در سالهای گذشته برنامه های مخرب باج افزار (Ransomware) به مانند NotPetya شیوع پیدا کرده است که فایلهای شما را رمزنگاری میکنند و در ازای بازگرداندن فایلهایتان از شما درخواست باج به صورت ارز دیجیتال بیت کوین(Bitcoin) میکنند. این نوع برنامه در سال 2017 تبدیل به یکی از متداول ترین انواع بدافزار شد. با این حال در همان زمان میزان واقعی آلودگی بدافزار در حدود اواسط سال کاهش یافت تا اینکه در دسامبر 2017 این میزان تنها حدود 10% آلودگی خود را نمایان کرد.

چه اتفاقی افتاد؟ خوب به نظر میرسد که افراد سودجو متوجه این شده اند که میتوانند با گذاشتن طعمه های جذاب تر فایلهای بیشتری را دریافت کنند و به جای اینکه از قربانیان بخواهند ارز دیجیتالشان را برای مهاجمین بفرستند بدون جلب توجه به وسیله برنامه های استخراج بیت کوین (bitcoin-mining software) کامپیوتر خود را الوده کنند. تا سال 2018,90% از حملات با اجرای کد از راه دور به وسیله Cryptomining همراه بوده است.

· ایمیل هنوز دچار مشکل میباشد:

آیا شما از ارسال یادداشت های ناخوشایند به کارکنان شرکت خسته شده اید و آنها اصرار می ورزید که آنها فقط بر روی پیوست های ایمیل قدیمی کلیک نکنند؟ خوب ما نگران هستیم که آنها همین کار را انجام دهند , به دلیل آنکه طبق گزارش و تحقیقات انجام شده در سال 2018 , 92% از نرم افزارهای مخرب توسط ایمیل دریافت میشوند. یکی از رایج‌ترین روش‌های سرایت بدافزار از طریق حملات فیشینگ (به تلاش برای بدست آوردن اطلاعاتی مانند نام کاربری، گذرواژه، اطلاعات حساب بانکی و... از طریق جعل یک وب‌سایت، آدرس ایمیل و... گفته میشود.) که به طور فزاینده ای مورد هدف قرار میگیرد. و موافقین امنیتی متوجه این نکته شده اند. از 1300 نفر از تصمیم گیرندگان امنیتی فناوری اطلاعات که برای گزارش جهانی چشم انداز پیشرفته CyberAkk 2018 مورد بررسی قرار گرفتند , 56% افراد بیان کردند که حملات فیشینگ ,تهدید اصلی امنیتی هستند که با آن مواجه هستند.
· حملات Fileless در حال افزایش هستند:
(در این نوع نفوذ، کد مخرب بدافزار بدون ذخیره شدن به صورت فایل بر روی دیسک سخت، به کار خود ادامه می دهد و به دلیل عدم وجود فایل مخرب روی دستگاه، تشخیص آلوده بودن سیستم سیار مشکل است.)
اما روزهایی که تهدیدهای مخرب به صورت فایلهای exe به فایلهای ایمیل های دریافتی ضمیمه می شدند و برنامه های ویروس یاب میتوانستند به آسانی آنها را به راحتی مورد ارزیابی قرار داده و مسدود نمایند را باید مربوط به گذشته دانست. در عوض بدافزار به اصطلاح نامرئی یا همان Fileless در حال افزایش و رایج شدن هست. حملات Fileless به جای تلاش برای دانلود فایلهای اجرایی حجیم , از نرم افزاری که پیش تر بر روی سیستم فرد قربانی نصب شده است بهره می برند; به عنوان مثال آنها ممکن است در یک افزونه مرورگر اجرا شوند, به مانند افزونه ماکروMacros در نرم افزار word مایکروسافت آفیس, یا از آسیب پذیریهای موجود در برنامه های سرور جهت تزریق کد اجرایی مخرب استفاده میکند, همانطور که در مورد نقص وب سایت Equifax رخ داد. بنا بر گزارش رسمی و نهایی موسسه Ponemon , همه گفته ها حاکی از آن است که 77% از حملات در سال 2017 که منجر به خطر امنیتی شده به وسیله Fileless بوده است.
· نقایصی که متوقف میشوند:
شما احتمالا قصد ندارید همه حملات به زیرساخت خود را متوقف کنید, به همین دلیل لازم و ضروری است که نقص هایی را که در حال حاضر به وقوع پیوسته اند را شناسایی کرده و آسیب های ناشی از آن را اصلاح کنید. در این مورد به نظر می رسد که همه چیز رو به بهبود می باشد...... البته به سختی. بررسی خرابکاری اطلاعات که توسط موسسه Ponemon انجام گردید ,هزینه آن نشان داد که سازمان ها به طور متوسط در عرض 191 روز قادر به تشخیص نقض داده ها هستند. این ممکن است شگفت انگیز به نظر برسد-بیش از 6ماه !!!!!!؟. اما کمی بهتر از آمار سال 2016 که 201 روز بود می باشد.
· کمک دوستانه دولت:
اغلب پیدا کردن افرادی که دارای کسب و کار خوبی هستند و بخواهند در مورد مفررات دوبت صحبت بکنند دشوار است. اما با توجه به گزارش در مورد تهدیدات در سال 2018, وقتی مساله تامین امنیت داده ها به میان می آید, شرکت ها مایل به ارائه اعتبار به قانونگذاران هستند. طبق نظر 64% از پاسخ دهندگان از سراسر جهان و 74% از کسانی که در آمریکا هستند, احساس میکنند پیروی از این الزامات و انطباق با آن یک روش بسیار موثر برای حفظ امنیت داده ها است.
· GDPR ارزان نیست :
( GDPRمخفف عبارت General Data Protection Regulation به معنی"مقررات محافظت از داده های عمومی" است.)
این امر حاکی از آن است که این انطباق ممکن گرانقیمت باشد, به خصوص زمانی که به اتحادیه مقررات داده اروپایی مربوط می شود. در یک بررسی توسط شرکت خدمات مشاوره حرفه ای ,PWC که از 300نفر مدیران تکنولوژی در آمریکا,بریتانیا, و شرکت های ژاپنی که در اتحادیه اروپا کار میکنند انجام شده, تقریبا همه 88درصد افراد گفتند که شرکت آنها بیش از 1میلیون دلار را صرف آماده سازی برای اجرای پروژه خود تا سال 2018 کرده اند. 40درصد آنها نیز میگویند حدود 10میلیون دلار یا بیشتر هم هزینه کرده اند. صرف کردن تمامی این هزینه ها برای کسب و کار هرکسی خوب است: همان نظر سنجی نشان داد که 69 درصد مدیران برنامه ریزی کرده اند که یک شرکت خارجی را استخدام کنند تا به آنها در برآورده شدن پروژه کمک کند.
· آیا امنیت به تنهایی کافی است؟
آیا شرکت شما دارای یک مدیر اجرایی امنیتی است, و اگر اینطور است چه کسی آنها را گزارش می دهد؟
به عنوان مثال, در 75درصد از سازمان هایی که در سال 2018 مورد بررسی قرار گرفتند, تیم های امنیتی و فناوری اطلاعات بخشی از یک سازمان هستند که 25 درصد از آنها یک بخش امنیتی مستقل دارند. اما اگر شرکتی یک موسسه اختصاصی یا CISO داشته باشند, احتمال بیشتری وجود دارد که در یک بخش جداگانه در چنین سازمان هایی, مدیریت امنیتی داشته باشند, که در حدود 40 درصد اوقات این اتفاق رخ می دهد.
· سیستم های کنترل صنعتی آسیب پذیر هستند:
سیستم های کنترل صنعتی – سخت افزار و نرم افزارهایی که همه چیز , از گیاهان تولیدی تا نیروگاه های هسته ای را تامین میکنند- اهداف وسوسه انگیزی برای هکرها هستند. بر اساس گزارش سال 2017 صنایع امنیت کسب و کار سایبری, 54 درصد از شرکت ها در طول دوازده ماه گذشته سیستم کنترل صنعتی را تجربه کرده اند و 16 درصد از آنها 3بار یا بیشتر شاهد این اتفاق بوده اند.
یک توضیح احتمالی؟ مراقبت کافی برای کنترل کسی که میتواند به این سیستم های حیاتی دسترسی داشته باشد, وجود ندارد. این گزارش از 55 درصد شرکت های نمونه از شرکت های خارجی از جمله شرکاء یا ارائه دهندگان خدمات,که اجاره دسترسی به شبکه کنترل صنعتی خود را دارند دریافت شده است.
· و به همین ترتیب سیستم های IoT :
(اینترنت اشیاء {Internet of Things} یا به اختصار ,IoT به طور کلی اشاره دارد به بسیاری از اشیاء و وسایل محیط پیرامون ما که به شبکه اینترنت متصل شده اند و میتوان توسط اپلیکیشن های موجود در تلفن هوشمند و تبلت آنها را کنترل و مدیریت کرد.)
سیستم های کنترل صنعتی متصل به اینترنت , اولین حرکات از اینترنت اشیاء را نشان می دهند. امروزه , میلیون ها دستگاه IoT وجود دارد که نشان دهنده یک نوع از حملات فریبنده هستند که شما نیاز دارید از آنها حفاظت نمائید. بنابر یک گزارش در سال 2018 توسط شرکت Trustwave در مورد امنیت دستگاههای IoT. ابهاماتی را به وجود آورد:
· 64درصد از سازمان های مورد بررسی , تجهیزات IoT را به کار گرفته اند, و 20 درصد دیگر قصد دارند در سال آینده این کار را انجام دهند.
· اما تنها 28 درصد از آن سازمان ها استراتژی امنیت داخلی خود را "بسیار مهم" می دانند و بیش از یک سوم فکر میکنند که این نوع استراتژی فقط تا حدودی مهم است, یا اصلا مهم نیست.
این دو واقعیت را در نظر بگیرید, و آیا جای تعجب ندارد که 61 درصد کسانی که بررسی شده اند قبلا یک حادثه امنیتی IoT را تجربه کرده اند؟
· ما نسبت به واکنش , فعال تر عمل میکنیم:
برای یک نکته پایانی سودمند , بگذارید نگاهی به عواملی که هزینه های امنیت را بر طبق مطالعات امنیتی سال 2018 , افزایش می دهند بپردازیم. ( پاسخ دهندگان میتوانند بیش از یک عامل را انتخاب کنند که به همین دلیل است که این تعداد به بیش از 100 درصد می رسد.)
· 74% : بهترین شیوه ها
· 69% : سازگار بودن و تطبیق دادن
· 36% : پاسخ به یک حادثه امنیتی که درون سازمان خود رخ داده است
· 33% : داشتن مجوز از هیئت مدیره
· 29% : پاسخ به یک حادثه امنیتی که در سازمان دیگر رخ داده است
چرا میگوییم که این امیدوار کننده است؟ خوب به نظر می رسد که سازمان ها به طور فعال در حال نزدیک شدن به هزینه های امنیتی خود می باشند , بر اساس برنامه های آینده و دستورالعمل های درج شده در آئین نامه , به جای بازی گرفتن و واکنش دادن به حملات. بیابیم چه چیزی دیگری میتواند باعث شود تا درخواست یک مدیر ارشد امنیتی CSO لازم باشد؟

· منبع :

[ https://www.csoonline.com/article/3153707/security/top-cybersecurity-facts-figures-and-statistics.html ]