1.2.2　常見的安全威脅來源

在實際的安全工作中，我們常見的信息安全所面對的威脅來自于多個方面，如圖1-3所示。

圖1-3　信息安全面對的威脅實例

·地震、雷雨、失火、供電中斷、網絡通信故障和硬件故障都屬于破壞物理安全的例子，它們直接破壞了信息的可用性，導致業務中斷，無法繼續向合法授權用戶提供服務。

·系統漏洞和Bug可能會同時破壞機密性、完整性和可用性。

·內部人員威脅往往是很多組織在安全體系建設中未加以足夠重視的部分，而事實表明，因內部人員誤操作或者惡意利用職權而導致的信息泄露和破壞的案例不計其數。IBM調查報告^[1]中指出，在2015年，60%的攻擊是由內部人員直接或者間接發起的。內部人員造成威脅的個人因素主要有：

■出于貪婪或經濟利益的需要。

■因工作原因對公司和上級領導心懷不滿。

■即將跳槽到另一個組織。

■希望取悅他人。

■個人生活不如意而導致工作行為異常。

·黑客滲透是顯而易見的威脅，黑客們可能會利用系統漏洞和Bug進行攻擊，也可能會輔助以社會工程（Social Engineering）的方式進行攻擊。在滲透完成后，黑客往往通過在系統中植入木馬后門（包括Rootkit等）的方式進行隱秘的長期控制。

·病毒和蠕蟲的散播讓信息基礎設施的資源被惡意利用，還可能導致信息的非法泄露和被惡意篡改。

·計算機中的“應用邏輯炸彈”是指在特定邏輯條件滿足時，實施破壞的計算機程序，該程序觸發后可能造成計算機數據丟失、計算機不能從硬盤或者軟盤引導，甚至會使整個系統癱瘓，或出現設備物理損壞的虛假現象。

·實施拒絕服務（Denial of Service）攻擊，包括其高級形式——分布式拒絕服務（Distributed Denial of Service，DDoS）攻擊，黑客的目標是讓信息系統無法正常工作提供服務，以達到其不可告人的目的（例如商業或者政治目的）。

·社會工程（Social Engineering）是一種通過對受害者心理弱點、本能反應、好奇心、信任、貪婪等心理陷阱進行諸如欺騙、傷害等危害手段。社會工程攻擊在近年來的一些網絡入侵事件中起到了很大的作用，對企業信息安全有很大的威脅性。

[1] http://www.findwhitepapers.com/force-download.php?id=62333，訪問日期：2019年2月25日。