關(guān)鍵數(shù)據(jù)保護(hù)與勒索攻擊矛盾突出 360專家稱亟待建立數(shù)字安全體系

原創(chuàng) 贊收藏 評(píng)論

舉報(bào) 2022-03-11

掃描,分享朋友圈

近日，黑客組織LAPSUS$對(duì)芯片巨頭英偉達(dá)和科技巨頭三星接連成功實(shí)施勒索攻擊，涉及兩家公司產(chǎn)品、用戶的核心數(shù)據(jù)和敏感數(shù)據(jù)。

據(jù)悉，在這次網(wǎng)絡(luò)攻擊中，Lapsus$從英偉達(dá)獲取到的數(shù)據(jù)超過(guò)了1TB ，包括原理圖、驅(qū)動(dòng)程序和固件細(xì)節(jié)，以及71355名員工的電子郵件地址和NTLM 密碼等敏感工作數(shù)據(jù)和個(gè)人數(shù)據(jù)。

不久后，該組織又攻擊了三星，被竊取的數(shù)據(jù)包括了在三星TrustZone 環(huán)境中安裝的受信任小程序的源代碼、生物特征解鎖操作的算法、最新三星設(shè)備的引導(dǎo)加載程序源代碼、高通的機(jī)密源代碼等，數(shù)據(jù)量超過(guò)了190G。最可怕的是Lapsus$團(tuán)隊(duì)沒有要贖金、也沒有和三星進(jìn)行溝通，就直接把三星的數(shù)據(jù)放到服務(wù)器上公開讓人下載。

“在數(shù)字化時(shí)代，數(shù)據(jù)驅(qū)動(dòng)業(yè)務(wù)，越來(lái)越成為被攻擊對(duì)象，一旦數(shù)據(jù)遭到攻擊，很可能造成業(yè)務(wù)的停擺”，360集團(tuán)創(chuàng)始人周鴻祎曾如此分析勒索攻擊，他認(rèn)為小m賊、小黑客已經(jīng)成為歷史，高級(jí)別專業(yè)力量正在入場(chǎng)，大型企業(yè)成為網(wǎng)絡(luò)攻擊的首選目標(biāo)。此次LAPSUS$針對(duì)英偉達(dá)、三星、沃達(dá)豐、南美電子公司等實(shí)施的一系列動(dòng)作正是南美專業(yè)黑客組織對(duì)大型企業(yè)發(fā)起的、以數(shù)據(jù)為對(duì)象的網(wǎng)絡(luò)攻擊。

據(jù)報(bào)道，LAPSUS$針對(duì)英偉達(dá)的勒索最初源于該公司對(duì)其RTX 30系列產(chǎn)品施加的挖礦限制，隨后勒索團(tuán)伙的要求不斷增加。有消息稱，LAPSUS$近期曾發(fā)布匿名投票，對(duì)接下來(lái)泄露數(shù)據(jù)的公司進(jìn)行評(píng)選，公司涉及英國(guó)電信沃達(dá)豐、葡萄牙媒體集團(tuán)、南美電子商務(wù)公司。

近年來(lái)，全球勒索攻擊正呈爆發(fā)式增長(zhǎng)。有調(diào)查報(bào)告顯示，2021年每11秒將發(fā)生一次勒索攻擊，帶來(lái)的直接經(jīng)濟(jì)損失超過(guò)300億美元，這個(gè)經(jīng)濟(jì)損失是2015年的57倍。

針對(duì)此次事件，360天樞智庫(kù)資深專家姚領(lǐng)田有三點(diǎn)分析：

一是勒索攻擊已呈現(xiàn)向多元化訴求發(fā)展的趨勢(shì)。勒索訴求可能不再局限于贖金，如企業(yè)決策影響、政府政策影響，甚至政治訴求等。正如此次LAPSUS$針對(duì)英偉達(dá)的勒索攻擊，訴求在于解除對(duì)其產(chǎn)品施加的挖礦限制而并非贖金要求，此次的俄烏沖突也帶出來(lái)各種網(wǎng)絡(luò)攻擊。這些事例無(wú)不說(shuō)明社會(huì)物理空間的勒索犯罪正在向網(wǎng)絡(luò)虛擬空間的勒索攻擊投射。

二是對(duì)知識(shí)產(chǎn)權(quán)、核心數(shù)據(jù)、機(jī)密數(shù)據(jù)等關(guān)鍵數(shù)據(jù)的保護(hù)與勒索攻擊頻發(fā)的矛盾愈加突出。有公開信息表明，在此次三星遭遇勒索攻擊事件中，三星和高通的核心數(shù)據(jù)受到威脅，而雙方曾簽署多項(xiàng)協(xié)議，內(nèi)容涉及各種技術(shù)領(lǐng)域和一系列移動(dòng)設(shè)備。可見，數(shù)據(jù)安全關(guān)系組織運(yùn)營(yíng)乃至生存，合規(guī)解決不了安全問(wèn)題，基于數(shù)字安全理念的綜合防御、體系防御、整體防御是應(yīng)對(duì)安全問(wèn)題的解決之道。

三是三重勒索攻擊將數(shù)據(jù)安全問(wèn)題引入供應(yīng)鏈安全。盡管LAPSUS$尚未表明對(duì)三星實(shí)施勒索攻擊的意圖，但針對(duì)三星的勒索事實(shí)上已經(jīng)將高通卷入三重勒索范圍，有理由預(yù)計(jì)，未來(lái)高通也大概率將在此事件中被LAPSUS$呼叫，關(guān)鍵看三星下一步的應(yīng)對(duì)之道。

此次三重勒索的出現(xiàn)，正是因?yàn)槠髽I(yè)供應(yīng)鏈環(huán)節(jié)復(fù)雜、暴露面多，任何一環(huán)節(jié)被攻擊者利用便會(huì)引發(fā)雪崩效應(yīng)，造成不可估量的影響。近年來(lái)，網(wǎng)絡(luò)攻擊者通過(guò)入侵軟硬件產(chǎn)品的供應(yīng)商，實(shí)現(xiàn)對(duì)政企應(yīng)用場(chǎng)景的連鎖突破，已經(jīng)成為常態(tài)化攻擊方式。因此，360高級(jí)威脅研究院也提示，未來(lái)的攻擊可能來(lái)自于任何“短板”。

針對(duì)當(dāng)前的數(shù)據(jù)安全痛點(diǎn)，360安全專家提出了四點(diǎn)建議：

一是建立數(shù)據(jù)安全治理體系，委派高管牽頭負(fù)責(zé)數(shù)據(jù)安全治理工作，根據(jù)《數(shù)據(jù)安全法》等法規(guī)的監(jiān)管要求開展自身數(shù)據(jù)分類分級(jí)工作，對(duì)企業(yè)數(shù)據(jù)實(shí)施分類分級(jí)管理，分類分級(jí)結(jié)果與數(shù)據(jù)存儲(chǔ)、權(quán)限、脫敏、開發(fā)等措施掛鉤，實(shí)現(xiàn)體系管理；

二是建立以數(shù)據(jù)為中心、覆蓋全生命周期的數(shù)據(jù)安全防護(hù)體系。在數(shù)據(jù)全生命周期的各個(gè)階段部署關(guān)鍵的安全保護(hù)措施，確保各個(gè)環(huán)節(jié)的數(shù)據(jù)可管可控；

三是定期開展風(fēng)險(xiǎn)評(píng)估和數(shù)據(jù)安全成熟度評(píng)估，并通過(guò)實(shí)網(wǎng)攻防以及安全應(yīng)急響應(yīng)演練，及時(shí)改進(jìn)公司中存在的風(fēng)險(xiǎn)，一旦發(fā)生安全事件后能及時(shí)響應(yīng)，并做出最合適的反應(yīng)措施，從而把損失降低到最小；

四是建立健全全流程數(shù)據(jù)安全管理制度，組織開展數(shù)據(jù)安全教育培訓(xùn)，增強(qiáng)員工數(shù)據(jù)安全意識(shí)，提高企業(yè)自身數(shù)據(jù)安全能力。

同時(shí)，360作為全球最大的數(shù)字安全公司，已于2021年即推出了行業(yè)首個(gè)大數(shù)據(jù)安全能力框架，由基于數(shù)據(jù)安全大腦的數(shù)據(jù)安全治理、數(shù)據(jù)攻擊面防護(hù)、數(shù)據(jù)訪問(wèn)控制、數(shù)據(jù)專家運(yùn)營(yíng)四部分組成，通過(guò)這套數(shù)據(jù)安全方案，企業(yè)可實(shí)現(xiàn)數(shù)據(jù)基礎(chǔ)設(shè)施安全防護(hù)、數(shù)據(jù)資產(chǎn)及數(shù)據(jù)活動(dòng)的透明、可信、安全、可控。

本文系作者授權(quán)數(shù)英發(fā)表，內(nèi)容為作者獨(dú)立觀點(diǎn)，不代表數(shù)英立場(chǎng)。
轉(zhuǎn)載請(qǐng)?jiān)谖恼麻_頭和結(jié)尾顯眼處標(biāo)注：作者、出處和鏈接。不按規(guī)范轉(zhuǎn)載侵權(quán)必究。