過去的一年里，百年變局和世紀(jì)疫情交織疊加，全球產(chǎn)業(yè)鏈供應(yīng)鏈沖擊持續(xù)加大，網(wǎng)絡(luò)空間安全面臨的形勢日益復(fù)雜多變，大規(guī)模針對性網(wǎng)絡(luò)攻擊行為增加，安全漏洞、數(shù)據(jù)泄露、網(wǎng)絡(luò)詐騙等風(fēng)險(xiǎn)突出。
隨著創(chuàng)新技術(shù)的不斷興起，以及網(wǎng)絡(luò)犯罪的日益專業(yè)化，網(wǎng)絡(luò)安全攻擊風(fēng)險(xiǎn)仍在持續(xù)增長?？梢灶A(yù)見，2023年的網(wǎng)絡(luò)安全形勢依然嚴(yán)峻，需要國家不斷完善網(wǎng)絡(luò)安全政策和法規(guī)，網(wǎng)絡(luò)安全企業(yè)積極創(chuàng)新網(wǎng)絡(luò)安全防護(hù)技術(shù)。
瑞數(shù)信息作為國內(nèi)前沿的互聯(lián)網(wǎng)應(yīng)用安全防護(hù)企業(yè)，日前對2023年的網(wǎng)絡(luò)安全攻擊趨勢進(jìn)行了簡要預(yù)測。以下是企業(yè)需要關(guān)注的七個(gè)網(wǎng)絡(luò)安全趨勢：
趨勢一：API威脅復(fù)雜化
無處不在的API，為創(chuàng)新技術(shù)和業(yè)務(wù)發(fā)展提供強(qiáng)力支撐的同時(shí)，也增加了企業(yè)風(fēng)險(xiǎn)的暴露面和攻擊面，近幾年因API安全問題導(dǎo)致的攻擊和數(shù)據(jù)泄漏事件頻頻發(fā)生。OpinionMatters在2022年發(fā)布的調(diào)研報(bào)告顯示，超過四分之三的英美高級(jí)網(wǎng)絡(luò)安全專業(yè)人員表示，過去12個(gè)月里，其所在企業(yè)經(jīng)歷了至少一次API相關(guān)的安全事件。而在數(shù)十家全球頂級(jí)汽車制造商生產(chǎn)的車輛和車聯(lián)網(wǎng)服務(wù)中，更發(fā)現(xiàn)了許多API應(yīng)用缺陷，利用這些缺陷，攻擊者可以進(jìn)行廣泛的惡意活動(dòng)，從非法竊取車主個(gè)人隱私信息，到遠(yuǎn)程解鎖車輛、監(jiān)控車輛等。
由于API防護(hù)的缺失，企業(yè)對于暴露了哪些API、對誰開放API、API通信中攜帶了哪些敏感數(shù)據(jù)、對方如何使用這些數(shù)據(jù)等問題都未給予應(yīng)有的重視。攻擊者可以通過后端業(yè)務(wù)系統(tǒng)漏洞、接口暴露、安全配置缺陷等直接攻擊API進(jìn)行數(shù)據(jù)竊取，還可以利用API的參數(shù)組合及各參數(shù)值類型相對固定進(jìn)行注入類攻擊，或通過參數(shù)與用戶身份進(jìn)行關(guān)聯(lián)進(jìn)行越權(quán)類攻擊。
面對API安全威脅不斷復(fù)雜化、多樣化的快速發(fā)展趨勢，企業(yè)在威脅認(rèn)知、管控手段上相對滯后的探索形成了鮮明的差距，企業(yè)的數(shù)字化系統(tǒng)正在面臨嚴(yán)峻的安全挑戰(zhàn)。基于此，保護(hù)API應(yīng)用安全將成為2023年企業(yè)安全運(yùn)營的重要任務(wù)。
趨勢二：應(yīng)用數(shù)據(jù)安全迎來持續(xù)關(guān)注
近年來，全球數(shù)據(jù)安全形勢愈發(fā)嚴(yán)峻，層出不窮的泄密事件嚴(yán)重影響著企業(yè)數(shù)字化轉(zhuǎn)型的進(jìn)程。據(jù)IBM Security的“數(shù)據(jù)泄露成本報(bào)告”顯示，2021年-2022年間，數(shù)據(jù)泄露的全球平均成本從424萬美元增加至435萬美元，同比增長2.6%，創(chuàng)歷史新高。
由于企業(yè)互聯(lián)網(wǎng)化進(jìn)程的不斷深入，使得越來越多的業(yè)務(wù)被遷移到互聯(lián)網(wǎng)上，大量的應(yīng)用數(shù)據(jù)被產(chǎn)生、傳輸、公開、共享。與此同時(shí)，新一代應(yīng)用通過 Web、H5、App、API、微信和小程序等多種業(yè)務(wù)渠道接入，導(dǎo)致應(yīng)用敞口風(fēng)險(xiǎn)和鏈條管控難度加大，各類變化多端的撞庫攻擊、暴力破解、爬蟲攻擊、API接口濫用，也導(dǎo)致企業(yè)數(shù)據(jù)泄露風(fēng)險(xiǎn)加劇。
隨著我國《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《數(shù)據(jù)出境安全評(píng)估辦法》等法律法規(guī)相繼頒布實(shí)施，預(yù)計(jì)2023年企業(yè)對于數(shù)據(jù)安全合規(guī)的管理將越來越嚴(yán)格，基于數(shù)據(jù)的傳輸、提供、公開等全生命周期進(jìn)行保障的應(yīng)用數(shù)據(jù)安全技術(shù)會(huì)迎來企業(yè)的持續(xù)關(guān)注。
趨勢三：針對數(shù)據(jù)庫的勒索軟件攻擊持續(xù)增長
數(shù)據(jù)作為一種有利可圖的資產(chǎn)，是網(wǎng)絡(luò)犯罪的重要目標(biāo)，而勒索軟件已成為數(shù)據(jù)盜竊的一個(gè)重要途徑，讓攻擊者通過威脅公開企業(yè)數(shù)據(jù)來獲取勒索贖金。
2023年預(yù)計(jì)對數(shù)據(jù)庫的勒索攻擊將繼續(xù)有增無減，尤其針對云數(shù)據(jù)庫的勒索攻擊將大幅增加，因?yàn)樵絹碓蕉嗟钠髽I(yè)和政府將關(guān)鍵數(shù)據(jù)存儲(chǔ)在云端，勒索軟件也已進(jìn)入云環(huán)境。
值得注意的是，與傳統(tǒng)的惡意軟件在文件系統(tǒng)層面加密文件不同，數(shù)據(jù)庫勒索軟件能夠在數(shù)據(jù)庫內(nèi)部加密數(shù)據(jù)。這意味著企業(yè)在及時(shí)發(fā)現(xiàn)數(shù)據(jù)庫加密行為方面將面臨嚴(yán)峻挑戰(zhàn)，積極主動(dòng)地保護(hù)數(shù)據(jù)將更加至關(guān)重要。因此，企業(yè)不僅應(yīng)盡快制定DR或RR(滾動(dòng)恢復(fù))計(jì)劃，還應(yīng)加強(qiáng)針對備份數(shù)據(jù)的勒索行為檢測與恢復(fù)演練，這樣才能確保在發(fā)生勒索軟件攻擊時(shí)及時(shí)恢復(fù)安全干凈的數(shù)據(jù)。
趨勢四：關(guān)鍵基礎(chǔ)設(shè)施進(jìn)一步成為攻擊重點(diǎn)
隨著網(wǎng)絡(luò)空間軍事化、網(wǎng)絡(luò)武器平民化、網(wǎng)絡(luò)攻擊常態(tài)化日趨明顯，關(guān)鍵信息基礎(chǔ)設(shè)施持續(xù)成為網(wǎng)絡(luò)攻擊的重點(diǎn)目標(biāo)。對于金融、運(yùn)營商、政府、能源、教育、衛(wèi)生、交通行業(yè)等高度敏感的行業(yè)而言，保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施安全變得更加緊迫。
當(dāng)前，關(guān)鍵信息基礎(chǔ)設(shè)施加速實(shí)現(xiàn)數(shù)字化、網(wǎng)絡(luò)化、智能化升級(jí)，網(wǎng)絡(luò)入侵、攻擊滲透、遠(yuǎn)程控制等網(wǎng)絡(luò)安全風(fēng)險(xiǎn)無處不在。2023年，關(guān)鍵信息基礎(chǔ)設(shè)施面臨的安全態(tài)勢比以往任何時(shí)候都要嚴(yán)峻。
云計(jì)算和移動(dòng)化的普及，使得政府和企業(yè)的攻擊面進(jìn)一步擴(kuò)大，因此在保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施時(shí)，最大的挑戰(zhàn)之一是能夠評(píng)估和管理攻擊面。政府和企業(yè)需要確定網(wǎng)絡(luò)的組成部分以及存在的弱點(diǎn)，同時(shí)增加對可疑活動(dòng)的監(jiān)控，以進(jìn)一步調(diào)查網(wǎng)絡(luò)安全事件。同時(shí)，隨著著網(wǎng)絡(luò)攻擊變得越來越復(fù)雜，在政府和企業(yè)之間建立協(xié)作，對于采取統(tǒng)一戰(zhàn)線應(yīng)對關(guān)鍵基礎(chǔ)設(shè)施威脅至關(guān)重要。
趨勢五：供應(yīng)鏈攻擊數(shù)量激增
如今企業(yè)嚴(yán)重依賴供應(yīng)鏈，這種高度的依賴性也使得供應(yīng)鏈安全和風(fēng)險(xiǎn)成為現(xiàn)代企業(yè)必須面對的重要挑戰(zhàn)。隨著軟件供應(yīng)鏈攻擊日益普遍，Gartner將其列為2022年的第二大威脅，并預(yù)測到2025年全球45%的組織將遭受一次或多次軟件供應(yīng)鏈攻擊。
2023年，全球經(jīng)濟(jì)發(fā)展存在大量不確定因素，網(wǎng)絡(luò)犯罪的發(fā)展趨勢也將繼續(xù)不斷上升?？梢灶A(yù)見，引入到供應(yīng)鏈中的安全威脅在復(fù)雜性、規(guī)模和頻率上都將會(huì)持續(xù)加大，供應(yīng)鏈攻擊的數(shù)量將會(huì)快速增加。
對于企業(yè)而言，簡單的安全規(guī)劃已不足以防御攻擊者，需要部署更加全面的供應(yīng)鏈安全防護(hù)工具，尤其是Web應(yīng)用中動(dòng)態(tài)加載的第三方前端組件，讓攻擊變得更加復(fù)雜與隱蔽，應(yīng)采用更主動(dòng)的方法來觀察和持續(xù)分析用戶行為以檢測可疑訪問，以完善自身供應(yīng)鏈安全和風(fēng)險(xiǎn)轉(zhuǎn)變能力。
趨勢六：車聯(lián)網(wǎng)云端攻擊成為最大安全隱患
隨著汽車智能化發(fā)展，車聯(lián)網(wǎng)成為車輛進(jìn)行軟硬件升級(jí)、功能上新、應(yīng)用更新、漏洞修復(fù)等必備的基礎(chǔ)功能。然而，車聯(lián)網(wǎng)龐大的代碼量、復(fù)雜的供應(yīng)鏈、車路云互聯(lián)互通等新特性也引發(fā)了巨大的安全風(fēng)險(xiǎn)，成為黑客的重點(diǎn)攻擊對象，如進(jìn)行竊聽攻擊、惡意升級(jí)、回滾攻擊、DDOS攻擊等，使整車升級(jí)面臨多維安全挑戰(zhàn)。
其中，云端安全是目前車聯(lián)網(wǎng)最大的安全隱患。一方面，汽車的辦公、生產(chǎn)、銷售甚至運(yùn)營維護(hù)的網(wǎng)絡(luò)全都要在云端打通，云端成為高價(jià)值目標(biāo);另一方面，汽車通過云端控制，意味著無條件接受云端的旨意，一旦攻擊者入侵云端服務(wù)器竊取敏感數(shù)據(jù)，甚至取得控制權(quán)后再遠(yuǎn)程控制車輛，后果將不堪設(shè)想。
面對不斷增長的智能網(wǎng)聯(lián)汽車安全威脅，提升車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全防護(hù)能力勢在必行。
趨勢七：遠(yuǎn)程辦公常態(tài)化需持續(xù)加強(qiáng)安全防護(hù)
后疫情時(shí)代，遠(yuǎn)程辦公將成為一個(gè)長久的趨勢。傳統(tǒng)線下辦公的網(wǎng)絡(luò)邊界逐漸模糊，公司電腦、私人電腦、移動(dòng)終端逐漸增多的設(shè)備，通過VPN、虛擬化桌面或辦公軟件接入企業(yè)內(nèi)網(wǎng)，以及分支機(jī)構(gòu)、合作伙伴、外包人員訪問公司總部資源，都會(huì)為企業(yè)IT資產(chǎn)安全帶來風(fēng)險(xiǎn)。
因此，遠(yuǎn)程辦公所涉及的企業(yè)業(yè)務(wù)系統(tǒng)暴露、易受攻擊、員工遠(yuǎn)程訪問的身份識(shí)別、業(yè)務(wù)訪問違規(guī)操作、員工終端設(shè)備的安全防護(hù)等問題，對公司的安全防護(hù)能力發(fā)起了極大的挑戰(zhàn)。從安全角度來看，遠(yuǎn)程辦公常態(tài)化意味著企業(yè)需要完全重啟安全策略和工具，以更好地降低風(fēng)險(xiǎn)。
趨勢八：Web3安全風(fēng)險(xiǎn)漸行漸近
Web3以區(qū)塊鏈技術(shù)作為基礎(chǔ)，構(gòu)建出了一個(gè)去中心化的網(wǎng)絡(luò)世界，從基礎(chǔ)設(shè)施的層面來看，Web3的確有可能更難顛覆，但它也可能比現(xiàn)有網(wǎng)絡(luò)更容易遭受攻擊。
相比傳統(tǒng)應(yīng)用，Web3應(yīng)用有開放性的特點(diǎn)，代碼的透明公開使其擁有更廣的攻擊面，黑客不需要滲透任何企業(yè)防御網(wǎng)就能進(jìn)入。如果攻擊者可以拿到證書、根權(quán)限或者密匙，尤其是拿到運(yùn)行于整個(gè)生態(tài)系統(tǒng)的關(guān)鍵私人密鑰，整個(gè)Web3就會(huì)被顛覆。同時(shí)，在Web3代幣相當(dāng)于數(shù)量可觀的金錢，在巨大的利益面前，黑客攻擊Web3的欲望更強(qiáng)烈，會(huì)花費(fèi)大量精力來尋找漏洞并攻破它。
此外，網(wǎng)絡(luò)釣魚威脅已經(jīng)在Web3世界中抬頭。在Web3中，用戶對自己的賬戶安全負(fù)責(zé)，而很多人缺乏安全防范意識(shí)，這就使得在Web3中同樣存在大量空投詐騙、網(wǎng)絡(luò)釣魚等行為，來盜竊用戶的數(shù)字資產(chǎn)。
因此，Web3開發(fā)者們必須在安全問題出現(xiàn)之前制定全面的安全策略，需要從協(xié)議部署前到部署后的步驟全面考慮安全性，如智能合約審計(jì)、監(jiān)控和響應(yīng)、漏洞賞金、網(wǎng)絡(luò)保險(xiǎn)等，并采用可靠編碼、人工智能、機(jī)器學(xué)習(xí)等功能的安全平臺(tái)來實(shí)時(shí)檢測和阻止安全威脅。
申請創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
