什么是安全漏洞，如何避免安全漏洞？

跳到主体内容

安全漏洞是指任何会导致计算机数据、应用程序、网络或设备受到未经授权访问的事件。它导致信息在未经授权的情况下被访问。通常，它发生在入侵者能够绕过安全机制时。

从技术上讲，安全漏洞与数据泄露之间存在区别。安全漏洞实际上是入侵，而数据泄露定义为网络犯罪分子携带信息离开。想象一个窃贼；安全漏洞是他爬过窗户，而数据泄露是他抓住您的钱包或笔记本电脑并将其拿走。

机密信息具有巨大的价值。暗网上经常有出售；例如，姓名和信用卡号码可以被购买，然后用于身份盗窃或诈骗。安全漏洞给公司造成巨额损失已不足为奇。大型公司的平均损失将近 4 百万美元。

区分安全漏洞的定义与安全事件的定义也很重要。事件可能涉及恶意软件感染、DDOS 攻击或员工将笔记本电脑留在出租车上，但是如果它们没有导致访问网络或数据丢失，则不被视为安全漏洞。

安全漏洞示例

当大型组织遇到安全漏洞时，总是会成为头条新闻。安全漏洞的示例包括：

Equifax - 2017 年，一个网站应用程序漏洞导致该公司丢失了45 亿美国人的个人详细信息。这包括他们的姓名、SSN 和驾驶证号码。攻击发生在 5 月到 7 月的三个月内，但直到 9 月才宣布该安全漏洞。
Yahoo - 2013 年，黑客在一次网络钓鱼尝试获得网络访问权限后，30 亿个用户帐户被泄露。
eBay 在 2014 年发生了一个重大漏洞。尽管 PayPal 用户的信用卡信息没有受到威胁，但许多客户的密码被泄露。该公司迅速采取行动，向其用户发送电子邮件，并要求他们更改密码以保持安全。
约会网站 Ashley Madison（向希望有婚外情的已婚人士推销自己）在 2015 年被黑。黑客进而通过互联网泄露了巨量客户详细信息。勒索者开始以名字被泄露的客户为目标；未经证实的报告已将许多自杀事件与数据泄露联系在一起。
Facebook 在 2018 年出现了内部软件缺陷，导致 2900 万用户的个人数据丢失。这个安全漏洞尤其令人尴尬，因为被入侵的帐户还包括该公司的 CEO Mark Zuckerberg。
万豪酒店在 2018 年公告了一起安全漏洞和数据泄露事件，5 亿条客户记录受到影响。然而，其宾客预订系统在 2016 年就被黑客入侵，直到两年后才发现该漏洞。
也许最令人尴尬的是，网络安全公司也不能幸免 - 捷克公司 Avast 在 2019 年披露了一个安全漏洞，当时一名黑客成功入侵了员工的 VPN 凭据。该漏洞没有威胁到客户详细信息，而是旨在将恶意软件植入 Avast 的产品中。

大约十年前，许多公司试图将安全漏洞的消息保密，以免破坏消费者的信心。然而，这种情况变得越来越少。在欧盟，GDPR（通用数据保护条例）要求公司将漏洞以及个人数据可能面临风险的个人通知相关部门。到 2020 年 1 月，GDPR 生效仅 18 个月，然而已经发出超过 16 万个单独的数据泄露通知 - 每天超过 250 个。

安全漏洞的类型

根据获取系统访问权限的方式，有多种类型的安全漏洞：

漏洞利用程序攻击系统漏洞，如过时的操作系统。例如，在使用过时且不再受支持的 Microsoft Windows 版本的企业中，尚未更新的旧版系统特别容易受到攻击。
弱密码可能被破解或猜到。即使是现在，有些人还在使用“password”作为密码，“pa$$word”也并没有安全很多。
恶意软件攻击，如网络钓鱼电子邮件可被用于获取进入权限。当一名员工点击网络钓鱼电子邮件中的链接，恶意软件将开始在整个网络中传播。
偷渡式下载使用通过被入侵的网站或欺诈网站传播的病毒或恶意软件。
社会工程也可以用于获取访问权限。例如，入侵者打电话给一名员工，声称其来自公司的 IT 服务台，并要求提供密码以“修复”计算机。

在上文提到的安全漏洞示例中，多种不同的技术被用来获取网络访问权限 - Yahoo 遭受了网络钓鱼攻击，而 Facebook 被漏洞利用程序入侵。

虽然我们因安全漏洞影响大型组织而一直谈论它，但同样的安全漏洞也适用于个人计算机和其他设备。你不太可能被黑客利用漏洞入侵，但很多计算机用户都受到过恶意软件的影响，不管是作为软件包的一部分下载，还是通过网络钓鱼攻击引入到计算机中。使用弱密码和公共 Wi-Fi 网络可能导致互联网通信被侵害。

如果遇到安全漏洞该怎么办

作为大公司的客户，如果您得知该公司存在安全漏洞，或者发现您自己的计算机已被入侵，则需要迅速采取行动以确保安全。请记住，一个账户出现安全漏洞可能意味着其他账户也面临风险，尤其是如果它们共用密码或您经常在它们之间进行交易时。

如果漏洞可能涉及您的财务信息，请通知您有账户的银行和金融机构。
更改所有账户的密码。如果账户附有安全问题和答案或 PIN 码，则也应更改它们。
您可以考虑冻结信用。这样可阻止任何人使用您的数据进行身份盗窃和以您的名义借贷。
检查信用报告以确保您知道是否有人使用您的详细信息申请债务。
尽量准确查明哪些数据可能已被盗。这样您可以了解情况的严重程度。例如，如果税务详细信息和 SSN 被盗，您需要迅速行动以确保您的身份不被盗。这比仅丢失您的信用卡详细信息更为严重。
在数据泄露后，不要直接响应公司要求提供个人数据的请求；这可能是社会工程攻击。花点时间阅读新闻，检查该公司的网站，甚至打电话给其客户服务热线以检查请求是否合法。
警惕其他类型的社会工程攻击。例如，一名犯罪分子入侵了酒店的帐户，即使没有财务数据，也可以给客户打电话询问客户对最近入住情况的反馈。在通话结束时，信任关系已建立，犯罪分子可能提出退还停车费，并索取客户的银行卡号以进行付款。如果电话是让人信服的，大多数客户可能不会多加考虑就提供这些详细信息。
监视您的账户是否有任何新活动的迹象。如果您看到无法识别的交易，请立即处理。

如何保护自己免受安全漏洞影响

尽管没有人能幸免于数据泄露，但是良好的计算机安全习惯可以让您不那么容易受到攻击，并帮助您在破坏较少的情况下渡过数据泄露的难关。这些提示应有助于防止黑客在计算机和其他设备上侵害您的人身安全。

使用强密码，其中包含随机的大小写字母、数字和符号字符串。它们比简单的密码更难破解。不要使用容易猜到的密码，例如姓氏或生日。使用密码管理器来保护密码安全。
对不同的账户使用不同的密码。如果使用相同的密码，则获取了一个账户的访问权限的黑客将能够进入您的所有其他账户。如果使用不同的密码，则只有一个账户处于风险之中。
关闭不使用的账户，而不是让它们处于休眠状态。这样可以减少安全漏洞。如果不使用某个账户，则可能永远不会意识到它已遭到入侵，并且它可能成为其他账户的后门。
定期更改密码。许多公开报告的安全漏洞的一个特征是它们发生的时间很长，有些漏洞直到发生数年后才被报告出来。定期更改密码可以降低未公告的数据泄露带来的风险。
如果要淘汰计算机，请正常擦除旧硬盘。不要只是删除文件；请使用数据销毁程序彻底擦除驱动器，覆盖磁盘上的所有数据。全新安装操作系统也会成功擦除驱动器。
备份文件。一些数据泄露导致文件被加密，用户必须满足勒索软件的要求才能重新访问这些文件。如果可移动驱动器上有单独的备份，则万一发生数据泄露，您的数据也是安全的。
保护手机。使用屏幕锁并定期更新手机的软件。不要破解手机的 root 权限或将手机越狱。破解设备的 root 权限会使黑客有机会安装他们的软件并更改手机的设置。
使用反病毒和反恶意软件保护计算机和其他设备。卡巴斯基反病毒软件是一个不错的选择，它可以让您的计算机不受感染，确保黑客无法在系统中立足。
小心点击。未经请求的包含网站链接的电子邮件可能是网络钓鱼尝试。有些可能声称来自您的联系人。如果它们包含附件或链接，请确保它们是真实的之后再打开，并对附件使用反病毒程序。
访问账户时，确保使用安全的HTTPS 协议，而不仅仅是 HTTP。
监视银行对账单和信用报告有助于保持安全。被盗的数据可能会在数据泄露发生多年后在暗网上出现。这可能意味着，在您忘记了损害该账户的数据泄露发生很久后，才出现身份盗窃企图。
清楚个人信息的价值，除非必要，否则不要提供。太多的网站想知道您的信息；例如，为什么商业杂志需要您的准确出生日期？或者拍卖网站需要您的 SSN？