回归基础性安全防护：Equifax（艾可飞）事件前车之鉴

2017-10-20 13:54:03 来源：抢沙发

2017-10-20 13:54:03 来源：

摘要：虽然导致Equifax（艾可飞）信息泄露事件的原因尚没有最终定论，但有一点十分清楚：各大公司和机构必须引以为鉴，提高自身的威胁防护能力。
关键词：艾可飞

　　虽然导致Equifax（艾可飞）信息泄露事件的原因尚没有最终定论，但有一点十分清楚：各大公司和机构必须引以为鉴，提高自身的威胁防护能力。本次事件共导致1.455亿美国用户（几乎占全国人口的一半）和近40万英国用户的高度敏感性信息遭到泄露，而这一切原本可以通过有效的安全分层机制加以避免，例如漏洞补丁修复和Web应用防火墙（WAF）。Equifax在泄露事件发生后的应对措施也不尽人意。

　　前车之鉴

　　美国三大信用报告机构之一Equifax（艾可飞）披露，大量用户的个人识别信息（PII）遭到泄露，包括用户姓名、出生日期、邮件地址、社保账号和驾照号码、电话号码以及个别用户的信用卡信息。近期，Equifax发布了有关事件的更多信息，似乎表明是因缺乏有效的漏洞补丁才使得黑客趁虚而入。

　　黑客攻击利用的是一种名为Apache Struts的网络服务器漏洞，该漏洞于2017年3月初被美国计算机应急响应小组（CERT）发现并披露。

　　该公司在一份声明中表示：“Equifax的安全部门当时已经意识到这一漏洞，对其进行了识别，并修补了公司IT基础架构中所有易受攻击的系统。”

　　然而，这一措施似乎并未奏效，因为Equifax在7月底被迫再次进行了修补。当时，公司发现了可疑的网络流量，怀疑存在网络入侵者，并将受影响的门户网站应用程序下线。声明还补充道：

　　“公司对该事件的内部审查仍在继续。在最初发现黑客利用Apache Struts网络应用程序框架中的漏洞展开攻击后，Equifax便修补了受影响的网络应用程序，然后才重新上线。”

　　补丁管理不容忽视

　　有效的补丁管理是网络安全防护的基础性措施。只要公司具备适合自身风险偏好的健全策略，自动化工具就可以承担大量的日益耗时耗力的安全维护任务。

　　当然，安全策略行之有效的前提是您必须运行相应的支持系统。针对过时的甚至是厂商不再支持的系统，应采取有效的措施加强监测及防御；并且必要的升级和维护将是刻不容缓的。前段时间Wanna-Cry(想哭)勒索软件在国内部分行业及用户处的横行，主要沦陷的就是大量Windows XP系统及未及时补丁更新的其它Windows 系统，加上针对各类潜在威胁的安全防御缺失或不足，导致短时间内爆发。

　　另外，补丁修补仅在作为安全分层方法的一部分时才能发挥作用。另外一项重要建议是投资Web应用防火墙技术。它能够为易受攻击的系统提供防护，使其免受所有已知和未知威胁的侵害，直到系统已经准备好进行修补。随着自动化攻击在利用系统弱点方面的有效性日益提高，而且IT管理员也因补丁过载而不堪重负时，梭子鱼Web应用防火墙可以提供颇具价值的安全保障。正确的部署和管理Web应用防火墙可有效的抵御针对网络服务器上的应用程序及其访问的敏感数据或机密数据的基于网络的入侵和攻击，防止数据丢失或泄漏，同时可确保应用系统的安全稳定运行。

　　随着国内对个人信息保护的不断加强，特别是《网络安全法》的正式施行，维护信息系统及数据安全势在必行，同时健全的事件响应计划及演练也十分关键。越来越多的国内企业和机构已开始关注个人信息、企业敏感数据的防泄漏保护，并着手准备相关预案和实施相关措施，加强对相关网络及应用系统的安全防护。

　　时至今日，没有任何一家公司或机构能够承受忽视数据安全的经济和法律代价。

　　关于梭子鱼网络（NYSE：CUDA）

　　梭子鱼网络（NYSE:CUDA）秉承“复杂IT简单化”的理念，为客户提供云解决方案，助力客户保护其网络、应用和数据安全。梭子鱼提供包括硬件，虚拟设备，云和混合部署的强大的、易于使用且价格适宜的IT解决方案，并已受到全球超过150,000家企业机构的信赖。梭子鱼以客户为中心的商业模式致力于打造高价值、定制化IT解决方案，为用户提供端到端网络和数据安全防护。

　　欲了解更多信息，请访问http://www.barracuda.com

第四十一届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：chenjian

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。