本文來自微信公眾號(hào)“FreeBuf”，作者/james_23。
2022年是網(wǎng)絡(luò)安全領(lǐng)域動(dòng)蕩的一年，黑客組織襲擊了微軟、思科、推特和優(yōu)步等科技巨頭，勒索軟件繼續(xù)“蹂躪”醫(yī)療保健、金融、基礎(chǔ)設(shè)施等領(lǐng)域。再加上俄烏沖突期間網(wǎng)絡(luò)戰(zhàn)帶來的影響，2022的網(wǎng)絡(luò)安全領(lǐng)域“極不平凡”！
Information Security Media Group咨詢了一些業(yè)界知名安全專家2023年需要關(guān)注那些安全趨勢(shì)。以下是專家對(duì)未來一年網(wǎng)絡(luò)安全領(lǐng)域的展望。
網(wǎng)絡(luò)犯罪分子將加大對(duì)API漏洞的攻擊力度
隨著企業(yè)對(duì)開源軟件和定制接口來連接云和傳統(tǒng)系統(tǒng)的依賴程度加深，”API經(jīng)濟(jì)“正在高速增長(zhǎng)。2022年，API層面發(fā)生了幾起備受矚目的違規(guī)事件，其中包括澳大利亞最大的電信公司Optus的違規(guī)事件。專家們預(yù)計(jì)，網(wǎng)絡(luò)犯罪分子在新的一年，會(huì)加強(qiáng)對(duì)API漏洞的攻擊。
Traceable的CSO理查德-伯德（Richard Bird）表示，Gartner多年來一直在警告API漏洞的風(fēng)險(xiǎn)，并預(yù)計(jì)其將成為一個(gè)主要的攻擊面。后續(xù)，業(yè)內(nèi)將會(huì)聽到更多關(guān)于這方面的消息，到2023年，美國(guó)將出現(xiàn)大規(guī)模API漏洞。
Contrast Security的CSO Tom Kellermann則表示，大多數(shù)公司在保護(hù)API方面做得并不好，相比開發(fā)人員的投入來說，安全團(tuán)隊(duì)規(guī)模較小，投入資源匱乏。
攻擊者將盯上電網(wǎng)、石油和天然氣供應(yīng)商以及其它關(guān)鍵基礎(chǔ)設(shè)施
從以往發(fā)生的往案例來看，關(guān)鍵基礎(chǔ)設(shè)施一直是民族主義攻擊者的首選目標(biāo)。許多工廠依靠IT和OT系統(tǒng)來保持順利運(yùn)行，但部分工業(yè)控制系統(tǒng)已經(jīng)運(yùn)轉(zhuǎn)幾十年，容易受到網(wǎng)絡(luò)攻擊。事實(shí)上，去年IBM X-Force觀察到針對(duì)TCP 502端口的對(duì)抗性“偵察”增加了2000%以上，這可能使的黑客輕松控制物理設(shè)備，擾亂企業(yè)運(yùn)營(yíng)。
網(wǎng)絡(luò)安全專家警告，應(yīng)當(dāng)隨時(shí)準(zhǔn)備好應(yīng)對(duì)針對(duì)電網(wǎng)、石油和天然氣供應(yīng)商以及其它關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊。
Cybereason的CSO Sam Curry指出，盡管CISA肩負(fù)著巨大責(zé)任，但每個(gè)關(guān)鍵基礎(chǔ)設(shè)施部門都有很多工作要做，對(duì)于北半球大部分地區(qū)來說，能源生產(chǎn)等領(lǐng)域在冬季中期都非常非常脆弱，需要格外防范網(wǎng)絡(luò)安全威脅。
攻擊者將增加對(duì)多因素身份認(rèn)證漏洞的利用
多因素身份認(rèn)證曾被認(rèn)為是身份管理的“黃金標(biāo)準(zhǔn)”，為密碼安全提供了一個(gè)重要保障。今年，隨著一系列使用MFA繞過技術(shù)，成功實(shí)施網(wǎng)絡(luò)攻擊的案例出現(xiàn)，再加上網(wǎng)絡(luò)釣魚和社會(huì)工程，這一切可能都改變了。接下來，攻擊者肯定會(huì)增加對(duì)多因素認(rèn)證漏洞的利用。
此外，黑客成功進(jìn)行網(wǎng)絡(luò)攻擊的新聞也會(huì)吸引了下一波想利用最新方法發(fā)動(dòng)攻擊的“失敗者”和其他潛在攻擊者。
勒索軟件將會(huì)針對(duì)更大的目標(biāo)、索要更多的贖金
近幾年，勒索軟件攻擊激增，受害者支付贖金也增長(zhǎng)了兩倍甚至三倍。由于許多受害者不愿意報(bào)案，沒有人真正知道事勒索軟件目前發(fā)展的具體趨勢(shì)。網(wǎng)絡(luò)安全專家聲稱，往后幾年，勒索軟件的攻擊目標(biāo)會(huì)更大，索要的贖金也會(huì)更多。
全球隱私和網(wǎng)絡(luò)安全實(shí)踐合伙人兼主席Lisa Sotto強(qiáng)調(diào)，毫無(wú)疑問，勒索軟件將會(huì)繼續(xù)有增無(wú)減，環(huán)境比以往任何時(shí)候都更加惡劣，雖然每年都這么說，但后續(xù)似乎比以往任何時(shí)候都更加惡劣。
攻擊者將”瞄準(zhǔn)“超大型云計(jì)算企業(yè)
數(shù)字化轉(zhuǎn)型促使企業(yè)大規(guī)模將業(yè)務(wù)遷移到公共云上，這一趨勢(shì)從企業(yè)開始，并逐步擴(kuò)展到大型政府機(jī)構(gòu)，創(chuàng)造了一個(gè)復(fù)雜混合和多云環(huán)境的“大雜燴”。隨著越來越多數(shù)據(jù)轉(zhuǎn)移到云端，攻擊者會(huì)把主要目標(biāo)鎖定在超大規(guī)模的云端企業(yè)。
零信任將被更廣泛地采用
直到過去幾年，網(wǎng)絡(luò)安全組織和供應(yīng)商社區(qū)才接受了最低特權(quán)和持續(xù)驗(yàn)證防御的概念（零信任理念）。上個(gè)月，美國(guó)國(guó)防部宣布其零信任戰(zhàn)略時(shí)，零信任得到了重大推動(dòng)。隨著組織尋求現(xiàn)代化防御，零信任將得到更廣泛的采用。
值得一提的是，ON2IT集團(tuán)網(wǎng)絡(luò)安全戰(zhàn)略高級(jí)副總裁John Kindervag和Ericom軟件公司CSO Chase Cunningham稱，他們對(duì)采用零信任的聯(lián)邦機(jī)構(gòu)數(shù)量感到樂觀。
網(wǎng)絡(luò)安全保險(xiǎn)的可用性將繼續(xù)”枯竭“
20多年前，出現(xiàn)了第一份網(wǎng)絡(luò)安全保險(xiǎn)單，但勒索軟件攻擊造成的商業(yè)損失已經(jīng)成倍增長(zhǎng)，因此，網(wǎng)絡(luò)保險(xiǎn)公司正在提高其費(fèi)率或完全退出該業(yè)務(wù)。2023年，網(wǎng)絡(luò)保險(xiǎn)供應(yīng)將繼續(xù)枯竭，企業(yè)承擔(dān)財(cái)務(wù)風(fēng)險(xiǎn)也會(huì)增加。
很多人都應(yīng)該聽說過，在過去24個(gè)月里發(fā)生的大規(guī)模違規(guī)事件賠付率在零到30%之間，這是在保費(fèi)和回報(bào)方面達(dá)成的共識(shí)，原因是不僅是整個(gè)網(wǎng)絡(luò)保險(xiǎn)行業(yè)正在重新評(píng)估他們所做的事情，他們現(xiàn)在開始根據(jù)所發(fā)現(xiàn)的情況計(jì)算其風(fēng)險(xiǎn)。
政府機(jī)構(gòu)將對(duì)加密貨幣公司進(jìn)行更嚴(yán)格的管控
一系列違規(guī)事件、市場(chǎng)價(jià)值的重大損失以及FTX加密貨幣交易所的丑聞，使加密貨幣世界在2022年陷入了困境。網(wǎng)絡(luò)安全專家認(rèn)為政府機(jī)構(gòu)將對(duì)加密貨幣公司進(jìn)行更嚴(yán)格的控制，以保護(hù)投資者，打擊洗錢和提高安全性。
企業(yè)將改變內(nèi)部安全培訓(xùn)模式
多年來，許多大型企業(yè)一直提供網(wǎng)絡(luò)安全意識(shí)培訓(xùn)，但似乎并未奏效。接下來幾年，各企業(yè)將改變提供網(wǎng)絡(luò)安全培訓(xùn)的方式，著眼于更多的參與性學(xué)習(xí)、職業(yè)道路和提高CISO的技能。
參考文章：
https://www.inforisktoday.com/look-ahead-cybersecurity-trends-to-watch-in-2023-a-20749
