存在哪些身份验证威胁数据？

Question

最近，我读了一篇文章，其中说在现实世界中，没有多少身份验证威胁向量被利用的数据。密码盗用的百分比是通过肩部冲浪与蛮力尝试和键盘记录？

有没有人知道我在哪里可以找到任何数据，轶事或统计？

我们能否从已知的恶意软件或其他我们确实拥有的数据(如网络流量)中反向工程至少一些数据？有没有办法匿名共享这类数据(因为“您已被黑客攻击”的属性似乎是数据未共享的一个主要原因)。

Answer 1

我认为，如果你需要在这一领域工作，最好的办法是开始在你自己的网络上进行事件检测，并致力于建立联盟，帮助你与你的同行获得NDA级别的信息。

没有一个正确的答案是全面的。“肩部冲浪攻击的总#”和“暴力密码的总数#”将是很难获得硬统计数字的。这不是一个研究人员可以通过盖洛普民意调查解决的领域，因为如果你打电话给IT安全专家并询问，他们会挂断或报告你的安全事件。

此外，行业会有很大的差异--有一些共同的威胁，但攻击的范围可以针对不同的实体或行业。

我要说，这与事件检测、反应和预防的IT领域非常吻合。大型系统倾向于使用一些基于COTS的解决方案来检测您提到的攻击类型--要么是网络统计数据，比如蛮力密码尝试，要么是社会工程结果的迹象。在一个成熟的系统中，他们不仅会对危机做出反应，还会问“我们如何才能做得更好？”，因此他们以某种方式对数据进行汇总和比较。如果没有一些很好理解的协议，秘密的酱汁怎么能跨越安全壁垒呢？

我所见过的最好的数据来自付费服务--我最喜欢的是ACSC --高级CyberSecurity中心--会员银行在那里共享这类信息。也有Gartner和Forrester，他们不那么具体，不太容易从他们那里获得详细的信息，也没有完全针对安全的目标。

在这方面，我相信的公众信息不多--我的第一个问题是“你是怎么收集的？”，“从谁那里？”还有“他们在哪里测量？”

在这种情况下，你问问题的方式肯定会影响答案。