網(wǎng)絡(luò )風(fēng)險成為2022年全球商業(yè)領(lǐng)域關(guān)注的首要問(wèn)題

根據保險機構安聯(lián)公司日前發(fā)布的風(fēng)險晴雨表，網(wǎng)絡(luò )風(fēng)險成為2022年全球企業(yè)最擔心的問(wèn)題。由于新冠疫情、數據泄露或重大IT中斷的威脅，使企業(yè)更擔心業(yè)務(wù)和供應鏈中斷、自然災害或疫情大流行，這些不利因素在過(guò)去一年中對企業(yè)運營(yíng)影響很大。

在安聯(lián)公司的調查中，網(wǎng)絡(luò )安全事件第二次位居榜首(44%的受訪(fǎng)者認為至關(guān)重要)。業(yè)務(wù)中斷緊隨其后，名列第二(42%);自然災害排名第三(25%)，高于2021年的第6位。氣候變化從第9位上升至第6位(17%)，創(chuàng )下歷史新高，而疫情大流行則降至第4位(22%)。

這項調查匯集了來(lái)自全球89個(gè)國家和地區的2650名專(zhuān)家的觀(guān)點(diǎn)，這些專(zhuān)家包括首席執行官、風(fēng)險經(jīng)理、經(jīng)紀人和保險專(zhuān)家。

AGCS公司首席執行官Joachim Mueller總結說(shuō)，“業(yè)務(wù)中斷可能仍是2022年的主要潛在風(fēng)險主題。對于大多數企業(yè)來(lái)說(shuō)，最主要的擔憂(yōu)是由于各種項目無(wú)法正常生產(chǎn)或提供服務(wù)。由于各種觸發(fā)因素，2021年遭到了前所未有的破壞。例如，嚴重的網(wǎng)絡(luò )攻擊、許多與氣候變化相關(guān)的天氣事件對供應鏈的影響，以及與疫情相關(guān)的制造問(wèn)題和運輸瓶頸造成了嚴重破壞。

普普點(diǎn)評

在大多數接受調查的國家和地區，網(wǎng)絡(luò )攻擊事件被列為最主要的風(fēng)險。其主要驅動(dòng)因素是勒索軟件攻擊最近的激增，57%的受訪(fǎng)者認為這是未來(lái)一年的最大的網(wǎng)絡(luò )威脅。對于網(wǎng)絡(luò )犯罪分子來(lái)說(shuō)，勒索軟件已經(jīng)成為一項大生意，他們正在改進(jìn)策略，降低進(jìn)入門(mén)檻，只需很少訂閱費和很少的技術(shù)知識就可以實(shí)施網(wǎng)絡(luò )攻擊。網(wǎng)絡(luò )犯罪的商業(yè)化使得大規模利用漏洞變得更加容易。

元宇宙為網(wǎng)絡(luò )攻擊做好準備了嗎？

去年3月，元宇宙概念股羅布樂(lè )思(Roblox)在美國紐約證券交易所正式上市;5月，Facebook表示將在5年內轉型成一家元宇宙公司;8月，字節跳動(dòng)斥巨資收購VR創(chuàng )業(yè)公司Pico……2021年，元宇宙無(wú)疑成為了科技領(lǐng)域最火爆的概念之一。雖然它只是一個(gè)想法，但發(fā)展勢頭很猛。它結合了增強現實(shí)和虛擬現實(shí)，是另一種數字現實(shí)，人們在其中工作、娛樂(lè )和社交，是繼互聯(lián)網(wǎng)之后的一大熱門(mén)。

然而在其成為一大潮流時(shí)，伴隨而來(lái)的一大挑戰是，如何應對網(wǎng)絡(luò )攻擊。

元宇宙好比是共享的虛擬空間，人們由數字化身(avatar)來(lái)代表，這個(gè)虛擬世界的壯大和發(fā)展，取決于其中的社會(huì )做出的決定和行動(dòng)。它是現實(shí)世界新的一對一數字副本，可搜索、可點(diǎn)擊、機器可讀。隨著(zhù)虛擬世界變得更具交互性，人們必須對其在這個(gè)世界的行動(dòng)和行為負責。這就需要考慮網(wǎng)絡(luò )安全，即使元宇宙數年后才會(huì )成為現實(shí)，也要為網(wǎng)絡(luò )攻擊做好準備。

現在的問(wèn)題是元宇宙是否準備好應對網(wǎng)絡(luò )攻擊，無(wú)論有沒(méi)有準備好，網(wǎng)絡(luò )攻擊都會(huì )到來(lái)。因為元宇宙是一種熱門(mén)商品，是網(wǎng)絡(luò )攻擊的完美目標。

普普點(diǎn)評

當前，新技術(shù)不斷發(fā)展和變化，網(wǎng)絡(luò )安全很難跟上步伐。元宇宙最終可能會(huì )面臨網(wǎng)絡(luò )安全事件和數據泄露的挑戰，我們可能會(huì )看到更多類(lèi)似科幻的攻擊(比如化身被黑)。這些事件可能更難識別、驗證和加以控制，而且很難在向用戶(hù)和數據保護機構通知泄密事件方面確定責任界限?，F在還很難說(shuō)該如何防范未來(lái)對元宇宙的所有網(wǎng)絡(luò )攻擊。

Fortinet 全球零信任態(tài)勢報告：超半數企業(yè)組織在搭建零信任架構時(shí)面臨挑戰

在網(wǎng)絡(luò )安全領(lǐng)域，零信任（zero-trust）安全概念早已風(fēng)靡多年，多數網(wǎng)絡(luò )安全權威專(zhuān)家對零信任安全理念表示高度認同。盡管一些組織已經(jīng)構建了某種形式的零信任安全體系愿景，遺憾的是，這些愿景或規劃并不足以支撐相關(guān)的解決方案付諸實(shí)踐。不僅如此，甚至關(guān)于如何定義零信任戰略，用戶(hù)也普遍存在困惑。零信任安全的未來(lái)已來(lái)，組織應當對其有正確認知并盡快付諸實(shí)施。

據Fortinet最新發(fā)布的全球零信任態(tài)勢報告顯示，對于零信任戰略，77%的受訪(fǎng)者表示他們對零信任有所了解，75%的受訪(fǎng)者則表示他們熟悉零信任網(wǎng)絡(luò )訪(fǎng)問(wèn)（ZTNA）概念。超過(guò) 80% 的受訪(fǎng)者表示，他們已經(jīng)構建或正在構建零信任和/或零信任網(wǎng)絡(luò )訪(fǎng)問(wèn)（ZTNA）戰略。然而，依然有超 50% 的受訪(fǎng)者認為，他們尚不具備實(shí)施零信任核心功能的組網(wǎng)能力。近 60% 的受訪(fǎng)者表示，他們無(wú)法持續對用戶(hù)和設備進(jìn)行身份驗證，還有54% 的受訪(fǎng)者表示難以在身份驗證后對用戶(hù)和設備進(jìn)行監控和管理。

受訪(fǎng)者普遍對于零信任缺乏全面的認知，由于認知不足造成的安全能力短板情況嚴峻，令人擔憂(yōu)。這些缺失的能力恰是保障零信任戰略順利實(shí)施的關(guān)鍵所在。

普普點(diǎn)評

高效的零信任解決方案作為一個(gè)全面集成系統協(xié)同工作所具備的基本要素，能夠抵御組織所面臨的各種安全防護和管理漏洞。例如，全面集成零信任策略、端點(diǎn)防護以及網(wǎng)絡(luò )安全解決方案的Fortinet Security Fabric 安全架構，可在跨分布式網(wǎng)絡(luò )環(huán)境下自動(dòng)追蹤用戶(hù)，輸出高質(zhì)量威脅情報信息，構建積極主動(dòng)的安全防御體系。

Check Point 軟件技術(shù)公司 2022 年安全報告：全球網(wǎng)絡(luò )安全事件分析

2021 年，全球各地企業(yè)與機構遭到的網(wǎng)絡(luò )攻擊較 2020 年平均增長(cháng) 50%。教育和研究部門(mén)成為重災區，平均每周遭受 1,605 次攻擊。軟件廠(chǎng)商遭受的攻擊數量增長(cháng) 146%，同比增長(cháng)幅度創(chuàng )歷史新高。

2022 年 1 月 21 日 -- 全球領(lǐng)先網(wǎng)絡(luò )安全解決方案提供商 Check Point? 軟件技術(shù)有限公司（納斯達克股票代碼：CHKP）的威脅情報部門(mén) Check Point Research (CPR) 發(fā)布了其《2022 年安全報告》。報告揭示了 CPR 在 2021 年觀(guān)察到的關(guān)鍵攻擊向量和技術(shù)，其中包括年初空前復雜和廣泛的 SolarWinds 攻擊與年末大規模爆發(fā)的 Apache Log4j 漏洞攻擊。

2021 年，全球企業(yè)與機構每周遭受的網(wǎng)絡(luò )攻擊較 2020 年增長(cháng)了 50%。其中教育/研究部門(mén)首當其沖，每周遭受 1,605 次攻擊（增長(cháng) 75%）。其次是政府（每周 1,136 次，增長(cháng) 47%）和通信相關(guān)機構（每周 1,079 次，增長(cháng) 51%）。軟件廠(chǎng)商所遭受的攻擊同比增長(cháng)幅度最大 (146%)，這與 2021 年觀(guān)察到的軟件供應鏈攻擊不斷增長(cháng)的趨勢一致。去年，移動(dòng)設備攻擊不斷升級，主要云服務(wù)漏洞日益增加，臭名昭著(zhù)的 Emotet 僵尸網(wǎng)絡(luò )卷土重來(lái)。

普普點(diǎn)評

隨著(zhù)世界各地的政府和執法機構采取了更強硬的態(tài)度，嚴厲打擊勒索軟件組織，勒索軟件生態(tài)系統正開(kāi)始瓦解。一些令人震驚的網(wǎng)絡(luò )事件讓各國政府意識到，與其亡羊補牢、被動(dòng)應戰，不如主動(dòng)出擊消滅網(wǎng)絡(luò )風(fēng)險。這種理念也同樣適用于企業(yè)，脫節、孤立、被動(dòng)的防御方法并不可取，全方位的可視性、實(shí)時(shí)的威脅情報以及能夠整體調度的安全基礎設施才是良藥。

截至2021年底我國每萬(wàn)人擁有5G基站數達10.1個(gè)

工業(yè)和信息化部近日發(fā)布《2021年通信業(yè)統計公報》(以下簡(jiǎn)稱(chēng)《公報》)，顯示截至2021年底，我國累計建成并開(kāi)通5G基站142.5萬(wàn)個(gè)，總量占全球60%以上，每萬(wàn)人擁有5G基站數達到10.1個(gè)。

《公報》指出，2021年通信業(yè)發(fā)展質(zhì)量進(jìn)一步提升，5G、千兆光網(wǎng)等新型信息基礎設施建設覆蓋和應用普及全面加速，移動(dòng)互聯(lián)網(wǎng)流量持續快速增長(cháng)，行業(yè)綜合價(jià)格下降，同時(shí)業(yè)務(wù)收入保持增長(cháng)，為“十四五”發(fā)展奠定堅實(shí)基礎。

數據顯示，2021年，我國電信業(yè)務(wù)收入累計完成1.47萬(wàn)億元，比上年增長(cháng)8.0%，實(shí)現自2014年的8年來(lái)較高增長(cháng)水平，增速較上年提高4.1個(gè)百分點(diǎn)。其中，云計算、大數據、數據中心等面向企業(yè)的新興數字化服務(wù)快速發(fā)展，收入比上年增長(cháng)27.8%，拉動(dòng)電信業(yè)務(wù)收入增長(cháng)3.6個(gè)百分點(diǎn)，對電信業(yè)務(wù)收入增長(cháng)貢獻率上升至44.5%，成為收入增長(cháng)第一拉動(dòng)力;固定、移動(dòng)數據及互聯(lián)網(wǎng)業(yè)務(wù)繼續發(fā)揮穩定器作用，收入占比為61.5%，對電信業(yè)務(wù)收入增長(cháng)貢獻率為39.4%。按照上年不變單價(jià)計算，全年電信業(yè)務(wù)總量完成1.7萬(wàn)億元，比上年增長(cháng)27.8%;按電信業(yè)務(wù)總量和收入測算，電信業(yè)綜合價(jià)格比上年下降13.6%。

普普點(diǎn)評

據了解，2021年，全行業(yè)加快“雙千兆”建設，推動(dòng)國家大數據中心發(fā)展，構建云網(wǎng)融合新型新型基礎設施，賦能社會(huì )數字化轉型的供給能力不斷提升。此外，2021年，通信行業(yè)開(kāi)展了面向老年人等特殊群體適老化改造，持續開(kāi)展精準降費、互聯(lián)網(wǎng)行業(yè)專(zhuān)項整治和APP專(zhuān)項整治工作，不斷提升服務(wù)水平。通信大數據在高效支撐常態(tài)化疫情防控發(fā)揮重要作用，有力服務(wù)經(jīng)濟社會(huì )大局。

網(wǎng)絡(luò )安全與自動(dòng)化威脅情報共享優(yōu)秀做法

許多組織選擇通過(guò)多種方式共享網(wǎng)絡(luò )威脅情報(Cyber Threat Intelligence, CTI)訂閱各種信息源，其中包括妥協(xié)指標方案(Indicators of Compromise, IOC)。在當前市場(chǎng)上，威脅情報最普遍的使用場(chǎng)景是利用IOC情報(Indicators of Compromise, IOC)進(jìn)行日志檢測來(lái)發(fā)現內部重要風(fēng)險。這種方式可以發(fā)現傳統安全產(chǎn)品無(wú)法發(fā)現的很多威脅，并且因為這其中大多是已經(jīng)被成功攻擊的操作，所以“亡羊補牢”對于安全運營(yíng)仍會(huì )有較大的幫助。

IOC信息通常通過(guò)信息共享和分析中心或組織(Information Sharing and Analysis Center or Organization, ISAC/ISAO)來(lái)傳播。在這些信息流中尋找可操作、實(shí)用的IOC是一個(gè)重大挑戰，只有實(shí)用的IOC才能為網(wǎng)絡(luò )防御提供實(shí)質(zhì)性的好處，然而即使是實(shí)用的IOC中大部分也通常在未使用或丟失直到不再有價(jià)值時(shí)才使用，此時(shí)網(wǎng)絡(luò )攻擊者往往會(huì )迅速停止使用特定IOC。

通過(guò)多項研究和試點(diǎn)工作，約翰·霍普金斯大學(xué)申請的應用物理實(shí)驗室(Applied Physics Laboratory, APL)已成功部署威脅源，可在幾分鐘內收集、提取、識別可操作的IOC，并將其共享給共享組織，如ISAC或ISAO，該方法被稱(chēng)為基于“無(wú)悔”策略的方法。

普普點(diǎn)評

“無(wú)悔”策略的使用能夠提取運營(yíng)成本中目前被網(wǎng)絡(luò )防御行動(dòng)忽視的許多CTI的價(jià)值。它不是一個(gè)靈丹妙藥，它不會(huì )捕獲從CTI的積極分析中得出的見(jiàn)解，但它可以提供社區成員可在其安全操作中使用的可操作數據，以破壞針對其網(wǎng)絡(luò )的惡意活動(dòng)。簡(jiǎn)而言之， “無(wú)悔”策略的價(jià)值之處在于低影響下的自動(dòng)處理，因此對實(shí)時(shí)性支持較好，有利于威脅的快速發(fā)現與響應。

安全“左移”將成為2022年云安全熱議話(huà)題

安全“左移”是IT開(kāi)發(fā)和DevOps人員使用的專(zhuān)業(yè)術(shù)語(yǔ)，用于描述將安全測試和安全技術(shù)向軟件開(kāi)發(fā)周期上游移動(dòng)。當前，安全“左移”已經(jīng)成為軟件行業(yè)的共識，因為在軟件開(kāi)發(fā)生命周期早期修復漏洞遠比在后期進(jìn)行補救更加省時(shí)省力。在云安全領(lǐng)域，安全“左移”需要把更多的自動(dòng)化、安全和網(wǎng)絡(luò )功能直接融入到應用程序開(kāi)發(fā)中，以便安全人員根據應用程序要求，編排和自動(dòng)化基礎架構，包括安全性。這個(gè)概念在業(yè)內又叫“X即代碼”模型(網(wǎng)絡(luò )即代碼和安全即代碼等)。

日前，在舉行的NetEvents Interactive網(wǎng)絡(luò )研討會(huì )上，安全“左移”這個(gè)主題備受矚目，風(fēng)險投資公司DNX Ventures執行合伙人Hiro Rio Maeda表示：“當今網(wǎng)絡(luò )界的兩大主題是供應鏈風(fēng)險以及如何在應用程序構建的早期階段確保安全——換句話(huà)說(shuō)，我們稱(chēng)之為網(wǎng)絡(luò )安全界中的‘左移’?！?/span>

NetFoundry創(chuàng )始人兼首席執行官Galeal Zino贊同這一說(shuō)法。他表示：“除非可以將網(wǎng)絡(luò )和安全移到開(kāi)發(fā)交付生命周期的核心……否則事后添加安全為時(shí)已晚?！盡aeda提到的供應鏈風(fēng)險在SolarWinds黑客事件中盡顯無(wú)遺，當時(shí)不法分子將惡意代碼插入到軟件更新中。

普普點(diǎn)評

許多安全工具旨在事后檢測泄密或威脅，但這時(shí)壞人早已潛入系統，可能已經(jīng)造成了威脅。安全“左移”是可以在開(kāi)發(fā)早期階段實(shí)施安全代碼和策略，比如零信任策略方法，可以驗證來(lái)自多個(gè)途徑的代碼和更改，在惡意程序添加進(jìn)來(lái)之前就阻止威脅。在不斷倡導加速軟件開(kāi)發(fā)流程的環(huán)境、尤其在云端——即所謂的持續集成和交付服務(wù)(CI/CD)中，非常需要這種方法。