评论
防御性安全技术通常落后于进攻性攻击策略,使公司面临快速演变的威胁带来的更高风险。这通常解释了毁灭性破坏的频繁发生:安全策略很少与新威胁同步(或预期)发展。
一个令人震惊的例子是服务台,它是当今组织中最暴露的致命弱点之一。对帮助台的攻击是网络犯罪分子的一种明显的进攻行为:恶意行为者希望凭证能够渗透网络并横向移动,而帮助台则向遇到密码锁定、设备丢失等问题的用户分发凭证和 IT 设备。攻击者可以通过破坏帮助台来访问敏感信息,从而加剧公司的进一步违规行为。因此,服务台遭受攻击的时机已经成熟,这是理所当然的。
尽管许多公司都在努力保护网络边界、最终用户、电子邮件以及几乎所有风险领域的安全,但帮助台却常常在其中迷失方向。许多公司没有流程来验证联系服务台寻求访问其设备和数据帮助的员工的身份。许多服务台都是外包的(甚至可能不在国内),而且许多服务台很少要求除用户姓名之外的任何验证。即使那些具有用户验证流程的协议也几乎没有标准化。有些要求用户提供基本信息,例如出生日期或地址;其他人则要求提供工作电子邮件地址或办公室电话分机。黑客可以通过漏洞或常见的黑客技术轻松获取这些类型的信息。
帮助台程序已经逃脱了应用于威胁表面其他区域的安全严格性。因此,可以预见的是,服务台已成为威胁行为者的焦点。更糟糕的是,攻击者更进一步,利用生成式人工智能 (AI) 工具来对抗预期的防御策略进步。
基于人工智能的帮助台攻击策略备受关注
服务台 社会工程学 攻击是一个 共同向量 针对可能导致灾难性后果的违规行为和勒索软件攻击。发动社会工程攻击所需的大部分信息都很容易获得:LinkedIn 等社交媒体网站提供了大量有关员工的信息,包括他们的姓名、职位和办公地点。例如,宽松的帮助台验证程序使攻击者很容易冒充要求重置密码的员工。
尽管规模较小的公司和设有现场服务台的公司可能更有可能识别员工的声音,但深度伪造可能会让他们陷入困境。有 可用的开源工具 创建实时深度伪造音频以绕过音频验证控制。还有 基于人工智能的深度伪造视频工具 这可能会欺骗那些更进一步要求用户进行视觉验证的组织。公司高层领导和其他公开发言的人可能是深度伪造的目标,因为他们的语音和视频图像通常可以在网上找到。
如何保护服务台免受社会工程侵害
在重置密码或颁发凭证之前,必须创建强大的帮助台程序来验证员工的身份。一些建议包括:
-
拒绝访问除 公司审查或公司发行的设备 到公司资源或应用程序。确保任何有权访问网络的设备都经过适当的安全审查,并遵守安全最佳实践。
-
收到用户请求后,IT 部门应在其受信任的注册设备上呼叫用户以验证其身份。
-
使用多因素身份验证 (MFA) 应用程序(而不是短信或电子邮件)向受信任的设备发出身份验证推送,以最大限度地降低 SIM 交换攻击的风险;要求用户大声朗读代码并按“接受”。
-
请求用户设备的序列号并验证该号码。
-
对于智能手机更换请求,如果用户购买新智能手机并希望获得授权或注册,则应提前通知 IT 部门。当 IT 知道这是一个计划好的事件时,它可以从所选的 MFA 应用程序发出身份验证推送来验证更改。
-
对于密码重置,使用上述步骤验证用户后,建议的策略是:
-
调整 Active Directory 帐户,将密码临时设置为“永不过期”。
-
指示用户使用最后一个密码,然后使用规定的密码约定重置为新密码。
-
将 Active Directory 重置为标准密码过期策略。
-
IT 永远不应该知道用户密码。
-
-
对于无法发送 MFA 推送的问题,请与显示政府颁发的 ID、计算机及其序列号的用户发起视频通话。
-
确保密码、故障转储和会话令牌等敏感数据不会留在服务台平台中。
一场永无休止的战斗值得一战
从黑客的角度来看,帮助台是一个明显的漏洞。重要的是,要以与企业中任何其他威胁面相同的重点和保护层来保护它们。
- :具有
- :是
- :不是
- :在哪里
- $UP
- 10
- 12
- 7
- 8
- 9
- a
- 关于
- 以上
- 接受
- ACCESS
- 访问
- 账号管理
- 要积极。
- 活动目录
- 演员
- 额外
- 地址
- 地址
- 坚持
- 推进
- 进步
- 驳
- AI
- 所有类型
- 几乎
- an
- 和
- 预期
- 预期
- 任何
- 应用领域
- 应用领域
- 应用的
- 使用
- 保健
- 地区
- 人造的
- 人工智能
- 人工智能(AI)
- AS
- 问
- 帮助
- 攻击
- 攻击
- 音频
- 认证
- 授权
- 可使用
- 基本包
- 战斗
- BE
- 成为
- 很
- before
- 最佳
- 最佳实践
- 超越
- 分娩
- 违规
- 但是
- by
- 绕行
- 呼叫
- CAN
- 不能
- 案件
- 更改
- 选择
- 圆
- 码
- 相当常见
- 公司
- 公司
- 折中
- 一台
- 后果
- CONTACT
- 控制
- 公约
- 公司
- 国家
- 崩溃
- 创建信息图
- 资历
- 网络罪犯
- data
- 日期
- deepfakes
- 卫冕
- 防卫
- 台
- 电竞桌
- 破坏性的
- 设备
- 设备
- 显示
- 容易
- 易
- 邮箱地址
- 电子邮件
- 员工
- 员工
- 结束
- 工程师
- 确保
- 企业
- 设备
- 必要
- 甚至
- 活动
- 所有的
- 发展
- 演变
- 例子
- 经历
- 到期
- 介绍
- 裸露
- 扩展
- 专注焦点
- 针对
- 频率
- 止
- 边疆
- 汽油
- 进一步
- 生成的
- 得到
- 给
- Go
- 黑客
- 黑客
- 黑客
- 有
- 提高
- 帮助
- HTTPS
- ICON
- ID
- 身份
- 身分
- if
- 图片
- 重要
- in
- 包括
- 包含
- 信息
- 开始
- 房源搜索
- 问题
- 问题
- 发行
- IT
- 它的
- JPG
- 知道
- 知道
- 名:
- 层
- 铅
- 领导人
- 左
- 喜欢
- 容易
- Line
- 小
- 生活
- 地点
- 丢失
- 使
- 恶意
- 许多
- 可能..
- 媒体
- 外交部
- 大幅减低
- 混合
- 更多
- 最先进的
- 移动
- 许多
- 多因素身份验证
- 姓名
- 名称
- 打印车票
- 网络
- 网络
- 决不要
- 全新
- 没有
- 数
- 明显
- of
- 进攻
- 办公
- 经常
- on
- 一旦
- 一
- 在线
- 开放
- or
- 组织
- 组织
- 其他名称
- 其它
- 密码
- 密码
- 电话
- 计划
- 平台
- 柏拉图
- 柏拉图数据智能
- 柏拉图数据
- 播放
- 点
- 观点
- 政策
- 政策
- 职位
- 做法
- 可预见
- 程序
- 过程
- 过程
- 正确
- 保护
- 保护
- 协议
- 提供
- 公然
- 购买
- 推
- 勒索
- 勒索软件攻击
- 急速
- 很少
- 阅读
- 原因
- 收到
- 承认
- 建议
- 在相关机构注册的
- 替代
- 请求
- 请求
- 要求
- 资源
- 风险
- 健壮
- s
- 同
- 安全
- 保安
- 提交
- 敏感
- 串行
- 服务
- 会议
- 集
- 应该
- 网站
- 小
- 智能手机
- 短信
- So
- 社会
- 社会工程学
- 社会化媒体
- 一些
- 来源
- 说话
- 标准
- 标准化
- 看台
- 步
- 步骤
- 策略
- 这样
- 磁化面
- 策略
- 服用
- 串联
- 目标
- 技术
- 这
- 信息
- 其
- 他们
- 然后
- 那里。
- 博曼
- 他们
- Free Introduction
- 那些
- 虽然?
- 威胁
- 威胁者
- 威胁
- 通过
- 至
- 今晚
- 令牌
- 工具
- 最佳
- 旅
- 信任
- 尝试
- 类型
- 使用
- 用户
- 用户
- 运用
- 验证
- 验证
- 证实
- 验证
- 确认
- 经审查
- 视频
- 查看
- 视觉
- 音色
- VOICES
- 漏洞
- 工资
- 想
- 希望
- 财富
- ,尤其是
- WHO
- 工作
- 更坏
- 价值
- 将
- 您
- 和风网