你最好的防御不只是继续建立你的安全，而且投入时间和资源来寻找和了解你的漏洞在哪里.

　　黑客…

　　可能是前五大最imba的专业之一。 在那里有忍者，海盗和国际玩笑。

　　当我还是一个小孩子时，我想成为印第安纳琼斯或詹姆斯·邦德，因为他们能与恶势力斗争。

　　然而，现实的残酷却让我放弃了这个念头，但我其它的反叛念头却没有消散。今天，我很可能想成为一个黑客。（就像黑客帝国里面的一样）

　　事实上，大多数长期存在的网络犯罪团体并不是叛逆的黑客穿着凉太阳镜和黑色风衣，争取从机器，甚至叛逆青少年生活在父母的地下室，而是通常是有组织的一部分犯罪戒指或国家支持的黑客团体。

　　这些团体可以理解地带有更黑暗的内涵和更大的权力来做伤害。

　　黑客们花费了全球经济估计$ 575十亿在2014年或 占全球GDP的0.8％ 。 此外，在2015年美国公司的平均违约花费 650万美元 。

　　不仅大型企业会成为黑客的美餐，中小型企业 它虽然没有高调还是经常违反黑客攻击的目标。

　　那么，什么可以做的公司来保护自己？ 荷银 在荷兰的顶级银行之一，并已试点成功的网络安全程序。

　　网上银行是网络安全最充满的领域之一，因为这么多是通过成功的违约获得的。 ABN AMRO面临定期攻击，从攻击网上银行客户，拒绝服务攻击，到勒索软件病毒。 这些攻击每天都是多样的。

　　因此，ABN AMRO已经开发了一个完整的CISO部门，其使命是通过使用从身份和访问管理，欺诈检测功能的开发，风险评估，加密，供应商安全管理到危机管理的一切安全的银行。

　　ABN AMRO采用的策略为其他企业提供了如何创建有效的网络安全战略的经验教训。

　　策略1：你不能修复最弱的链接

　　什么是应用程序安全中最薄弱的环节？

　　A.跨站脚本？

　　B.不安全的加密存储？

　　C.小的热排气口直接通向反应堆系统？

　　D.人类（也称为用户和员工）

　　如果你回答了C，那么你已经看了太多的星球大战电影！

　　如果你回答A或B，那么你是一个书呆子！

　　如果你回答D，那么你是正确的！

　　人类 是最大的安全风险的任何应用程序。 这是内部（雇员）和外部（用户）。 有许多途径，企业可以采取尽量减少大量的安全风险，人类代表- 培训员工 ，员工更新政策，通知用户，并迫使他们更改密码或者经过认证的多个级别。

　　然而，最终黑客有更多的途径试图最大化他们所代表的安全风险。

　　黑客们采用 越来越有效的网络钓鱼邮件和垃圾邮件， 社交工程 和其他技术来赶上倒霉的用户或员工。 最后，这是一个数字游戏- 37300000卡巴斯基互联网安全套装的用户经历了2015年网络钓鱼攻击 。这样的公司ABN AMRO可以有效地告知和培训90％的用户和工作人员，这确实的，但黑客们发出了数以百计的数以千计的钓鱼邮件和其他攻击以及所有它需要的是一个打开电子邮件创造进攻的道路-在现实中没有一个收件人，而是 在收件人打开钓鱼邮件的23％ 。

　　从中学习的教训不是我们应该用精心编程的机器人来替换我们的用户和员工 - 他们可能只是被黑客入侵 - 而是永远不会假定任何东西是安全的。

　　值得投入资源在培训和通知用户和员工，但最终这提供了最好的薄弱的层或保护。 ABN AMRO不打赌好的“标准”用户，而是计划坏用户并相应地准备。 墨菲的法律特别有效地适用于网络安全 - 什么可能出错

　　策略2：你不需要建立Fort Knox

　　在理想的世界里，每个公司都会拥有无限的预算和无限的工作人员，使他们的应用程序成为数字世界的“诺克斯堡” - 不可能违反。 但这不是一个理想的世界，公司，特别是初创公司甚至大型银行，通常在非常有限的预算下开发安全基础设施，团队非常有限，转移到安全的资源被从产品开发和其他业务领域。

　　那么什么是公司呢？

　　有选项：

　　A.试图建立诺克斯堡！ 把所有有限的预算用于保护没有人会使用的应用程序，因为你把所有的钱花在安全上，而不是你的产品上。

　　B.接受黑客将赢得，转向黑暗的一面，并与魔鬼做一个处理。 为黑客提供您为佣金保护的所有数据和资产。

　　C.或不建立诺克斯堡。 相反，意识到建立没有漏洞的应用程序是不可能的，投入你的努力来了解这些漏洞是什么，并相应地开发安全和检测基础设施。

　　ABN AMRO采用选项C.不是浪费所有资源，试图构建一个笨重，不可用，但难以置信的安全的银行应用程序，他们专注于构建一个安全和高度可用的应用程序

　　例如，ABN AMRO取消了其多步骤身份验证过程 - 尽管这使得应用程序总体更安全，但使其对客户的可用性显着降低 - 他们反而投入资源来检测其帐户上的欺诈活动，以防黑客进入。

　　虽然这最终意味着构建一个有漏洞的应用程序，ABN AMRO弥补了这些安全漏洞，通过将工作人员的时间从早期开发到实施，了解漏洞存在的位置，以便在实际损坏发生之前检测和停止攻击。

　　ABN AMRO信息安全管理负责人Fabien Casteran简洁地说：

　　黑客喜欢阻力最小的路径。 想象一下，你有一个禁止的前门和一个解锁的后窗。 强盗将通过解锁的后窗进入。 所以我们认为像一个黑客。

　　因此，ABN AMRO知道哪里最有可能出错，以及它们将出错的可能性，然后将资源相应地投资到更高级别的安全或检测服务。

　　策略3：雇用黑客

　　所以-的建议是这样想黑客-但对于我们这些谁不黑客，使用麻瓜而不是单纯的计算机用户界面， 你 怎么 看待一个黑客？

　　你不是。 相反，你雇了一个黑客，然后你让他们破解你的应用程序。

　　这似乎不仅是挑战，而且是反直觉，当事实上有一个专业领域专门从事这种工作。

　　做到这一点，准备好

　　伦理黑客社区由安全顾问组成，他们被支付以测试公司的安全 - 甚至有一个道德黑客的认证“通过使用渗透测试技术评估计算机系统的安全性获得的资格。 为CEH考试代码为312-50。“该认证是由提供 电子商务顾问国际委员会 。

　　ABN AMRO雇用这些道德黑客的团队来测试其应用程序并发现他们的弱点。 虽然这种策略的有效性已经进入 的问题 ，而不是所有的企业都有能力聘请的道德黑客-他们可能是昂贵的-的教训仍然是：这是至关重要的，以从一个 黑客的角度 测试应用程序 ，而不是仅仅从IT专业人士的观点，并找到它的脆弱性。

　　策略4：做你的研究，然后让机器人为你做

　　黑客 每天 通过不同的渠道 改变其对荷兰银行的攻击模式 。 这意味着每天ABN AMRO面临一种新型攻击，一种新的攻击手段，一个新的领域保卫。

　　因此，ABN AMRO需要保持领先一步，而不仅仅是像黑客一样思考，而只是想想最好的黑客。

　　为了保持这一优势，ABN AMRO大量投资于新的网络安全技术的研究和开发。 虽然他们做这项研究在房子的一部分，他们也是在荷兰直接与合作的唯一银行 IBM沃森 -The IBM 研究所集中在人工智能 - 更好地检测欺诈。

　　ABN AMRO与他们携手合作，找出如何改进他们的算法与人工智能，以适应和继续检测欺诈，即使黑客的攻击改变。 他们甚至获得了这些欺诈检测算法中的一个的专利。

　　通过研发领先于黑客一步，对任何网络安全战略的成功至关重要。 与此同时人工智能代表的下一个前沿领域 的网络安全技术 。

　　那么，从ABN AMRO获得的主要教训是什么？ 无论您的资源如何 - 无论大小，您的应用程序都将具有可被黑客利用的漏洞.

　　你最好的防御不只是继续建立你的安全，而且投入时间和资源来寻找和了解你的漏洞在哪里.

-END-

本文由金辉投稿一鸣网，本文仅代表作者个人观点，文章非经授权请勿转载，

向一鸣网投稿，请点击投稿按钮，详情请参阅《一鸣网投稿须知》。

互联网人都在关注的微信号

难道你还没有关注？