中小企业防御网络攻击的 6 种方法
网络安全是当前一个非常热门的话题，网络泄密、系统瘫痪、斯诺登事件......都在不断挑战所有人互联网人的神经。大家都在担忧自己的隐私会不会被泄露出去，公司的敏感信息怎么来保护。当然，这也是一个非常好的现象，说明现在大家的安全意识已经越来越高了！
但是，也有一些不好的现象，比如很多公司的管理层认为，网络安全是大公司才需要考虑的事情，小型的创业公司并没有什么价值吸引黑客来攻击。在笔者看来，这种想法是非常危险的，任何一点点疏漏都可能给企业带来「灭顶之灾」 。但是，很多小公司受限于技术水平，又很难应对网络攻击。本文就来介绍中小企业该如何准备和应对网络攻击，避免自己的信息泄露和财产损失：
为什么黑客要攻击中小企业呢？
诚然，对黑客来说攻克大公司的网络绝对是名利双收的事情：拿到非常多有价值的东西，能够上新闻头条。但是大公司的安全防范和追踪能力都是非常高的，对黑客而已，成本和风险也都随之提高。对于中小企业，安全防范比大公司要低多了，同时有价值的东西也绝对比个人要高非常多。 所以中小企业绝对是黑客最理想的目标和「点心」。
另外一点，就是中小企业安全防范意识比较差，黑客也非常清楚这一点，研究证明：97%的中小企业在将来的业务发展中不重视网络安全，82%的中小企业认为他们没有什么有价值的东西值得黑客来攻击，只有23%的中小企业人他们担心自己的信息被偷窃。
数据还是有点「触目惊心」的，对于特别小的企业，黑客可能没有兴趣专门做针对性的攻击，但是也很难避免广泛的扫描性的攻击，这些攻击都是通过软件自动化对所有网站进行扫描，只要您的网站一上线，可能第一个用户就是各种漏洞扫描工具的攻击。
现在网络上已经没有任何「私人花园」的存在了。这种攻击成本是非常低的，一旦发现你的漏洞，就可以以极小的代价攻破您的网络，一旦攻破，你的网站将被黑客接管，所有有价值的信息都被一扫而空，然后您的网站将可能成为一个「肉鸡」，成为网络攻击的一环。对黑客来说这也是非常有价值的事情。
当然现在有很多关于网络安全事件的报道，很多人都已经有这方面的意思了，但是大家对如何如何防范网络攻击还是没有头绪。下面笔者将一一进行介绍：
网络攻击的常见类型
通常来说，网络攻击的目的是窃取和利用敏感信息比如信用卡号、个人身份证、客户信息等等，黑客可以利用这些信息直接窃取客户的财务或者滥用个人信息牟利。网络攻击的手段和动机多种多样：比如网络黑客或者网络罪犯可能是不加区分的攻击，然后攻击尽可能的的目标以获取尽可能多的敏感信息，也可能是去持续的攻击某个特定的目标，也有可能是前雇员为了报复前雇主，还有可能是内部员工为了牟利窃取内部机密。
不管动机如何，网络攻击通常有以下几种常用的攻击方式和手段（由于篇幅和能力的限制，这绝对不是潜在攻击的详尽列表），但是对于这几种非常常用的攻击方式大家还是应该了解一下到底是什么，如何进行防御：
APT 高级持续攻击
这种最近几年进行的新型高级攻击方式，它是针对特定的目标进行持续、分阶段的进行攻击，没有有特征码，没有明显的危害行为。防火墙、杀毒软件以及沙箱基本上是根据特征库和行为方式进行防御，对 APT基本上是无能为力。APT 攻击在大部分时间就是一个普通的进程，没有任何威胁，它可以潜伏很长时间，也可以从底层员工逐步渗透到高层员工的电脑里面，一旦找到有价值的信息在很短的时间发起攻击。一个 APT 通常可以分为五个阶段，它们是侦察（研究和了解目标），入侵（通过常用方式将攻击程序嵌入，比如个人简历等），发现（不断渗透发现有价值的目标），捕获（通过长时间来采集数据）和渗出（通过正常途径将敏感信息发出）。
漏洞攻击
漏洞是因为程序的 Bug 导致的，分布范围非常的广泛。从系统角度来看，有路由器、防火墙、服务器的漏洞等。从软件角度来看有操作系统漏洞、服务器容器漏洞、第三方软件漏洞、各种协议的漏洞以及自己编写的应用程序的漏洞。比如「心脏出血漏洞」就是加密通讯软件 OpenSSL 的一个漏洞导致。通常黑客通过扫描工具对一定范围的服务器进行扫描找漏洞，这种成本很低，但是只能找到一些通用的漏洞，大公司一般都会及时修复。还有就是对高价值的服务器进行专门的漏洞挖掘。黑客找到漏洞了，攻击就是比较容易的事情了。漏洞防范需要投入大量的人力和物力，并且总是出现百密一疏的情况。
DDoS: 分布式拒绝服务
其主要目标是通过巨量网络访问，使目标服务器负载超出设计能力，服务器瘫痪，无法为用户提供服务。如果用户完全依靠被攻击服务器，就可以达到完全拒绝服务的效果。
内部攻击
内部攻击是最难防范的，大部分成熟的软件可能都没有把这种当成一种攻击，一般有这几种情况发生：有管理员权限的员工故意或者误操作访问公司敏感信息，含恨离开但是还拥有访问权限的员工恶意访问公司敏感信息（这种情况通常通过加强管理和签订保密协定来解决），还有就是黑客通过提升权限或者攻入网络模仿内部访问的方式取得敏感信息。
恶意软件
这是对所有植入目标系统并对系统进行破坏和未授权访问的所有软件的统称，包括病毒、间谍软件、蠕虫、木马和键盘记录器、勒索等等。更多的恶意软件请搜索百度。
密码攻击
破解密码是黑客获取目标帐户和数据库最简单的方式。有三种主要类型：暴力破解，通过不过猜测并尝试知道找到正确的密码；字典攻击，它使用一个程序尝试字典中的单词的不同组合；按键监控，追踪用户所有的按键，包括登录 ID 和密码。
钓鱼网站
这是通过部署方式进行攻击的最常见方式，黑客通过发邮件或者第三方网站嵌入虚假连接的方式将客户引入一个和原来网站外形非常相识的假网站，盗取用户的个人信息以及登录认证信息。现在各方对钓鱼网站的认识和重视越来越高，比如通过搜索引擎出来的结果都是可信的，大的官方网站也不断的屏蔽钓鱼网站，中钓鱼网站攻击的人也相应的降低了。但是黑客的攻击方式也越来越高明，企业还是要对最这方面的攻击保存足够的重视。
中小企业在安全保护上一些误区
当然，大公司有更多的资源和人力投入到安全保护中来，很多安全问题都能得到快速和及时的处理，而对于中小企业来说就没有这么多的预算和安全人才来专门进行安全方面的保护。但是缺乏资源不是不就行安全保护的接口：安全至关重要，今天也许没有遭到黑客的攻击，但谁能保证未来一定不会呢？其实可能遭到攻击自己都不清楚。
现在越来越多的数据都在网络上能访问到，这对黑客的吸引力越来越大，再加之现在计算机技术的运行速度越来越快，攻击手段越来越多，黑客大规模扫描和破解密码的成本越来越低，也越来越简单。对所有企业而言，安全保护变得越来越重要。
但是中小企业对安全保护认识度还不够，存在以下几方面的误区：
没有安全防护行动计划：Towergate infographic 研究标明31%的中小企业没有应对网络攻击的行动计划，22%的小企业根本不知道安全防护从哪里开始。在中国中小企业设备「裸奔」的情况更加严重，大多数企业就是买一台防火墙就认为万事大吉了。其实安全防护需要一个比较完整的行动计划。一旦网络攻击发生，在应对已经晚了。
自我感觉很安全：很多中小企业认为安全是政府的事情，出了安全事故有公安机关来追查，但是网络攻击时非常复杂和隐蔽的，政府的防火墙和保护措施在很大程度上是覆盖不到企业的。出了问题追查是非常复杂的事情。还有企业认为自己没有什么可以被黑客惦记的，实际上现在黑客技术的发展非常快，普通用户的攻击成本是非常低的，实际上很多时候攻击已经发生，信息已经泄密了。只是自己不知道而已。
对内部「黑客」监控忽视：在大部分中小企业，特别是一些初创企业，认为大家都是自己人，没有任何安全流程和规范。对内部人疏于监管。但事实上很多信息敏感信息都是内部人员泄露的，「近水楼台先得月」。内部人员具备非常好的有意或者无意泄密条件，现实比你想象得更严重，据美国欺诈审查员协会统计，全球内幕欺诈2014总共涉案3.7万亿美元。
不愿意在安全防护上投资：企业主对安全防护的重视程度还不够，很多人认为安全是可有可无的问题，但是强大的安全防护对现代企业来说是至关重要的事情，尤其是对那些在线公司，重要数据都可以通过网络访问得到。大多数企业在开发过程没有对漏洞进行检测，即使检测了也是扫描一次就结束了，事实上安全防护是一个持续的过程，网络攻击时刻在发生，攻击手段时刻在变化。在安全问题上没有「一劳永逸」的事情。
市面上可供选择的解决方案：
其实，安全防护是一项非常专业的工程，大部分公司不具备网络防护的能力，采购现有的安全防护产品和解决方案是最快速和经济实惠的方案，一下介绍常用的安全解决方案：
一、杀毒软件：主要用于个人电脑和终端，基于特征病毒库，恶意软件库查杀已知的恶意软件。优点是价格便宜，甚至免费。缺点是是只能防范最常见的攻击，无法对 APT，数据泄密进行保护，有一定的性能消耗，有可能会收集个人信息。建议还是安装业内信誉好的杀毒软件，这是基础防护。
二、网络防火墙：是目前最广泛使用网络防护工具，只需要在流量入口部署就可以防护整个公司的网络，能防范一些常用的网络安全攻击。确定就是只是分析网络流量，对精确的应用层攻击无能为力，有很多的「FQ」技术可以绕过，在云平台等没有边界的环境里无法使用。
三、Web 应用防火墙(WAF)：这是专门应对应用网络攻击的方案，相对网络防火墙，WAF 能解析常用的应用层协议，初略的理解数据流，能应对常见的 Web 应用网络攻击。缺点就是不理解应用程序的上下文，误杀率比较高，配置过于复杂，需要既理解 WAF 同时理解特定的应用程序的专业人士进行管理，管理成本比较高。同样也存在「FQ」绕过的问题，在无边界的环境里也不适用。
四、运行时应用程序自我保护（RASP）：这是2014年 Gartner 提出的一个全新的解决方案，现在绝大多数数据访问都是通过应用程序进行访问，因此80%的网络攻击也是发生在应用层。上文提到 WAF 部署在应用程序前面并不理解应用程序的上下文，只是通过特征库，正则表达式等方式去猜测用户的输入是否有攻击行为，这种方式导致误杀率比较高，同时配置复杂，使用成本比较高，研究人员就根据安全软件开发实践，研究出在应用程序内部，在应用程序运行时进行保护是最有效的，保护程序洞悉上下文，可以在数据访问的关键点进行保护，这样在精确性、性能、不可绕过、可以防护零日攻击以及低使用成本方面是 WAF 无法企及的。
RASP 对攻击的可视性、对攻击精确到代码级别已经几乎零误差的防护是非常值得称道的地方。当然它有缺点：输入嵌入式保护，需要将保护代码和应用程序绑定在一起，如果保护代码质量不高会直接影响应用程序的性能。是针对语言的保护，每种语言需要单独开发。概念很新还没有大规模的推广使用。目前推出 RASP 的厂家并不是太多国外有 Waratek、HP 等，国内目前只有 OneRASP。
五、数据备份软件：数据是企业的基石，当数据系统损坏时，有备份数据能最大限度避免损失。加密软件：通过加密软件对敏感信息和传输通道进行加密至关重要。
六、密码保护系统：密码是访问数据的唯一凭据，单一校验已经不足以保护安全，两步校验和专门的密码安全软件也是非常必要的。
安全需要全面保护，没有任何一种解决方案能保护所有的数据，多层次多维度保护才是正确的解决方案，企业需要将各种方案整合起来形成一个安全保护的闭环，企业安全才能得到最大的保障。
安全最佳实践和良好习惯
虽然购买安全防护产品能解决你很大部分的问题，但是良好的安全习惯的流程也是保护公司财产重要一步，包括以下几个方面：
（一）及时更新补丁，上文说道，漏洞攻击是非常危险的攻击，防止漏洞的最佳办法就是将所有使用的软件保持最新版本，这样就能防范已知的漏洞，也就杜绝了绝大多数安全攻击。
（二）受过良好安全教育的团队是安全防范最重要的一点，让员工了解黑客攻击的主要工具和途径，让员工及时意识到什么情况系统遭受的网络攻击，这样就能快速的防范和修复攻击。同时让员工充分了解如何正确安全的使用公司资源和网络也是至关重要的。
（三）制定和实施正确的安全政策是能有效防范安全攻击，比如强制员工使用强密码能有效降低暴露破解和字典攻击的成功率，明确制定每个员工的安全职责，对于敏感信息的访问进行严格控制，严格管理离职流程能有效降低内部攻击。
（四）制定明确完整的安全防范计划，防范于未然是最佳的解决办法，制定事故发生的预案也是非常重要的。当事故发生时根据预定方案进行修护，能及时恢复系统，保障系统稳定运行。
最后倡议每个企业的管理者不断提高安全意识，加大对安全的投入，确保公司财产和信息不受侵害！
