亚洲金融服务业受到严格监管，合规通常被视为一种安全保障。然而，合规只是安全的一个方面。各类法规涵盖的问题十分广泛，但仅仅部署解决方案或设备来满足合规要求还远远不够。
随着移动设备在亚太地区日益普及，以及互联网银行业务随之兴起，网络安全威胁也变得日益复杂。然而，根据Telstra的《移动身份研究》，62%的金融服务业高管表示，他们在身份和安全方面的投入不足。由于超过三分之一的消费者曾遭遇身份盗用，不到一半的消费者对其金融机构的安全表现感到满意。
随着去年发生多起身份盗窃事件，例如摩根大通数据泄露事件以及韩国银行遭遇大规模信用卡数据泄露，加之2014年身份欺诈导致受害者被盗取160亿美元，身份盗窃正迅速成为金融服务业日益严重却仍被低估的威胁。
攻击面扩大，攻击手段日趋复杂
随着攻击面不断扩大、攻击工具日益复杂，身份盗用已成为网络犯罪分子的常用手段。如今，网络攻击的途径更加多样。例如，许多金融服务机构允许员工使用个人设备访问企业网络，自带设备（BYOD）模式使移动设备可能成为网络犯罪分子利用机构员工凭据潜伏、传播和窃取信息的渠道。
另一个攻击途径可能是面向公众但安全性不足的Web应用，这可能导致身份信息迅速被盗。其中包括去年备受关注的零日漏洞，例如Shellshock和Heartbleed。只要组织未能及时修补漏洞，或缺少适当的技术来保护其Web应用，就可能遭到攻击。一旦网络犯罪分子取得控制权，便可肆意妄为，包括窃取数据，甚至利用服务器发起僵尸网络攻击。
这个不断扩大的“活动空间”意味着，网络犯罪分子窃取登录凭据的手段更加多样。他们不再需要依赖键盘记录软件或数据库入侵，只需使用网页注入即可。
例如，当用户登录网上银行账户时，网络犯罪分子可以在网页中插入一个看似正常的附加字段，要求用户输入ATM PIN（自动柜员机个人识别码），从而欺骗熟悉技术和不熟悉技术的网上银行用户。与此同时，恶意软件可以在后台发起“浏览器中间人”攻击，而托管Web应用无法察觉。
除了增加攻击途径外，如今的恶意软件和木马还能够通过移动银行应用窃取登录凭据，进而获取银行及其他金融服务机构中的资金。网络犯罪分子只需创建一款外观与银行应用相似的移动应用，再利用鱼叉式网络钓鱼窃取登录凭据。Dyre或Dyreza等恶意软件会直接攻击企业银行账户，并已成功从毫无防备的公司窃取超过100万美元。
通过分层防御、主动防护和严格的移动安全策略应对威胁
鉴于内部威胁占2015年上半年大多数数据泄露事件，企业比以往任何时候都更需要跟上当今网络犯罪分子快速变化的手段，并采取必要措施保护面向互联网的应用。这应列为企业的首要任务，因为此类应用是网络犯罪分子伺机入侵网络的常见渠道。此外，还应避免使用越狱设备，因为这通常会为网络犯罪分子访问网络提供另一条途径。
首先，必须采用适当的技术，实施纵深防御策略。许多人普遍误以为，使用防火墙等技术就足以保护组织的网络，但如今这种观点已不再适用。组织必须考虑采用其他技术，例如Web应用防火墙。Web应用攻击通常针对特定应用进行定制和设计，传统安全措施往往无法检测到此类攻击。
尽管补救措施（即在安全事件发生后修复问题）也能发挥作用，但主动保护网络更有价值。补救本质上是一种被动响应：取证团队追溯安全事件的原因、提供报告，并在事后进行修复。相比之下，主动保护组织可能无法拦截所有攻击，但只要能降低攻击得逞的比例，就仍应视为一种成功。
最后，还需要克服自满心态，摒弃“这种事不会发生在我身上”的想法。不能看到身边的人遭受攻击，却仍认为自己会一直安然无恙。
组织应制定移动设备安全策略，明确移动设备的管理准则、原则和实践，无论设备由公司配发还是个人所有。这些策略应涵盖角色与职责、基础设施安全、设备安全和安全评估等方面。
通过制定安全策略，组织可以建立一个框架，用于落实相关实践、工具和培训，从而为无线网络安全提供支持。针对移动安全策略开展员工培训，也有助于组织确保以安全、适当的方式配置、操作和使用移动设备。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。