通信和連接情況,還能評估每個資產的風險級別及其對業務的影響。這種全面的可見性對於及時發現和應對威脅至關重要。

第二步提出了多層檢測策略的概念。隨著攻擊者手法的不斷演進,單一層面的檢測已經不足以應對複雜的威脅。文章建議將雲端、工作負載和應用程序層面的監控整合到單一平台中,以提供最廣泛的覆蓋和保護。這種方法能夠實時關聯應用程序活動與基礎設施變化,確保攻擊不會從層與層之間的縫隙中溜走。這種全面的檢測策略不僅能識別已知威脅,還能通過機器學習和行為分析發現未知威脅。

第三步強調了將漏洞視圖與事件數據整合的重要性。當漏洞信息與事件數據分離時,安全團隊可能缺乏必要的上下文來理解漏洞被利用的方式或修補的緊迫性。文章建議將漏洞管理與運行時監控相結合,以更有效地評估風險並優先處理最緊迫的威脅。這種方法不僅能降低誤報率,還能幫助團隊更快地找到漏洞的根本原因並驗證修復效果。

第四步聚焦於身份安全。攻擊者經常利用被盜的憑證來執行攻擊,因此建立每個身份(無論是人類還是非人類)的基準行為模式至關重要。文章建議實施監控工具來捕捉和分析基準行為,包括訪問模式、資源使用情況和數據交互。這種方法能夠快速檢測異常或未授權的訪問嘗試,從而提高身份安全性。

第五步強調了擁有多種回應行動的重要性。每次入侵嘗試都有其獨特的挑戰,因此靈活的回應策略至關重要。文章建議準備各種回應措施,如隔離受損的工作負載、阻止未授權的網絡流量或終止惡意進程。同時,提供詳細的攻擊故事、損害評估和回應手冊也能幫助安全團隊快速調查和解決問題。

總的來說,這五個步驟為組織提供了一個全面的框架,以增強其在多層雲端環境中的檢測和回應能力。通過實施這些步驟,組織可以更好地應對當前複雜的威脅環境,提高其整體安全態勢。然而,值得注意的是,雲端安全是一個動態的領域,需要持續的關注和改進。組織應該定期評估和更新其安全策略,以適應不斷變化的威脅形勢。

此外,雖然技術解決方案很重要,但不應忽視人員培訓和流程優化的重要性。建立一支具備雲端安全專業知識的團隊,並確保有明確的事件響應流程,同樣是提高組織安全能力的關鍵。最後,與雲端服務提供商和安全供應商保持密切合作,及時獲取最新的威脅情報和最佳實踐,也是確保雲端環境安全的重要一環。

詳情請看：

5 Steps to Boost Detection and Response in a Multi-Layered Cloud

Read More

Cybersecurity insiders：網路人才的缺乏為網路威脅行為者創造了新的機會

在當今快速發展的數位時代，網絡安全已成為企業和組織不可忽視的重要議題。然而，根據最新的研究報告顯示，網絡安全人才的嚴重短缺正為網絡威脅者創造了新的機會，這種情況尤其對中小型企業（SMBs）造成了嚴重的影響。

Sophos 的最新報告揭示了一個令人擔憂的現實：網絡安全專業人才的匱乏已經成為許多中小企業的致命弱點。這項調查涵蓋了14個國家的5,000多名IT安全專業人士，特別聚焦於員工人數介於150到500人之間的組織。結果顯示，網絕技能短缺已經成為僅次於零日漏洞威脅的第二大安全隱憂。

這種人才短缺的局面為網絡犯罪分子提供了可乘之機。他們能夠利用企業在安全防護上的薄弱環節，發動更為複雜和精密的攻擊，從而獲取可觀的經濟利益。這種情況不僅威脅到企業的日常運營，更可能導致嚴重的經濟損失和聲譽受損。

面對這一嚴峻挑戰，報告強調企業領導者必須將加強網絡安全防禦列為首要任務。這不僅需要制定戰略性的招聘計劃，更要為網絡安全項目分配專門的預算，以確保能夠吸引和留住具備必要專業知識的人才。人力資源部門在這一過程中扮演著關鍵角色，需要積極尋找和培養能夠有效管理和降低網絡威脅風險的專業人員。

ISC2的研究指出，為了彌補網絡安全人才的缺口，越來越多的組織開始轉向相關領域的專業人士，如數據科學家和存儲工程師。這些專業人士雖然不是傳統意義上的網絡安全專家，但他們擁有的基礎知識和技能可以為保護基礎設施安全做出重要貢獻。這種跨領域人才的引入不僅可以在一定程度上緩解人才短缺的壓力，還能為網絡安全團隊帶來新的視角和創新思維。

值得注意的是，隨著假期季節的臨近，網絡威脅的形勢可能會變得更加嚴峻。在這個時期，包括IT人員在內的許多員工會選擇休假，這意味著組織將不得不以精簡的人員配置運作。人手不足可能導致無法充分應對複雜的網絡安全需求，從而進一步加劇企業的脆弱性。

為了有效應對這種危險局面，企業必須採取積極措施。首先，需要加強防禦措施，包括更新安全軟件、加強網絡監控、實施多因素身份認證等。其次，必須為信息技術部門分配足夠的資源，確保即使在人員有限的情況下，也能維持基本的安全運營。此外，企業還應該考慮引入自動化和人工智能技術，以彌補人力資源的不足，提高安全管理的效率。

總的來說，網絡安全人才短缺的問題凸顯了企業在數字化轉型過程中面臨的重大挑戰。這不僅需要企業內部的努力，還需要整個行業、教育機構和政府的共同合作，以培養更多的網絡安全專業人才。同時，企業也需要重新思考其安全策略，更加注重培養內部人才、提高員工的安全意識，並探索創新的技術解決方案。

面對日益複雜的網絡威脅環境，企業必須保持警惕，持續投資於網絡安全。只有這樣，才能在數字化時代中保護自身利益，維護客戶信任，並確保長期的可持續發展。網絡安全不再僅僅是IT部門的責任，而是關乎企業生存和發展的戰略性議題，需要從高層到基層的全面重視和參與。

詳情請看：

Lack of Cyber Talent is creating new opportunities to Cyber Threat Actors

Read More

Help net security：如何確保基礎設施即程式碼預設安全

在現代DevOps實踐中，基礎設施即代碼（Infrastructure as Code，簡稱IaC）已成為廣泛採用的方法。這種方法通過機器可讀的定義文件來自動化管理和配置技術基礎設施。然而，隨著IaC的普及，如何確保其安全性成為了一個重要課題。本文探討了IaC安全的挑戰以及如何實現其默認安全。

首先，文章指出了IaC安全工作流程通常包含多個步驟和實踐。這包括將IaC代碼存儲在版本控制系統中，自動化安全策略和配置檢查，並將其集成到CI/CD管道中。此外，還需要遵循最小權限原則、威脅建模和檢測、運行時監控以及審計和日誌記錄等最佳實踐。這些工作流程和自動化措施在幫助組織更輕鬆地在現代環境中部署一致的基礎設施方面發揮了重要作用。

然而，將安全策略轉換為IaC代碼存在固有的安全缺陷。主要原因是人為錯誤。當安全團隊或開發人員手動將安全策略轉換為IaC代碼時，很容易出現錯誤或誤解，這些問題可能會在多個環境中廣泛傳播。此外，這個過程耗時耗力，可能會抵消IaC原本承諾的效率提升。隨著基礎設施變得越來越複雜，手動管理和實施安全策略變得越來越具有挑戰性和容易出錯。

文章還討論了IaC掃描的重要性。在部署前掃描IaC模板是識別潛在安全問題的有效方法。然而，僅僅依賴掃描是不夠的。後部署掃描同樣重要，因為它可以評估基礎設施在運行環境中的狀況，發現開發和測試環境中未能識別的問題。但是，手動修復這些問題需要更新現有的IaC模板，否則使用這些模板的應用程序將繼續部署相同的問題。

自動修復功能看似是解決方案，但實際上可能帶來一系列新的問題。例如，自動修復工具可能無法充分考慮每個應用程序或環境的獨特上下文，導致破壞應用程序或引發其他問題的更改。它們可能無法區分關鍵和非關鍵問題，導致不必要或有害的更改，影響服務可用性和完整性。

面對這些挑戰，文章提出了一個創新的解決方案：將應用程序作為安全的來源。這種方法建議從應用程序本身生成基礎設施，而不是手動編寫IaC。通過這種方式，可以消除開發人員需要了解所有安全策略的需求，確保提供正確的基礎設施來支持應用程序，並消除開發人員需要記住編碼所有要求的需求。這種方法還可以節省安全團隊的時間，因為他們不需要審核每一行IaC代碼以確保其符合安全和合規策略。

總的來說，通過將應用程序上下文納入基礎設施中，組織可以停止擔心漏洞和錯誤配置，而專注於開發和交付應用程序。這種方法不僅提高了效率和自動化程度，還通過標準化應用程序要求來簡化部署過程。它還使執行安全和合規策略變得更加簡單，並確保了最小權限訪問控制的實施。

結論是，儘管IaC解決了應用程序部署的許多挑戰，但它仍然依賴於人工將安全策略轉換為IaC。然而，如果我們能夠使用從應用程序代碼本身生成基礎設施的工具來抽象IaC，我們就可以實現IaC的默認安全。這種方法不僅可以提高安全性，還可以大大簡化開發和部署過程，使組織能夠更專注於創新和價值創造。

詳情請看：

How to make Infrastructure as Code secure by default

Read More

Cybersecurity insiders：從開放網路到零信任：典範轉移

隨著科技的飛速發展,網路安全模型也經歷了一場巨大的變革。本文探討了從傳統的平面網路到現代零信任架構的演進過程,深入剖析了這一轉變背後的原因、挑戰以及未來發展趨勢。

早期的網路安全模型採用了所謂的"城堡與護城河"策略,主要依靠建立強大的外部防禦來保護內部網路。這種方法在網路規模較小、相對封閉的環境中尚能發揮作用。然而,隨著企業數字化程度的提高,混合辦公模式的普及,以及雲計算和物聯網技術的興起,傳統的網路邊界逐漸模糊。同時,網絡威脅也在不斷升級,攻擊手段日益複雜,這使得僅依靠邊界防禦的安全策略顯得捉襟見肘。

在這樣的背景下,零信任架構應運而生。它代表了網路安全理念的一次根本性轉變,核心原則是"永不信任,始終驗證"。零信任架構假定網路中的每個用戶、設備和應用程序都可能存在潛在威脅,無論其位置如何,都需要進行嚴格的身份驗證和授權。

零信任架構的主要特點包括:明確驗證、最小權限原則、持續監控、微分段和以數據為中心的安全策略。實施零信任框架需要全面升級安全基礎設施和流程,主要涉及身份和訪問管理、網路分段、零信任網路訪問、終端保護和雲安全等多個方面。

轉向零信任架構是一個漸進的過程,不僅需要技術變革,還需要組織文化的轉變。它要求員工接受安全最佳實踐培訓,培養安全意識文化。儘管實施和管理零信任環境的複雜性帶來了一定挑戰,但其帶來的安全優勢遠遠超過了這些挑戰。採用零信任方法可以顯著降低組織遭受網絡攻擊的風險,有效保護敏感數據,並增強應對新興威脅的能力。

展望未來,零信任架構的發展將不斷深化。人工智能和機器學習等新興技術有望進一步增強零信任能力,實現威脅檢測和響應的自動化。然而,我們也需要認識到,零信任不是一個終點,而是一個持續演進的過程。隨著技術的進步和威脅的變化,組織必須不斷調整和完善其安全策略。

成功實施零信任架構需要技術、流程和人員三方面的協同。組織應投資於適當的工具,制定健全的政策,並培養安全意識文化。只有將這三個要素有機結合,才能為數字化未來構建堅實的安全基礎。

總的來說,從開放網路到零信任的轉變反映了網路安全領域的巨大進步。這一轉變不僅體現了技術的進步,更代表了安全理念的革新。在日益複雜的數字環境中,零信任架構為組織提供了一個更加靈活、可靠的安全框架。儘管實施零信任架構存在挑戰,但其帶來的長期收益使得這一轉變成為必然趨勢。

隨著數字化轉型的深入,網絡安全將繼續成為組織的關鍵議題。零信任架構的廣泛採用標誌著我們正在進入一個新的網路安全時代。在這個時代中,安全不再是一個靜態的概念,而是一個動態的、持續演進的過程。組織需要保持警惕,不斷學習和適應,以應對瞬息萬變的威脅環境。通過擁抱零信任理念,組織可以更好地保護自己的數字資產,為未來的發展奠定堅實的安全基礎。

詳情請看：

From Open Networks to Zero Trust: A Paradigm Shift

Read More