卡巴斯基全球研究和分析團隊（GReAT）高級安全經理Ivan Kwiatkowski表示：

雖然很多中小型企業(yè)（SMB）可能覺得自己太小，不會成為針對性網絡攻擊的目標，但事實并非如此。因此，重要的是這些企業(yè)要對潛在的威脅保持警惕，因為這些問題威脅可能會影響所有規(guī)模的企業(yè)。

過去，我們曾看到可供雇傭的黑客，例如DeathStalker。競爭對手會雇傭這些黑客監(jiān)控組織。盡管這種類型的攻擊沒有得到廣泛的討論，但我們知道在這個領域發(fā)生了很多活動——只是很難衡量這些活動，因為很多活動通常是技術含量較低的操作。有時候很難判斷威脅行為者是在收集情報，還是試圖攻擊只是在掩飾網絡犯罪。

中小企業(yè)應該考慮到，盡管他們的業(yè)務規(guī)模較小，但他們的客戶可能是大型組織，甚至是政府機構，這一事實可能會讓他們成為想要攻擊這些客戶的威脅行為者的攻擊目標。

但是，中小企業(yè)主要關注的網絡威脅應當是勒索軟件。這是一種能夠攔截對數據訪問的惡意軟件，只有支付了贖金，才能夠找回數據。勒索軟件會影響企業(yè)的信譽，造成損失，有些極端情況下，甚至能夠造成企業(yè)破產——例如，在數據永遠不會解密或恢復后。因此，企業(yè)必須始終確保業(yè)務數據的安全備份，以保護您的業(yè)務免受此類攻擊的影響。

值得注意的是，很多這類攻擊都是通過網絡釣魚開始的。盡管網絡釣魚已經在威脅雷達上存在很多年了，但它仍然是一個需要關注的主要威脅角度，因為即使采取了良好的安全標準，也很難完全消除通過網絡釣魚的感染。例如，多年前，專門從事銀行和電匯詐騙的網絡犯罪團伙Fin7就通過與目標員工的長時間對話來鎖定受害者。

這些對話會可能會持續(xù)15封郵件之久，以便讓攻擊者建立信任，在于被攻擊目標分享惡意文件之前，創(chuàng)造一個非常精心設計的對話借口。當然，在這種情況下，你大概率不會懷疑這些對話其實是釣魚行為，所以企業(yè)最好在所有情況下都使用技術解決方案保護自己。

另一個需要考慮的威脅角度是漏洞利用。軟件中發(fā)現(xiàn)的漏洞對中小企業(yè)的影響和對大公司的影響是一樣的。人們一般認為，不同類別的網絡犯罪組織會將重點放在大型目標上，但是，如果出現(xiàn)好的機會，例如利用流行產品中的漏洞，即使是高級的持續(xù)性威脅行為者也可能會利用好這一機會。

最近發(fā)現(xiàn)的Microsoft Exchange的一個漏洞，以及利用該漏洞的攻擊規(guī)模表明，一旦發(fā)現(xiàn)漏洞，網絡罪犯就會急于盡快利用該漏洞，攻擊盡可能多的組織，無論其規(guī)模如何。在這種情況下，時間就等于潛在的攻擊利潤，所以通常網絡罪犯不會特別在意感染的目標是誰。他們可能會先感染一個組織，然后再分析是否值得利用這種感染為自己謀取利益。事實上，在暗網上，可可能會發(fā)現(xiàn)惡意用戶打出的廣告，內容包括他們所感染的組織類型、其收入（這些信息可以通過公關領域獲得）以及報價，用戶可以購買對這些組織的訪問權限。

卡巴斯基大中華區(qū)總經理鄭啟良表示：雖然中小企業(yè)最初會認為在網絡安全方面進行大量投資負擔過重，但有一些解決方案和技巧可以提高企業(yè)的安全性。除了要安裝端點保護解決方案外，還要確保及時安裝補丁，監(jiān)控網絡中潛在的不一致性，并確保數據的安全。這樣做會讓保護組織變得更輕松，無論組織規(guī)模如何。