「网络安全入门」什么是网络安全

 如今,组织的信息系统和数据面临着许多威胁。而人们了解网络安全的所有基本要素是应对这些威胁的第一步。

  网络安全是确保信息完整性、机密性和可用性(ICA)的做法。它代表了应对硬盘故障、断电事故,以及来自黑客或竞争对手攻击等防御和恢复能力。而后者包括从编程人员到能够执行高级持续威胁(APT)的黑客和犯罪集团的所有人,并且它们对企业的信息安全和业务构成严重威胁。因此,企业的业务连续性和灾难恢复规划对于网络安全至关重要,例如应用程序和网络安全。

  安全应该成为企业的头等大事,并得到高级管理层的授权。人们所在的信息世界的脆弱性也需要强大的网络安全控制。企业的管理者很清楚所有系统都是按照某些安全标准建立的,而且员工受过适当的培训。例如,所有代码都会有一些Bug,其中一些Bug是安全漏洞。毕竟,开发人员也会犯错。

  安全培训

  工作人员一直是企业的网络安全计划中最薄弱的部分。培训开发人员进行安全编码,培训操作人员考虑强大的安全态势,培训最终用户发现网络钓鱼邮件和社交工程攻击,而实现网络安全始于安全意识。

  即使采取强有力的控制措施,所有企业都会遇到某种网络攻击。攻击者总是会利用最薄弱的环节,而企业可以通过执行基本的安全任务(有时称为“网络卫生”),很容易防止许多攻击。就像外科医生在清洗双手的情况下进入手术室一样。同样,企业有责任执行网络安全护理的基本要素,例如保持强大的身份验证实践,并且不将敏感数据存储在可以公开访问的位置。

  不过,良好的网络安全策略会超越这些基础。复杂的黑客可以规避大多数安全防御措施,其攻击面(攻击者获得进入系统的方式或“载体”的数量)正在扩展到大多数公司。例如,信息技术和现实世界正在融合,网络罪犯和间谍如今开始威胁到汽车、发电厂、医疗设备等物联网系统。同样,在采用云计算的趋势下,在工作场所自携设备(BYOD)策略以及快速发展的物联网(IoT)带来了新的挑战。捍卫这些物联网系统从未如此重要。

  网络安全围绕着消费者隐私的监管环境已经进一步复杂化。遵守欧盟通用数据保护条例(GDPR)等严格的监管框架也需要新的角色,以确保企业符合GDPR和其他法规的隐私和安全要求。

  其结果是企业对网络安全专业人员的需求不断增长,招聘人员努力填补合格人选的空缺。这种斗争要求组织重点关注一些风险最大的领域。

  网络安全的类型

  网络安全的范围很广,而采用良好的网络安全战略的企业都应该考虑到这一点。其核心领域如下所述:

  (1)关键基础设施

  关键基础设施包括人们所依赖的网络物理系统,其中包括电网、供水、交通信号灯和医院。例如,将电厂连入互联网,其容易受到网络攻击。负责关键基础设施的组织的解决方案是企业需要执行尽职调查,以了解漏洞并进行防范。而其他组织都应该评估他们所依赖的关键基础设施的攻击将会如何影响他们的运营的情况,然后制定应急计划。

  (2)网络安全

  网络安全防范未经授权的入侵以及具有恶意的内部人员。企业确保网络安全通常需要权衡。例如,采用访问控制(如额外登录)措施可能是必要的,但会降低生产力。

  用于监控网络安全的工具会生成大量数据,这通常会漏掉有效警报。为了更好地管理网络安全监控,企业的安全团队越来越多地使用机器学习来实时标识异常流量,并警告威胁。

  (3)云安全

  企业迁移到云中会带来新的安全挑战。例如,2021年几乎每周都有数据泄露来自配置不当的云计算实例。云计算提供商正在创建新的安全工具,来帮助企业用户更好地保护他们的数据,但底线仍然是:在网络安全方面,迁移到云端并不是企业执行尽职调查的灵丹妙药。

  (4)应用安全

  应用程序安全性(AppSec),尤其是Web应用程序安全性已成为最薄弱的技术攻击点,但很少有组织能够很好防御和应对所有OWASP十大Web漏洞。AppSec从安全编码实践开始,应该通过模糊和渗透测试来增强。

  快速应用程序开发和部署到云已经看到DeVOPS作为一门新学科的出现。DeVOPS团队通常将业务需求置于安全之上,而随着威胁的扩散,这种需求很可能会发生变化。

  (5)物联网(IoT)安全

  物联网指的是各种关键和非关键的网络物理系统,如设备、传感器、打印机和安全摄像头。物联网设备经常处于不安全状态,几乎不会提供安全补丁,不仅会对用户造成威胁,还会给互联网上的其他用户造成威胁,因为这些设备经常被发现是僵尸网络的一部分。这给家庭用户和社会带来了独特的安全挑战。

  网络威胁的类型

  常见的网络威胁分为三大类:

  (1)对保密信息的攻击:窃取或抄袭目标的个人信息是从网络攻击开始的,其中包括诸如信用卡诈骗、身份盗用、盗取比特币钱包等各种各样的犯罪攻击。一些间谍使保密攻击成为他们工作的主要部分,寻求获取政治、军事或经济收益的机密信息。

  (2)对完整性的攻击:完整性攻击是损坏、破坏或摧毁信息或系统。完整性攻击是对目标进行破坏和毁灭的破坏活动。攻击人员的范围从编程人员到一些恶意攻击者。

  (3)对可用性的攻击:阻止目标访问其数据是当今以勒索软件和拒绝服务攻击形式出现的最常见现象。勒索软件加密被攻击目标的数据,并要求对方支付赎金。拒绝服务攻击(通常以分布式拒绝服务(DDoS)攻击的形式)通过请求淹没网络资源,使其不可用。

  以下描述了这些攻击的执行方式:

  (1)社交工程

  攻击者并不攻击计算机,而是让个人用户遭受损失。用于传播勒索软件的社交工程恶意软件是第一种攻击方式(不是缓冲区溢出、错误配置或高级漏洞攻击)。最终用户被欺骗运行特洛伊木马程序,通常来自他们信任并经常访问的网站。而持续开展安全教育是对付这种攻击的最佳对策。

  (2)网络钓鱼攻击

  有时窃取密码的最佳方式是诱使人们泄露密码。这说明网络钓鱼取得了惊人的成功。即使是在安全方面训练有素的用户也可能受到网络钓鱼的攻击。这就是为什么最好的防御是采用双因素身份验证(2FA)的原因,这样即使密码被盗对于没有第二个因素验证的攻击者来说毫无价值,例如硬件安全令牌或用户手机上的软件令牌验证器应用程序。

  (3)软件未打补丁

  如果攻击者对组织实施零日攻击,那么很难责怪企业没有实施安全措施,但是补丁失败看起来就像是没有执行尽职调查。如果披露漏洞之后持续数月甚至数年,并且企业还没有应用安全补丁程序,那么就会面临风险。因此,软件及时更新补丁很重要。

  社交媒体威胁

  那些可信的傀儡账号可以通过LinkedIn网络蠕虫来创建。如果有人知道了解人们的工作内容,会觉得这很奇怪吗?预计社交媒体的攻击活动将会越来越频繁。

  高级持续威胁

  如果有多个高级持续性威胁(APT)攻击和入侵企业的网络,不要感到惊讶。企业需要考虑其安全状况与复杂的高级持续性威胁(APT)。这一点比技术领域更为真实,这是一个拥有丰富知识产权的行业,许多犯罪分子和国家对于窃取信息不会有所顾忌。

  网络安全职业

  执行强大的网络安全策略要求企业拥有合适的人员。从高级管理人员到一线安全工程师,企业专业网络安全人员的需求越来越高。由于保护企业数据成为组织的关键任务,网络安全领导者已经成为企业高管层和董事会的一员。首席安全官(CSO)或首席信息安全官(CISO)现在是组织必须具备的核心管理职位。

  其角色也变得更加专业化。通用安全分析师正在迅速消逝。如今,安全测试人员可能会将重点放在应用程序安全性或网络安全性,或者网络钓鱼用户测试安全意识。事件响应可能会在全天候通话。

  以下角色是企业安全团队的基础构成:

  (1)首席信息安全官(CISO)/首席安全官(CSO)

  首席信息安全官(CISO)是企业主管级的管理人员,负责监督组织IT安全部门和相关人员的运营。首席信息安全官(CISO)负责指导和管理战略、运营和预算,以保护组织的信息资产。

  (2)安全分析师

  安全分析师也称为网络安全分析师、数据安全分析师、信息系统安全分析师或IT安全分析师,这个角色通常具有以下责任:

  规划、实施和升级安全措施和控制

  保护数字文件和信息系统免受未经授权的访问、修改或破坏

  维护数据并监视安全访问

  进行内部和外部安全审计

  管理网络,入侵检测和预防系统

  分析安全漏洞以确定其根本原因

  定义、实施和维护企业安全策略

  与外部供应商协调安全计划

  (3)安全架构师

  一位优秀的信息安全架构师横跨业务和技术领域。虽然行业内的角色可能会有所不同,但通常是负责规划、分析、设计、配置、测试、实施、维护,以及支持组织的计算机和网络安全基础设施的高级员工,其角色可能会有所不同。这就要求企业全面了解其技术和信息需求。

  (4)安全工程师

  安全工程师位于保护企业资产免受威胁的一线。这项工作需要强大的技术、组织和沟通技巧。IT安全工程师是一个相对较新的职位。其重点在于IT基础设施内的质量控制。这包括设计、构建和维护可扩展、安全和可靠的系统,致力于运营数据中心系统和网络,帮助企业理解先进的网络威胁,并帮助制定战略来保护这些网络。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/pingmian/62675.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

通讯专题4.1——CAN通信之计算机网络与现场总线

从通讯专题4开始,来学习CAN总线的内容。 为了更好的学习CAN,先从计算机网络与现场总线开始了解。 1 计算机网络体系的结构 在我们生活当中,有许多的网络,如交通网(铁路、公路等)、通信网(电信、…

深度学习模型:LSTM (Long Short-Term Memory) - 长短时记忆网络详解

一、引言 在深度学习领域,循环神经网络(RNN)在处理序列数据方面具有独特的优势,例如语音识别、自然语言处理等任务。然而,传统的 RNN 在处理长序列数据时面临着严重的梯度消失问题,这使得网络难以学习到长…

算法笔记:力扣24. 两两交换链表中的节点

思路: 本题最简单的就是通过递归的形式去实现 class Solution {public ListNode swapPairs(ListNode head) {if(head null || head.next null){return head;}ListNode next head.next;head.next swapPairs(next.next);next.next head;return next;} } 对于链…

ehr系统建设方案,人力资源功能模块主要分为哪些,hrm平台实际案例源码,springboot人力资源系统,vue,JAVA语言hr系统(源码)

eHR人力资源管理系统:功能强大的人力资源管理工具 随着企业规模的不断扩大和业务需求的多样化,传统的人力资源管理模式已无法满足现代企业的需求。eHR人力资源管理系统作为一种先进的管理工具,能够为企业提供高效、准确、实时的人力资源管理。…

【Android】从事件分发开始:原理解析如何解决滑动冲突

【Android】从事件分发开始:原理解析如何解决滑动冲突 文章目录 【Android】从事件分发开始:原理解析如何解决滑动冲突Activity层级结构浅析Activity的setContentView源码浅析AppCompatActivity的setContentView源码 触控三分显纷争,滑动冲突…

OGRE 3D----2. QGRE + QQuickView

将 OGRE(面向对象图形渲染引擎)集成到使用 QQuickView 的 Qt Quick 应用程序中,可以在现代灵活的 UI 框架中提供强大的 3D 渲染功能。本文将指导您如何在 QQuickView 环境中设置 OGRE。 前提条件 在开始之前,请确保您已安装以下内容: Qt(版本 5.15 )OGRE(版本14.2.5)…

GAGAvatar: Generalizable and Animatable Gaussian Head Avatar 学习笔记

1 Overall GAGAvatar(Generalizable and Animatable Gaussian Avatar),一种面向单张图片驱动的可动画化头部头像重建的方法,解决了现有方法在渲染效率和泛化能力上的局限。 旋转参数 现有方法的局限性: 基于NeRF的方…

论文笔记-WWW2024-ClickPrompt

论文笔记-WWW2024-ClickPrompt: CTR Models are Strong Prompt Generators for Adapting Language Models to CTR Prediction ClickPrompt: CTR模型是大模型适配CTR预测任务的强大提示生成器摘要1.引言2.预备知识2.1传统CTR预测2.2基于PLM的CTR预测 3.方法3.1概述3.2模态转换3.…

基于若依框架和Vue2 + Element-UI 实现图片上传组件的重写与优化

背景 在使用 若依分离版Element-UI 的图片上传组件时,需要根据业务需求进行定制化处理,比如: 需要传递额外的业务参数到后端需要对上传路径进行修改需要对上传组件进行样式定制 实现步骤 1. 创建本地组件 首先在业务模块下创建本地的图片上传组件: src/views/xxx/compone…

预训练模型与ChatGPT:自然语言处理的革新与前景

目录 一、ChatGPT整体背景认知 (一)ChatGPT引起关注的原因 (二)与其他公司的竞争情况 二、NLP学习范式的发展 (一)规则和机器学习时期 (二)基于神经网络的监督学习时期 &…

同时在github和gitee配置密钥

同时在github和gitee配置密钥 1. 生成不同的 SSH 密钥 为每个平台生成单独的 SSH 密钥。 # 为 GitHub 生成密钥(默认文件路径为 ~/.ssh/github_id_rsa) ssh-keygen -t rsa -b 4096 -C "your_github_emailexample.com" -f ~/.ssh/github_id_…

GRAG: Graph Retrieval-Augmented Generation

GRAG: Graph Retrieval-Augmented Generation 摘要 简单检索增强生成 (Naive RAG) 聚焦于单一文档的检索,因此在处理网络化文档时表现不足,例如引用图、社交媒体和知识图谱等应用中非常常见的场景。为了解决这一限制,我们提出了图检索增强生…

使用Python OpenCV实现图像形状检测

目录 一、环境准备 二、读取和预处理图像 读取图像 灰度化 滤波去噪 三、边缘检测 四、查找轮廓 五、绘制轮廓 六、形状分类 七、显示结果 八、完整代码示例 九、总结 图像形状检测是计算机视觉领域中的一项关键技术,广泛应用于工业自动化、机器人视觉、医学图像处…

微知-git如何添加空目录的几种方式?(.gitkeep, githook, gitconfig)

背景 在Git中,空目录(空文件夹)默认是不会被跟踪的,因为Git主要跟踪文件的变化。但是如何让git添加空目录? #mermaid-svg-3Y4NksLyEeuMs4FC {font-family:"trebuchet ms",verdana,arial,sans-serif;font-si…

11.25.2024刷华为OD

文章目录 HJ76 尼科彻斯定理(观察题,不难)HJ77 火车进站(DFS)HJ91 走格子方法,(动态规划,递归,有代表性)HJ93 数组分组(递归)语法知识…

【RISC-V CPU Debug 专栏 1 -- RISC-V debug 规范】

文章目录 RISC-V Debug调试用例支持的功能限制和不包括的内容RISC-V 调试架构的主要组件用户与调试主机调试翻译器调试传输硬件调试传输模块(DTM)调试模块(DM)调试功能触发模块版本介绍RISC-V Debug RISC-V 调试规范为 RISC-V 处理器提供了一套标准化的调试接口和功能,旨…

#Python 同声传译工具 开发中

功能概述 允许用户选择通过麦克风(microphone)或者获取系统声音(system_sound)作为语音输入源。 对输入的语音进行识别,得到对应的文本内容。 将识别出的文本翻译成指定的目标语言。 把翻译后的文本转换为语音并播放出…

多线程篇-8--线程安全(死锁,常用保障安全的方法,安全容器,原子类,Fork/Join框架等)

1、线程安全和不安全定义 (1)、线程安全 线程安全是指一个类或方法在被多个线程访问的情况下可以正确得到结果,不会出现数据不一致或其他错误行为。 线程安全的条件 1、原子性(Atomicity) 多个操作要么全部完成&a…

API 与 SDK 之间的区别

API 与 SDK 之间的区别 很多人在软件开发中经常会分不清 SDK 与 API ,今天就来浅谈一下两者之间的区别。 直白地说,SDK 包含了 API ,是一套完整的,能完成更多功能的工具包,无论你想获取什么样的信息,SDK …

自动驾驶决策规划算法-路径决策算法:二次规划

本文为学习自动驾驶决策规划算法第二章第四节(中) 路径二次规划算法》的学习笔记。 1 二次型 二次型的形式为 1 2 x T H x f T x \begin{equation} \frac{1}{2}\boldsymbol{x}^TH\boldsymbol{x}f^T\boldsymbol{x} \end{equation} 21​xTHxfTx​​ 约束 A e q x b e q \be…