2023年，網(wǎng)絡(luò)安全仍然是企業(yè)在加強(qiáng)數(shù)字防御任務(wù)中的重點(diǎn)。隨著勒索軟件攻擊持續(xù)上升，零信任模型變得更加普遍，越來越多的公司開始使用在線技術(shù)來自動(dòng)化他們的運(yùn)營(yíng)，而這也導(dǎo)致大量數(shù)據(jù)存在于互聯(lián)網(wǎng)中，在一定程度上造成了數(shù)據(jù)的泄露和失竊，這對(duì)于小型企業(yè)、個(gè)人和大公司來說竟已經(jīng)是司空見慣的事情。在2022年第一季度，有超過90%的數(shù)據(jù)泄露都是由于網(wǎng)絡(luò)攻擊造成的。

　　隨著越來越多的企業(yè)開始嘗試數(shù)字化轉(zhuǎn)型，企業(yè)中負(fù)責(zé)安全和風(fēng)險(xiǎn)管理的人員也隨著肩負(fù)起了更多任務(wù)和責(zé)任，這也使得集中式的網(wǎng)絡(luò)安全控制管理機(jī)制作用不如以前那么有效。同時(shí)，混合辦公機(jī)制以及云上的數(shù)字業(yè)務(wù)運(yùn)營(yíng)也給企業(yè)帶來的新的威脅。面對(duì)復(fù)雜的勒索軟件、針對(duì)軟件供應(yīng)鏈的網(wǎng)絡(luò)攻擊以及企業(yè)某些根深蒂固的弱點(diǎn)暴露了應(yīng)對(duì)挑戰(zhàn)時(shí)的技術(shù)差距和人才缺乏。

　　了解網(wǎng)絡(luò)安全世界的主要趨勢(shì)可以幫助企業(yè)更好地應(yīng)對(duì)新出現(xiàn)的風(fēng)險(xiǎn)與挑戰(zhàn)。讓我們深入了解2023網(wǎng)絡(luò)安全趨勢(shì)。

　　軟件供應(yīng)鏈攻擊

　　當(dāng)網(wǎng)絡(luò)威脅參與者滲透到軟件供應(yīng)商的網(wǎng)絡(luò)并使用惡意代碼在供應(yīng)商將軟件發(fā)送給客戶之前破壞軟件時(shí)，就會(huì)發(fā)生軟件供應(yīng)鏈攻擊。然后受感染的軟件會(huì)損害客戶的數(shù)據(jù)或系統(tǒng)，更復(fù)雜的攻擊可以利用供應(yīng)商網(wǎng)絡(luò)的特權(quán)訪問來破壞目標(biāo)網(wǎng)絡(luò)。最典型的軟件供應(yīng)鏈攻擊便是SolarWinds事件。攻擊者使用惡意軟件修改了供應(yīng)商軟件的簽名版本，然后他們利用這些惡意軟件感染了18,000家私營(yíng)企業(yè)和政府機(jī)構(gòu)。一旦將其安裝在目標(biāo)環(huán)境中，病毒就會(huì)通過更大的攻擊媒介傳播。

　　軟件供應(yīng)鏈攻擊日益普遍，Gartner將其列為2022年的第二大威脅。Gartner預(yù)測(cè)，到2025年，全球45%的組織將遭受一次或多次軟件供應(yīng)鏈攻擊。為了更好地防范軟件供應(yīng)鏈風(fēng)險(xiǎn)，企業(yè)需要加強(qiáng)代碼和構(gòu)建安全，仔細(xì)排查復(fù)雜的依賴項(xiàng)帶來的潛在威脅，同時(shí)安全和風(fēng)險(xiǎn)管理專業(yè)人員必須與其他部門協(xié)同合作。

　　網(wǎng)絡(luò)釣魚

　　IT行業(yè)面臨的最常見的安全風(fēng)險(xiǎn)是網(wǎng)絡(luò)釣魚，到目前許多人仍然因網(wǎng)絡(luò)釣魚電子郵件而中招。黑客利用越來越復(fù)雜的技術(shù)來生成執(zhí)行良好的商業(yè)電子郵件泄露攻擊(BEC)以及惡意URL。與此同時(shí)，攻擊者的攻擊方式也變得更加老練。他們已開始調(diào)查潛在受害者以收集信息，這些信息可以讓他們的攻擊更有針對(duì)性，同時(shí)增加網(wǎng)絡(luò)釣魚攻擊成功的可能性。攻擊者會(huì)嘗試使用測(cè)試電子郵件地址并查看誰會(huì)做出反應(yīng)，這種方法也叫做誘餌攻擊。

　　根據(jù)Barracuda的2021年9月的一份報(bào)告顯示，在參與調(diào)研的10500公司中，有35%的受訪者表示他們所在的公司遭受過至少一次誘餌攻擊，其中每封郵件平均可以到達(dá)每個(gè)企業(yè)的三個(gè)不同的郵箱。幸運(yùn)的是，郵件過濾技術(shù)有了顯著改善。目前郵件服務(wù)提供商能夠過濾掉不可靠來源，并且不包含惡意負(fù)載。不過相比之下，給予員工更全面的安全意識(shí)教育也同樣重要，比如不隨意點(diǎn)開來路不明的郵件以及其攜帶的附件，這可以從根本避免網(wǎng)絡(luò)釣魚攻擊帶來的危害和損失。此外，企業(yè)還可以借助給予人工智能的防御來避免網(wǎng)絡(luò)釣魚攻擊，人工智能可以通過從各來源收集的信息，包括通信圖，信譽(yù)系統(tǒng)和網(wǎng)絡(luò)分析，以防御網(wǎng)絡(luò)釣魚攻擊。

　　網(wǎng)絡(luò)安全網(wǎng)格架構(gòu)

　　無論企業(yè)資產(chǎn)是在現(xiàn)場(chǎng)、數(shù)據(jù)中心還是云上，企業(yè)都可以使用一種現(xiàn)代安全架構(gòu)概念方法，也就是網(wǎng)絡(luò)安全網(wǎng)格方法，來部署和集成安全性。通過實(shí)施網(wǎng)絡(luò)安全網(wǎng)格架構(gòu)，企業(yè)可以在未來幾年內(nèi)將單個(gè)安全事件的成本效益平均降低90%。隨著越來越多的企業(yè)將其活動(dòng)轉(zhuǎn)移到云基礎(chǔ)設(shè)施和多云環(huán)境，這一概念將變得更加重要。

　　網(wǎng)絡(luò)安全網(wǎng)格在結(jié)構(gòu)上由多個(gè)安全控制層組成，這些安全控制層相互協(xié)作，保護(hù)公司免受各種危險(xiǎn)，包括惡意軟件、病毒、網(wǎng)絡(luò)釣魚攻擊等。從理論上講，網(wǎng)格可以提供更好的IT安全性和網(wǎng)絡(luò)威脅保護(hù)，其安全保護(hù)級(jí)別更高。通常網(wǎng)絡(luò)安全網(wǎng)格是通過結(jié)合多種不同技術(shù)構(gòu)建的，包括本地防火墻、基于云的安全服務(wù)和外部管理的安全服務(wù)提供商。這些解決方案可以相互結(jié)合使用，以涵蓋組織的各個(gè)方面。與傳統(tǒng)的單點(diǎn)解決方案相比，其目標(biāo)是實(shí)現(xiàn)對(duì)整個(gè)網(wǎng)絡(luò)流量的持續(xù)可見性，從而提供卓越的保護(hù)。

　　隨著企業(yè)的數(shù)字化轉(zhuǎn)型，越來越多的工作量壓到了首席信息安全官（CISO）身上，而領(lǐng)先的企業(yè)已經(jīng)開始或已經(jīng)創(chuàng)建CISO辦公室來嘗試分散執(zhí)行安全決策，但有時(shí)CISO和集中的職能部門仍可能負(fù)責(zé)制定政策。不過需要明確的是，大多數(shù)數(shù)據(jù)泄露的根源來自人為錯(cuò)誤，這證明傳統(tǒng)的安全意識(shí)培訓(xùn)方法仍然不足。在有了合理的預(yù)算情況下，現(xiàn)代企業(yè)必須擺脫老式的基于合規(guī)意識(shí)的努力，轉(zhuǎn)而采取全面的行為和安全文化變革舉措，鼓勵(lì)更安全的工作方式和實(shí)踐。