對于2023年的網絡安全發展趨勢預測
?信息安全領導者分享了他們對2023年的預測，并提供了網絡風險管理的最佳實踐。
在為未來一年制定網絡安全彈性計劃、優先事項和路線圖時，安全和風險專家提供了以下對2023年的網絡安全預測。
1.對網絡保險的需求將會增加，但它將變得越來越難獲得
(ISC)2公司首席信息安全官Jon France說，“網絡安全意識有其優點和缺點，其中一個缺點是網絡保險的保費較高。僅在2022年第一季度，網絡保險的保費就比2021年第四季度上漲了近28%。這主要是由于人們對勒索軟件攻擊、數據泄露、漏洞利用等網絡事件的財務和聲譽風險的認識有所提高。與此同時，保險商對獲得網絡保險的要求也更加嚴格，要求雙因素認證和采用EDR、XDR等特定技術。事實上，這些文件過去是兩頁的問卷調查，現在它們是完整的審計，長達12頁以上。因此，提高網絡保險費和更嚴格的保險要求將是2023年值得關注的有趣障礙。
另一方面，由于供應鏈問題的發生率不斷上升，我們也可能會看到需求的增加。由于這些問題，企業可能會開始越來越多地要求與他們合作的任何供應商或第三方必須擁有網絡保險。正如我們已經開始看到的那樣，隨著地緣政治問題跨越國界，除了公司不斷面臨的網絡威脅，公司將優先考慮保護他們最重要的資產(包括他們的聲譽)。2023年，網絡保險的需求將繼續增加，獲得這些保險的價格和要求也將繼續增加。”
2.經濟衰退將導致培訓項目開支的減少
“盡管人們認為網絡安全可能是一個不受經濟衰退影響的行業，但在經濟衰退期間，人員和質量很可能會受到打擊。到目前為止，我們還沒有看到網絡安全的核心預算被削減，但更“自由”的領域，如培訓預算，可能會出現縮減。這既適用于各種規模的公司的安全意識培訓，也適用于培訓網絡安全專業人員如何充分保護其關鍵資產。該行業已經面臨著技能短缺，不幸的是，隨著經濟衰退在2023年開始，由于對熟練網絡安全人員的需求增加，技能短缺可能會加劇。”
3.2023年將是動蕩的一年，因為州和地方各級都通過了相互競爭的隱私法規
SertaSimmons寢具公司信息安全和首席信息官副總裁DrewPerry表示，“信息隱私的可見性和執行力將繼續提高，但各種地區法規并不總是相互一致。ciso將在組織風險方面發揮更大的咨詢作用，因為他們被要求幫助瀏覽經常相互競爭的隱私規則，以使企業盡可能接近歷史規范。聰明的組織在保護底線時不會手下留情，所以ciso應該期待被帶入以前不尋求他們意見的對話。在接下來的幾年里，在這些道路上行走自如的ciso將受到追捧。”
4.安全領導者將加大對網絡彈性的關注
Zoom首席信息官Michael Adams表示，“雖然保護組織免受網絡威脅始終是安全計劃的核心重點領域，但我們可以預期，網絡彈性將得到越來越多的關注，這不僅包括保護，還包括在發生網絡事件時的恢復和連續性。它不僅在防范網絡威脅方面投入資源;它正在對人員、流程和技術進行投資，以減輕影響，并在發生網絡事件時繼續運營。”
5.自動化與安全運營
CardinalOps公司首席執行官兼聯合創始人Michael Mumcuoglu說，“在2023年，我們將看到自動化進入仍然依賴人工流程的安全運營的少數剩余領域。這些領域包括威脅暴露管理，這有助于全面解決諸如‘我們如何準備來檢測和響應最有可能針對組織的對手?’的問題，另一個將變得更加自動化的領域是檢測工程，它仍然高度依賴專業知識和部落知識。自動化不僅會降低這些組織的風險，還會將SOC人員從日常任務中解放出來，使他們能夠專注于真正需要人類創造力和創新的更有趣的挑戰，例如威脅搜索和理解新的和新穎的攻擊行為。”
6.云原生漏洞的增加
Solvo首席執行官Shira Shamban表示:“我們不僅會看到整體安全事件的增加，而且具體來說，云原生漏洞的增加。根據2022年的研究，近一半的數據泄露發生在云中。隨著企業不斷將部分或整個基礎設施遷移到云端，我們將看到存儲在云端的數據和“皇冠上的寶石”數量的增加，從而導致更多的云原生安全事件發生的機會。應用程序必須以一種第三方可以信任的方式構建。由于這條供應鏈不安全，在網絡攻擊者看來，云攻擊的價值越來越大。”
7.量子解密威脅增長
Theon Technology咨詢委員會成員Bryan Cunningham說，“到2023年底，每個組織都將與量子解密能力作斗爭。雖然人們對未來(沒人知道什么時候)量子解密威脅的認識在2022年有所增加，但到2023年底，所有組織都將意識到他們將不得不面對這一威脅。”
8.網絡安全培訓
Hoxhunt聯合創始人兼首席執行官MikaAalto說，“2023年，我們將看到網絡安全培訓的持續進步。人類并沒有進化到能夠發現數字世界中的危險。學校系統沒有教他們如何防御網絡攻擊的黑魔法。這是我們的責任。人的風險是一個組織問題。讓我們的人民具備防范網絡釣魚攻擊的技能是我們的責任。
自動化、自適應學習和人工智能/機器學習可以幫助大規模提供個性化培訓。為什么這很重要?因為人們需要經常參加相關的培訓，保持在他們的技能水平的邊緣，以提高和保持參與。一段長而枯燥的視頻，然后是基于懲罰的網絡釣魚模擬，已被證明不起作用。執著于失敗只會導致失敗。當人們在動態的學習環境中獲得技能時給予獎勵，會帶來可衡量的改善。這種方法廣泛地描述了游戲化，其已證明的成功基于行為科學和商業的既定原則，并將成為未來一年保護各種規模組織的關鍵。”
9.網絡攻擊者的職業化
Tigera公司總裁兼首席執行官Ratan Tipirneni說：“勒索軟件即服務的可用性不斷增加，這種模式為不良行為者提供了復雜的漏洞分布，同時將他們與交易風險隔離開來，這將導致毫無準備的企業的安全狀況惡化。隨時可用的威脅和不安全的部署的綜合影響肯定會導致引人注目的入侵。在理想的情況下，這些違規行為最終將使企業超越基準法規，并將安全作為一項基本工作。”
10.加強網絡衛生和意識
首席安全科學家和顧問首席執行官Joseph Carson說，“成為網絡安全社會的需求將會增加基本的權利。這意味著網絡衛生和意識將成為2023年的首要任務。隨著越來越多的組織希望獲得網絡保險作為金融安全網，以保護他們的業務免受數據泄露和勒索軟件攻擊造成的嚴重財務風險，需要制定可靠的網絡戰略才能獲得保險。“便宜又容易”的日子已經過去了。
這意味著在2023年回歸基礎，提升網絡安全基線。持續的遠程工作和云轉型意味著需要強大的訪問管理策略，并得到多因素身份驗證、密碼管理和持續驗證的支持，以降低風險。
除了實施更好的訪問安全控制外，雇主還需要賦予員工更好的網絡安全意識。這意味著持續的培訓和教育，以確保隨著威脅的演變，員工知情，并準備好成為網絡戰略的堅強捍衛者。”
11.移動辦公趨勢將為企業創造新的盲區
SlashNext公司首席執行官Patrick Harr說，“個人溝通渠道(游戲、LinkedIn、WhatsApp、Signal、Snapchat等)將在不良分子針對企業的攻擊路徑中發揮更大的作用。一旦個人用戶被泄露，惡意分子就可以橫向移動，進入企業。由于電子郵件現在至少有一些保護措施，網絡犯罪分子正把更多的注意力轉向其他通信渠道，并看到了更高的成功率。
在新的混合勞動力中，安全姿態的最大缺口來自員工的個人數據。隨著企業采用新的個人信息、交流和協作渠道，這些盲點變得越來越明顯。攻擊者通過保護較少的個人通信渠道(如WhatsApp、Signal、Gmail和FacebookMessenger)針對員工進行攻擊。然后，這就變成了一個從外部立足點橫向穿透組織的問題。
此外，現在越來越多的人同時在同一臺設備上處理商業任務和個人生活，這是一個重要的盲點。我認為這一趨勢將在今年加速。這一切都回到了:我如何驗證你真的是我正在與之交流的人?或者這是我假設的可信文件或公司網站鏈接?
對任何公司來說，最大的威脅不再是機器安全，而是真正的人的安全因素。這就是為什么這些針對人類的攻擊會繼續增加，因為人類容易犯錯，他們會分心，許多威脅不容易被識別為惡意的。”
12.互聯設備將需要更強大的安全性
KeeperSecurity公司首席執行官兼聯合創始人Darrengu Cione說，“物聯網設備的數量多年來一直在增長，沒有放緩的跡象。在過去三年中，由于2019冠狀病毒的數字化轉型加速以及云計算的普及，物聯網設備的數量呈指數級增長。2022年，物聯網市場預計將增長18%，達到144億活躍連接。隨著越來越多的消費者和企業依賴聯網設備，這些聯網解決方案變得更容易受到網絡攻擊。因此，原始設備制造商出貨的數十億臺設備將需要更高的開箱即用安全性，以降低惡意軟件入侵的風險及其對分布式拒絕服務(DDoS)攻擊的貢獻。為了防止和減輕毀滅性的攻擊，制造商和原始設備制造商供應商必須在設備內部設計安全性，將其嵌入到連接設備的每一層。”
13.數據可見性和遵從性
DigSecurity公司首席執行官和聯合創始人Dan Benjamin,說，“在2023年，首席執行官將優先考慮采用解決方案，為其組織持有的數據、數據所在位置以及數據帶來的風險提供可見性。對于安全領導者來說，這種可見性至關重要，因為他們要在高度監管的世界中構建項目，以滿足合規要求，并在日益具有挑戰性的威脅環境中保護數據。”
14.供應鏈安全
Coalfire公司副總裁Caitlin Johanson說，“在2022年，美國尤其面臨來自國外創建、開發和運行的B2B和B2C技術的風險和漏洞。這引發了許多問題，包括代碼和應用程序來自哪里，哪些數據被放入這些應用程序中，以及這些數據的主權是什么。2023年，我們將開始看到更多關于開發人員在哪里以及代碼來自哪里的審查，更多的組織將專注于軟件組合分析和安全代碼開發(應用程序安全)。基本上，就是質疑我們國家供應鏈的每一個環節。新冠疫情給我們的供應鏈帶來了問題，今年，我們將開始更多地關注與國外軟件開發相關的供應鏈安全風險。”
15.由于前所未有的需求，ICS/OT技能差距將擴大
Hexagon AssetLifecycle Intelligence網絡生態系統全球總監Edward Liebig說，“研究表明，在過去一年半左右的時間里，絕大多數電力、石油和天然氣以及制造業公司都經歷過網絡攻擊。研究還表明，由于對熟練專業人員的高需求，網絡安全勞動力缺口正在擴大。除了多年來一直普遍存在的對關鍵基礎設施系統的嚴重威脅，拜登政府新的100天跨部門沖刺和更多法規的發布，還需要更多專業的專業人員來跟上。此外，許多組織目前缺乏能夠成功整合IT和OT部門的安全實踐和嚴謹性的員工，隨著2023年工業4.0的興起，這一點變得越來越重要。”
16.元宇宙可能是下一個大事件，但要現實一點
VMware公司首席網絡安全策略師Rick McElroy說，“元宇宙的未來相對未知，因為它的采用仍處于起步階段，但企業將其推向市場的速度仍然快于安全社區所能接受的速度。在當前版本的數字世界中，我們已經看到了身份盜竊和深度偽造攻擊的例子，其中不良行為者以高管為目標，在公司外部進行數十萬美元的電匯。在虛擬現實的元宇宙中，類似的騙局不會增加，這不是說嗎?當我們開始展望2023年的時候，企業在提供這種新興技術的方法上需要謹慎和考慮。將密碼拖到元世界中是一種破壞方法。但如果我們仔細考慮用于識別用戶和部署持續身份驗證的控制措施——利用生物識別和密切監控用戶行為等不同因素——這將有助于緩解元世界周圍的安全問題。”
17.網絡風險管理將成為企業領導者的首要任務
VMware公司高級網絡安全策略師Karen Worstell表示，“在網絡風險的治理和監督方面，我們的系統是壞的。它不再是15年前的樣子了——我們正在處理更高的風險和脆弱的企業聲譽。因此，在2023年，我們將看到企業加倍重視網絡風險管理。在確保充分控制和報告網絡攻擊的過程中，董事會需要有更明確的角色和責任。網絡風險治理不僅是CISO的領域，現在顯然是董事和高級管理人員的關注點。在網絡問題上，貌似合理的推諉已經過時了。”
18.2023年，復雜的固件攻擊將變得更加普遍，網絡犯罪分子將繼續投資于利用端點設備的物理訪問的攻擊。
惠普公司系統安全研究與創新首席技術專家Boris Balacheff表示，“2023年，企業應該控制固件安全。曾經，固件攻擊只被復雜的APT(高級持續威脅)組織和國家使用。但在過去的一年里，我們已經看到了網絡犯罪社區能力發展和交易的跡象——從入侵BIOS密碼的工具，到針對設備BIOS(基本輸入/輸出系統)和UEFI(統一可擴展固件接口)的rootkit和木馬。我們現在在網絡犯罪市場上看到售價幾千美元的固件rootkit廣告。
復雜攻擊能力的可承受價格與不斷增長的需求齊頭并進。我們可以期待在地下網絡犯罪中看到更多這類產品的銷售，進而看到更多固件攻擊。
對固件級別的訪問使攻擊者能夠獲得持久控制，并隱藏在設備操作系統之下，使他們很難被發現，更不用說移除和收回控制權了。組織應該確保他們了解設備硬件和固件安全方面的行業最佳實踐和標準。他們還應該了解和評估可用于保護、檢測和從此類攻擊中恢復的最先進技術。”
