2024 年網路安全趨勢
1：烏克蘭戰爭造成的地緣政治，將提高許多壞演員的技能
「戰爭將許多駭客團體帶到了現場，或者讓已經存在的團體專注於出於政治動機的襲擊。無論戰爭是繼續還是結束，這些團體都將繼續活躍。獲得進攻技能的人和成立的團體，將繼續攻擊出於政治動機的目標，或為了經濟利益而轉移到網路地下犯罪。」
丹尼爾·多斯·桑託斯，Vedere 實驗室安全研究主管
「勒索軟體攻擊的成長速度略有放慢 —— 但事實將證明這是一個虛假的黎明。目前，最成功的網路犯罪團隊，正專注於攻擊烏克蘭的關鍵基礎設施。一旦衝突結束，所有技術、工具和資源將重新佈署回勒索軟體攻擊 —— 因此，組織和民族國家都不能自滿。」
安迪·哈里斯，Osirium首席技術官
2：公共/私營部門在網路方面的合作將得到加強
「加強和精簡政府和行業夥伴關係，應繼續成為 2023 年網路安全策略的優先事項，因為威脅可能會發生，特別是隨著人工智慧、機器學習、5G，和最終量子計算等技術的出現。
「由於私營部門擁有和開發的技術和軟體的很大一部分，但影響到政府和醫療保健等行業，他們必須就最佳實踐和方法進行合作，以補救風險，並解決如何抵禦日益成長的網路攻擊表面。框架和法規調整對於這些實體之間的合作將成為必不可少的，以實現有意義和有效的防禦。」
ISMS.online 網路安全分析主管 Rebecca Harper
3：對能源公司和關鍵基礎設施的攻擊增加 —— 犯罪分子關注物聯網和 OT 漏洞等弱點
「隨著人們更加關注建設一個更永續的未來，在整個威脅環境中，與能源有關的網路攻擊的動機可能會增加。在複雜性的低端，我們已經看到了許多與能源賬單有關的騙局，包括竊取個人個人資訊的假電子郵件或簡訊。在高階，在某些地區，國家行為者破壞能源網路的可能性迫在眉睫。
「隨著全球公司在 2023 年及以後尋求綠色議程和創新，威脅行為者無疑會出現新的機會。今年，我們可以看到行為者在能源安全和網路安全之間找到其他聯絡，例如將綠色技術或能源政策的間諜活動，以及環境駭客主義。」
James Muir，BAE 系統數字智慧威脅情報研究負責人
「隨著俄羅斯在入侵烏克蘭中失去更多進展，來自美國和我們的盟友的壓力繼續增加，我們可能會看到網路攻擊越來越多地被用作武器。網路實體系統[例如機器人、智慧建築、自動駕駛汽車]和它們營運的網路，顯然是有吸引力的目標，因為它們的臨界水準和破壞潛力。」
Galina Antova，物聯網網路sec集團Claroty的聯合創始人兼首席業務開發官
「2024 年有望成為不可或缺的一年，需要增加營運技術和工業控制系統網路安全投資。」
「然而，政府、保險供應商和國際市場對保護關鍵基礎設施，和在關鍵部門和技術之間，建立復原力的重要性持沈默態度。」
「不幸的是，2024 年也可能是對手，在關鍵領域展示修改 OT 和 ICS 系統能力增強的一年。OT/ICS 網路安全利益相關者，關注實體安全、環境影響、商品、服務、資源供應，以及微觀和總體觀經濟，將努力 2024 年。」
Danielle Jablanski，OT 網路安全策略師，Nozomi Networks
「既然跨平台勒索軟體是常態，幾個團體已經展示了利用物聯網裝置的攻擊的盈利能力 —— 例如 VoIP 上的 Lorenz；路由器上的 Conti，和網路附加儲存上的 DeadBolt。
「組織現在對其 IT 網路的保護有所增加，因此，使用這些裝置進行初始連線或影響的勒索軟體攻擊爆炸已經為基礎。
「今年增加的醫療裝置安全挑戰 —— 壽命長、修補和客製化軟體/韌體軟體 —— 將繼續存在。2024 年也可能是我們看到攻擊不僅蔓延到醫療裝置，而且針對它們（可能像 OT 那樣設計不安全的功能），儘管需要特定的攻擊者動機，來有目的地瞄準可能直接傷害人的裝置。」
丹尼爾·多斯·桑託斯，Vedere 實驗室安全研究主管。
「專門針對物聯網提供商的新 FIDO 法規，將有助於馴服物聯網安全的‘狂野西部’。目前，人們必須在向網路新增具有先天安全漏洞的不安全物聯網裝置，或根本不使用它們之間做出選擇。
「在 2024 年，這一切都會改變，因為這些新標準將為消費者和企業堵塞關鍵漏洞，因為它們圍繞物聯網裝置的零信任架構和非標準化、網路釣魚安全密碼建立了硬和快速的規則。安全性和互操作性標準，將引發物聯網的飛躍」
Alex Laurie，全球銷售工程 ForgeRock 高階副總裁
4：5G 網路駭客隨著攻擊面的擴大而成長
「預測 5G 威脅景觀的旅行方向，不是一項簡單的任務。與 4G 和 LTE 等前身相比，5G 標準本身提供了顯著的安全改進。
「但實施全面 5G 推廣所需的基礎設施 —— 增加對 IT，以及虛擬化和雲基礎設施的依賴 —— 可能會增加攻擊面並暴露漏洞。
「例如，在檢視無線電訪問網路（RAN）時，安全研究人員指出了現有 OpenRAN 佈署中配置不當的虛擬化環境，包括 Kubernetes 配置中的許多問題。
「在核心網路方面，隨著新功能的推出和實施變得更加複雜，我們可能會看到安全錯誤配置，影響更廣泛的 5G 網路。
「5G 的採用者必須更加關注圍繞 5G 安全的風險，今年的白皮書中討論了具體的高威脅用例 —— 如軍事情景 —— 包括 CCDCOE 關於 5G 網路軍事移動風險的研究報告。」
James Muir，威脅情報研究負責人，BAE 系統，數位智慧
「隨著新技術的進步，新的攻擊形式也將出現。風險擴大到電動汽車越來越受歡迎，這也將與這個空間的漏洞和攻擊的增加相搭配。駭客正在學習如何控制車輛，並透過安裝在電動汽車中的麥克風竊聽對話，而車輛充電點也將越來越容易受到攻擊。
「一般來說，這種風險擴充到物聯網（物聯網），企業越來越依賴物聯網 —— 特別是在 5G 時代。儘管引入了監管，但需要時間才能產生影響，組織也需要時間才能發現其所有漏洞。薄弱的物聯網安全性可能會成為威脅行為者，破壞 5G 網路或橫向移動到內部伺服器的有用後門。」
Scott Goodwin，DigitalXRAID 營運長兼聯合創始人
5：隨著經濟衰退的到來，網路行業將繼續適應
「市場需要幫助客戶用更少的錢、更少的員工和更少的經驗做更多的事情。 將需要自主的資料彈性 —— 其中客戶的資料自動得到保護和保護。」
Stephen Manley，基於 SaaS 的資料保護供應商 Druva 的首席技術官
「在經濟衰退期間，網路安全市場可能不得不偏離其主要由產品驅動的經濟。隨著新來的 CISO 之前，在加入新公司時將安全工具和服務的重組作為重要槓桿，他們可能不得不「修改和收費」。
「在這樣一個危機時期，我們可以期待安全產品供應商用誇張的行銷資訊加倍努力。組織應該從近年來的經驗教訓中吸取教訓，即這種靈丹妙藥解決方案是一種謬誤，而是投資於充分利用現有堆疊所需的知識和支援。」
丹·格林，JUMPSEC 網路風險諮詢支援主管
「隨著製造業今年繼續與不可預測的供應鏈中斷作鬥爭，供應鏈安全將躲避製造業和能源的預算削減，該行業在管理第三方網路風險方面取得了巨大進展。
「事實上，64% 的製造商表示，他們今年的雷達上有供應鏈網路風險，近一半（44%）建立了綜合企業風險管理計劃，這是 2022 年接受調查的行業中最高的。
「也就是說，由於數千家供應商的依賴，製造業中與供應鏈相關的網路漏洞的緊迫性和嚴重性，將使其成為 2024 年外部資源預算增加的最有可能的部門。」
「對於公用事業和能源部門，99% 的能源公司表示，在過去一年中，他們至少受到一次供應鏈洩露的負面影響。好訊息是，該行業保持著所有垂直水準中最高的，以增加供應鏈網路風險的年度預算，60% 的能源公司在 12 個月內平均將該類別的預算增加到60%。」
Lorri Janssen-Anessi，BlueVoyant 外部網路評估總監
6：SecOps 和 DevSecOps 將在 2024 年成為業務關鍵（如果公司能夠接受隨之而來的文化變革）
「API 和應用程式佈署的成長意味著，在一個軟體驅動的世界中，安全需要使用 DevSecOps 技術自動化到應用程式交付流程中。DevSecOps 鼓勵開發人員在建立應用程式時，考慮安全原則和標準，而不是之後。」
「DevOps 和 DevSecOps 是文化變化，而不是政策授權。塑造文化以產生預期產出的組織，將在即將到來的網路安全挑戰中表現得更好。」
Sammy Migues，Synopsys 軟體完整性集團首席科學家
「我看到AIOps SecOps和DevSecOps在2023年變得至關重要，有助於抵禦攻擊。 然而，儘管他們盡了最大努力，但許多企業仍將受到攻擊，因此制定正確的業務連續性做法和網路保險對生存至關重要。」
Nick Westall，CSI網路安全諮詢首席技術官
7：移動惡意軟體加劇
「2022 年，行動惡意軟體成為行業威脅討論的中心。威脅在各種形式上都是獨一無二的。充滿惡意軟體的安卓應用程式、過時行動通信作業系統的漏洞，和可疑的 VPN，都可以用於破壞行動裝置。
「行動惡意軟體在 2024 年仍將是一個威脅，這讓越來越多的企業使用行動裝置來驗證身份，並允許進入工作場所、商業房地產、住宅樓等。預計會看到更多行動憑據應用程式，利用內建作系統功能，如生物辨識，即使裝置被惡意軟體損壞，這些功能也無法繞過。」
Jeff Nielsen，門禁控制軟體和硬體公司 Brivo 的首席技術官
8：優步的 CISO 定罪，將影響駭客攻擊後責任問題的就業法
「在優步網路攻擊的後果中，我們第一次看到 CISO 被處以監禁判決。個人責任問題，責任和問責制的開始和結束 —— 以及企業和個人利益相關者，將如何保護自己 —— 明年將變得突出。這可能會反映在就業法的轉變中，以可能解決圍繞這一新出現問題的灰色地帶。」
DigitalXRAID 執行長兼聯合創始人Rick Jones
9：支付勒索軟體幫派將變得越來越成問題
「我們可能會看到對支付贖金的持續壓力，這將建立在過去一年的發展基礎上，最明顯的是烏克蘭戰爭，這為關於用俄羅斯有聯絡豐富網路罪犯的適當性的辯論增加了新的道德層面。」
「除此之外，資訊專員辦公室認為從資料保護的角度來看，支付贖金是積極的，而保險部門則透過公佈新的戰爭排除條款，對勒索軟體風險的寫作採取了更謹慎的方法。」
「將這些發展與勒索軟體攻擊，轉變為雨刷程式攻擊的內在風險相結合，2024 年需要引入新的網路安全方法，因為以支付贖金為代表的‘出獄’卡可能不是一個長期選擇。」
Stewart Room，DWF 法律技術、媒體和傳播主管
10：網路保險策略將改變保險公司和企業
「2022 年，勒索軟體攻擊的威脅日益增加，導致許多保險公司提高了保費並重新評估了保險範圍。進入 2024 年，倫敦勞埃德宣佈，從 2023 年 3 月起，其保險單將不再涵蓋國家贊助的網路攻擊造成的損失。我們可以預期這些動態會對組織產生重大影響。許多人會發現自己沒有適當的覆蓋範圍，並被要求在現有安排之外使用緊急事件響應服務。」
James Muir，BAE 系統威脅情報研究主管。
「隨著網路事件 —— 特別是商業電子郵件洩露 —— 發生得越來越頻繁，隨著勒索軟體攻擊再次激增，提供商將繼續收緊獲得或維持保險，並提高保費所需的標準，網路保險公司將更精確、更精確、更強制地定義覆蓋線。」
Vincent D’Agostino，BlueVoyant 數位取證和事件反應主管
「網路保險將變得更加昂貴，也更難獲得，越來越強烈要求客戶在購買之前採取一切必要和合理的預防措施。保險公司也不太可能付款 —— 索賠越多，他們就越會反擊。」
「因此，更多的組織可能會決定根本不購買保險，而是專注於將資源投入保護。如果發生這種情況，我們可以期待看到保險公司與大型諮詢公司合作，提供聯合服務。第一條規則：保險總是贏的！」
安迪·哈里斯，Osirium的首席技術官
「為了讓組織在 2023 年降低保險費，他們需要展示他們的安全第一文化 —— 定期員工培訓計劃、一系列安全工具和專家支援，以檢測和減輕威脅。 保險公司根本沒有為勒索軟體新時代的風險轉移做好準備。他們的高溢價可能是未來幾年更好地合規的原因。」
0 comments:
張貼留言