?網(wǎng)絡安全專家日前分享了他們對2023年最具影響力的威脅載體和網(wǎng)絡風險的預測，調(diào)研機構(gòu)的報告揭示了網(wǎng)絡安全專家認為在2023年帶來重大影響的威脅載體，并就如何最好地應對這些威脅提出了建議。

當安全機構(gòu)Cyber Security Hub在2022年年中調(diào)查哪些威脅載體對企業(yè)構(gòu)成最危險的威脅時，75%的網(wǎng)絡安全專業(yè)人員表示是社交工程和網(wǎng)絡釣魚。自從調(diào)查結(jié)束以來，Dropbox、Revolut、Twilio、Uber、LastPass和萬豪國際等多家組織和企業(yè)都遭受了此類攻擊，這進一步凸顯了網(wǎng)絡安全從業(yè)者對網(wǎng)絡釣魚威脅保持警惕的重要性。

企業(yè)應該了解這些威脅載體，以及向預防和減輕威脅的網(wǎng)絡安全專業(yè)人員咨詢網(wǎng)絡安全威脅的預測至關(guān)重要。

根據(jù)市場研究和咨詢機構(gòu)Acumen Research and Consulting公司的預測，到2030年，基于人工智能的網(wǎng)絡安全產(chǎn)品的全球市場規(guī)模將達到1338億美元，與2021 年149億美元的市場規(guī)模相比將增長798%。

Cyber Security Hub的研究支持了這一預測，將近五分之一(19%)的網(wǎng)絡安全專業(yè)人士在調(diào)查中聲稱他們的公司正在投資人工智能和自動化的網(wǎng)絡安全。然而，隨著自動化和人工智能使用的增加，針對這些數(shù)字解決方案的網(wǎng)絡攻擊也會越來越多。

隨著人工智能和機器學習的發(fā)展，這些技術(shù)已經(jīng)更全面地集成到從燈泡、音箱到汽車的智能設(shè)備中。到2025年，全球預計將安裝754億臺物聯(lián)網(wǎng)連接設(shè)備，因此，這些智能設(shè)備預計將在2023年成為網(wǎng)絡攻擊目標，這并不足為奇。

英國航空航天技術(shù)開發(fā)商Aerospheres公司的質(zhì)量評估員Tina Grant預測，針對智能設(shè)備的網(wǎng)絡攻擊將主要影響具有多個攻擊點的自動設(shè)備，例如智能汽車。

Grant說：“如今的汽車配備了自動功能，包括安全氣囊、動力轉(zhuǎn)向、門鎖和自適應巡航控制輔助系統(tǒng)。這些車輛使用藍牙和WiFi連接技術(shù)，這使它們面臨許多安全漏洞或黑客威脅。到2023年，隨著更多的自動駕駛汽車上路，預計控制它們或收聽對話的嘗試將會增加。自動駕駛汽車采用了更復雜的過程，需要采取更嚴格的網(wǎng)絡安全防范措施?！?/p>

網(wǎng)絡安全研究員、網(wǎng)絡安全軟件開發(fā)商Columbo Tech公司創(chuàng)始人David Columbo已經(jīng)探討過這樣的網(wǎng)絡安全問題的危險。

Columbo在2022年1月發(fā)布的一系列推文中解釋說，他入侵并遠程訪問了10個國家的20多輛特斯拉汽車，他可以遠程運行命令，而這些車主卻不知情。雖然Columbo沒有完全的遠程控制，這意味著不能遠程控制轉(zhuǎn)向、加速或制動。但他指出，即使是一些遠程控制的訪問也會危及車主的人身安全。

為了證明這一點，Columbo表示可以通過音箱播放Rick Astley的《永不放棄》歌曲對這些特斯拉車主實施惡作劇。他承認，雖然這看起來無害，但遠程播放響亮的音樂、打開門窗或反復閃爍汽車大燈不僅會危及車主的人身安全，而且也會危及道路上其他汽車駕駛員的安全，尤其是當汽車在高速行駛或在繁忙地區(qū)行駛時。

因此，即使惡意行為者只能獲得遠程設(shè)備的部分控制權(quán)，也可能帶來潛在的毀滅性后果。

網(wǎng)絡釣魚和社交工程

2022年，網(wǎng)絡釣魚攻擊激增，國際財團和欺詐預防組織反網(wǎng)絡釣魚工作組在2022年前三個季度共記錄了全球有3394662次網(wǎng)絡釣魚攻擊。第一季度的攻擊達到1025968次，第二季度的攻擊達到1097811次，第三季度的攻擊達到1270883次，每個季度都打破了以往最高的季度記錄。

金融保護服務商Brightwell公司的總經(jīng)理Ernie Moran認為，2023年網(wǎng)絡釣魚攻擊事件將繼續(xù)上升，因為越來越多的人通過網(wǎng)絡犯罪來獲取經(jīng)濟利益。

他解釋說：“今年的經(jīng)濟低迷肯定會導致2023年承擔額外風險實施欺詐的個人增加，但許多金融機構(gòu)仍然沒有準備好識別和采取行動，以應對協(xié)調(diào)一致的、有針對性的欺詐攻擊。”

Moran還預測，電子商務網(wǎng)站將受到特別嚴重的打擊，因為它們很容易受到銀行識別號碼(BIN)攻擊，欺詐者通過網(wǎng)絡釣魚或社交工程攻擊獲得不完整的銀行卡詳細信息(即銀行卡的前六個號碼)，再使用軟件隨機生成所需的其余信息。然后，惡意行為者將使用電子商務網(wǎng)站來測試細節(jié)是否正確或銀行卡是否處于激活狀態(tài)。

Moran總結(jié)道，沒有證據(jù)表明支付生態(tài)系統(tǒng)的收單方將在2023年做出必要的改變，以限制欺詐者利用這些漏洞的能力。

網(wǎng)絡犯罪即服務

市場和消費者數(shù)據(jù)服務商Statista公司估計，到2025年，全球網(wǎng)絡犯罪造成的損失將達到10.5萬億美元。區(qū)塊鏈分析機構(gòu)Chainalysis公司在其發(fā)布的調(diào)查報告中聲稱，僅在2022年1月至10月期間，網(wǎng)絡犯罪分子就通過基于加密貨幣的網(wǎng)絡攻擊竊取了30多億美元，網(wǎng)絡犯罪正成為黑客有利可圖的業(yè)務。

隨著網(wǎng)絡犯罪越來越成為惡意行為者的收入來源，一些人開始轉(zhuǎn)向更廣泛的社區(qū)提供收費服務。網(wǎng)絡犯罪即服務使不法分子能夠向他人提供黑客服務并收取費用。2022年，Meta公司的一名員工因涉嫌利用其員工特權(quán)劫持并允許未經(jīng)授權(quán)訪問Facebook個人資料而被解雇，并向其“客戶”收取價值數(shù)千美元的比特幣。

網(wǎng)絡安全專家、網(wǎng)絡犯罪播客What the Hack的主持人Adam Levin認為，使黑客能夠提供服務的平臺將成為2023年的頭號安全威脅。Levin解釋說，這是因為犯罪分子正在使用威脅行為者創(chuàng)建的日益復雜的軟件，并以訂閱模式銷售這些軟件，用于欺騙消費者和企業(yè)。Levin表示，最常見的網(wǎng)絡犯罪即服務軟件產(chǎn)品是網(wǎng)絡釣魚和勒索軟件。

他解釋說，網(wǎng)絡犯罪即服務軟件非常危險，因為它使無論技術(shù)水平如何的任何人能夠進行網(wǎng)絡釣魚、勒索軟件、分布式拒絕服務和其他網(wǎng)絡攻擊。他進一步預測，2023年，犯罪軟件企業(yè)將繼續(xù)威脅任何規(guī)模的企業(yè)，正如2022年針對微軟、Dropbox、Medibank、優(yōu)步和Rockstar Games等公司的攻擊一樣。

Levin預測，在未來一年，網(wǎng)絡犯罪即服務平臺背后的網(wǎng)絡犯罪組織數(shù)量將會增長，因為與直接針對受害者且風險更低的網(wǎng)絡犯罪分子相比，他們能夠讓初級網(wǎng)絡犯罪分子實施犯罪，從而更多地獲利。

在考慮如何防御網(wǎng)絡犯罪即服務攻擊時，Levin表示，這些類型的攻擊可以通過定期的網(wǎng)絡安全培訓、滲透測試、多因素身份驗證的使用和零信任架構(gòu)的實現(xiàn)來緩解。

網(wǎng)絡攻擊中使用的多種威脅向量

2022年6月1日，Google Cloud Armour的一名用戶遭到有史以來規(guī)模最大的DDoS攻擊。該用戶被HTTPS攻擊了69分鐘，來自132個國家的5256個源IP參與了攻擊。谷歌公司聲稱，這是迄今為止報告的規(guī)模最大的7層DDoS攻擊，與之前的記錄相比高出76%。Google Cloud Armour高級產(chǎn)品經(jīng)理Emil Kiner和技術(shù)主管Satya Konduru在撰寫的一篇博客文章中指出，這次攻擊被比喻為“在短短10秒內(nèi)收到維基百科的所有日常請求”。

現(xiàn)在有可能進行如此大規(guī)模的DDoS攻擊，黑客們正在利用造成的中斷進行多向量攻擊。企業(yè)在對抗一種威脅載體的同時，也會遭到另一種威脅載體的攻擊。

科技新聞網(wǎng)站tech.co的高級作家Aaron Drapkin解釋說，到2023年，這將讓位于“三次勒索企圖”的上升。他解釋說，在這些攻擊中，勒索軟件團伙不僅會試圖加密數(shù)據(jù)，然后竊取數(shù)據(jù)并索要贖金，還會策劃其他類型的攻擊，例如DDoS攻擊或威脅泄露受害者的數(shù)據(jù)。

Drapkin警告說，如果再加上Adam Levin的威脅向量預測(網(wǎng)絡犯罪即服務)，這些多重攻擊向量可能會變得更加危險。這是因為如果將策劃這些額外網(wǎng)絡攻擊所需的技術(shù)或指令納入商業(yè)可用的勒索軟件即服務包中，復雜的攻擊可能由一系列惡意行為者發(fā)起，而不是少數(shù)幾個群體。

對云服務的攻擊

隨著全球各地的企業(yè)員工繼續(xù)實施遠程工作或混合工作，對云遷移的需求變得明顯。視頻會議軟件開發(fā)商Owl Labs公司的研究表明，在全球范圍內(nèi)，選擇遠程工作的員工數(shù)量增加了24%。

隨著企業(yè)將部分或全部資產(chǎn)遷移到云中，對云安全的需求也在增加。根據(jù)Cyber Security Hub公司的調(diào)查，四分之一(25%)的網(wǎng)絡安全專業(yè)人士表示，他們的公司正在投資云安全技術(shù)或措施。

技術(shù)咨詢網(wǎng)站Software Test Tips的創(chuàng)始人兼首席執(zhí)行官Abdul Rahim表示，很多企業(yè)在未來一年將需要進行投資。他解釋說，云計算服務使用戶能夠在世界任何地方訪問其公司的應用程序、文件和資源，這是云計算服務對企業(yè)最大的賣點，但也是其最大的弱點。

家電維修網(wǎng)站Appliance Geeked公司的首席執(zhí)行官兼創(chuàng)始人Matt Kerr指出，雖然基于云計算的數(shù)據(jù)存儲可以配備網(wǎng)絡安全措施來防止數(shù)據(jù)泄露，但如果一家企業(yè)擁有大量有價值的客戶數(shù)據(jù)，即使是部分泄露也會產(chǎn)生深遠的負面影響。這是因為企業(yè)的云存儲包含“大量非常有價值的數(shù)據(jù)”，即使網(wǎng)絡攻擊者只能訪問這些數(shù)據(jù)的一小部分，他們也可以用這些數(shù)據(jù)造成真正的破壞。

2022年9月發(fā)生的Revolut數(shù)據(jù)泄露事件就是一個例子。盡管Revolut報告稱，該漏洞僅影響了該公司0.16%的客戶，但實際上，這意味著超過5萬名用戶的個人數(shù)據(jù)被訪問。

Aerospheres公司的Tina Grant解釋說，保持云存儲的安全需要企業(yè)定期審查和改進他們的安全程序。她表示，像谷歌云和微軟Azure提供的云存儲程序可能有強大的安全措施，但客戶端的錯誤可能會導致危險的惡意軟件和在線詐騙，從而導致云存儲泄露。

第三方接入風險

隨著云遷移的到來，許多企業(yè)正在將第三方軟件解決方案整合到他們的公司基礎(chǔ)設(shè)施中。然而，許多網(wǎng)絡安全專業(yè)人士對這一決定帶來的風險持謹慎態(tài)度，三分之一以上(36%)的網(wǎng)絡安全專業(yè)人士向Cyber Security Hub報告，供應鏈/第三方風險是其網(wǎng)絡安全的最大威脅。

網(wǎng)絡設(shè)計商Collegeray公司的數(shù)字顧問、網(wǎng)絡設(shè)計師和數(shù)據(jù)處理人員David Attard認為，2023年，由于第三方訪問而導致的數(shù)據(jù)泄露將會增加。他解釋說，這將特別影響醫(yī)療保健、教育和制造業(yè)的公司，因為它們?nèi)狈Φ谌皆L問的安全性，特別容易受到這些攻擊媒介的攻擊，而這一點在2023年不太可能改變。

這些行業(yè)沒有專人負責管理第三方風險，然而，只有大約39%的制造業(yè)實施了第三方安全措施。網(wǎng)絡攻擊的數(shù)量只會增加，除非實施“最低特權(quán)訪問”等做法。

2022年10月，汽車制造商豐田公司的源代碼被發(fā)布在GitHub上。該代碼是在第三方開發(fā)承包商對公司數(shù)據(jù)處理不當之后對外泄露的，在2017年12月至2022年9月15日的數(shù)據(jù)對外可見。這可能導致惡意行為者訪問296019名客戶的個人數(shù)據(jù)。

缺乏網(wǎng)絡安全知識

預計到2023年，人為錯誤仍將是網(wǎng)絡安全威脅的主要因素。2022年，世界經(jīng)濟論壇的研究發(fā)現(xiàn)，95%的網(wǎng)絡安全問題可以追溯到人為錯誤。同樣，近三分之一的網(wǎng)絡安全專業(yè)人員(30%)表示，缺乏網(wǎng)絡安全專業(yè)知識是其所在公司網(wǎng)絡安全的頭號威脅。

德克薩斯州的網(wǎng)絡安全和國家安全專家查爾Charles Denyer引用了Verizon公司的《2022年數(shù)據(jù)泄露調(diào)查報告》，報告指出，“四分之一(82%)的數(shù)據(jù)泄露可歸因于人為錯誤”。

因此，Denyer說：“在確保企業(yè)數(shù)字資產(chǎn)的安全和保障時，網(wǎng)絡安全意識培訓仍然是最好和最有價值的投資回報?！?/p>

他說，這是因為用戶越具有網(wǎng)絡安全的知識和意識，就越有機會保護自己的資產(chǎn)。