無所不在 瀏覽器安全成防護重要任務
編譯／Cynthia
瀏覽器已成為數位時代中企業日常工作不可或缺的一部分，這也增加瀏覽器安全性的問題，並對企業資訊安全構成重大挑戰，最新一份瀏覽器安全報告揭示一系列重要發現，並提出了解決建議。
更多新聞：Google推出V8 Sandbox 加強瀏覽器安全
企業在瀏覽器安全面臨多重挑戰包括以下數點：
- 混合工作風險：未管理的設備和個人瀏覽器配置是主要的網路安全威脅，導致數據外洩和釣魚攻擊。62％的員工使用未受管理的設備存取企業數據，45％的企業設備上使用個人瀏覽器配置。
- 瀏覽器擴充功能：組織內33％的瀏覽器擴充功能存在高風險，其中1％已知為惡意擴充功能，它可能被用於竊取用戶數據或引導用戶訪問釣魚網站。
- 影子SaaS風險：員工潛在使用未經授權的SaaS應用程式，可能導致企業陷入盲點和身份管理問題，增加安全風險。
- 身份漏洞：共享帳戶和單一登錄方式增加未經授權存取的風險，23andMe數據外洩事件顯示共享身份的危險。
- Gen AI和LLM漏洞：7.5％的員工可能通過將敏感資訊貼到或輸入到Gen AI工具中，如ChatGPT，進而面臨數據外洩的風險。
- AI驅動：AI技術可用於增強各種攻擊，從惡意軟體、釣魚、瀏覽器擴充功能到供應鏈攻擊等，利用AI驅動的客製化，使攻擊更具說服力和難以檢測，或者利用AI演算改進攻擊能力。
- 未修補的漏洞：瀏覽器中未修補的漏洞帶來重大風險，不同瀏覽器的修補時間存在差異。
加強安全建議方案
為了因應這些威脅，報告的分析師提出多層次的解決方案：
- 定期更新瀏覽器和即時安裝安全修補：確保及時更新瀏覽器和安裝安全修補，降低軟體過時帶來的風險。
- 限制未經授權的擴充功能：限制未經授權的瀏覽器擴充功能，並定期審查權限，以防止數據外洩。
- 訓練員工辨識並回報可疑郵件與網站：提供培訓，幫助員工識別和回報可能存在風險的郵件和網站。
- 實施條件訪問控制和推廣清晰的BYOD政策：實施條件訪問控制，並推廣明確的BYOD（攜帶自己的裝置）政策，以保護用於工作的個人設備。
- 強制MFA並教育員工密碼安全：強制實施多重身份驗證（MFA）並教育員工有關密碼安全的知識，提升帳戶安全性。
- 強制安全配置和擴充功能的白名單：強制執行安全配置，並將擴充功能列入白名單，減少安全漏洞。
- 根據用戶角色限制對敏感數據的存取：根據用戶角色限制對敏感數據的存取，減少數據外洩風險。
- 使用先進工具檢測和分析瀏覽器數據：運用先進工具檢測和分析瀏覽器數據，及時發現並應對威脅，確保積極的威脅防範措施。
瀏覽器安全問題已成為企業面臨的一個嚴重挑戰，但透過實施上述安全建議，仍能夠加強對瀏覽器威脅的防範，保護敏感資訊和組織系統的安全。
資料來源：The Hacker News
瀏覽 488 次
