警告｜这8大安全威胁可能会导致你的公司破产

不少安全研究人员都曾警告说，老的威胁和全新的威胁都有可能会对你的公司造成严重的危害!

[[248759]] 

1、DDoS攻击死灰复燃

Neustar技术部副总裁James Willett称，今年早些时候，该行业见证了有史以来最大的DDoS攻击——1.7 Tbps，使用了一种名为Memcached的新型攻击。这是在1.35 Tbps的DDoS攻击之后最大的DDoS攻击。Willett说以前的DDoS攻击，比如DNSSEC返回了217倍的倍数，但是Memcached的攻击返回了超过51000倍的放大记录。他说，Memcached的攻击对攻击者的潜在回报已经变得如此之大，以至于他们不需要使用僵尸网络，这使他们成为一个新的、危险的风险载体。

随着黑客不断探索提高攻击效率的方法，新的扩增能力将继续有助于DDoS攻击的规模。这些攻击通常被用作烟雾弹攻击，将安全资源转移到DDoS攻击上并减少DDoS攻击，而其他攻击，如恶意软件感染、入侵或数据过滤，可以在不被察觉的情况下进行。

2、7层的攻击

Neustar的Willett称，大规模DDoS攻击可能会吸引媒体的注意，但网络罪犯正越来越多地将注意力集中在第七层Web应用程序攻击上。事实上，“Cisco 2018年度网络安全报告”发现今年应用DDoS攻击已经超过网络DDoS攻击。Willett说，这种攻击几乎没有任何警告，比网络DDoS攻击更难发现，而且由于它们通常针对消费者，在很短的时间内可能造成无法弥补的损害。通常情况下，攻击者不是想要摧毁目标，而是在寻找漏洞。一旦确定了漏洞，网络罪犯就会启动跨站点脚本(XSS)或SQL注入，以导致中断或更改Web应用程序输出。

3、IPv6的攻击

Neustar的Willett指出，随着IPv4地址耗尽，IPv6已经慢慢进入主流。但是许多安全工具可能没有正确配置，因为没有足够的IT工作者拥有使用IPv6的经验。这使得攻击者可以利用错误配置的系统，产生恶意的IPv6流量，从而导致DDoS攻击。虽然IPv6目前的覆盖范围有限，但它的应用范围已经扩大，大多数移动设备和PC都支持它。Willett说，这意味着当DDoS攻击中使用的IPv6地址增加时，设备将受到严重打击。

4、供应链的攻击

赛门铁克(Symantec)高级首席威胁研究员坦率地说，研究人员现在看到，越来越多的攻击者向供应链中注入恶意软件，以渗入不知情的组织。他说，赛门铁克遭遇的这些攻击增加了200%——也就是2017年每个月都会发生一次，相比之下，前几年每年发生四次。在典型的攻击中，攻击者将合法的软件更新替换为恶意版本，以便快速、秘密地分发给目标。Wueest说，应用软件更新的用户会自动感染他们的电脑，并让攻击者在他们的网络上站稳脚跟。更危险的是:这些攻击并不局限于台式电脑。这同样适用于物联网设备和工业控制元件。

5、对移动设备的攻击

赛门铁克公司(Symantec)认为，移动设备上的威胁将继续增长。在2017年，仅新恶意软件变种的数量就增加了54%，而且不仅仅是数量在增加。攻击者已经开发出新的感染方法和技巧，以便尽可能长时间停留在受损设备上。他们还提出了从各种设备中获取收入的方法，从勒索软件到加密货币挖掘。但随着攻击的不断发展和成熟，Wueest说，移动用户的情况并非总是如此，他们中的许多人继续使用旧的操作系统，让攻击者的日子过得更轻松。例如，在安卓设备上，只有20%的用户使用最新的主流版本。公司的安全专家建议，确保用户更新工作设备和个人智能手机。

6、鱼叉式网络钓鱼攻击

赛门铁克公司(Symantec)的Wueest说，到目前为止，鱼叉式钓鱼电子邮件已经成为使用最广泛的感染媒介，71%的威胁行动者集团都使用鱼叉式钓鱼电子邮件。它的流行凸显了一个典型的计算机用户常常会成为组织安全中最薄弱的一环。除了一个强大的电子邮件安全解决方案，Wueest说，教育员工关于鱼叉式网络钓鱼电子邮件的危险以及如何发现它们将有助于最大限度地减少它们可能造成的重大安全事件。

7、业务流程开发

趋势科技公司(Trend Micro)的首席网络安全官埃德•卡布雷拉(Ed Cabrera)表示，随着企业进行数字化转型，利用人工智能和机器学习将过程自动化，新的技术和系统漏洞将出现，随时可能被利用。例如，他说，随着公司继续自动化，供应链周围的流程漏洞将为网络罪犯提供大量赚钱的机会。在许多方面，相同的参与者，如民族国家组织和网络犯罪组织，将是罪犯，但背景将会改变，Cabrera补充道。正当的企业可以使用自动化工具，坏人也可以。Cabrera警告说，攻击者将继续创新，自动化，并建立更多的能力，因为他们在网络犯罪的基础上进行合作。

8、商业电子邮件的妥协

Trend Micro网站的Cabrera说，过去几年来，商业电子邮件折衷攻击(BEC)的规模不断扩大，自2015年以来，已确认的损失增加了108亿美元，到2018年已超过120亿美元。他补充说，简单和有效的结合确保了BEC将继续成为最受欢迎的攻击之一，特别是对于那些缺乏特殊工具和知识来实施更复杂方案的犯罪组织。 

这些攻击以两种方式表现出来:第一，网络攻击者使用键盘记录器和钓鱼工具进行社会工程的凭据钓鱼攻击，以访问企业邮箱账户，以识别企业领导层并监控通信。在第二种情况下，攻击者发送一封电子邮件，冒充供应商或公司管理人员，发送给受害者公司财务部门的某人。攻击者精心设计了这封电子邮件，让它看起来像是卖家或公司管理人员发送的，通常是指示受害者转移资金支付发票或将大笔资金送往海外。