云上数据、漏洞、不安全代码：2023 年需重点关注的三重业务安全风险

勒索软件近年来一直是恶意攻击者获利的主要手段。但数据表明，随着勒索软件攻击关注度的日益提高，泛滥的的勒索软件攻击在过去一年中略有下降，攻击者们正在寻找除了勒索软件之外的攻击和获利途径。有安全专家发现，攻击者正在将目光转向企业资源规划应用程序ERP软件，试图悄悄侵入企业的业务应用程序直接获利。



在数字化时代下，各行业中的企业开始尝试运用信息技术来为自身的发展提供了良好的管理支持，包括零售业、服务业、银行业、电信业、政府部门都正在利用新一代信息系统ERP来提升运营管理效率。由于ERP系统在采购管理、库存管理、生产管理体系方面的巨大优势，ERP系统已顺理成章成为各行业企业数字化转型的试水项目。
 
随着企业数字化转型的加速，保护其业务关键型应用程序免受直接针对他们的威胁至关重要。从安全投入上来看，大多数组织仍然专注于大力投资传统的端点安全工具，但这些工具显然只能解决勒索软件、钓鱼邮件等常见的威胁。随着ERP攻击的增加，组织必须确保其安全策略将这些应用程序考虑在内，以保护其敏感数据和文件免遭黑客窃取。
 
但首先，至关重要的是，组织必须要了解哪些风险可能会对他们的ERP应用程序带来威胁，哪些方面存在安全风险，可能会使业务关键型应用程序容易受到网络犯罪分子的攻击。
 
本文梳理了组织2023年应重点关注的三种常见业务应用程序安全风险，以及针对每种风险的具体补救措施：
 
上云应用中的敏感数据
 
随着组织加大数字化转型力度以及在本地和云实例之间的过渡，他们也越来越多地引入面向 Web 的应用程序。这也导致，在仅本地环境中，过去被隐藏在企业“墙”后面的应用程序现在完全暴露在网上，而攻击者们也已经利用企业组织的这一弱点。因此，鉴于这些应用程序中保留了无数敏感信息，企业必须确保面向互联网的漏洞具有最高优先级。
 
未修复的已知漏洞
 
众所周知，攻击者会利用未知漏洞来切入企业网络，但事实上，攻击者们往往更倾向于密切关注补丁发布日期，因为许多企业在修补漏洞方面通常是滞后的。
 
之所以许多补丁管理流程失败，是因为安全团队会使用手动方法来安装安全修复程序，这耗费了安全团队极大的时间和精力。随着补丁数量的增加，可能很难确定哪些补丁必须首先应用，哪些补丁可以留待以后使用。例如，ERP应用程序中的漏洞就会被认为比端点中的漏洞严重得多，便应首先进行修补。
 
为了改进补丁管理流程并确保没有未修补的关键漏洞，安全团队应利用现代漏洞管理工具，使他们能够端到端地了解其 ERP 和业务应用程序环境，包括位于云、本地或混合环境中的漏洞。他们还应该确保他们的平台能够持续记录所有资产，发现以前未知的缺陷，并为他们提供有关其业务关键型应用程序环境的关键指引。
 
不安全的自定义代码
 
自定义代码是任何业务关键型应用程序的重要组成部分，因为它可以匹配组织的当前业务流程并映射其功能。尽管对业务至关重要，但许多代码语句包含重大漏洞，并且容易出现安全漏洞。遗憾的是，许多安全团队还利用手动代码审查来扫描其代码语句。大量依赖于网络安全专家本身的知识体系和经验的工作方法，通常会导致无法识别可能危及业务应用程序的安全性和合规性的一小部分关键缺陷。
 
因此，为了识别和修复业务关键型应用程序自定义代码中的安全错误，安全团队应将其手动过程替换为自动化工具，并确保他们支持并深入覆盖他们使用的业务应用程序特定语言。自动化能够大大减少了审查代码所需的时间，它可以在短短几分钟内扫描和检查数百万行代码，识别全部常见缺陷并降低风险。
 
展望2023年，虽然安全形势将始终保持不确定，但有一件事仍然是确定的：攻击者将继续不惜一切代价攻击ERP应用程序，因此，通过了解可能影响其关键资产的风险并主动应用必要的缓解措施，企业便可以领先攻击者一步，先于攻击者看见并阻断风险。