Ashley Madiso的性、謊言和資料外洩故事,給企業的啟示與四個具體建議

媒體可能會報導資料外洩事件,但人們的興趣往往只持續一兩個禮拜,之後就歸於平靜。但最近的Ashley Madison 資料外洩事件,是個例外,這個鼓勵偷情的網站與名為 Impact Team的駭客組織對峙長達一個月。

延伸閱讀:》駭客給偷情網站的警告:關閉網站,否則公布 3700萬男女風流帳

七月,Ashley Madison 成為資料外洩的受害者。發動攻擊的 Impact Team要求該網站和其他相關網站永久關閉。駭客接著披露片段帳號資料及公司資料,其中包括了公司內部的伺服器。

got-hacked IT MIS 企業 駭客 被駭 資料外洩

該駭客團體對其威脅說到做到,帳號資料很快就流入了深層網路。被洩露的資料有幾個可探討之處。例如有15,000個帳號使用了.mil或.gov的電子郵件地址。整理了郵件地址後,其他媒體發現工作用郵件地址被大量的用在帳號中。
》延伸閱讀:偷情網站3700萬名會員名單曝光,猜猜香港、台灣以政府機關網址登記的會員有多少?

(有趣的是,上述外洩的資料證明該網站實行其他網站所沒有的安全措施。例如,用某種形式的加密來儲存密碼,而非只使用明文。)

有些人說,考慮到該網站的性質,使用者不該期望自己的個人資料安全無虞。但除了該網站道德上的爭議,Ashley Madison也向客戶保證他們的資料會被保密,甚至提供付費服務來永久刪除使用者資料,它這兩點都沒有做到。

 

解決資料外洩問題

這起外洩事件證明許多企業都還沒有準備好應對資料外洩事件:無論是在事前防範或是在事後補救。

「如果你不確實投資在下一代網路安全措施,聲譽風險是確實存在的。世界上的駭客會繞過由主要標準制定機構(如支付卡產業安全標準委員會PCI SSC)所倡導的安全防禦措施,」趨勢科技網路安全長Tom Kellermann在接受採訪時說道。

對於Ashley Madison或其他必須確保使用者隱私的網站來說的確如此。

在理想的情況下,防止資料外洩的安全措施必須在此類事件發生前就到位。例如,企業應該評估他們向客戶要求的資料類型。難道他們真的需要聯絡方式和財務資料以外的特定資訊?非必需的片段資料也可能是敏感的,特別是當其可以用來拼湊出受害者個人檔案時。

加密敏感資料並限制存取對於解決潛在入侵攻擊大有幫助,特別是對於內部駭客來說。有些人猜測Ashley Madison入侵事件是內賊所為;如果真是這樣,嚴格的存取控制更顯得重要。

即便有了這些預防措施,企業也該先假設已經有入侵者在網路中以便未雨綢繆,持續地監控系統以揪出可疑的活動。

對抗資料外洩,四個具體作法

企業需要部署堅實的多層次防禦系統來主動地對抗資料外洩,四個具體作法如下:

  1. 定期測試網站和應用程式以確認是否有出現開放網路軟體安全計畫(OWASP)十大安全漏洞列表內的嚴重安全問題。
  2. 部署網頁應用程式防火牆(WAF)來建立規則以封鎖漏洞攻擊,尤其是還在等待修補程式的空窗期。
  3. 部署資料遺失防護(DLP)解決方案來識別、追蹤和保護企業資料,使其損失最小化。
  4. 部署可信賴的入侵外洩偵測系統(BDS),不僅可以偵測網頁、電子郵件和檔案的一般威脅,同時也能夠對抗APT 攻擊或針對性攻擊。

企業在發生資料外洩後該做什麼?首先,他們應該確認是否確實有發生資料外洩事件。受害者應該從受駭企業來瞭解資料外洩的狀況,而非來自媒體。企業應該要交代他們對入侵事件所知道的一切,比如是事件發生時間。

 

@原文出處:Ashley Madison: A Tale of Sex, Lies, and Data Breaches
《 想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位,勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端,讓你不會錯過任何更新。


▼ 歡迎加入趨勢科技社群網站▼

好友人數

【推薦】防毒軟體大評比: 惡意程式防禦力 PC- cillin雲端版榮獲第一名!
【推薦】PC-cillin 雲端版 榮獲世界著名防毒評鑑機構高度評比

 

Windows10Banner-540x90v5

 

 

趨勢科技PC-cillin雲端版 ,榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦,採用全球獨家趨勢科技「主動式雲端截毒技術」,以領先業界平均 50 倍的速度防禦惡意威脅!即刻免費下載