在过去的2015年上半年，网络安全攻击最引人注目的发展是从基于URL的网络攻击转变为依靠恶意文件附件的攻击。 根据安全公司ProofPoint最新的安全威胁报告显示，随着现如今的网络罪犯开始进行越来越多的恶意攻击活动，企业正努力跟上网络犯罪技术快速变化节奏。
根据该公司2015年六月的安全威胁报告显示，除了常规的修补新的漏洞和零日漏洞(zero-day exploit)之外，在过去的2015年上半年，我们还看到了利用工具包的进行安全威胁的快速变化。
包括臭名昭著的钓鱼工具包Angler Exploit Kit及其它零日漏洞，均展示了现如今，作为网络罪犯攻击基础设施的一部分，所突显出的日益增加的复杂性和利用工具包漏洞的附加价值。
正如Proofpoint公司所预测的那样，在2015年上半年，针对个人身份信息(PII)为目前所进行的网络安全攻击及利用恶意广告和勒索软件的攻击呈现出明显上升趋势。
社交媒体方面的安全威胁和相关立法尚未在2015年上半年发挥同等的影响力。但该报告指出，社交媒体安全攻击活动的趋势表明，针对演员的安全攻击威胁行为已经发现了社交媒体这一载体，并可能将在2015年下半年集中于社交媒体。
根据该报告，今年上半年的安全威胁有如下四大主要趋势：
·转向以附件为基础的攻击运动。
·网络钓鱼技术变化，针对企业用户。
·垃圾邮件信息的总量继续减少。
转向基于附件的攻击运动
根据该报告显示，2015年上半年最引人注目的安全威胁活动的发展经历了一项重大的转变：从2014年占主导的基于URL的安全威胁活动转变为依靠恶意文档附件来传播恶意软件的威胁。
恶意文档附件成为了迄今为止，2015年网络安全威胁攻击活动的主导，大量的附件和消息经由Dridex及其他僵尸网络传递出来。
这种安全威胁活动于2014年十月下旬首次出现，并在2015年初成为一大趋势，显示了安全威胁攻击活动的重大变化，并展示了网络罪犯迅速切换到新的战术和技术，以保持在不断变化的安全威胁领域领先地位的能力。
这些文档附件主要通过微软的Word文档承载恶意的宏，需要用户交互才能执行。通过结合各种文档模板，吸引最终用户，使恶意宏观混淆技术，这些安全威胁活动利用社会化的工程造成大量的威胁，且非常成功的避免了被杀毒软件检测到。
根据Proofpoint公司的研究人员介绍，这些网络犯罪分子已经复活了一批在很大程度上已经在2006年消失的掩蔽技术，通过恶意宏是因为其能够降低前期成本和维护成本，更高效率的创造网络罪犯分子的“杀手级应用”。
恶意宏也非常成功的逃避了传统的基于签名和基于信誉的防御系统，以及新的行为分析沙箱。他们很容易以较低的成本进行频繁的更新，因为他们是跨平台的，“无法打补丁的”，不受特定的操作系统或应用程序版本的漏洞限制。他们依靠社会化的最终用户交互来绕过自动防御系统，并且降低了前期和维护成本，增加投资回报率。
Proofpoint的研究人员说，正是由于这些原因，恶意宏附件的安全威胁活动无论是从其规模和发生频率方面，增长得如此之快也就毫不奇怪了。“我们可以预见，只有当当前的形势变化：要么是其费用增加或攻击效果的有效性减少，以使他们的投资回报率不再对等时，这种安全攻击才会开始消退。”该报告说。
Proofpoint发现，基于URL的针对基础设施的网络犯罪在2013年和2014年还仍然广泛的存在，其可以说是相当广泛和有效的，但报告说，这种攻击往往依赖于更高容量的不请自来的垃圾电子邮件来吸引用户。
相反，Proofpoint及其他相关研究人员已经发现Angler、RIG、Magnitude和其他工具包，在Web 服务器 和受感染的广告网络(恶意广告)背后，利用已知的和零日漏洞来提供主要的CryptoWall及其他种类的安全勒索行为。
六月下旬，Proofpoint的研究人员们检测到Sundown，这是一款相对较新的漏洞，删除了一个不寻常的远程访问木马(RAT)，这表明市场对于这些安全攻击威胁的吸引力仍然强大，足以吸引犯罪分子利用工具包让新的漏洞进入市场，尽管面临来自严厉的执法和少数高知名度占主导地位的漏洞检测工具包利用率增加的压力。
“随着新的工具包试图打入市场并站稳脚跟，预计攻击者们也将寻找新的方式来利用这些工具包的灵活性和市场营销力量来从哦你是网络犯罪行为。”报告称。
网络钓鱼技术变化，针对企业用户
以企业用户为攻击目标的网络犯罪行为是从2014下半年开始的，并在2015年的前六个月进一步发展，其往往是由攻击者发起不请自来的垃圾电子邮件的营销活动的形式，该报告说。
按照这一趋势，攻击者开始从社交媒体发出邀请诱惑进行攻击转变为吸引企业和个人的金融通信的诱惑。
在2015年头六个月，Proofpoint公司的Nexgate社交媒体安全研究人员发现，社交媒体继续成为黑客和骗子分发恶意内容从事攻击行为的高效渠道。
一个单一的网络钓鱼诱饵，恶意软件链接或垃圾邮件发布到一个高知名度企业的社交媒体可能会影响10000个或更多潜在的受害者。为了达到最大可能的受众，攻击者往往以品牌企业的社交媒体或高知名度的时事为目标。
报告称，借助社交媒体进行的网络攻击已经是一种国际性的现象，一项针对英国和美国的企业社会媒体威胁的比较显示：针对英国顶级品牌企业社交媒体的威胁的活跃度要高20%，两倍于未经授权的企业社交媒体账户;而美国顶级品牌企业遭受垃圾邮件骚扰比一般性企业多60%以上。
知名度高的企业社交媒体运营得成功意味着更大的受众群，这意味着一系列强大的商业利益，但报告说，这种成功也意味着更大的风险，因为这往往会吸引网络攻击者以这种受众群多的企业社交媒体账户为目标，使得一个成功的社会媒体账户往往最易被攻击，成为客户被损坏风险的一个重要的环节。
致力于打造社会化媒体品牌的企业需要管理风险。该报告同时指出，控制安全风险的最佳实践在于积极的防止黑客，过滤恶意内容，并确保对相关合规性规则的严格遵守。
该报告称：“借助恰当的工具，企业将能够定位、识别和应对针对其社会媒体账户的安全威胁，特别是当他们严格遵循合规性原则，使他们能够更接近一个交叉点，得以借助相应的工具和技术自如的应对网络钓鱼和其他传统的网络安全威胁。
在不请自来的垃圾邮件总量继续减少
虽然整体上而言，自2014年以来，不请自来的垃圾邮件的数量已经大幅减少了，该报告说，但网络攻击者开始进行规模更小、更恶意的攻击活动。
“这不仅代表了勒索和其他网络敲诈技术应用的日趋广泛，同时也反应出了大量通过垃圾邮件发送的恶意软件可以通过防病毒方案逃避检测的事实。”该报告说。
据Proofpoint的研究表明，攻击者能够较之企业更迅速地改变了他们的技术，尤其是在针对最终用户已接受相关技术培训后，更能在第一时间迅速调整。
“抵御今天的网络安全攻击，需要整合先进的应对网络安全威胁的解决方案，包括威胁情报和事件响应能力。”该安全公司表示说。
报告建议，企业应该采用先进的威胁检测系统，使用动态的恶意软件分析和预测分析，以便可以检测和阻止新一代复杂的网络安全威胁，能够很容易地避开传统的基于签名和基于信誉的防御。
该报告还建议企业遵循并采用如下措施：
·对网络安全威胁实施自动化响应，以减少从检测到遏制的时间。
·把强大的、全面的威胁情报纳入其数字取证和事件响应工具和过程。
·强制执行安全性和内容的整合，如电子邮件和社交媒体的加密和归档，以企业中保护任何有价值的沟通渠道。
“电子邮件和社交媒体是当前网络攻击犯罪分子最常用的且最有效的网络安全攻击手段。”该报告说。
电子商务安全策略的基本原则
一、网络节点的安全 1．防火墙 防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。 通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。 2．防火墙安全策略 应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。 安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。 所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。 仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。 3．安全操作系统 防火墙是基于操作系统的。 如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。 所以，要保证防火墙发挥作用，必须保证操作系统的安全。 只有在安全操作系统的基础上，才能充分发挥防火墙的功能。 在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。 二、通讯的安全 1．数据通讯 通讯的安全主要依靠对通信数据的加密来保证。 在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于： （1）客户浏览器端与电子商务WEB服务器端的通讯； （2）电子商务WEB服务器与电子商务数据库服务器的通讯； （3）银行内部网与业务网之间的数据通讯。 其中（3）不在本系统的安全策略范围内考虑。 2．安全链路 在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。 目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。 浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。 建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。 三、应用程序的安全性 即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。 程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。 整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。 不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。 这些缺点都被使用到攻击系统的行为中。 不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。 缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。 程序不检查输入字符串长度。 假的输入字符串常常是可执行的命令，特权程序可以执行指令。 程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。 例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。 只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。 四、用户的认证管理 1．身份认证 电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。 CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。 个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。 2．CA证书 要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。 CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。 建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。 验证个人证书是为了验证来访者的合法身份。 而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。 五、安全管理 为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。 对于所有接触系统的人员，按其职责设定其访问系统的最小权限。 按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。 建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。 定期检查日志，以便及时发现潜在的安全威胁
DDoS攻击导致服务器瘫痪，怎么预防DDOS攻击？
DDoS攻击方式对攻击者的技术水平要求不高，只需在一些网络安全论坛学习一些基础的网络安全知识，然后购买DDoS攻击软件和肉鸡，就可以随时发起攻击。 攻击软件一般是包月购买，可以不限次数的攻击任意网站，攻击成本如此之低，导致很多人铤而走险，让DDOS攻击事件越来越多。 在墨者安全高防多年的防御数据显示，教育、游戏、电商等产业已经成为DDos攻击的重灾区。 此外，网络云服务也是被重点攻击的目标。 而被攻击的对象普遍存在的问题是：缺少专业网络安防人员，缺少应对网络攻击的有效措施。 很多机构企业遭攻击，很大原因是由于安全防护工作不到位。 墨者安全防护专家表示，网络勒索不仅严重干扰了正常经济秩序，对我国网络安全也构成极大威胁，必须提高重视。 对于大型的企业、政府单位来说，应该采用一些更有效的预先防范机制，除了做好服务器高防硬防外，定期更新服务器系统补丁，做好应急备份系统，一旦受到攻击可以最大可能的减小损失。
现在理财规划师证书都有哪些，颁发机构分别是哪里？哪种是最权威，最有含金量的？谢谢！
理财规划师的资格考试，是有2个大的分类。 一个是由国家劳动保障部现在叫人社部组织考试的，在国内作为从业资格的考试，英文简称ChFP，分为助理和中级两个级别，高级的全国不组织考试，各省有。 另一个是中国金融委员会组织的，可以在世界范围承认的，中国金融标准委员会是获得了世界金融委员会的授权，所以颁发证书是世界编号，助理是AFP，中级是CFP。 他们考试的要求也是不同。 分开来说。 1、 中国人社部的考试，专科学历可以参与考试。 主要是要求提供大专毕业证书，但是要求工作经验必须2年以上。 但是，如果找当地的培训机构挂靠，他们可以帮你进行证明。 只要年龄上具备毕业以后工作2年，具体的操作交给他们就好。 至于这2年是不是在金融机构单位工作，不要紧，他们有办法。 2、 金融标准委员会的考试。 原则上是要求本科学历，同时要求工作经验，好像本科学历毕业后1年相关工作经验就可以。 但是，参与这个考试，必须是由金融机构作为用工单位推荐，才可以报名。 最后含金量的，毫无疑问的是后者，国外，外资行，外资机构，都是认后者的。 前者在国内是从业资格，考试出题都是由中国金融理财协会的理财专家出题，一直想提高地位，和后者等齐，可实际上根本做不到。
发表评论