2021年春夏两季，黑客悄悄入侵了联合国专有的项目管理软件Umoja，访问了网络并窃取了关键数据，用于进一步的攻击。联合国秘书长发言人斯特凡·杜加里克表示， “从联合国网络中窃取的数据可能被用于攻击联合国内部机构，而且可能已经被用于此类攻击”，本报告对此进行了详细阐述。
这并非联合国首次遭受数据泄露。2020年1月，臭名昭著的Emotet恶意软件的幕后黑手曾通过网络钓鱼活动攻击联合国，意图窃取凭证并传播TrickBot木马。最终，该次泄露事件被追溯到微软SharePoint的一个漏洞，导致400GB的敏感数据被盗。
在最近一次攻击中被盗的凭证属于联合国专属项目管理软件 Umoja 的一个账户。该账户用户没有启用双因素身份验证 (2FA) ，而 2FA 是身份验证的黄金标准，这使得黑客能够利用其凭证访问该软件并进一步入侵网络。
黑客有时会使用“暴力破解”来入侵账户。这种方法是指黑客软件尝试数百万种不同的用户名和密码组合来破解目标账户；这或许是此次联合国账户泄露的根本原因。如果账户遵循 CyberHoot 和 NIST 2017 的密码标准（即每个账户使用至少 14 个字符的唯一密码），那么即使使用暴力破解，黑客也需要数年时间才能成功入侵。被入侵的用户账户很可能存在密码管理薄弱的问题，从而导致黑客入侵。目前尚不清楚联合国是否使用了密码管理器，而密码管理器对于建立牢固的密码管理至关重要，也是 CyberHoot 建议所有企业都应该采用的基本工具。
报告指出，黑客在联合国系统内潜伏了数月（4月至8月），这使得黑客能够在系统内横向移动。如果遵循最小权限原则，或许可以减少或阻止黑客在联合国系统内的横向移动。该原则可能阻止了仅凭一名联合国用户凭证的黑客安装其他黑客软件，从而阻止其在联合国网络内横向移动。同样可以想象的是，一旦入侵成功，黑客可能会找到其他可利用的漏洞，而最小权限原则或许只能减缓黑客的入侵速度。无论如何，CyberHoot 都赞同减缓黑客攻击速度并增加其难度的做法。
首先，使用密码管理器（例如 LastPass 或 1Password）来存储您的密码和密码短语。务必为所有帐户采用 NIST 2017 标准（唯一、永不过期、长度至少为 14 个字符的密码/密码短语）。使用过时的 9 个字符以上的密码会使您面临严重的安全风险，就像联合国用户的情况一样。
其次，至关重要的是，您必须在所有账户上启用双因素身份验证(2FA)。即使黑客设法破解了您的用户名和密码，您设置的 2FA 也会通过短信或身份验证器应用（例如 LastPass、Google、Microsoft）向您的手机发送验证码。虽然黑客可以暴力破解密码，但他们无法（至少不容易）访问您的手机来获取身份验证所需的第二因素，从而最终保护您的账户免受攻击。
第三，限制用户对管理员权限的访问和使用。要求所有用户在没有管理员权限的情况下操作其桌面环境。移除最终用户的管理员访问权限可以防止恶意网站以管理员权限安装软件，防止用户安装潜在危险或存在漏洞的软件，并确保系统更顺畅、更高效地运行。
第四，仅允许用户访问其日常工作所需的数据。如果联合国遵循最小权限原则，或许可以防止此次数据泄露事件中的部分数据被窃取。当实施最小权限控制时，只有少数高级用户（首席级高管、合作伙伴等）才能访问组织内的大部分数据。这显著缩小了黑客窃取数据的攻击面。
额外的 SMB 保护
除了采取上述三项措施外，CyberHoot 还建议采取以下最佳做法来保护个人和企业免受网络攻击并限制其造成的损害：
来源:
延伸阅读：
发现并分享最新的网络安全趋势、技巧和最佳实践——以及需要注意的新威胁。
