【51CTO.com快譯】在《云端還是本地，數據放哪兒更安全之泄密事件篇》中，我們回顧了一些曾經發生的重大數據泄露事件。在本篇中，我們來分析一下這些泄露事件主要分為哪些類型。網絡犯罪分子似乎有無數方法來攻擊目標、竊取數據。我們每年也在了解新方法。不過總的說來，這些攻擊可以分為五個不同的類別。我們在稍后會詳細探討，明白這些攻擊是什么樣(即便你并不從事IT行業)很重要，那樣就能盡自己的力量來確保本企業安全。

[[181649]]

五大安全泄密事件的類型

1、黑客攻擊

·可能性：極高――幾乎不可避免

·攻擊的嚴重性：可能是毀滅性的

這可能是對普通大眾來說最知名的一種安全泄密。它是指，外人訪問公司的網絡，通常是為了進而訪問敏感數據。有時候，攻擊者的本意可能不僅僅是搗亂。

不管怎樣，這種犯罪活動常常不需要壞人有太高超的本領。魚叉式網絡釣魚攻擊針對某個人或一小群人，輔以大量的詳細信息――足以確保收件人根本不會想到發件人是騙子。

不像網絡釣魚騙局，魚叉式網絡釣魚攻擊通常花很長的時間來精心設計，因為除了社交工程伎倆外，黑客還得利用LinkedIn和Facebook之類的網站，搞清楚誰會是最容易得手的對象，然后如何誘騙對方。

電子郵件本身酷似平常的網絡釣魚攻擊。郵件中所附鏈接一旦被點擊，就會將收件人帶到惡意網站，或者啟動惡意軟件。

事先已對收件人作了摸底，那樣攻擊會讓黑客有最大的機會得逞。比如說，如果他們想搞到醫療記錄，就會確保電子郵件發送到擁有登錄信息的人的郵箱。

這種類型的數據泄密尤其可怕，這有兩個原因。首先，后果可能是毀滅性的。設想一下：完全陌生的人訪問你網絡中的任何部分。再設想一下他可能會搞什么破壞。

不妨考慮當前的W2網絡釣魚攻擊趨勢。自去年1月以來，至少55家組織已中了這種招術。一旦得逞，黑客能夠危及公司中每個員工的W-2記錄。這些記錄含有寶貴的個人信息，黑客可以用來從事各種各樣的詐騙活動。

另一個例子是，EMC旗下的子公司RSA早在2011年受到的攻擊。盡管RSA是家安全公司，但是黑客只向四名員工發送了兩封郵件就成功黑入。雖然RSA最初聲稱破壞影響極小，但是三個月后，洛克希德·馬丁公司(Lockheed Martin)宣稱自己遭到了黑客的攻擊，這伙黑客使用當初由RSA頒發的SecurID密鑰的副本。

這種攻擊另外真正讓人不安的方面在于，它們很少過于復雜。以RSA攻擊為例，電子郵件中的消息實際上只有這句話：“我把該文件轉發給你。請打開過目。”

惡意軟件不需要針對高層主管，因為這在中招計算機上開了一道后門，黑客隨后可以趁機搞鬼。

這種低技術含量意味著，只要動機足夠強烈，幾乎任何人都有可能實施這種攻擊。取決于你是問誰，你被黑客攻擊的可能性：

·三分之一

·90%

·100%

與數據泄密的許多方面一樣，這些數字很難準確地證實。貴公司可能已經淪為攻擊的受害者，卻好幾個月渾然不知。

占上風：云

2、物理設備丟失

·可能性：很高

·攻擊的嚴重性：中等

有時候，不法分子根本不需要一行代碼，就能訪問公司的網絡。相反，只需要粗心大意的員工，攻擊者就能省下好多事。

大多數公司相當信任至少一些員工，讓他們可以從筆記本電腦、手機和平板電腦來辦公。他們攜帶的U盤里面可能包括敏感數據，有時甚至隨身攜帶整個硬盤。

所有這些物理設備為網絡犯罪分子提供了可趁之機。對不法分子來說最棒的是，他們常常沒必要費老大的勁就能闖入。找到這些設備好比找到他們想要破門而入的鑰匙。

這種威脅聽起來可能很少見。畢竟，我們大多數人牢牢保管移動設備，或者至少經常盯著移動設備，很可能隨身不離。

不過在金融業，這占了所有得逞的泄密事件的四分之一。在這個行業，這比其他任何種類的攻擊都要多，數量比上一年翻番。

一個設備丟失后造成的影響有大有小。之前受雇于俄克拉荷馬大學的物理學家丟失了筆記本電腦后，9300個病人的記錄可能岌岌可危。仍有相當數量的人受到影響，不過與竊賊順走一臺屬于SterlingBackcheck員工的筆記本電腦后、100000人的信息失竊相比，算是小巫見大巫了。

誠然，這些數字與更嚴重的數據泄密影響數百萬人相比不是很大，但這些攻擊也要簡單得多。它們實際上只要犯罪分子拿到設備溜之大吉。

去年7月，為筆記本電腦及其他移動設備供應附件的Kensington公司就IT失竊調查了300名IT員工。下面是最有可能發生失竊的地方：

·汽車和公共交通工具(25%)

·辦公室(23%)

·機場和酒店(15%)

·飯店(12%)

沒錯，你自己的辦公室是員工淪為失竊物理設備受害者的可能性第二大的地方。

占上風：本地

3、員工不當行為

·可能性：中等

·攻擊的嚴重性：很高

貴企業極可能制定了規則，明確哪些員工有權查看/處理某些類型的數據。不用說，你還確保這些數據受到密碼的保護。你可能采取了其他許多措施，確保只有事先獲得同意的那些人才能訪問敏感信息。

不過，這些授權的員工很可能將數據發給別人。我們在這里不是指惡意行為。而是說，員工誤以為同事擁有與自己同樣級別的訪問權，或者根本沒有想到自己將敏感數據發送給不法分子。

另一個例子就是出于好心的員工將信息發送給確實有權訪問的人，但是他使用未加密的電子郵件來發送。那樣的話，雙方各自的訪問級別并不重要;未加密的電子郵件很容易成為黑客下手的對象。

很難給這個問題帶來的風險類型排名次。一個員工發給另一個員工、談論啥時吃午飯的電子郵件對網絡犯罪分子而言可能沒有太大的用處。

其次，大多數人可能還記得索尼被黑后發生的情形。雖然那起攻擊并不是由于未加密的電子郵件而得逞，但余波應該表明：你不希望網絡犯罪分子訪問從來不打算公之于眾的內部郵件。

優步(Uber)是成千上萬電子郵件泄露出去后、遭到公關災難的另一個例子。同樣，攻擊的性質并不是攔截電子郵件，而是敲響了另一記警鐘：這種類型的攻擊會給貴公司造成怎樣的危害。拿優步來說，全球客戶支持負責人引咎辭職。

好消息是，如果貴公司對所有郵件進行加密，幾乎可以完全杜絕這種類型的攻擊。Gmail做得不賴，它將未加密的電子郵件標出來，此舉已經收到了成效。

不過，你總是需要關注電子郵件的收件人如何處理郵件。不加密就轉發郵件會讓你面臨風險。

占上風：云

4、第三方不當行為

·可能性：中等

·攻擊的嚴重性：很高

這種攻擊類似我們剛才討論的那種風險;只不過，淪為泄密事件受害者的是與你聯系的第三方公司。如果出現這種情況，貴公司也會連帶成為受害者。

這個問題在醫療保健業來得尤為普遍。首先，受保護的健康信息(PHI)極為寶貴。其次，在這個行業，醫療服務機構與生意伙伴之間的關系可謂錯綜復雜，這讓黑客有了發動攻擊的大量機會。

《健康保險可攜性及責任性法案》(HIPAA)甚至在生意伙伴方面制定了具體的指導原則，要求它們采用適當的防范措施，確保PHI安全。

占上風：本地

5、惡意內部人員

·可能性：很小

·攻擊的嚴重性：中等

我們介紹了你自己的員工如何為犯罪分子提供發動攻擊所需的機會。現在我們要談論員工實際上就是犯罪分子或至少與犯罪分子勾結的情形。

伊比拉姆沙·沙哈米德(Ibrahimshah Shahulhameed)為我們談論的話題提供了一個典例。這位豐田公司的前技術合同工被豐田在肯塔基的一家工廠開除后，心懷不滿，回家后登錄到公司網絡，開始用需要幾個月才能撤銷的命令攻擊網絡(值得一提的是，沙哈米德對判決提出了上訴)。

這絕非一起孤立的事件。2013年，惡意員工讓所在公司損失400億美元。實際損失恐怕遠不止這個數字。大多數公司竭力確保公眾不知道這種類型的事件。

然而，不難設想一個胡作非為的員工懷恨在心會造成怎樣的危害。黑客可能花幾個月的時間精心策劃攻擊，以便有機會潛入預定目標。而你的員工早已有了這種訪問權。

這就是為什么早在2014年8月，AlgoSec調查的安全管理人員中73%提到內部威脅是自己最擔心的問題，這比2013年的62%有了明顯增加。

針對這種類型的泄密事件，有兩種方法應該至少可以減小貴公司淪為受害者的可能性。第一種方法就是確保每個員工有完成工作所需的適當權限級別，不授予更大的權限。應該定期審計這方面的工作，每當員工走上新崗位，就要審核。

其次，一旦解雇員工，要確保其訪問權已完全取消。很顯然，此舉原本可以為豐田避免好多麻煩。弗吉尼亞州的一家政府承包商對同一個教訓深有體會：員工Robert Steele因對薪資有爭議而憤然走人，結果這家公司惹上了大麻煩。

他向公司A保證，作為一名前雇員，自己不會訪問公司的任何記錄，甚至堅持認為：自己辭職那天，公司就刪除了他的訪問權。對公司A來說不幸的是，Steele知道別人不知道的管理員帳戶。憑借這個帳戶，他在為競爭對手工作期間，訪問了原雇主的電子郵件及其他敏感文檔。

Steele在最后落網之前，使用這個帳戶共非法訪問了79000多次。

正如你所見，雖然數字時代絕對讓許多公司做生意要容易得多，但是同樣毫無疑問，它也帶來了許多獨特的挑戰。認識到這些威脅會帶來什么，至少會幫助你采取適當的措施來防范這些威脅。然而，整個公司顯然需要劫持適當的措施(包括購買技術)。

占上風：云

至此，我們探討了數據泄密事件的主要類型，在每個類型中，數據放到本地還是云端哪里更有優勢。在最后一篇中，我們將探討放在云端還是本地這兩種方案之間有沒有一種更安全的選擇。

原文標題：Where Is Your Data Safer? In the Cloud Or On Premise?

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】