专注于 Apple 的设备管理和安全供应商 Jamf 今天发布了其 Security 360：年度趋势报告，揭示了影响运行混合工作环境的组织的五个安全趋势。 每年的报告都很有趣，所以我采访了投资组合战略副总裁迈克尔卡温顿，了解有关公司今年发现的更多细节。
首先，这里简要介绍一下报告中的一些要点：
2022 年，21% 的员工使用配置错误的设备，使设备和员工面临风险。
31% 的组织至少有一名用户成为网络钓鱼攻击的受害者。
7% 的 Android 设备访问第三方应用程序商店，这些应用程序商店通常提供被篡改的合法应用程序版本，其中包含感染用户设备的恶意代码，而 iOS 设备的这一比例为 0.002%。
新的恶意软件感染从刚刚超过 1.5 亿下降到大约 1 亿，恶意网络流量继续更加普遍。
该报告证实，一些最著名的不良安全习惯仍在继续。 例如，16% 的用户经常通过不安全的 Wi-Fi 热点共享机密或敏感数据。
[ 如何选择合适的 UEM 平台 ]
Security 360 还就隐私对整体企业安全的重要性提供了一套很好的见解。
该报告指出了隐私一旦被破坏就会造成安全不稳定的一系列方式，包括国家破坏设备安全以观看、拍摄和记录人们的行为以勒索或以其他方式剥削受害者。
另一个威胁是数据生命周期管理不善，当收集私人信息的公司没有足够好地保护这些数据时。 公司继续投资于挑战所有这些的方法。 报告中提供了大量其他信息，您可以在此处进行探索。
采访迈克尔·科文顿
卡文顿在科技领域拥有丰富的经验。 他是一名已出版的计算机科学研究人员和 IT 专家，曾在 Intel、Cisco Security 和 Juniper Networks 担任领导职务。
在 Jamf，他负责将公司的安全和管理解决方案融合到一个有凝聚力的平台中，并自称热衷于开发“位于安全、隐私和可用性交汇处”的产品。
这是他不得不说的：
为什么企业员工的设备通常配置错误？ 企业可以做些什么来管理这些，尤其是在使用员工自有设备时？ “当组织选择不管理或管理不足员工用于工作的设备时，就会发生配置错误。这可能是 IT 人员配备有限、标准定义不明确或希望运行不受限制的 IT 程序的结果。无论 原因是，这些错误配置显着增加了组织面临的风险。
“许多组织在‘事件’的背景下看待安全； 他们想阻止坏事发生，所以他们专注于恶意软件检测和网络钓鱼拦截等威胁事件。然而，他们没有意识到，最好的风险管理始于养成良好的安全卫生习惯。组织需要做更多工作以确保 在允许访问敏感业务数据之前，每台设备都符合公司的基准标准——无论它是公司拥有的、承包商运营的还是根据 BYOD 计划使用的个人设备。
“除了基本的管理控制之外，组织还必须让他们的用户随着时间的推移保持正确的设备配置。用户应该是安全解决方案的一部分，这包括在出现提示时及时对操作系统或应用程序进行更新。”
网络钓鱼攻击的后果是什么？ 它们通常会导致进一步的违规行为吗？ 对用户的平均结果是什么？ “成功的网络钓鱼攻击不可避免地会导致后果。最坏的情况是攻击者窃取工作凭证，攻击者随后使用这些凭证窃取有价值的业务数据，勒索组织，或转向下一个系统或社会工程 利用。其他副作用可能包括针对企业或其合作伙伴发起的错误信息活动、个人数据丢失和财务剥削。”
您如何区分合法软件商店和非法软件商店？ 可以做些什么来保护用户？ “最好的软件商店有详细记录的流程来审查传入的应用程序并监控一段时间内的滥用情况。iOS AppStore 和 Google Play 商店是很好的例子，说明定义的流程有助于预先消除大量风险， 在用户下载应用程序之前。
“但是有很多例子表明这并不总是可能或不可取的。随着组织采用更多由第三方在应用程序商店之外分发的应用程序——例如，这种情况在 macOS 中很常见——他们也需要 制定流程来管理这些应用程序的生命周期。
“最佳实践包括评估每个应用程序请求的权限以确保开发人员尊重最终用户隐私，保持定期检查以确保向设备分发最稳定和安全的版本，并监控每个应用程序的已知漏洞以了解组织的风险敞口。”
恶意网络流量和恶意软件有什么区别？ 他们在寻求不同的东西吗？ “所有恶意软件都是为特定目的而构建的。有些恶意软件旨在投放广告。有些恶意软件会加密数据，以便攻击者可以索要赎金。有些恶意软件会窃取知识产权。大多数现代恶意软件都连接到用于促进分发的基础设施 ，实施命令和控制，并接收泄露的内容。
“恶意网络流量是指支持恶意软件活动和数据盗窃的基于网络的基础设施。基于网络的危害指标可以作为设备上恶意活动的有力指标，即使尚未在设备上识别出特定的恶意软件也是如此。 设备。
“Jamf 威胁实验室最近发现了一个恶意加密货币挖矿活动，该活动通过受感染的盗版软件针对 macOS 设备；该软件使用网络通信将挖出的加密货币发送给攻击者。”
使用病毒检查程序还不够吗？ （答案是否定的，但为什么呢？）“不，病毒检查程序是不够的。组织应该全面考虑他们的端点安全解决方案。设备的良好安全性始于随着时间的推移建立和维护的安全基线。最佳实践 包括对操作系统补丁级别和应用程序版本的定期检查。
“当谈到恶意软件检测时，组织必须使用超越签名检测的解决方案。数据驱动的启发式算法和机器学习已经达到成熟水平，可以实现更准确的检测和更少的误报。是时候接受这些了 技术。
“最后，设备安全应包括有助于防止用户引入风险的工具。这包括防止复杂的网络钓鱼攻击和社会工程攻击，这些攻击会诱使用户在设备上安装恶意代码。
“组织应该避免在安全孤岛中思考。例如，恶意软件检测在孤立的情况下只有最低限度的用处。IT 和安全团队应该开始寻找端点健康状况的整体评估，该评估可以传达给其他工具和基础设施，以便情报可以提供帮助 为组织最敏感的应用程序提供更好的保护。
雇主/雇员如何更好地保护自己免受基于社会工程学的攻击？ “组织投资于保护公司数据的工具和员工培训。为了更进一步，组织可以而且应该帮助员工改善个人生活的安全和隐私，因为当员工接受有关个人安全风险的教育时，他们更有可能 在处理工作中的相同风险时帮助改善他们的习惯。
“雇主应该采取多管齐下的方法。
首先，从教育入手。 组织可以帮助员工的一些方法是定期举办“数据隐私卫生日”，提供有关改善个人数据隐私的研讨会和培训，并通过已使用的工具定期提供简短的教程和警告。
其次，投资于防止用户犯错的工具。 在允许访问敏感业务数据之前，组织需要做更多工作以确保每台设备都符合公司的基准标准——无论它是公司拥有的、承包商运营的还是根据 BYOD 计划使用的个人设备。 除了基本的管理控制之外，组织还必须让他们的用户随着时间的推移保持正确的设备配置。 用户应该成为安全解决方案的一部分，包括在出现提示时及时对操作系统或应用程序进行更新。
三、再回去教育！ 不要羞辱错误，而是分享经验以鼓励最佳实践和网络钓鱼尝试的分享，以便用户知道要寻找什么。 员工培训必须超越年度课堂要求，并包括将安全置于每位员工工作职责清单首位的文化元素。”
雇主在寻找员工安全培训时应该注意什么？ “最关键的是，雇主应确保他们的员工安全培训已经过现代化。内容应涵盖本地用例、远程/任何地方的工作场景、台式机、笔记本电脑和移动设备的组合，以及对云应用程序的引用 . 用户应该觉得自己是第一道防线，不要羞于报告他们观察到的事件。”
企业可以做些什么来防止其安全链中的薄弱环节（人为或其他）？
“以透明的方式实施全面的安全计划。
不要责怪/羞辱成为社会工程受害者的用户。
分享有关错误所在的详细信息（在合理范围内）。
鼓励分享。
谈论“胜利”和被成功挫败的攻击，让用户感觉被购买到解决方案中。
不要泄露个人隐私。
不要实施严厉的政策。
专注于生产力，而不是阻碍用户。”
