索尼公司已經花費1.71億美元處理其數據泄漏所帶來的后果。有一家安全公司列出了索尼的一些錯誤。

　　2011年的春天對索尼高管來說可沒什么溫暖。安全廠商Lumension Security將大規模的索尼數據泄漏事件放在一起，繪出了一張時間表。該公司還概述了可能會讓索尼進一步受害（信譽和金錢）的一些失誤。

圖為索尼數據泄露時間表

　　索尼的PlayStation網絡于4月20日關閉，同時取證組開始調查索尼數據泄漏的范圍。截止到5月2日，該泄漏事件影響了大約1億人，且蔓延到了其在線娛樂部分（Online Entertainment division）。

　　索尼已采取了額外的保安措施，但在5月18，索尼發現了其密碼重設應用中的一個漏洞，從而導致了有一次短暫關閉。

　　在大量數據泄漏事件中，索尼是其中備受矚目的一個，它標志著2011年數據泄漏的開始。

　　每一次事件都向我們揭露了安全的缺陷：配置問題，漏洞，社會工程攻擊，將這些結合起來就給網絡犯罪分子們提供了一份可以進入系統的路線圖。

　　上個月，Mandiant公司首席安全官Richard Bejtlich告訴我的同事Eric Parizo，是時候創造新的方法來對付攻擊了。Bejtlich建議大型企業可以采取負擔得起的反威脅行動，這些企業可以主動出擊“積極在他們的內部尋找入侵者。”

　　其他的企業則應對基礎知識進行更新：

• 重新審視你的安全策略。它們可以有效地傳達給員工嗎？它們是如何得到實施的。專家表示，改善溝通是減少數據泄漏長期有效的方法。員工們會將別的設備引入到網絡上，但他們很多都不知道公司的安全策略是什么，或者有些策略是強制執行的。一些處理敏感數據的員工通常認為有潛在的技術可以提供安全保護。
• 進行數據審計（說起來比做起來容易），從而發現你系統上最敏感的數據在哪里。專家表示，公司經常在部署安全技術時，甚至不知道他們的數據所在。這種做法本可以讓索尼不會受到進一步的損害的。索尼發現了一個暴露的服務器，其上包含的信用卡數據可以追溯到2007年。
• 確保你的安全技術得到正確的配置。通常，Web應用防火墻或其他安全設備的實施是為了滿足合規要求，但它們很少設置策略，因此在減少威脅方面也沒什么作用。那些花些時間來調整安全設備的企業，可以發現可疑的活動或發出警報，從而避免嚴重的數據泄漏，甚至可以在過程中檢測到一次攻擊，就像RSA在其系統上所做的一樣。
• 針對應用和系統進行Web漏洞評估。正如我們在Verizon數據泄漏調查報告中所看到的，網絡犯罪分子總是選擇那些唾手可得的目標作為切入點。一個全面的Web應用程序及其底層鏈接到的基礎設施評估，會使攻擊者難以滲透網絡。
• 為數據泄露作好準備。專家說，既然會發生，那么就為這不可避免的事情做好準備。擁有應急計劃和由強有力的領導者領導的集中應急響應小組的公司，會遭遇更少的痛苦。不過，這也是說起來容易做起來難，但在采取事故應急計劃時也有一些關鍵步驟。

　　采取以上這些措施并不會使一個有預謀的攻擊停止，但它們可以將網絡犯罪分子拖延足夠長的時間，從而警告系統有異常，并在失控前，應急小組孤立并最終減少數據泄漏的程度。

原文鏈接：http://www.searchsecurity.com.cn/showcontent_49031.htm