乔达采访了 Trellix 充满激情的网络安全领导者之一 Mo Cashman,了解他对物流和运输公司所面临的网络风险的看法,以及他们应如何应对以控制网络风险。他还分享了他对当今数据主权和安全的看法。 Trellix 是 McAfee Enterprise 与 FireEye 于 2021 年 10 月合并后成立的一个新的全球网络安全巨头。

 

物流和运输公司应该采取哪些措施防范网络攻击,从而保护其客户?

运输行业面临着许多影响大多数字化企业的相同商品威胁。然而,由于对基础设施和经济及其云原生应用程序至关重要,我们也看到了勒索软件和针对云原生应用程序,威胁其复原能力的攻击。

最近,使用勒索软件即服务使用勒索软件即服务已成为扰乱业务运营的有效方式。上个季度,运输行业是勒索软件运输行业是勒索软件的第二大攻击目标(来源:Trellix Threat Intelligence)。

 

top customer sectors with ransomwear

 

重要的是要明白,勒索软件不是从加密开始的。如今,大多数勒索软件威胁都是多阶段攻击。为防范这些威胁,大多数组织都已制定了适当的控制措施,例如例如端点安全 (Endpoint Security)、端点监测和响应 (Endpoint detection and response,EDR)、安全网络代理 (Secure Web Proxies)和电子邮件安全 (Email Security)。但是,他们的 SOC 中通常缺乏检测正在进行的攻击的威胁检测和响应流程,或者对改进检测的 XDR 功能的投资以及演练事件响应流程对于从勒索软件攻击中恢复至关重要。

运输公司的另一个关键攻击载体是云原生 API 和应用程序。如今,超过 80% 的互联网流量都属于基于 API 的服务。云应用程序(SaaS、PaaS 或 IaaS)改变了软件开发人员通常设计、使用和利用 API 的方式。API 已经发展成为我们目前使用的大多数现代应用程序的支柱。其中一些云应用程序的覆盖范围和普及程度,以及它们所包含的关键数据宝库,使 API 成为威胁制造者有利可图的目标。API 的互联性质可能会给企业带来额外的风险,因为它们成为更广泛的供应链攻击的进入载体。在大多数情况下,对 API 的攻击不会引起注意,因为它们通常被认为是可信的通道,并且不会从相同级别的治理和安全控制中受益。

如何应对? 在这种情况下,了解应用程序使用情况并能够验证API资源消耗应该是组织的首要任务,目的是最终建立一个基于风险管理目标的在用API 列表库和治理政策,以控制对这些服务的访问权限,同时对服务于非用户应用的基础构架权限进行控制,例如将 API 集成到集成到更广泛的企业生态系统中的服务帐户和应用程序原则

开发人员的首要任务是,为 API 开发有效的威胁应对模块和实施零信任访问控制机制,正如为实现更好的事件响应和恶意使用检测而执行有效的安全日志记录和监控一样。

运输公司需要保护客户数据并维持其可用性,以便满足客户需求。为此,更好的勒索软件防范和云安全控制措施是增强保护级别的关键工具。

开发代码时要考虑的主要安全注意事项:

  1. API 配置错误导致不必要的信息泄露
  2. 利用 Oauth/Golden SAML 等现代身份验证机制,获取 API 的访问权限,并持续在目标环境中使用。
  3. 传统恶意软件攻击发生演变,以使用更多云 API,例如 Microsoft Graph API,来登陆和扩展,我们已经在 Solarwinds 攻击以及 APT40/GADOLINIUM 等其他威胁制造者中看到了关于这一点的证据。
  4. 潜在API滥用导致对企业数据发起攻击,例如 OneDrive 等云存储服务上的勒索软件。
  5. 将 API 用于软件定义的基础设施也意味着潜在的滥用,从而导致基础设施被完全接管或为恶意目的创建影子基础设施。

 

面对在整个供应链和扩大的生态系统背景下部署物联网这一情形,物流和运输公司如何控制网络风险?

零信任和网络复原力是运输公司应采用的两项安全原则,作为管理风险的策略。

NIST Special Publication零信任将零信任定义为一套不断发展的网络安全范式,它将防御从基于网络的静态边界转移到用户、资产和资源上。零信任要求不得仅基于资产的物理或网络分段向资产授予隐含信任。例如,这非常适用于物联网 (IOT) 设备。

另一方面,网络复原力是指组织持续适配安全态势、快速检测和响应威胁的能力,以便在对抗条件下有效运作。如今的网络复原力需要基于零信任的安全架构,该架构与业务连续性和信息保护等其他保证实践相结合,以形成一个具有复原力的组织。像制造或医疗保健组织一样,运输公司被全球许多国家/地区视为关键基础设施。它们通过针对运营技术或云托管服务的网络攻击进行运营的能力,对业务成功和复原力均将至关重要。

由于零信任是一种架构原则和策略,因此更可能是一个要完成的旅程。但是,以下是一些好的起点:

在所有企业系统中实施持续监控。 监控不仅应进行日志收集和存储,还应主动监控整个企业的潜在恶意活动、关键系统或服务状态的变化或漏洞,以及异常用户活动。

获取有关企业资产和服务的尽可能多的信息。 IT 管理系统和最终用户设备之外,还需要发现设备和辨识设备。根据零信任原则,所有数据源和计算服务都是资源。因此,对设备的发现和辨识应扩展到云服务、BYOD、承包商拥有的 OT 自动化系统、供应商系统,企业员工对企业资源和企业数据的访问。

消除受信任的区域和细分资源块。关键的零信任原则是不单独根据位置或网段授予企业资源访问权限。这在工作场所和工业系统之间尤为重要,但也延伸到供应商或工人远程访问网络,以及关键业务和安全系统之间的细分块。

 

在数据越来越多地存储在由美国大型公司和不久后的中国公司拥有的云基础设施上,而这些公司的控制手段仍然薄弱的情况下,您如何看待数据的安全性和主权?

这是一个具有挑战性的问题,我认为我们需要采取三步法

第一,在我看来,无论是基于云的基础设施托管平台或自有的基础平台,保护客户数据免遭外部威胁者的盗窃都是第一要务。这是数据所有者(运输公司)和云服务提供商的共同责任。运输公司必须确保构建用于在云平台上运行的应用程序是安全的,并监控访问中的泄露迹象。云服务提供商必须确保 Iaas 和 Paas 组件安全,并提供必要的第三方认证作为已采取适当控制措施的证据。

其次,数据和应用程序所有者必须确保采用隐私保护设计方法,构建支持物联网系统的应用程序。将数据收集最小化,仅限于必要的项目,通过加密保护数据和遵守《通用数据保护条例》(General Data Protection Regulation, GDPR) 或Popia等当地隐私法规,对管理风险至关重要。

最后,政府机构、云提供商和行业应共同努力,确保对数字边界和解决方案的共识能够适应监管要求,而不会损害数据主权或隐私。

 

 

352 views