最近一段时间，企业被恶意软件和勒索病毒攻击占据了新闻的头条，恶意软件和黑客获得了关键任务基础架构的访问权，控制了系统并窃取了数据。似乎也没有一个星期我们没有读到成功的大规模勒索软件攻击的消息。无论是通过将复杂的代码注入到受信任的软件中还是通过单击单击编写良好的网络钓鱼电子邮件，都可以突破网络安全范围，结果是相同的。用来保护您数据的坚硬椰子壳已被破解，网络罪犯现在可以访问您的系统，从而可能像椰子奶一样耗尽并控制您的数据。

随着安全威胁的发展和适应，组织对威胁的响应也必须随之而来。微软的2020数字防御报告清楚地表明，威胁行为者的技巧已经迅速提高，并且正在使用很难检测到的技术。这些威胁行为者纪律严明，上进心强，而且常常由国家赞助无限的资源。最近的SolarWinds攻击是计算攻击的主要示例。通过使用恶意代码入侵，攻击者能够获得对可信安全性声明标记语言（SAML）令牌签名证书的提升特权，并能够添加自己的特权凭据。一旦攻击者获得了访问权限，就更容易使漏洞在系统和环境之间移动而不会发出任何警报。这种针对性攻击对其他组织提出了一个很好的问题……“我最宝贵的数据，真的安全吗？”

防御层减轻了这些攻击

关于如何防止此类攻击，每个组织应遵循一些最佳实践。通过添加围绕数据的分层防御（可以说保护目标，有价值的椰汁本身）来阻止这些攻击者，这些最佳实践中的许多易于实施，而且功能强大。

并非所有加密解决方案都是平等的

由于其在保护端点设备方面的成功，许多组织已经部署或考虑将Full Disk Encryption（FDE）部署到其数据中心。FDE在端点上起作用，因为如果设备被盗，则无法使用数据。这种情况很少（如果有的话）发生在数据中心，因为高风险不是磁盘被物理窃取，而是远程未经授权的磁盘访问。

许多管理人员和审计人员可能没有意识到，一旦存储设备加电，FDE就无法提供保护，所有数据都是明晰的。因此，FDE无法提供审核性或保护，使其免受高级持续性威胁，恶意软件或恶意内部人员（例如管理员）的侵害。对数据中心和云存储的最可能威胁。

对于后端系统（例如文件服务器，网络服务器或基于云的存储）上的企业数据，最大的威胁是外部攻击者的渗透和未经授权的访问，受信任的内部人员的欺诈或盗窃以及由以下人员造成的非恶意错误：授权，良好的用户。在这些威胁情形下，只要这些后端系统在线，可用和可访问，即使已经成功实现了未经授权的访问，文件级加密（与FDE不同）都可以积极地保护组织的数据。为了更仔细地研究数据中心系统的网络攻击风险和缓解措施，我建议您阅读Aberdeen Group的“为后端系统中的“静态数据”选择加密：您要解决的风险”。

为了加强数据中心和云中的静态数据，使其能够抵抗突破您的外围的网络攻击，您的加密解决方案必须提供更多的控制和防御层：

• 应用程序白名单和签名

数据保护不得以用户为起点和终点。服务器中正在运行什么，哪个应用程序正在访问数据以及它们如何访问数据与用户访问控制一样重要。恶意软件使用诸如代码注入之类的复杂技术在系统上运行并获得对数据的访问权。理想的数据安全解决方案不仅可以加密，而且还提供一种检查应用程序签名完整性的方法，以防止感染多态恶意软件的应用程序访问受保护的数据。

• 设备保护和职责分离

安全链中最薄弱的环节是管理，管理和操作其计算机系统的人员。集中式密钥管理通过使密钥监视，轮换和删除更加容易，同时又划分了职责，从而提高了安全性，从而使单个管理员无需对整个环境负责。

• 系统审计

安全信息和事件管理（SIEM）解决方案可以监视实时事件和大量长期数据，以发现异常的使用模式，确定可能的威胁以减少误报，并在需要时向组织发出警报。SIEM解决方案是强大的工具，但对受保护的数据可能造成的威胁却视而不见。通过将SIEM工具与详细的日志信息结合在一起，您可以识别异常过程和用户访问模式以进行调查。例如，您可能会看到管理员或进程在通常使用的数据量很少时突然访问了数据量，或者审核员访问了与其工作无关的数据库部分。这通常是勒索软件或恶意软件试图控制您系统的早期信号。

如何缓解攻击

CipherTrust透明加密是CipherTrust数据安全平台中部署最广泛的数据保护产品之一。它提供静态数据加密、细粒度的访问控制，应用程序白名单功能，系统审核，并使组织能够防止此类复杂的攻击。它通过对文件、卷、数据库、容器和大数据的基于策略的访问控制来保护结构化和非结构化数据，无论其位于何处（本地和混合云环境中）。

随着计划周全的攻击持续增长，组织应尽其所能为自己配备合适的工具以确保其数据安全。此过程的最终目标是将未知信息变成已知信息，并以比攻击者可以开发其恶意代码和攻击更快的速度提供保护，从而改善总体安全状况。

要了解CipherTrust透明加密如何帮助您的组织保护其敏感数据，请阅读CipherTrust透明加密白皮书。

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

• 数据库访问控制：揽阁LGPAC系统

• 通用HSM：Luna HSM、ProtectServer HSM

• 支付HSM：payShield 10K

• KMS产品：CipherTrust Manager、Vormetric、KeySecure

• 数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密

• 网络传输加密：Thales High Speed Encryption（HSE）

• 身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！

相关阅读

• SK Telecom与Thales合作开发后量子密码学

• 勒索软件制裁：有什么影响？

• 经验教训：2023年全球网络安全的五个要点

• 数据安全的未来是什么

• 保护云前沿：应对多云时代 SaaS 数据保护的复杂性