何謂受攻擊面？

受攻擊面（數碼、實體、社會）的每一部份都有自己的風險，因此防禦者必須小心並加以管理。這些風險，包括特定的攻擊管道，隨著技術和威脅的演進而不斷變化。以下是一些範例。

數碼受攻擊面風險

任何可從外部存取的網絡或資源，即使受到加密、認證、防火牆或其他措施的保護，都屬於數碼受攻擊面，而且容易出現：

• 網絡攻擊：勒索程式、病毒及其他惡意程式都可能注入企業系統，讓黑客存取網絡資源、竊取資料、挾持裝置，以及破壞資產和資料。
• 編碼問題與配置錯誤：網絡與雲端技術的配置錯誤，如連接埠、存取點、通訊協定等都為黑客打開大門，是黑客入侵的常見原因。
• 暴露在外的技術：任何連上公眾互聯網的技術，都可能遭到黑客攻擊，包括網站應用程式、網站伺服器、雲端伺服器、應用程式等。
• 過時的技術和應用程式：軟件、韌體及裝置作業系統都必須正確編碼並修補已知的漏洞和威脅，否則就能讓黑客利用來入侵企業。老舊裝置若仍是資訊科技環境的一環，但並未維護或主動使用，也提供相當方便的入侵點給黑客，因為這些裝置通常不會被監控。
• 影子 IT：企業員工所使用的工具若不屬於已知或核准的資訊科技環境，就被視為「影子 IT」工具，而且可能因為網絡資訊保安團隊不知情而產生漏洞。這些工具包括：應用程式、流動儲存裝置、個人手機和平板等等。
• 密碼不足與加密：容易猜測的密碼，不論是因為密碼很明顯、太簡單，或是重複使用於多個帳號，都可能讓黑客取得企業的數碼資源。此外，網絡犯罪集團也因為類似原因而需要竊取登入憑證。加密的目的是要偽裝資訊，讓只有經過授權的人員才能讀取。如果密碼不夠強大，黑客就能擷取資料來發動大規模攻擊。

實體受攻擊面風險

實體受攻擊面採用針對個人實體裝置（如筆記本電腦）或只能在特定地點和設施存取的技術。實體受攻擊面的兩項重大風險包括：

• 失竊和裝置竊盜：筆記本電腦和其他裝置通常會從車上或在無人看管的情況下從公共場所被偷走，甚至在辦公室和其他建築物被竊。一旦黑客擁有了這些裝置，就能利用它們及其內儲存的登入憑證進入企業網絡或存取其他資源。
• 誘騙：在誘餌攻擊中，犯罪集團會將 USB 等可攜式儲存裝置遺留在公共場所，希望有人能將裝置插入電腦來查看其內容。這些「誘餌」 USB 會載入惡意程式，然後載入用戶系統並開始執行攻擊。

社會或人為受攻擊面風險

人類通常稱為網絡資訊保安「第一道防線」，這是因為他們的行為可以直接協助強化或削弱受攻擊面。針對人類行為的網絡攻擊，稱為社交工程攻擊。社會或個人受攻擊面基本上等同於用戶有意或無意間傷害企業的總數。

常見的風險包括：

• 網絡釣魚詐騙包括詐騙電郵、簡訊、語音訊息（今日甚至出現人工智能產生的深偽詐騙、視訊通話），這些詐騙會欺騙用戶採取一些可能危害網絡保安的行動，例如分享敏感資訊、點擊導致惡意程式的連結及發放不該支付的款項等等。人工智能讓網絡釣魚更難偵測，也更具針對性。
• 惡意內部人員：憎恨企業的員工，或是遭到黑客勒索或賄賂的員工，都可以利用合法的授權和存取權限來竊取公司資料、分享登入憑證、安裝惡意程式、損害公司系統，或從事其他有害行為。