变现攻击催生新威胁：专家安全步骤应对
在坦诚对话中，Ted Harrington，Independent Security Evaluators (ISE) 执行合伙人，分享成功网络攻击如何滋生新威胁的关键洞见，并给出阻断它们的具体安全措施。
威胁建模：理解真实风险所在
Harrington 解释“最大威胁”因组织而异。“威胁建模是一项练习：识别必须保护的资产、面临的对手、他们将利用的攻击面，”他说。“对一家公司至关重要的事，对另一家可能微不足道。”
Web 浏览器数据泄露：一项研究的启示
ISE 近期研究中，金融、医疗、保险、公用事业 21 个高知名度网站里，70% 未能阻止浏览器将敏感数据缓存到磁盘。这留下未加密内容在终端机器上。Harrington 指出：“研究显示，即使善意开发者若不懂攻击者如何破坏系统，也会错过关键攻击向量。”
他建议：
- 高管教育 —— 为决策者提供清晰、可执行的安全洞见。
- 漏洞演示 —— 将抽象风险转化为有形威胁，对抗认知偏差。
- 同理心 —— 倾听开发者和 UX 团队，让安全方案贴合真实工作流。
Romantik Seehotel 攻击：酒店业及更广领域的教训
黑客劫持酒店门锁索要 1600 美元比特币，店主为保客人安全付款。Harrington 列出三大教训：
- 对手进化 —— 勒索软件新用法——通过破坏客户体验勒索付款——显示攻击者快速适应。
- 成功招致模仿 —— 盈利攻击招来模仿者；酒店业须预判后续威胁。
- 安全多面向 —— PCI 合规与 PII 保护无法单独保障品牌声誉、客人安全或体验。
ISE 的行业级影响
Harrington 领导 Hospitality Technology Next Generation 门锁安全工作组，产出抽象威胁模型和 RFID、在线、移动锁系统最佳实践指南。现与 Interel 共同主持 IoT 工作组，指导安全设备采纳。
医疗：守护患者健康，而非仅数据
HIPAA 驱动数据安全，但 Harrington 警告医院常忽略大局：患者健康。12 家医院两年研究发现，攻击者通过攻破医疗设备可造成严重伤害甚至死亡。“仅保护患者数据不足够，”他说。
IoT 服务提供商的三大行动
Harrington 强调从需求到部署后每阶段内嵌安全。他建议：
- 第三方安全评估 —— 独立专家可发现团队遗漏的漏洞。
- 采用对抗思维 —— 超越自动扫描和标准渗透测试；像攻击者一样思考。
Ted Harrington, Independent Security Evaluators 执行合伙人, 受编辑总监 Jeremy Cowan 访谈。
---
物联网技术