疫情下六招保護供應鏈不受網路攻擊

投機駭客鑽疫情漏洞,導致供應鏈網路的攻擊風險大增。
2020 年 09 月 08 日 •

新冠疫情對健康照護系統及經濟造成混亂之際,部分惡意網路罪犯充分利用注意力轉移及現有漏洞,針對企業發動網路攻擊。

在許多情況下,駭客攻擊成功,其中知名企業,日本汽車製造商本田(Honda)備受衝擊。就像許多產業巨擘一般,新冠病毒已經重創本田。

今年6月,本田公司的中央IT系統發現漏洞,全球各地製造廠被迫暫停生產數日。

本田客服中心及融資服務目前發生技術問題,無法提供服務。我們正努力地盡快解決問題。很抱歉為您造成不便,感謝您的耐心與理解。
— 本田汽車客服 (@HondaCustSvc) 2020年6月8日

網路安全專家指出,檔案加密勒索軟體(後來確認是Snake/Ekans)故意鎖定產業控制系統。對本田汽車而言,勒索軟體加密檔案,向公司索取贖金才能復原檔案。
這類網路攻擊的複雜程度與創意,在疫情期間持續打擊所有產業的公司,其中以健康照護產業受創尤其嚴重。

「支付贖金給勒索軟體犯罪者,不保證能成功保住系統和資料。執法官員其本上不鼓勵支付贖金」,DHL Resilience360風險監控產品主管Shehrina Kamal表示。

Kamal解釋說,最近的勒索軟體犯罪者不會在付款時安全解除加密檔案,反而傾向於故意公布與曝露受害者資訊,或以「doxx」的方式惡意攻擊(惡意駭客收集資料並公開)。

YouTube uses cookies to keep statistics about which videos a user has watched and a user's preferences for embedded YouTube videos.

  1. 維護資料備份

供應鏈經理人可與供應商合作,驗證或規定供應商必須維護系統備份。不管公司是否滿足勒索需求,定期全面備份是對抗勒索軟體的最佳應對措施。

在網路攻擊發生,並無法快速解決問題的情況下,適當備份也有助於減少妨礙營運的停工時間。這代表採用此最佳實務的必要性提高。

企業實施持續不斷的全方位備份計劃時,應建立和目前營運一樣的有效「鏡射」,使公司在遭遇攻擊時,能快速進入平行系統。

  1. 認識你的防禦工具

企業必須謹慎地評估供應鏈網路的安全漏洞。最頻繁存取公司網路,以及風險曝露度最高的供應商,應該優先考量使用防火牆及減少網路漏洞。

風險評估考量的因素,包括已知存在漏洞的產業控制系統,或位在頻繁遭遇攻擊的地點或產業。根據科技巨擘IBM最新的X-Force威脅情報指數(X-Force Threat Intelligence Index),貨運業名列最容易遭受網路攻擊的產業之一。X-Force威脅情報指數評估威脅版圖及網路安全風險趨勢。

為了保護供應鏈及物流營運不中斷,企業必須熟悉最新網路威脅環境,進一步加強組織的防禦能力。

  1. 加強實體安全性

除了改善網路安全措施外,公司也應當重視與網路安全同樣重要的實體安全。驗證供應商採行適當措施,避免實體辦公環境遭到破壞。

{%ALT_TEXT%}

{%CAPTION%}

儘管辦公室受到疫情影響,和以往相比,上班人數相對少,但公司仍應確保供應商處所的運作,包括安全保管涵蓋個人身份識別資訊(PII)、財務資訊或證件的實體文件,在網路攻擊發生時,藉此減低任何曝險機會。

  1. 面對同步威脅的準備與因應

遭網路攻擊的案例中,部分跨國企業在數年間,遭遇至少一次以上網路攻擊。

網路攻擊重複發生的可能性,代表著公司必須採取必要預防措施,確保供應商實施營運持續性計劃,當網路攻擊發生時,才能採取適當因應措施。

充分準備以加強合作與降低不確地性,在危機來襲時,能節省所有相關單位的時間,共同採取行動,維持供應鏈的靈活與敏捷。

  1. 瞭解供應商系統

全面瞭解供應商的技術工具、硬體、設備及作業系統,讓公司資訊安全負責人有能力預測出可能的營運中斷,並修補所有漏洞。

「具備不同系統的知識,也將協助供應鏈經理人,在保護公司供應商不受網路威脅時,扮演更主動的角色」,DHL Resilience360風險情報分析師暨網路威脅專家Daniel Boccio表示。

  1. 確保對社交工程的認知

若要保持警戒,以及隨時處於準備好的狀態,企業應與IT夥伴合作,在供應商層級及整個供應商網絡執行實際可行、頻繁及各種不同的網路釣魚測試,找出網路漏洞。在最大可行範圍內,以上測試將縮小潛在駭客可能造成的威脅範圍。

我們也建議企業和供應商,與執法機關建立資訊共享關係,進一步加強相關認知與保護。

供應鏈經理人也必須與IT團隊合作,推估營運中斷將造成的影響,義務性維護網路安全,以及遵守像ISO/IEC 20071/2的資訊科技標準。

 

文章擷取自DHL Resilience360 report.