現(xiàn)在，2023年是一張白紙。雖然過去幾年表明，永遠(yuǎn)無法針對所有情況進(jìn)行規(guī)劃，但了解當(dāng)前的網(wǎng)絡(luò)安全挑戰(zhàn)可以為明年做好準(zhǔn)備。

當(dāng)知道地平線上可能發(fā)生什么時，就可以準(zhǔn)備迎接未來的挑戰(zhàn)。可以制定預(yù)算，將資金分配給關(guān)鍵領(lǐng)域，并雇用具備應(yīng)對預(yù)期威脅技能的員工。也許最重要的是，還可以開始培訓(xùn)員工以防止常見攻擊。

許多安全專業(yè)人士已經(jīng)注意到組織在 2023 年可能面臨的一些最大威脅。以下是 2023 年需要注意的四大網(wǎng)絡(luò)安全威脅，最重要的是，如何應(yīng)對這些威脅。

1. 默默無聞的安全

大型全球企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施組織知道他們是網(wǎng)絡(luò)安全罪犯的有吸引力的目標(biāo)，并花費(fèi)大量時間和金錢來降低這些風(fēng)險。其他人很容易認(rèn)為他們太小而不能成為目標(biāo)。雖然這可能曾經(jīng)是真的，但現(xiàn)在已經(jīng)不是這樣了。事實(shí)上，大多數(shù)遭受網(wǎng)絡(luò)攻擊的企業(yè)都是中小型公司。勒索軟件攻擊現(xiàn)在關(guān)注的是企業(yè)將支付多少費(fèi)用，而不是組織的規(guī)模。

認(rèn)為自己不會被破壞的企業(yè)更有可能發(fā)現(xiàn)自己處于那種情況。當(dāng)您認(rèn)為自己沒有風(fēng)險時，就不會投入資源、資金和培訓(xùn)來保護(hù)業(yè)務(wù)。每個組織都應(yīng)該假設(shè)成為網(wǎng)絡(luò)攻擊的受害者是“何時，而不是如果”的情況——然后做出業(yè)務(wù)決策以保持受到保護(hù)，無論規(guī)模或?qū)W(wǎng)絡(luò)安全犯罪分子的感知價值如何。

2. 供應(yīng)鏈攻擊

所有企業(yè)都依賴其他公司提供產(chǎn)品和服務(wù)。不幸的是，還繼承了供應(yīng)鏈的每一個網(wǎng)絡(luò)安全風(fēng)險和漏洞。雖然可以控制自己的基礎(chǔ)架構(gòu)中發(fā)生的事情，但無法控制甚至無法了解供應(yīng)商發(fā)生的事情。根據(jù)IBM 2022 年違規(guī)成本報告，所有違規(guī)行為中有 19% 是供應(yīng)鏈攻擊。供應(yīng)鏈妥協(xié)的平均成本為 446 萬美元，略高于違規(guī)的平均成本。

盡管存在這些挑戰(zhàn)，仍然可以采取措施保護(hù)自己。從對所有供應(yīng)商進(jìn)行網(wǎng)絡(luò)安全審計開始，以充分了解每個供應(yīng)商的風(fēng)險。在決定與供應(yīng)商開展業(yè)務(wù)時，請考慮組織愿意接受的風(fēng)險程度。接下來，可以使用零信任方法來限制供應(yīng)鏈攻擊的損害。通過僅向供應(yīng)商提供商業(yè)目的所需的訪問權(quán)限，可以限制可能的損害程度。例如，當(dāng)使用微分段時，供應(yīng)商及其產(chǎn)品只能訪問網(wǎng)絡(luò)的絕對最小部分。如果在軟件更新中提供惡意代碼，損害將僅限于基礎(chǔ)設(shè)施的那一小部分。

3.威脅行為者之間的協(xié)作

網(wǎng)絡(luò)罪犯不是單獨(dú)針對組織的個別團(tuán)體，而是聯(lián)合起來。這意味著犯罪分子共享專業(yè)知識、資源和內(nèi)幕知識。例如，勒索軟件即服務(wù)現(xiàn)已上市。一些團(tuán)體正在出售他們的勒索軟件以獲取利潤，讓更多的犯罪分子能夠使用世界上最好的黑客工具。

人多力量大，網(wǎng)絡(luò)罪犯現(xiàn)在正在利用這一事實(shí)。這不是一個容易克服的挑戰(zhàn)。因此，組織需要將網(wǎng)絡(luò)安全作為首要業(yè)務(wù)優(yōu)先事項(xiàng)。由于威脅行為者一起工作，逮捕和解散不會阻止團(tuán)體重組或?qū)⑺麄兊闹R傳遞給其他人。隨著這些合作的繼續(xù)，威脅只會在數(shù)量和復(fù)雜性上增加。

4. 反應(yīng)式網(wǎng)絡(luò)防御

過去，網(wǎng)絡(luò)安全側(cè)重于保護(hù)邊界，然后對攻擊做出反應(yīng)。這種策略不再有效。通過混合和遠(yuǎn)程工作，不再有固定的邊界需要防御。此外，攻擊的數(shù)量和復(fù)雜性不斷增加，幾乎不可能阻止所有威脅。仍處于被動模式的組織正在打一場必敗仗。

改變幾十年的思維方式和基礎(chǔ)架構(gòu)并不容易，但是從被動方法轉(zhuǎn)變?yōu)橹鲃臃椒ㄓ泻芏嗪锰帯Ｓ辛诉@種心態(tài)，組織甚至可以在第一時間阻止許多攻擊的發(fā)生。使用零信任方法，可以減少無憑據(jù)或被盜憑據(jù)的用戶或設(shè)備訪問網(wǎng)絡(luò)。如果有人漏掉，可以顯著減少他們造成的損害。根據(jù)2022 年 IBM 數(shù)據(jù)泄露成本報告，沒有采用零信任方法的組織的平均數(shù)據(jù)泄露成本為 540 萬美元——比全球平均水平高出 100 萬美元以上。

期待2023

毫無疑問，2023 年將有自己的驚喜。將會出現(xiàn)我們可能看不到的新威脅、新技術(shù)和新業(yè)務(wù)挑戰(zhàn)。但是，當(dāng)為大多數(shù)風(fēng)險做好準(zhǔn)備時，在意外發(fā)生時進(jìn)行所需的更改會更容易。如果積極主動地計劃一切可能的事情，只會對意外情況做出反應(yīng)。

一年的最后幾周很忙——真的很忙。但是，通過花時間審查當(dāng)前的2023 年計劃并考慮弱點(diǎn)和風(fēng)險，可以確保組織為2023年帶來的一切做好準(zhǔn)備。

原文鏈接：https://securityintelligence.com/news/cyber-risks-2023-how-to-prepare/