常见的网络安全意识误区

随着我们进入“网络安全意识月”，应做好准备，应对大量常见的安全误区和错误观念。这些观点往往出于善意而被放大，却可能产生不良影响。即使在经验丰富的专业人士中，这些话题也可能引发争议，因此我们将从数据出发，面向尽可能广泛的企业群体展开探讨。

这种广泛适用性往往正是分歧的根源。每家企业都必须根据自身情况，讨论风险和可接受的损失、适用的威胁模型和可能的威胁行为者，以及自身环境的独特之处。不过，各家企业都应以数据、专业知识和客观判断为依据，而不是依赖小圈子经验、不求甚解地照搬做法，以及确认偏差和幸存者偏差。

我们将探讨“三大问题”：点击电子邮件中的链接、使用公共Wi-Fi，以及“充电劫持”，即使用免费USB接口为手机充电所带来的风险。

第1项：点击电子邮件中的链接

要点：应讲解网络钓鱼和诈骗的明确识别特征，但“不要点击链接”这类不切实际的建议不仅无益，甚至可能有害。

“安全使用”意识培训作用显著，既能帮助员工更好地使用技术，也能解决常见问题。然而，多年来一直要求人们改变“不点击链接”等基本行为，似乎并未奏效。Verizon的《2023年数据泄露调查报告》指出，74%的数据泄露事件涉及人为因素（不仅限于电子邮件）；Cyentia Institute的《2022年信息风险洞察研究》显示，在20个行业中，有18个行业将网络钓鱼列为排名前三的初始访问技术（在信息及其他服务业中排名第4）。

意外在所难免，即使员工出于善意并接受过培训，时间一长也难免会点击恶意链接。这正是安全计划在多年来不断劝导用户改变电子邮件使用方式后，仍继续投资于电子邮件和设备安全的原因之一。更令人担忧的是，宝贵的安全意识培训时间被用于这一主题，却因缺乏实用性而让受众失去兴趣，反而弊大于利。

企业必须具备足够的韧性，不能因员工点击一个链接而陷入风险。员工可以提供帮助，尤其是报告实际情况（“发现异常，及时报告”），但缓解此类风险是安全团队的责任。

#2 使用公共Wi-Fi

要点：即使在商务场景中，也可以安全使用公共Wi-Fi。

人们仍然认为，公共Wi-Fi不如家庭或办公网络可信，或者更加危险。然而，即使在2020年至2022年远程办公激增期间，也没有关于公共Wi-Fi遭到大规模利用的报道。美国联邦贸易委员会（FTC）曾于2011年警告不要使用公共Wi-Fi，但于2023年更新了相关指南，以反映使公共Wi-Fi可安全使用的技术发展。

相比之下，笔记本电脑和设备失窃确有发生，例如公共场所的机会型犯罪。这种风险更为常见，可通过投入部署存储加密、移动设备管理（MDM）和锁定策略来降低。一个相关的细分数据集是美国卫生与公众服务部民权办公室（OCR）提供的影响500人或以上的未加密受保护健康信息泄露事件报告存档列表。该列表显示，自2009年以来，笔记本电脑或其他便携式电子设备失窃或遗失事件超过4,600起，受影响人数超过3.45亿。

与此同时，本地网络流量继续呈现安全化趋势：

• Google的“网络HTTPs加密”透明度报告显示，Google的加密流量占比超过90%，Windows和Mac等操作系统也已广泛采用加密流量。
• Let's Encrypt关于Firefox使用HTTPS加载的网页百分比的统计数据来自Mozilla的Firefox遥测，数据显示，全球用户约80%的流量已加密，美国和日本用户约90%的流量已加密。
• Google的“传输中的电子邮件加密”透明度报告显示，Google（Gmail）收发的电子邮件中，超过90%已加密。
• DNS安全功能的采用仍面临挑战，但应用流量获得强大的加密支持，加之VPN及同类技术在企业管理的流量中广泛应用，在一定程度上缓解了这一问题。DNSSEC的采用率较低（根据Verisign的DNSSEC统计，约5%的.com域名受到保护），但自2020年起开始快速增长，并保持增长势头。同样，操作系统和浏览器也支持基于HTTPS的DNS（DoH）。

除非设备上运行着面向网络的服务（对于用户设备而言，这种情况应极为罕见），否则与其他任何Wi-Fi网络相比，公共Wi-Fi几乎不会带来独有风险。对于采用零信任方法的组织而言，公共Wi-Fi充分说明了为何绝不能信任网络，无论是公共网络还是专用网络。

#3 “充电劫持”，或手机免费USB充电的风险

要点：这种攻击已在多款手机上得到验证，但目前没有确凿数据表明其已被实际利用，而且用户采取防范措施的成本较低，因此在紧急情况下使用免费USB充电器通常是安全的。

在某些情况下，您可能需要避免使用USB充电站，例如手机无人看管时可能被盗，或在更有可能“演示”此类攻击的安全会议上。不过，目前没有确凿数据支持对“充电劫持”的广泛渲染。

• 美国联邦通信委员会（FCC）表示，尚未发现任何已确认发生的此类攻击事件。
• Snopes对“充电劫持”警告进行了事实核查。这些警告分别由洛杉矶县地方检察官办公室于2019年发布，以及由FCC和联邦调查局（FBI）于2023年发布。核查未发现这种攻击被广泛使用的证据。该结论也被KrebsOnSecurity引用，用于报道FCC和FBI于2023年发布的警告。

对于担心此风险的企业和员工，降低风险的成本都不高：

1. 使用电源插座转USB充电适配器和小型移动电源。这些设备已成为随身携带的常用物品，尤其适合商务旅客。
   
2. 通过USB连接时，如果手机询问是否要“共享数据”“信任此电脑”或执行类似操作，请选择“仅充电”。
   
3. 如果评估认为用户面临的风险明显较高，可考虑购买能够阻断或不传输数据的专用充电器和线缆。

使用免费USB充电站时，更大的风险是设备无人看管而被他人拿走。同样，企业在设备管理和安全规范执行方面的投入通常是合理的风险缓解措施。

提高对这些话题的认识为什么会有负面影响？认识得越多，不是越好吗？

安全工作通常很少得到同事的积极关注，而公司规定的培训也难以激发兴趣。这些宝贵的关注时刻和初次印象，是安全团队需要付出高昂成本才能获得的资源。

即使往好处看，花时间学习不重要、不相关、不准确或不切实际的材料也是浪费。往坏处看，安全团队会失去受众；下次无论传达的信息多么重要，都不会再得到关注。

从宏观层面看，问题在于为何此类错误观念和误解会持续存在。正如本文开头所述，部分原因在于人的因素。

另一方面，问题也源于制度层面：这类误解被写入合规框架和商业协议。此类规定往往很快就会过时，尤其是规定得过于具体，却未能随技术发展及时更新时。结果是，安全计划不得不落实已经过时或缺乏事实依据的要求，而团队成员又会接受这些要求，并将其带到下一家雇主。这种受污染的知识比恶意软件危害更大。