网络犯罪正变得更加专业化、组织化、系统化和多样化,这使得网络安全对于各类组织甚至国家而言至关重要。
![](http://img.anquan419.com/2022/0105/20220105041955368.jpg)
来自GitHub 敏感信息泄露的自动化提示平台——GitGuardian的托马斯·塞古拉认为软件供应链安全、勒索软件攻击仍会是2022年最值得关注的趋势。
一、软件供应链安全问题仍将是让人头疼的大麻烦
2021年中,IT服务提供商SolarWinds在成为供应链攻击的受害者之后就频繁的上诸报端,该公司承认旗下产品遭到了恶意代码注入,数以万计的用户遭到感染,其中甚至包括国家政府部门以及军方等。
同年晚些时候, 另一个漏洞影响了代码测试平台Codecov,这是一个在开源社区中非常流行的工具。另一个更为重磅的则是Apache Log4j 2事件。这些都意味着,开源组件越来越多地被用作恶意攻击者的媒介,因为近年来它们在企业环境中得到了巨大的渗透,但在安全标准方面仍然缺乏很多。通过这些开源组件的漏洞发起攻击,攻击者可以从数目庞大的下游用户中捕获敏感数据。同时,代码存储库已成为攻击者的高价值目标,因为它们通常包含非常容易利用的机密,以获取对有价值的系统的访问权限。
2021年可以说是供应链攻击的一年,这一趋势将继续下去:我们甚至可能看到规模较小、不那么明显的供应链攻击,将开发者环境作为门户,特别是在前者变得越来越复杂和相互依赖的情况下。
二、中小企业将成为勒索软件的下一个目标
在整个2021年,勒索软件攻击活动频繁地涉及到政府、制造业和银行业等大型组织。攻击者正在寻找潜在的高额支付,事实证明,这一策略的确是有利可图的——根据美国财政部发布的内容显示,它已将52亿美元的比特币交易与勒索软件攻击的支付赎金绑定在了一起。
然而,随着规模较小的企业正在开启或加速其数字化转型进程,将很有可能成为寻找易受攻击系统的网络犯罪者获得收益的目标。这些所谓“低调”的攻击应该是MSP最关心的问题,因为它们可能很快就会成为影响这些业务的首选方式。
三、应用程序安全仍将是企业的首要任务之一
托马斯·塞古拉表示,可以有信心地说,2022年,企业将再次集中精力在应用程序安全(AppSec)上下功夫。为什么?原因有三点:
1、随着供应链变得越来越复杂,DevOps管道攻击面扩大。风险管理从根本上确保了这些管道的安全。
2、开发者和他们的访问特权仍然是攻击者的完美目标,他们总是试图利用人为错误。
3、虽然安全肯定是重中之重,但没有人愿意因为它而放慢开发周期。安全工具需要关注开发人员的工作效率,因此在这两个目标之间找到完美的平衡将是AppSec策略的核心。
四、零信任架构成熟度将获得提升
零信任已经成为主流,这是有充分理由的。高级攻击、云的采用和远程办公的同步增长让企业意识到,他们迫切需要改变其数字安全态势,首先要实施零信任策略。因此在2022年,应该会看到各个组织在这一方向上不断取得进展,特别是在人和机器的身份验证方面,尽管这确实伴随着不小的挑战。
五、安全即服务将使同类最佳工具管理变得轻松
从云安全态势管理到事件管理,软成分分析等专业的工具不断涌现,在构建一个愈加完善的安全体系同时,安装和维护这么多不同的工具和产品可能很快变得非常困难,即使是对大公司来说也是如此。托马斯·塞古拉则认为,通过界面友好的控制面板、基于角色的访问控制和API来提供灵活性,将这些工具集成到现有工作流中将会变得越来越容易。
六、实时数据可观察性将得到更好的发展
2022年,任何网络安全战略都将重点放在实时数据可见性和可观测性上。获得一家公司正在使用的所有硬件和软件的完整IT资产清单,或其所有第三方供应商的名单已经是一个巨大的挑战,更不用说完整地,去描述与它们相关的可能会出现的网络威胁了。但随着技术能力的不断进步,最终还是会向着更好的检测和补救能力提升迈进,来自网络的威胁将会得到更好的监控。
作者总结道,未来几年,网络安全部门将面临巨大挑战,因为网络犯罪,特别是由国家背景支持的攻击,都将会越来越多地针对公共和私营部门中最脆弱的部分。不幸的是,即使是一些防御最严密的基础设施在2021年也遭到了入侵,这清楚地表明,在所有与网络防御相关的事情上,仍有很长的路要走。
不过托马斯·塞古拉也认为,目前总体上仍朝着正确的方向前进,大多数实体将受益于实施、执行或审查安全最佳实践的加速计划。企业也渴望采用量身定做的网络安全解决方案,前提是它们能够更好地管理未来网络软件供应链的复杂性。