2023年需要擔(dān)心的網(wǎng)絡(luò)安全新問(wèn)題
一年對(duì)于網(wǎng)絡(luò)安全來(lái)說(shuō)是一段很長(zhǎng)的時(shí)間。
當(dāng)然,有一些常數(shù)。 多年來(lái),勒索軟件一直是一個(gè)主要的網(wǎng)絡(luò)安全問(wèn)題,但隨著網(wǎng)絡(luò)犯罪分子的攻擊不斷發(fā)展,勒索軟件并沒(méi)有消失的跡象。大量的企業(yè)網(wǎng)絡(luò)仍然容易受到攻擊,這通常是由于 長(zhǎng)期可用更新的安全漏洞造成的。
特殊功能
了解未來(lái) 12 個(gè)月內(nèi)世界將趨向的領(lǐng)先技術(shù)趨勢(shì),以及它們將如何影響您的生活和工作。
但是,即使認(rèn)為自己掌握了網(wǎng)絡(luò)中的所有軟件漏洞,新的安全漏洞總是會(huì)出現(xiàn)——其中一些可能會(huì)產(chǎn)生重大影響。
以 Log4j 缺陷為例:一年前它是完全未知的,潛伏在代碼中。但在 12 月曝光后,CISA 負(fù)責(zé)人將其描述為最嚴(yán)重的缺陷之一。到 2022 年末,它仍然是隱藏在許多組織代碼中的一個(gè)經(jīng)常未經(jīng)處理的安全漏洞——這種情況很可能會(huì)持續(xù)到很遠(yuǎn)的未來(lái)。
安全技能短缺
無(wú)論研究人員發(fā)現(xiàn)了最新的黑客伎倆或安全漏洞,無(wú)論是好是壞,人——而不是技術(shù)——始終是 網(wǎng)絡(luò)安全的核心。
該重點(diǎn)從基本層面開(kāi)始,即員工能夠識(shí)別網(wǎng)絡(luò)釣魚(yú)鏈接或商業(yè)電子郵件泄露詐騙,以及雇用合適的信息安全團(tuán)隊(duì)的老板,這有助于制定和監(jiān)控企業(yè)防御。
但是網(wǎng)絡(luò)安全技能的需求量很大,以至于根本沒(méi)有足夠的員工可以四處走動(dòng)。
博思艾倫高級(jí)副總裁兼國(guó)家網(wǎng)絡(luò)防御負(fù)責(zé)人 Kelly Rozumalski 說(shuō)漢密爾頓:“隨著網(wǎng)絡(luò)威脅變得更加復(fù)雜,我們需要擁有應(yīng)對(duì)它們的資源和合適的技能。因?yàn)闆](méi)有專業(yè)人才,組織確實(shí)處于危險(xiǎn)之中?!?/p>
“我們需要鼓勵(lì)來(lái)自各種不同背景的人——從計(jì)算機(jī)工程和編碼到心理學(xué)——探索網(wǎng)絡(luò)安全,因?yàn)橐嬲A得人才戰(zhàn)爭(zhēng),我們不僅需要致力于招聘,還需要致力于建立、留住和投資在我們的天賦中,”她說(shuō)。
組織擁有適當(dāng)?shù)娜藛T和流程來(lái)預(yù)防或檢測(cè)網(wǎng)絡(luò)攻擊至關(guān)重要。不僅存在來(lái)自網(wǎng)絡(luò)犯罪團(tuán)伙的網(wǎng)絡(luò)釣魚(yú)、惡意軟件攻擊或勒索軟件活動(dòng)的持續(xù)日常風(fēng)險(xiǎn),還有來(lái)自黑客和敵對(duì)國(guó)家的威脅。
新的和更大的供應(yīng)鏈威脅
雖然一段時(shí)間 以來(lái)網(wǎng)絡(luò)空間一直是國(guó)際間諜活動(dòng)和其他活動(dòng)的舞臺(tái),但當(dāng)前的全球地緣政治環(huán)境正在制造更多威脅。
“我們將回到以大國(guó)競(jìng)爭(zhēng)為特征的地緣政治范式,這是我們幾十年來(lái)從未有過(guò)的地方,”普華永道網(wǎng)絡(luò)和隱私創(chuàng)新研究所負(fù)責(zé)人、聯(lián)邦調(diào)查局網(wǎng)絡(luò)部門前助理主任馬特·戈勒姆 (Matt Gorham) 說(shuō)。分配。
“當(dāng)沒(méi)有真正的共識(shí)、紅線或規(guī)范以及網(wǎng)絡(luò)空間時(shí),我們正在這樣做,”他補(bǔ)充道。
例如,運(yùn)行關(guān)鍵基礎(chǔ)設(shè)施的技術(shù)一直是俄羅斯入侵烏克蘭的目標(biāo)。
在入侵開(kāi)始前的幾個(gè)小時(shí)內(nèi),衛(wèi)星通信提供商 Viasat 受到中斷的影響,中斷了烏克蘭和歐洲其他國(guó)家的寬帶連接——西方情報(bào)機(jī)構(gòu)將此事件歸咎于俄羅斯。 埃隆馬斯克還表示,俄羅斯試圖入侵 Starlink 的系統(tǒng),Starlink是由他的SpaceX 火箭公司運(yùn)營(yíng)的衛(wèi)星通信網(wǎng)絡(luò),為烏克蘭提供互聯(lián)網(wǎng)接入。
但這不僅僅是在敵對(duì)國(guó)家試圖通過(guò)網(wǎng)絡(luò)攻擊造成破壞的戰(zhàn)區(qū):組織,特別是那些參與關(guān)鍵供應(yīng)鏈的組織,也發(fā)現(xiàn)自己成為了國(guó)家支持的黑客的目標(biāo)。
看看俄羅斯黑客如何使用惡意軟件入侵一家大型軟件提供商,該軟件將惡意更新推出,為 美國(guó)多個(gè)政府機(jī)構(gòu)的網(wǎng)絡(luò)提供了后門。
“擔(dān)憂總是由現(xiàn)實(shí)世界的事件驅(qū)動(dòng)。因此,在過(guò)去的幾年里,我們看到了民族國(guó)家的供應(yīng)鏈攻擊,這些攻擊導(dǎo)致每個(gè)人都考慮與之相關(guān)的供應(yīng)鏈風(fēng)險(xiǎn),”Gorham 說(shuō),他敦促組織不僅要考慮如何防止網(wǎng)絡(luò)攻擊,還要考慮如何 檢測(cè)對(duì)網(wǎng)絡(luò)的惡意入侵并進(jìn)行適當(dāng)?shù)奶幚怼?nbsp;
“如果一個(gè)州決心進(jìn)入你的系統(tǒng),他們有資源和能力這樣做——所以它是關(guān)于檢測(cè)它們并驅(qū)逐它們,”他補(bǔ)充道。
通常,允許攻擊者進(jìn)入網(wǎng)絡(luò)的不是高級(jí)技術(shù),而是常見(jiàn)的漏洞,例如 弱密碼、未應(yīng)用安全更新或缺乏雙因素身份驗(yàn)證(2FA)。有時(shí),尤其是在關(guān)鍵基礎(chǔ)設(shè)施和工業(yè)網(wǎng)絡(luò)的情況下,運(yùn)行這些系統(tǒng)的軟件可能已有多年歷史。
Web3 和物聯(lián)網(wǎng):新問(wèn)題還是回歸基礎(chǔ)?
但是,僅僅因?yàn)槟承〇|西是新的,這并不意味著它是自動(dòng)安全的——隨著 Web3和物聯(lián)網(wǎng)(IoT) 等技術(shù)在 2023 年繼續(xù)取得進(jìn)展,它們將成為網(wǎng)絡(luò)攻擊和黑客的更大目標(biāo).
關(guān)于 Web3 的潛力仍然有很多炒作——這是一種通過(guò)使用區(qū)塊鏈、加密貨幣和基于代幣的經(jīng)濟(jì)學(xué)將控制權(quán)從大公司手中奪走并在用戶之間分散權(quán)力的網(wǎng)絡(luò)愿景。
但就像任何新技術(shù)一樣,尤其是伴隨著大量興奮和炒作的新技術(shù),隨著軟件開(kāi)發(fā)急于發(fā)布產(chǎn)品和服務(wù),安全性經(jīng)常被遺忘——正如針對(duì)加密貨幣交易所的各種黑客攻擊所證明的那樣,攻擊者竊取了數(shù)百萬(wàn)加密貨幣。
“人們對(duì)新技術(shù)感到非常興奮。然后他們忘記考慮安全漏洞,因?yàn)樗麄兗庇趯?shí)施它。在 Web3 中,我們看到了這種情況,人們被炒作開(kāi)始 -但安全卻被拋在了后面,”曼徹斯特城市大學(xué)網(wǎng)絡(luò)安全講師、HackerOne 的漏洞賞金獵人Katie Paxton-Fear 說(shuō)。
由于這種情況, 漏洞賞金獵人在 Web3 應(yīng)用程序和服務(wù)中發(fā)現(xiàn)了許多漏洞。它們通常是主要漏洞,如果惡意黑客首先發(fā)現(xiàn)它們,可能會(huì)非常有利可圖——而且對(duì)用戶來(lái)說(shuō)可能代價(jià)高昂。
但是,雖然其中一些漏洞是新穎而復(fù)雜的,但許多影響加密貨幣交易所和其他 Web3 服務(wù)的安全漏洞都?xì)w結(jié)為錯(cuò)誤配置的服務(wù)或網(wǎng)絡(luò)釣魚(yú)攻擊,犯罪分子在這些攻擊中掌握了密碼。
因此,雖然實(shí)驗(yàn)性和不尋常的漏洞是一個(gè)問(wèn)題,但建立網(wǎng)絡(luò)安全基礎(chǔ)可以幫助阻止 Web3 違規(guī)行為,特別是隨著該技術(shù)變得越來(lái)越流行,并且成為網(wǎng)絡(luò)犯罪分子更有吸引力的目標(biāo)。
“這幾乎就像我們正在研究這些非常酷的新漏洞并被它們大肆宣傳——但我們忘記了訪問(wèn)控制之類的東西,”Paxton-Fear 說(shuō)。
雖然區(qū)塊鏈和 Web3 目前可能仍被視為小眾技術(shù),但物聯(lián)網(wǎng)并非如此,全球各地的家庭和工作場(chǎng)所安裝了數(shù)十億臺(tái)設(shè)備,其中包括一些有助于為關(guān)鍵基礎(chǔ)設(shè)施和醫(yī)療保健提供動(dòng)力的設(shè)備。
但是與其他新技術(shù)一樣,如果這些連接的設(shè)備沒(méi)有得到適當(dāng)?shù)谋Wo(hù),那么它們可能會(huì)被破壞,甚至使整個(gè)網(wǎng)絡(luò)易受攻擊。這是一個(gè)需要考慮的差距,因?yàn)檫B接設(shè)備在我們的生活中變得越來(lái)越普遍。
Booz Allen Hamilton 的 Rozumalski 說(shuō):“我們正處于一個(gè)非常艱難的困境。但我們必須注意它?!?nbsp;“現(xiàn)在,不良行為者可以通過(guò)醫(yī)療設(shè)備進(jìn)入,并以此為中心摧毀整個(gè)醫(yī)院網(wǎng)絡(luò)——這顯然會(huì)對(duì)患者護(hù)理產(chǎn)生影響?!?/p>
她認(rèn)為,關(guān)鍵在于醫(yī)院和任何其他組織的關(guān)鍵基礎(chǔ)設(shè)施提供商都必須認(rèn)識(shí)到,網(wǎng)絡(luò)安全在 2023 年的規(guī)劃和決策過(guò)程中發(fā)揮著關(guān)鍵作用,以幫助確保網(wǎng)絡(luò)盡可能安全地抵御威脅。
2023 年網(wǎng)絡(luò)安全展望
“安全必須在談判桌上占有一席之地,這非常非常關(guān)鍵。但你需要從戰(zhàn)略上考慮如何降低這些風(fēng)險(xiǎn),因?yàn)檫@些設(shè)備很重要,”Rozumalski 說(shuō) - 她相信正在取得進(jìn)展,隨著董事會(huì)越來(lái)越意識(shí)到網(wǎng)絡(luò)安全問(wèn)題。然而,還有很多工作要做。
“我認(rèn)為我們?cè)谶^(guò)去一年中采取了很多措施,這些措施將開(kāi)始讓我們變得越來(lái)越好,并能夠在未來(lái)真正應(yīng)對(duì)其中的一些威脅”。
而且她并不是唯一一個(gè)認(rèn)為網(wǎng)絡(luò)安全和網(wǎng)絡(luò)安全預(yù)算仍需要更多關(guān)注的人,但總體而言,事情正在朝著正確的方向發(fā)展。
普華永道的 Gorham 說(shuō):“人們?cè)絹?lái)越意識(shí)到這是一個(gè)重大而廣泛的威脅,并且存在重大風(fēng)險(xiǎn)——這讓我有些樂(lè)觀,”盡管他意識(shí)到網(wǎng)絡(luò)安全不會(huì)突然變得完美。隨著世界進(jìn)入 2023 年,仍有許多挑戰(zhàn)需要應(yīng)對(duì)。威脅不會(huì)消失——它很重要,而且隨著我們繼續(xù)進(jìn)行數(shù)字化轉(zhuǎn)型,它只會(huì)變得更加重要。但我認(rèn)為我們今天正在接受它這一事實(shí)對(duì)未來(lái)來(lái)說(shuō)是一個(gè)好兆頭?!?/p>