创新遭遇高风险：金融服务业的攻击趋势

编辑和评论补充：Cheryl Chiodi

2023 年金融服务业《互联网现状》(SOTI) 报告不仅再次印证了今年安全研究中常见的威胁趋势，还提供了一些独特的行业见解。该报告的依据包括我们抵御的威胁流量，以及我们从客户身上学习到的最佳实践。

DDoS 攻击：日渐增长的安全忧虑

第 7 层 DDoS 攻击已经成为金融应用程序中日渐增多的问题。网络犯罪分子在创造新记录，而且在无休止地努力升级其攻击操作、网络以及手段、技术和程序 (TTP)，以对抗更强大的防御措施。在多次大规模 DDoS 攻击中，我们观察到了一些最为普遍的特征，其中包括：

• 高度分布式的 IP/子网和国家/地区

• 攻击来源为数众多，包括受感染/租用的云服务提供商、Tor 出口节点、匿名/开放代理节点

• GET 泛洪攻击

• 不可缓存的 URL，如主页、随机 URL、登录端点

• 高级攻击者在民用 ISP、移动运营商网络或大学网络背后建立僵尸网络，实施 IP 欺骗。

• 根据防御者的反应实施动态、适应性的攻击

就第 3 层和第 4 层 DDoS 攻击而言，金融服务业已经超过游戏业，成为最易受到攻击的垂直行业，在攻击事件中占到 29.25% 的比例。长期以来，DDoS 攻击一直是网络犯罪分子最 强大的武器，能够随时造成重大服务中断、灾难性的财务损失，以及一个网络内资源和操作的中断。

在合规性方面，有必要强调《数字运营弹性法案》（Digital Operational Resilience Act，DORA），这是一项综合性的欧盟法规，用于规管欧盟金融行业及其部分第三方提供商。与欧盟数据保护框架（即《通用数据保护条例》）相似，DORA 也可能会成为一种弹性监管范例，即其他国家/地区（包括美国在内）在制定金融行业规章时的借鉴依据。

安全防护措施

为支持客户而实施的创新造成了一系列挑战， 影子 API 和访问控制绕过式攻击就是其中的关键挑战之一。该行业必须采取以下行动：

• 迅速检测恶意 API，无论是面向客户的 API 还是内部 API

• 对其实施监控，检测攻击或滥用

• 设立事件调查流程

• 自动化抵御政策

关于监测能力与响应的建议同样适用于有关帐户接管、金融服务聚合商、Web 数据抓取和网络钓鱼的问题；这些面向边缘的问题特别适合借助 OWASP 10 大漏洞 和 MITRE ATT&CK 框架为红队/渗透测试小组开发培训、成熟度基准衡量及测试计划。

金融机构还可以将 ATT&CK Navigator 工具用作模板，基于特定威胁（如 CL0P）开展紫队演习。（紫队执行模拟攻击来寻找企业外围防御中的安全漏洞，目的在于提高企业安全性。）

及时制定最新防御方案

DDoS 依然是主要威胁媒介，因此金融服务业必须确保针对第 3 层、第 4 层（基础架构）和第 7 层 (Web) 攻击制定最新计划。非常有价值的做法包括验证行动手册、跟踪攻击规模和攻击速度趋势，以便根据当前防御能力评估风险。

此外，确定开展技术演习的触发条件是较为明智的做法。例如，如果您在过去三个季度中未遭到攻击，则应开展一次实时演习。

检测并及时应对网络爬虫至关重要，这能有效防范收集客户或网站信息以创建欺诈性网络钓鱼网站的企图。目前有许多工具和服务可帮您实现这一目标，在制定流程/解决方案时，与 欺诈防护 团队合作非常重要。

金融服务业正在准备迎接新的 PCI DSS 要求

最后，网络犯罪分子和监管机构对于金融服务业 JavaScript 环境的关注与日俱增，金融机构必须采取适当的应对措施。虽然这一领域在过去并不是风险登记簿中的高风险领域，但您应尽早行动，实施正确的控制措施，以遵守近期发布的 PCI DSS v4.0 的要求，防范发生危机。

此外，您还应与企业的法务部密切合作，更新政策来应对弹性等领域的相关新规章。