CISA與NSA警告：全球必須重視資訊安全

編譯／Cynthia

資訊安全一直以來都是台灣及全球企業和機構極為關切的議題。然而，最近美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）和美國國家安全局（National Security Agency，NSA）釋出的警告表明，即便具備高度資訊安全防護的機構，也有可能深受前十大最常見資訊安全配置錯誤的威脅。本文將深入探討這些錯誤，以及如何透過安全設計原則來降低風險。

配置錯誤的真相，解密前十大隱患

1. 軟體配置預設設定：為駭客開放攻擊大門，很多組織疏忽修改軟體預設設定，導致駭客輕易入侵系統，這也是駭客經常針對這些易受攻擊的設置下手。

更多新聞：中小企業的未爆彈：低估網路安全風險

2. 權限不當分離：如果權限控制不當，駭客將有更多的機會進行入侵。嚴格的權限分離是保護敏感資料的重要步驟。

3. 網路切割不足：有效的網路切割可以將風險局限在特定區域，但許多組織忽略了這一點，使整個網路成為駭客的目標。所以有效網路切割限制風險擴散的關鍵

4. 網路監控不足：缺乏有效的監控系統使組織難以偵測潛在的威脅，有效監控是提早發現和應對威脅是維護資安的重要一部分。

5. 修補程式管理不善：未及時更新和修補軟體使組織容易受攻擊，良好的修補程式管理是維護安全性及即時修補漏洞必要性的關鍵。

6. 繞過訪問控制：如果訪問控制未妥善設置，駭客有可能繞過許可權限制，取得未經授權的訪問權限。

7. 憑證管理不當：不恰當的密碼管理容易被駭客利用，強化憑證管理是抵擋密碼攻擊的重要關鍵手段。

8. 多因素身份驗證不當：多因素身份驗證是提高帳戶安全的有效方法，但不當的設置可能無法發揮其效用。

9. 網路共享上的訪問控制列表不足：未適當限制網路共享的訪問權限可能使機密資源受到威脅，故共享訪問權限管理是保護共享資源的必要性。

10. 程式碼執行不受限制：缺乏程式碼執行的限制可能導致潛在風險，駭客可以利用這些漏洞，易造成潛在的風險增倍。

緩解措施，遵循安全設計原則

CISA和NSA強調，透過安全設計原則，組織可以降低這些配置錯誤的風險。軟體開發者可以刪除預設設定、強化配置、停用未使用的服務、實施訪問控制、進行有效的修補程式管理、審查和限制管理帳戶和權限。此外，組織應該測試並驗證其安全程序，確保應對MITRE ATT&CK for Enterprise框架中的威脅行為。

提升企業及組織資訊安全的關鍵

資訊安全配置錯誤是一個全球性的問題，但台灣及全球企業和機構可以透過遵循安全設計原則，降低風險。CISA與NSA提供的建議有助於提高企業組織的資訊安全水準，確保資產和業務的順利運作。保護數位環境安全是我們共同的責任，讓我們攜手合作，確保資訊安全不受威脅。

資料來源：SecurityWeek

瀏覽 455 次