金融安全資訊精選 2017年第一期：雲戰略下的安全思維轉型與新認知

02-03

摘要： Clutch雲安全調查發布，Necurs殭屍網路攻擊美國金融機構，賬戶盜用威脅加劇，英國60%的金融和保險機構將網路安全設為高優先順序，阿里雲安全負責人肖力談企業安全的四個「新認知」

首期寄語

從高大的銀行建築，到一絲不苟的流程設計，金融機構對外的第一品質要求是安全感。營造「安全感」的背後，安全能力的完整搭建是一切的起點和路徑。對金融行業來說，安全不再是構建看得見的「圍牆」，而是在拆掉圍牆、融入互聯網環境後，依然保證足夠的安全能力，依然可以穩定、安全。

居危，思安。我們先要洞察現狀，知曉危機。這也是「金融安全資訊精選」，想給行業安全決策者帶來的價值。以其為鑒也好，取他山之石也好，我們期望你煉就不破金身，期待你把握危機的脈絡，踏上金融安全的另一塊高地。（阿里金融雲總經理徐敏）

【本周頭條】

Clutch雲安全調查：70%的上雲企業願把數據儲存在雲，而非傳統環境中。點擊查看原文

概要：Clutch雲安全調查：70%的上雲企業願把數據儲存在雲，而非傳統環境中。64%的企業願意在數據加密上增加投資；超過50%的受訪企業，在雲上安全增值服務上每年花費10萬美金。

點評：數值的背後，是「雲上比雲下更安全」的共識普及，也是全球企業在雲安全意識上的提高。並且，在雲戰略下，越來越多的企業，按照「責任共擔模型」的框架，去思考應用層、數據層的安全問題，包括賬號的安全，訪問控制等。全球企業的雲安全思維，更多地傾向於：如何利用雲來做好安全，如何把雲上的安全工具、產品、服務價值最大化。這也是中國金融行業的安全決策者們，在數字化轉型中，需要思考的方向。

【相關安全事件】

Necurs殭屍網路攻擊美國金融機構利用Trickbot銀行木馬竊取賬戶信息和欺詐。點擊查看原文

概要：Flashpoint的研究人員在7月17日發現了一個新的 Trickbot 垃圾郵件攻擊行動, 稱為 "mac1" 。最新的一輪攻擊是由 Necurs 殭屍網路推動的（世界上最大的垃圾郵件殭屍網路之一）, 被用來攻擊50多家銀行。

點評：如何應對大規模攻擊的常態化，行業化，自動化，是金融行業需要去提前思考的問題。像WannaCry和Petya級別的全球範圍勒索病毒爆發，發生的頻率會變得越來越頻繁。

阿里雲安全團隊也預測，勒索攻擊現在的形態還屬於「輕量級」，未來，勒索病毒很有可能會演變成為自動滲透的機器人，攻陷內網會變得更加容易。因而，傳統的「隔離式」防禦即將失效，安全需要鑲嵌在業務架構中。安全運營也會變得越來越重要。

賬戶盜用（Account Takeover）威脅加劇：從大規模、單一目標攻擊，轉為針對行業的精準攻擊，金融行業為重災區之一。點擊查看原文

概要：Forrester預估，賬戶盜用問題每年會造成65億美金至70億美金的損失，重災區在金融、保險、電子商務、醫療保險、公用事務等。

點評：數據業務與消費者之間的聯繫變得越來越緊密是ATO問題加劇的主要原因。首先，更多人願意把個人信息存儲在網上；而後，個人的身份和證件信息，是暗網流通的「貨幣」，利益的驅動；最後，就攻擊的趨勢來說，會從大規模、針對單一企業的攻擊（2015年多見），演變為行業性、針對多家企業、精準化的攻擊（金融行業就是其一）。而對於金融企業企業來說，增強威脅情報能力，漏洞修復是基礎。數字證書和加密也不可忽視。

【金融安全動態】

英國60%的金融和保險機構，將網路安全設為高優先順序。點擊查看原文

概要：英國政府和Savoy Stewart的一份聯合數據表明，在英國，金融和保險行業的高層，對網路安全的重視程度較高，超過教育、醫療和社會服務。60%的金融和保險機構，將網路安全設為高優先順序。但總體來說，各個行業對網路安全的重視程度仍不容樂觀，一個明顯的表現是，這份調查顯示，90%的英國企業沒有安全應急響應方案。2016年，290萬英國企業遭遇數據泄露，損失達300億英鎊，安全意識的缺乏是原因之一。

點評：雖然國內外金融行業在安全意識和體系化建設上都走在較為領先的位置，但信息泄露事件仍時有發生。且隨著金融互聯網應用不斷深入，未來，個人信息泄露的風險會進一步擴大。除了現有的安全防護體系之外，金融行業安全負責人也應開始重視「內鬼」的防範（Insider Threat），和內部員工的安全意識培訓。最後，也建議落實《網路安全法》中個人信息保護和等級保護的相關要求，從安全治理層面去防範數據泄露的風險。

【雲上視角】

阿里雲安全肖力：邊界消亡後，你需要四個「新認知」。點擊查看原文

概要：在7月26日舉行的2017網路安全生態峰會上，阿里雲安全負責人肖力介紹了企業安全的四大新趨勢，和企業安全的方法論。

點評：肖力提出企業安全的四個新趨勢：首先，安全邊界已經消失，需要從架構上更加清晰的定義和認知企業安全；其次，安全需要好的產品，更需要好的人，人是安全運營的核心；而後，藍軍是一種攻擊能力，也是一種反擊力和威懾力；最後，「看見」的能力也非常重要，感知的基礎除了海量數據，更重要的是數據分析和演算法。