导语：现代网络安全采用分层方法来保护网络的许多边缘和网络边界。本文介绍了网络安全的基础知识和风险。
网络安全是指用于保护网络、网络流量和网络可访问资产免受网络攻击、未授权访问和数据丢失的技术、流程和策略。大大小小的组织都需要网络安全来保护其关键资产和基础设施。
现代网络安全采用分层方法来保护网络的许多边缘和网络边界。网络的任何元素都可能成为攻击者的侵入点——端点设备、数据路径、应用程序或用户。由于组织面临众多潜在威胁，通常会部署多项网络安全控制措施，以便在网络和基础设施的不同层应对同类型的威胁。这被称为防御纵深安全方法。
供应链攻击
供应链攻击利用组织与外部有关方之间的关系进行攻击。以下是网络攻击者可以利用这种信任关系的几个途径：
第三方访问：企业常常允许供应商及其他外部有关方访问其IT环境和系统。如果攻击者获得了可信任合作伙伴的网络的访问权，就可以利用合作伙伴对企业IT系统的合法访问权大做文章。
可信的外部软件：所有企业都使用第三方软件，并在其网络上提供这些软件。如果攻击者可以将恶意代码注入到第三方软件或更新版中，恶意软件就可以访问组织环境中的可信和敏感数据或敏感系统。这是全球范围的SolarWinds攻击事件中黑客使用的方法。
第三方代码：几乎所有的应用程序都包含第三方和开源代码和库。这种外部代码可能包含可被网络攻击者滥用的漏洞或恶意函数。如果组织的应用程序易受攻击或依赖恶意代码，它们就很容易受到攻击和利用。利用第三方代码的一个有名的例子是Log4j漏洞。
勒索软件
勒索软件是一种恶意软件，旨在锁定目标计算机上的数据并显示勒索函。勒索软件程序通常使用加密手段来锁定数据，并要求支付加密货币以换取解密密钥。
网络犯罪分子经常上网购买勒索软件工具包。这些软件工具使攻击者能够生成具有某些功能的勒索软件，并加以分发，向受害者索要赎金。获取勒索软件的另一种选择是勒索软件即服务（RaaS），它提供价格合理的勒索软件程序，基本上不需要多少技术专业知识就能运作起来。这使得网络犯罪分子更容易快速发起攻击，几乎不费吹灰之力。
勒索软件的类型
网络犯罪分子可以使用的勒索软件有很多种，每一种勒索软件的工作方式都不同。以下是一些常见的类型：
恐吓软件：这类勒索软件模仿技术支持或安全软件。受害者可能会收到弹出式通知，声称他们的系统上有恶意软件。它通常会一直弹出，直到受害者做出回应。
加密勒索软件：这种勒索软件加密受害者的数据，索要支付解密文件的赎金。然而，即使受害者协商或支付赎金，受害者也可能无法要回数据访问权。
主引导记录勒索软件：这种勒索软件加密整个硬盘，而不仅仅是用户的文件。它使得用户不可能访问操作系统。
移动勒索软件：这使攻击者能够部署移动勒索软件，从手机中窃取数据或加密数据，并索要赎金，以解锁设备或返回数据。
API攻击
API攻击是指恶意使用或破坏应用编程接口（API）。API安全包括防止网络攻击者利用和滥用API的实践和技术。黑客之所以盯上API，是由于它们是现代Web应用程序和微服务架构的核心。
API攻击的类型包括如下 ：
注入攻击：这种类型的攻击发生在API没有正确验证其输入时，允许攻击者提交恶意代码作为API请求的一部分。SQL注入（SQLi）和跨站脚本（XSS）是两个最明显的例子，但还有其他例子。大多数类型的注入攻击传统上针对网站和数据库，也可以针对API。
DoS/DDoS攻击：在拒绝服务（DoS）或分布式拒绝服务（DDoS）攻击中，攻击者试图使API对目标用户不可用。速率限制可以帮助缓解小规模的DoS攻击，但大规模的DDoS攻击可能利用数百万台计算机，只能通过云规模的反DDoS技术来应对。
数据暴露：API经常处理和传输敏感数据，包括信用卡信息、密码、会话令牌或个人身份信息（PII）。如果API不正确地处理数据，如果API很容易受骗向未经授权的用户提供数据，如果攻击者设法破坏了API服务器，数据可能会受到破坏。
社交工程攻击
社交工程攻击利用各种心理操纵技术（比如欺骗和胁迫），使目标执行某种操作。以下是一些常见的社交工程伎俩：
网络钓鱼：网络钓鱼是一种试图欺骗接收者执行有利于攻击者的某种操作的行为。攻击者使用各种平台发送钓鱼信息，比如电子邮件、企业通讯应用程序和社交媒体。这些消息可能诱骗目标打开恶意附件，泄露登录凭据等敏感信息，或点击恶意链接。
鱼叉式网络钓鱼：一种针对特定个人或团体的网络钓鱼攻击，利用有关目标的信息使网络钓鱼邮件看起来更逼真。比如说，一封发送给财务人员的鱼叉式网络钓鱼邮件可能声称发送来自目标公司的合法供应商的未支付发票。
短信网络钓鱼：这种网络钓鱼攻击使用短信，利用常见的特征，比如链接缩短服务，诱使受害者点击恶意链接。
语音钓鱼：攻击者企图说服受害者执行特定操作或泄露敏感数据，比如登录凭据或信用卡信息。语音钓鱼是通过电话进行的。
MitM攻击
MitM攻击又称中间人攻击，是指攻击者拦截双方之间的数据传输或对话的一种网络攻击。攻击者可以成功地冒充其中一方。
通过拦截传输的内容，攻击者可以窃取数据或改变参与者之间传输的数据，比如插入恶意链接。等到参与者知道这种操纵通常为时已晚。MitM攻击的常见目标包括金融应用程序、电子商务网站和其他需要身份验证的系统的用户。
实施MitM攻击的方法有很多。攻击者可以破坏公共免费Wi-Fi热点，当用户连接到这些热点时，攻击者对于用户的活动一清二楚。攻击者还可以使用IP欺骗、ARP欺骗或DNS欺骗将用户重定向到恶意网站，或者将用户提交的数据重定向到攻击者，而不是预期目的地。
结论
本文解释了网络安全的基础知识，并介绍了五种网络安全风险：
勒索软件：勒索软件是一种恶意软件，旨在锁定目标计算机上的数据并显示勒索函。
API攻击：API攻击是指恶意使用或破坏应用编程接口。
社交工程攻击：社交工程攻击利用各种心理操纵技术，使目标执行某种操作。
供应链攻击：供应链攻击指利用组织和外部有关方之间的关系大做文章。
MitM攻击：MitM攻击是一种网络攻击，攻击者拦截双方之间的数据传输或对话。
本文翻译自：https://dzone.com/articles/top-five-network-security-risks如若转载，请注明原文地址
