安全风险对企业来说一直都是最难处理的问题之一，尤其当现今黑客组织的攻击手法越来越精准时，防攻技术更是一大挑战。
乘载全球30%网络流量的云计算传送平台Akamai与其台湾代理商零壹科技，将深度拆解企业安全的最大弱点，告诉读者现今黑客组织最新的攻击手法有哪些？并教你如何成功抵御黑客攻击！（责任编辑：陈美羽）
面对日益严峻的安全威胁，全球企业与政府单位均意识到传统单打独斗、依赖单一设备的防御机制，早已无法对抗黑客组织的攻击手法。为此，企业积极引进多样安全设备之外，各国政府之间积极推动跨域联防机制，如金管会成立金融安全信息分享与分析中心（F-ISAC）之余，并定期要求台湾金融产业定时举办安全演练，以强化面对安全威胁时的处理能力。
企业该如何面对黑客组织的“精准攻击”？
由行政院安全处举办、始落幕的跨国网络攻防演练（CyberOffensive and Defensive Exercise，CODE 2019），有别于过去采用的场景演练方式，2019年首度改采实兵演练方式，测试台湾产业应对黑客攻击的能力，现场也有来自美国的安全专家到场，提供与会人员二天的安全实务教育训练。身为台湾最大安全解决方案代理商的零壹科技，也获邀参与此次安全盛会，协助与会人士运用多品牌设备打造安全区域联防机制。
零壹科技资深协理郑淑芬说，现今黑客组织正以精准攻击手法，针对特定组织漏洞进行入侵，全球各地均传出有不少大型企业受害。零壹科技认为企业若要有效降低安全攻击带来的冲击，必须打造涵盖网关端、端点设备、云计算平台等360度面向的安全防护机制，将独立运行的安全设备串联，搭配专业的技术服务团队，才能有效保护企业的安全。零壹科技拥有超过百位经验丰富的技术顾问，能提供全方位产品线与技术协助，是企业强化整体安全能力的最佳伙伴。
用“零信任”模式，减少企业被黑的几率
Akamai台湾香港经销渠道经理江艾玲认为，近来企业投资在安全防护多半采用验证、信任的防护模式，但当黑客组织窃取某位员工的安全凭证之后，就可轻松访问公司内部网络的任何资源，成为安全防护上的漏洞。Akamai推动的Zero Trust Security（零信任）模式，是遵循永不信任、始终验证的原则，即所有连接访问均需要进行验证。
尽管不是全新的理论，但却能通过多层次的安全防护创建一致性与坚固的防护机制，让企业应用访问安全得到保护。此举，能有效管理员工的上网行为外，也可避免受到恶意网站或程序的干扰，减少企业被黑客入侵的几率。
为协助运用Zero Trust Security模式提高防护力，Akamai多年来持续强化安全产品线，除了备受全球用户肯定的DDoS安全防护机制外，陆续推出Kona Site Defender、Bot Manager、Identity Cloud等解决方案，助企业构建360度安全防护机制。
API经济兴起，隐藏惊人安全风险
在新数据经济来临之际，为满足消费者多样需求，驱动企业通过Open API串联跨界数据，投入各种创新服务的研发。根据Gartner研究报告指出，2021年将有65%新应用将经由API串联，成为备受全球关注的API经济，而在Akamai发布的“2019网络／安全现状报告：零售攻击和API流量报告”中指出，现今API服务约占网络流量的83%，大部分属于数字转型和云计算应用部署等应用。
在亮眼的API经济背后，却隐藏容易被忽略的安全风险。早在2017年OWASP公布的前十大安全风险中，就列入企业正面临API攻击防护能力不足、API未受保护等两大问题。而多数企业内部的WAF设备，都是针对Web应用程序设计，根本无力保护API主机的安全，因此至今衍生出凭证滥用、DDoS攻击、应用程序层等不同面向安全威胁。
Akamai资深解决方案顾问角纯纯指出，现今多数企业对API保护意识仍然相当薄弱，甚至有企业误以为当API服务不收耗时，就不需要额外加入防护机制，这种似是而非的观念，正是引爆安全威胁的主要原因。当黑客组织将恶意程序植入API主机后，只要消费者通过计算机或手机访问相关服务后，就可能被植入僵尸或木马程序，除有个人数据外泄的疑虑之外，也会成为日后发动DDoS服务的僵尸设备。
“在Open API时代中，API安全与否非常重要，一旦企业没有做好防护，除本身会遭受到黑客入侵之外，也很可能将恶意程序传染给其他合作伙伴，造成安全危害将难以估计。”
企业应正视API安全，避免发生大量个人信息外泄
零壹科技资深技术顾问陈鸣豪解释：“2019年开始，金管会正大力推动Open Banking策略，鼓励金融产业通过开放API方式发展多样业务，台湾企业应该要正视API的安全，方能避免发生大量个人信息外泄的憾事。Akamai API Gateway让API与后端API服务器沟通前进行谨慎的身份验证跟API执行内容的检查，过滤未授权的来源访问，并可针对API的请求次数进行控制，集成WAF与DDoS的高端防御功能。”
因应API攻击日益严峻，Akamai基于自家对全球可视化网络为基础，运用多项先进技术所推出的Kona Site Defender，可有效保护应用程序网站和API服务免受复杂攻击，如数据窃取、DDoS等等。这套解决方案最大特色，在于Akamai将收集到的威胁形势情报，转换成抵御最新攻击的防护规则，协助企业在第一时间抵抗新形态的攻击，协助企业应对不断进化的安全挑战。
全球爬虫工具盛行，严重影响应用主机安全
在API攻击外，企业面临的新形态安全威胁，就是黑客组织运用爬虫机器人发动慢速攻击。在移动设备普及与网络服务多样发展下，智能手机已成为消费者查询各类信息的首选工具，企业为提供用户更好网络服务，正大量运用爬虫工具收集各类咨询，进而为用户创造更好的服务体验。
由于时下各种爬虫工具盛行，多数企业在面临网络连接数量暴增，导致应用服务主机性能滑落时，很容易误以为是用户端连接增加所致，所以会选择增加主机数量以提高服务品质。看准此被动做法，黑客主机开始运用恶意爬虫机器人以大量连接请求，缓慢瘫痪安全设备，再趁机将恶意程序植入应用服务主机之中，进而完成窃取商业机密或散播病毒的目标。
陈鸣豪指出，在全球Facebook、Yahoo接连传出大量个人信息外泄事件后，黑客组织也结合机器人攻击，以凭证填充攻击方式，针对各知名网站或电商平台进行登录测试，以取得更多高价值的数据。此种攻击形态已对整体安全防护造成极大冲击，一旦造成消费者权益受损，对公司商誉造成极大伤害。角纯纯表示，根据Akamai研究报告显示，光是从2017年11月初至2018年6月底的八个月间，全球出现恶意登录尝试总共超过300亿次以上。
大数据分析快速抓出恶意爬虫攻击
Akamai Bot Manager特色在于可协助信息人员识别来访的爬虫机器人，是属于单纯数据查询或者属于黑客组织的恶意连接。Akamai Intelligent Platform负责处理全球15～30%网络流量，搭配云安全智能大数据分析引擎（CSI）的分析能力，可快速识别出在大量连接需求的背后，是否为恶意爬虫机器人所发出。目前Akamai Bot Manager已可识别1,400种以上的已知爬虫工具，能预先针对异常连接需求采取相对应措施。
其次，Akamai Bot Manager能从键盘输入节奏、鼠标轨迹、IP信誉评分、浏览器指纹、http异常等信息，借此判定大量连接请求是否正常，并确认对业务与网络资源的影响。除断定爬虫工具是否为恶意外，该程序还依照各项恶意工具的特性，助安全人员制定不同的管理策略，如提供假信息、延迟提供等等，让企业免于陷入恶意爬虫机器人的攻击，同时避免黑客组织运用其他爬虫机器人进行攻击。
因应全球法规要求，身份认证不可少
诚如前述，全球各地不断传出个人信息外泄事件，为此，各国政府均通过制定法规要求企业强化数据保护等级，如台湾个人数据保护法、欧盟通用数据保护条例（GDPR）、加州消费者隐私法案（CCPA）、加拿大个人信息保护和电子文件法案（PIPEDA）等。一旦企业没有善全部据保护工作，当爆发数据外泄事件时，便可能会被处以高额罚金，甚至可能会被要求暂时停止提供服务。
江艾玲说，Akamai Identity Cloud设计之初，就是要为全球用户提供所需管理与可视化平台，进而打造无缝、安全且可延伸的用户体验平台。这套基于Akamai Intelligent Edge Platform设计的解决方案，可协助企业改善数据防护等级，以便因应不同法规要求，加上提供API、SDK两种机制，能与现有的应用服务完美集成，是保护个安全全的最佳选择。
引进合适安全工具及合作伙伴之外，零壹科技建议企业应该同步持续强化安全教育工作，通过多管齐下方式降低遭到恶意程序入侵的几率，全方位保护商业机密安全。