增强金融服务网络安全：模拟网络攻击

金融机构是恶意行为者的主要目标，他们试图利用漏洞获取经济利益或造成破坏。随着风险比以往任何时候都高，金融监管机构和中央银行加大力度对金融机构进行情报主导的模拟网络攻击（模拟攻击）的需求从未如此紧迫。

网络威胁瞄准的主要目标

金融机构是全球经济的命脉，每天处理数万亿美元的交易并保护敏感的客户数据。这使它们成为网络犯罪分子的有利可图的目标，这些犯罪分子试图利用其系统中的漏洞获取金钱利益，或者（日益增加的）由国家支持的旨在进行间谍活动或扰乱金融市场的威胁。

金融部门相互关联、多重依赖的性质进一步放大了风险，因为一家机构的违规可能会产生连锁反应，导致系统性不稳定。无论是针对关键系统的勒索软件攻击、针对员工的复杂网络钓鱼计划，还是利用特权访问的内部威胁，金融机构面临的威胁都是多方面的且不断演变的。

阅读： 网络攻击迫使丰田金融服务系统离线

模拟攻击的重要性

为了减轻网络威胁，仅靠传统的防御措施不足以充分保护金融机构。这就是模拟攻击（也称为红队演练、情报主导的渗透测试和威胁主导的渗透测试）发挥作用的地方。

模拟攻击涉及雇用熟练的网络安全专业人员来模拟真实世界的网络威胁，并试图攻破金融机构的防御。通过采用对手的思维方式，团队能够识别组织人员、流程或技术中可能被传统安全措施忽视的漏洞。这些提供了有关机构网络安全态势有效性的宝贵见解。

威胁情报在为这些演习的设计和执行提供信息方面至关重要。它提供了有关网络对手采用的战术、技术和程序的宝贵见解，使组织能够准确调整其模拟以考虑真实世界的威胁。通过利用威胁情报，金融机构可以预测并准备应对新出现的网络威胁，识别其防御中的潜在漏洞，并在风险具体化之前主动缓解风险。威胁情报还使组织在不断发展的威胁环境中保持领先地位，使其能够调整其网络安全策略以应对新出现的威胁和不断演变的战术。

这些演习使金融机构能够测试其事件响应能力，评估其安全控制的有效性并确定需要改进的领域。

阅读： 通过主动渗透测试保护数据和系统

金融监管机构在设定网络弹性标准中的作用

金融监管机构在确保金融体系的稳定性和弹性（包括网络安全）方面发挥着至关重要的作用。认识到金融机构的系统重要性，金融监管机构有越来越大的义务来增强该行业内的网络弹性。

金融监管机构履行这一职责的一种方式是为网络安全实践（包括模拟攻击）制定标准和法规。通过规定这些活动的最低要求，金融监管机构确保金融机构充分准备好防御网络威胁，并更广泛地减轻对金融稳定和国家利益的潜在风险。

审查服务提供商的重要性

模拟攻击服务提供商对于帮助金融机构加强其网络安全防御至关重要。他们及其员工必须经过彻底的审查流程，金融监管机构应规定最低要求。

鉴于金融机构处理信息的敏感性，服务提供商的诚信、专业精神和可信度至关重要。这包括核实其员工的资格和专业知识，进行背景调查以确保他们没有利益冲突或恶意意图，并实施严格的保密措施以保护敏感信息。

提升网络安全标准

在日益成熟的网络安全市场中，公司认证和个人证书是能力和专业精神的基准。CREST 十年来一直与金融监管机构合作，为针对受监管金融机构执行模拟攻击的公司和个人制定标准并衡量其能力。

通过获得认证和证书，服务提供商展示了他们坚持最高标准的专业精神、道德和技术熟练度的承诺。

2024年，CREST 正在推出针对威胁情报和情报主导测试的更新版公司认证，以及完全更新的模拟攻击专家和管理员认证。这些更新将与 MITRE ATT&CK 框架保持一致，该框架是基于真实世界观察的对手战术和技术的标准化分类法。

阅读： 利用网络安全标准和框架

为什么金融监管机构应强制规定最低要求

尽管英格兰银行十年来已采取积极措施强制规定模拟攻击服务提供商的最低要求，但许多其他金融监管机构尚未效仿，其中一些仅提供了可选的建议基线。然而，强制规定最低要求的理由令人信服。

如果没有明确、一致和强制性的要求，测试将极有可能无法充分暴露可能存在的漏洞，或者如果由技能不足或不可信的人员执行，实际上可能对实时环境造成更大损害，从而导致潜在的客户损害。

随着模拟攻击服务被更广泛地采用和更多提供商进入市场，这种情况有可能加剧。如果任由市场力量支配，可能会出现质量、交付成果和价格的"逐底竞争"，从而削弱对所执行服务的信心。

服务提供商的标准和能力必须匹配甚至超过威胁行为者的水平，并具备高质量的专业实践，以避免实时银行系统被停机的真实可能性。

强制规定最低要求发出了一个明确的信号，即网络安全是监管机构和整个金融部门的首要任务。它为一致、可重复和标准化的网络安全实践提供了一个框架，增强了透明度和问责制，提供了可衡量的保证，并促进了监管机构、金融机构和网络安全服务提供商之间更大的合作。

此外，推动并保持与其他需要这些标准的国际框架的协调，将匹配金融机构自身的互操作性和跨境性质。这可以防止一些国家或国际框架显得不一致或不如其他框架严格。

结论

随着网络威胁在复杂性和精密性上不断发展，金融监管机构继续发展提供可操作结果的策略的需求至关重要。针对金融机构的模拟网络攻击压力测试了响应能力，并提供了关于已部署安全控制有效性的真实世界洞察。通过强制规定服务提供商的最低要求，监管机构可以加强金融部门的弹性，增加保证，防范系统性风险，并维护全球经济的稳定。通过这样做，他们重申了全球标准在应对无处不在的网络威胁时支撑金融体系完整性和可信度的好处。