|
|
2022年是网络安全领域动荡的一年。俄乌冲突期间爆发了激烈的网络战，给各国带来了深远影响。加密货币市场被大肆攻击，数十亿美元从投资者手中被盗。同时黑客组织攻击了微软、思科、推特和优步等科技巨头，勒索软件肆虐医疗、金融、能源等领域。众多因素叠加使得2022年网络安全领域极为动荡。
Information Security Media Group向一些业内知名的网络安全专家询问了2023年值得关注的趋势。专家回应涵盖了影响安全技术、领导力和监管的新威胁以及发展趋势。以下是对未来一年的展望。
网络犯罪分子将加强对API漏洞的攻击
API经济正在增长，因为企业更加依赖开源软件和自定义接口来连接云和传统系统。2022年发生了几起引人注目的API攻击事件，包括澳大利亚电信公司Optus的入侵事件。专家预计，网络犯罪分子将在新的一年里加大对API漏洞的攻击力度。
Traceable的CSO Richard Bird表示，Gartner多年来一直在警告API漏洞，并预计它们将成为主要的攻击面。后续，我们将会听到更多关于这方面的消息，2023年美国将会出现大规模的API漏洞。
Contrast Security的CSO Tom Kellermann则表示，大多数公司在保护API方面做得不好，相比于开发团队，安全团队的规模通常较小，且资源匮乏。
攻击者将攻击电网、石油和天然气供应商以及其他关键基础设施
关键基础设施是民族主义攻击者的主要目标。许多工厂依赖IT和OT系统来保持平稳运行，但部分工业控制系统已经使用了几十年，容易受到攻击。事实上，去年IBM X-Force观察到针对TCP端口502的对抗性侦查增加了2000%以上，这可能会使黑客容易控制物理设备并进行破坏。专家警告说：要为针对电网、石油和天然气供应商以及其他关键基础设施目标的攻击做好准备。
Cybereason的CSO Sam Curry表示，虽然CISA责任重大，而且每个关键基础设施部门都有大量工作要做，但对北半球大部分地区来说，能源生产等领域在冬季非常脆弱，需要格外防范网络安全威胁。
攻击者将增加多因素身份验证漏洞的利用
多因素身份验证曾被认为是身份管理的黄金标准，为密码提供了重要的支持。今年，随着一系列使用MFA绕过技术，并结合网络钓鱼和社会工程的成功攻击案例的出现，这一切都发生了变化。几乎可以肯定，攻击者接下来会增加多因素身份验证的利用。
Richard Bird表示，这些黑客入侵的头条新闻会吸引下一波想要利用最新方法进行攻击的攻击者。我们会看到很多情况下MFA强认证被利用和绕过，这提醒我们所有人，技术只是解决方案的一部分。
勒索软件将攻击更大的目标并索取更多赎金
勒索软件攻击在公共和私营单位激增，受害者支付赎金已经增长到两倍甚至三倍。由于许多受害者不愿报案，没有人真正知道情况是变好了还是变坏了。专家表示，预计会有更多类似的情况发生，勒索软件攻击的目标更大，索取的赎金也更多。
Hunton Andrews Kurth LLP全球隐私和网络安全业务合伙人兼主席Lisa Sotto表示，勒索软件有增无减，环境比以往任何时候都更加充满恶意。我们继续为公司和每个行业部门与威胁行为者作战。
攻击者将针对超大型云计算企业
数字化转型促使企业大规模将业务迁移到公有云。这种趋势从企业，扩展到大型政府机构，创建了复杂的混合和多云环境的大杂烩。应用程序的容器化促进了恶意软件的感染，今年我们看到了针对AWS云的无服务器恶意软件的植入。随着越来越多的数据迁移到云端，攻击者会将目光瞄准为超大规模的云计算企业。
零信任将得到更广泛的应用
零信任防御的原则自2010年以来就已经存在，但直到过去几年，网络安全组织和供应商社区才接受了最小特权的概念和不断验证防御的概念。上个月，美国国防部宣布了零信任战略，这种方法得到了重大推动。随着组织寻求现代化的防御，预计零信任将得到更广泛的应用。
“零信任”创始人、ON2IT集团网络安全战略高级副总裁John Kindervag和“零信任博士”、Ericom软件公司CSO Chase Cunningham表示，他们对采用“零信任”的联邦机构数量持乐观态度。另外，John Kindervag说，我们开始看到这种情况在公司高层中产生共鸣，高层正在改变组织内部的激励结构，以提高安全性。更好的安全是基于适当的激励。
网络安全保险的可用性将继续降低
第一份网络安全保险政策是在20多年前制定的，但勒索软件攻击造成的恢复成本和企业损失呈指数级增长。事实上，医院的损失通常超过1亿美元。因此，网络保险公司正在提高费率或完全退出该业务。网络保险的可用性将继续降低，这也将增加企业的财务风险。
Richard Bird表示，过去24个月发生的大规模泄露事件的赔付金额，与商定的保险费和回报金额相比，在0到30%之间。这是因为，不仅整个网络保险行业都在重新评估他们正在做的事情，而且他们现在开始根据他们的发现计算风险。
政府机构将对加密货币公司实施更严格的控制
一系列的数据泄露、市值的重大损失和FTX加密交易所丑闻使加密货币世界在2022年陷入混乱。期待政府机构对加密货币公司实施更严格的控制，以保护投资者，打击洗钱，提高安全性。
企业将改变提供网络安全培训的方式
多数大公司多年来一直提供网络安全意识培训，但似乎并没有发挥作用。更糟糕的是，成熟的网络安全资源越来越难找到。未来，企业将改变提供网络安全培训的方式，着眼于更积极地学习、职业道路和提高CISO的技能。 |
|
发表于 2023-1-13 14:22:06