2022十大資安趨勢

觀點

COVID-19已經改變了企業安全領域的遊戲規則。以下規整資安趨勢報告。

勒索軟體不會消失－(趨熱)

網路安全顧問Shira Rubinoff 表示：「勒索軟體攻擊越來越多，而且沒有放緩的跡象”。」勒索軟體攻擊呈現指數級增長，主要是由於工作模式的轉變。員工透由多種裝置連接、處理工作。
Shira Rubinoff 建議企業組織加強員工的資安意識以及進行培訓與教育，以幫助緩解網路釣魚攻擊。「組織應主動保護自己的資料，並考慮開始部署零信任。」

關鍵數字：

• 根據 Gartner 最新的新興風險監測報告顯示，“新的勒索軟體”是高階主管們最關心的威脅。與此同時，
• Verizon 的資料洩露調查報告顯示，勒索軟體的攻擊頻率在 2021 年倍數成長。
• IDC 在 2021 年勒索軟體研究報告中發現，在 2021 年大約 37% 的全球組織聲稱他們是某種形式勒索軟體攻擊的受害者。

加密貨幣挖掘的增加－(趨熱)

挖礦並沒有勒索軟體那麼引人注目，攻擊者可以潛藏其中長時間不被發現。由於沒有勒索贖金，也沒有個人隱私資訊竊取，公司也不必對外披露入侵行為。這導致很難量化入侵帶來的損失，組織損失的是算力、效能和電費等。然而，隨著加密貨幣不斷升值，攻擊者有極強的動力從事加密貨幣的挖掘。挖礦是一種日益嚴重的安全威脅，其本質就是進入企業組織的後門，攻擊者可以將這個後門出售給其他希望發起勒索軟體攻擊或者其他型態攻擊的攻擊者。

關鍵數字：

• Sonic Wall 的分析報告顯示，2021 年第三季度全球的加密貨幣挖掘增加了 21%，在整個歐洲則激增 461%。

Deepfake 將會成為武器－(趨熱)

網路安全顧問 Magda Chelly 認為，Deepfakes 將成為未來一段時間內的熱門安全問題。Magda Chelly 預測，攻擊者將會利用 Deepfakes 技術偽造人臉從而破壞生物認證訪問控制。攻擊者以後還會圍繞基於人工智慧的 Deepfakes 技術開展各種各樣的攻擊，例如已經發生了偽造 CEO 的聲音誘使員工將大筆資金轉入惡意賬戶的案例。除了欺詐外，攻擊者還可以製作有關高管和主管的違法影片，進行勒索。

關鍵數字：

• Rapid7 公司表示：「根據在暗網上跟蹤的資訊，自從 2019 年以來，圍繞 Deepfakes 的討論增加了 43%。」

針對會議軟體發起攻擊－(趨熱)

遠距工作下，針對這些軟體/服務的攻擊也令人擔憂。網際網路安全中心(CIS)運營副總裁 James Globe 認為組織需要制定正式的政策和規章制度供員工遵循，以避免通過竊聽對話或者竊取敏感文件的攻擊者。採取相關標準措施，例如清理邀請列表、會議設定密碼、不同通訊方式傳送密碼、主持人手動邀請人加入以及在會議開始後鎖定會議等。

關鍵數字：

• 根據 Acronis統計，超過 30% 的公司表示其影片會議系統在 2021 年曾受到攻擊。

針對 IoT/OT 的攻擊－(趨熱)

針對 IoT/OT 基礎設施的攻擊將在 2022 年越來越多。攻擊目標多種多樣，包括關鍵基礎設施、傳統制造設施，甚至是智慧家居裝置。攻擊者瞄準工業感測器有可能會造成物理破壞，可能會導致流水線關閉或者服務終端。

  遠距工作、遠端訪問系統為網路犯罪分子提供另一個非常好的切入點。

  此外，攻擊者還將會持續進行勒索攻擊，例如攻擊提供智慧家庭設備的供應商，來鎖定智慧門鎖和智慧恆溫器。

關鍵數字：

• 研究人員模擬家庭網路環境監控發現，一週內有超過 12000 次攻擊嘗試。

供應鏈攻擊－(趨熱)

SolarWinds 攻擊引爆了供應鏈安全的關注。2022年供應鏈安全仍然將是一個熱門話題。企業組織需要特別關注第三方、合作伙伴、承包商、託管服務提供商和雲服務提供商。持續確認這些單位的安全實踐是健全的，持續驗證這些單位遵守安全政策。

關鍵數字：

• Forrester 的資料顯示，55% 的安全人員反饋所在組織在過去的一年經歷了供應鏈或第三方供應商的安全事件或違規行為。

延伸式偵測及回應 XDR－(趨熱)

XDR是一種相對較新的威脅檢測和應對方法，業界試圖通過 XDR 打破安全孤島並提供包含多個安全資料流的服務。XDR 利用基於雲的大資料分析整合來自端點、電子郵件、身份和訪問管理、網路管理、雲安全、威脅情報和威脅狩獵等資料。與其說 XDR 是一個產品，還不如說他是構建一個整合多種安全工具、用以分析上下文中存在安全威脅的平臺。

關鍵數字：

• Gartner 的資料顯示，到 2027 年年底會有多達 40% 的組織使用 XDR。 

VPN正在消失－(轉冷)

VPN為遠端使用者提供了與企業資源之間的安全通道，但VPN無法判斷連線的裝置是否已經被感染或者有人使用被盜的憑據連線。VPN並不保證應用層安全，一旦使用者連線到網路中，就不能提供基於角色的訪問控制，而零信任解決了所有這些問題。

關鍵數字：

• 根據 Gartner 的預計，到 2023 年 60% 的企業將逐步淘汰 VPN 轉而使用零信任。

使用密碼－(轉冷)

密碼是一種較為不可靠的安全驗證方式，但還是許多單位採用。在 FIDO 聯盟、微軟、蘋果與Google等行業巨頭的大力推動下，基於生物辨識的無密碼身份驗證正在快速增長。企業組織應該儘可能地消除密碼的使用，他認為完全無密碼的解決方案比雙因子身份驗證方案(密碼作為其中一個因素)更好。

關鍵數字：

• 根據 Verizon 資料洩露報告，80% 的資料洩露都是由於密碼錯誤或重複使用密碼造成的。 

本文轉載自CSO 網站。

【2022資安365年會–台北場】 為您剖析2022資安趨勢！

３大議程重點：

1. 零信任應到位
   身分與設備都可能是破口，這兩個構面該如何管理與防護?
2. 主動防禦佈署
   化被動為主動!不只事前，事中、事後都要防禦並掌握因應主導權!
3. 供應鏈的安全
   補不完的洞！從開源到第三方軟體，持續提高風險管理。

在 2022 年，也要如同往年一樣，為網路安全及早做好準備。隨著針對資料外洩的最新罰則開始施行，資料安全已成為攸關企業存亡的重大議題。疫情帶來的挑戰致使企業逐漸轉向混合辦公模式，也迫使資安主管在調整政策和協議以因應全新環境時，必須多方設想周到。

為了瞭解如何及時應對日益增長的威脅，我們邀請 #KingstonCognate 專家舉辦了一場 Twitter 問答活動。 Sally Eaves 教授擔任主持人。此外，這場活動也邀請了 Kingston 專家社群的成員出席，與大家分享一些寶貴的見解，以及對於來年的預測。

持續演進的網路威脅：發生的形式、原因及場域

隨著全球企業逐漸轉向遠端辦公模式，加上個別網路上的使用者裝置驟增，安全威脅的緊張形勢也在一夜之間大幅加劇。此外，網路威脅的範圍擴大加上伴隨而來的相關風險，也讓有心人士有機會利用無數新的攻擊管道，透過最新發現的漏洞發動攻擊：

• 供應鏈挑戰
• 產業人才缺口
• 新興技術 (如物聯網)
• 過度泛濫的不實訊息

此外，Sally Eaves (@sallyeaves) 教授也觀察到：「對於資安即服務的需求也正在日益高漲。舉例來說，攻擊者每完成一件任務，便可領到 $250 美元的報酬 (甚至更高)；阻斷服務攻擊的價碼則為每個月 $311 美元左右，依此類推。由此可見，網路犯罪的經濟規模正在快速增長。」

隨著威脅數量增加，網路攻擊的頻率及複雜度也正在與日俱增。但這些轉變從何而來？「勒索軟體、身分盜用、社交工程和關鍵基礎設施故障，皆是因應數位時代而生的網路犯罪模式，因為人類的行為及互動日益受到科技的影響。」Giuliano Liguori (@ingliguori) 說。

其中最明顯的一項轉變，或許在於任何規模大小的公司都可能淪為攻擊目標。回首昔日，只有企業網路這樣的大魚才會成為攻擊者的目標。反觀今日，每個人都可能淪為受害者。

Bill Mew (@BillMew) 認為：「這將是一場長期的網路安全軍備戰，因為雙方都在使用人工智慧及其他先進技術。白帽研究員運用這些技術來偵測並修補漏洞，黑帽駭客則藉助這些技術找出漏洞，並加以利用。」

資訊安全長為何徹夜難眠？

Sally Eaves 教授指出，威脅行為者正在持續變換策略，而這可說是一大隱憂。以勒索軟體為例：「我預測攻擊者可能不會再將公司資料加密用以勒索，而是改採要脅公布資料的做法，迫使客戶在支付贖金或監管罰鍰之間做出選擇。類似這樣的轉變特別值得我們深究。唯一不變的就是變化 - 用這句話來形容現況，可說是再貼切也不過。」

資訊安全長面臨的另一項挑戰，在於如何評估人為風險。不幸的是，相較於投資實體設備，針對安全意識、培訓及企業文化進行投資的效益較不明顯，也讓風險管理的量化變得更加不易。

此外，隨著企業投入的資源日益無法防範針對韌體發動的網路安全攻擊，究竟需要投入多少經費和資源來防範威脅，已成為企業必須面對的另一個課題。「資訊安全長若是發現，能讓他們做好資安工作的資源竟是如此匱乏，恐將對於各種可能發生的突發狀況備感憂心。還有些人則擔心，個別員工的「社交」行為一旦遭駭，即有可能搖身一變成為來自公司內部的威脅。」Rafael Bloom (@RafiBloom73) 說。

歸根結柢，企業必須從員工教育著手，才能打好網路防護的基礎，及時因應各種最新變化。然而，企業似乎總是不會將員工教育經費用在對的地方，或是對於防範威脅真正至關重要的領域或角色上。Ellie Hurst (@Advent_IM_Comms) 根據自身經驗指出：「企業總是將大部分的預算用在技術上，但我們知道資料外洩往往是由行為引起的。」

在強化網路安全的領域踏出重要的第一步

Sally Eaves 教授指出，Sally Eaves 教授指出，強化網路安全的關鍵在於「打好基礎」，而需要採取的行動包括「如實稽核、提升監控能力、減少資料誤差及複雜性，並強化因應攻擊的應變能力。畢竟，只要維持良好的網路衛生習慣，便已能抵禦 98% 的攻擊。」

Bill Mew 接著補充，除了培養良好的網路衛生習慣，「打好基礎」的必要行動還包括：「1.培訓和安全意識 - 特別是針對網路釣魚。2.多因素驗證 (MFA)。3.網路安全必需品，例如修補程式、防毒軟體和防火牆。」

Sarah Janes (@SarahkJanes) 提醒我們：「中央必須提供更多支援。除了經費以外，中央還必須指派技術人員推動必要的變革，並與企業進行一對一的合作。」

定期套用更新和修補程式、頒布密碼複雜度原則，以及封鎖非必要的防火牆連接埠，皆是有助於提升安全性的措施。此外，Neil Cattermull (@NeilCattermull) 認為，「資料映射及監控」是強化網路安全的一大要素。他提出的建議是，定期刪除非必要的儲存資料、資料輕量化加上設定存取權限制，以及制訂明確的資料保留政策，皆有助於進一步保護企業的敏感資訊。「時至如今，我們必須假設每個資料接觸點都需要保護。因為稍有不慎，任何一個接觸點都可能成為駭客入侵的漏洞！」

無論您在提升網路安全的過程中處於哪一個階段，Kate Sukhanova (@ThisIsKateS) 建議每個企業都應該「從系統和產品的設計階段就開始重視網路安全，而不要等到事後才來補強。」而隨著中小企業的數位生態系統越來越常淪為網路攻擊的目標，Giuliano Liguori 做出以下補充：「想要打造一個應變能力更強的生態系統，關鍵就在於協同合作及夥伴關係。」

端點網路安全的重要性

對任何組織的網路安全健康來說，端點安全防護都扮演著高度重要的角色。一開始應先將重點放在資料遺失防護上，也就是查看您的員工儲存在本機裝置上的資料。加密型 USB 隨身碟能為敏感資料的儲存及傳輸做好安全把關，因此可以在此階段發揮重大功效。

Roland Broch (@rolandbroch) 建議：「所有端點裝置皆應依照預先定義的理想安全層級，遵守對應的相關規定，以及公司的合規性要求。」任何一部從防火牆外部連線至 IT 部門的裝置都是端點，也都可能淪為攻擊目標，因此全都需要妥善保護及管理。Elena Carstoiu (@elenacarstoiu) 強調：「現今的商業環境允許員工上班時使用自攜裝置 (BYOD)，並使用同一部裝置隨機連接各個 Wi-Fi 網路、甚至出入各種使用場合，因此端點安全防護變得格外重要」。端點偵測與回應 (EDR) 是一個正在發展中的領域；對於端點安全解決方案的需求量十分可觀，這可能是拜傳統的中控管理企業網路不斷擴張所賜。然而，當操作端點的使用者成為網路「最脆弱的環節」時，您又該如何拿捏好控管的嚴格程度？「防控過於嚴格，可能導致生產力下降；過於開放，又等於是在邀請駭客登門拜訪！」Nigel Tozer (@NigelTozer) 表示。

所以，到底怎麼做才是對的？

Kate Sukhanova 認為：「加密是企業應預設使用的功能 - 但加密本身對於社交工程的防禦能力近乎於零，因此務必得搭配零信任機制。」值此同時，新興科技也開始登場獻技。「Android 和 iOS 等作業系統現在皆已配備端點保護功能，例如生物特徵 ID、密碼管理，以及多因素身份驗證支援等。」Rafael Bloom 在觀察後指出。有些端點保護平台則使用精密複雜的方法 (例如機器學習) 來自動執行安全調查。

如果企業將上述所有因素全納入考慮，是否就能打造出萬無一失的安全防線？答案恐怕是否定的。Sally Eaves 教授認為，未來的風險恐怕只會有增無減。「除了端點選擇眾多之外，彈性工作模式加上無處不在的應用程式也意味著，一度使用周邊安全機制建立的傳統信任邊界早已不復存在。」

端點已不再屬於個人所獨有；Bill Mew 也同樣認為：「如今已沒有一勞永逸或萬無一失的安全防護之道 (就連美國國家安全局也曾遭到駭客入侵)。」他的結論是：唯有同時加強風險意識、培養網路衛生習慣，並明智地運用各種安全技術和措施 (例如零信任、SASE 和 EDR 解決方案)，才能真正妥善防護持續演進的端點安全環境。

Kingston Technology 自栩為加密型 USB 隨身碟領域最值得信賴的顧問。我們知道，唯有通盤瞭解各項安全目標，才能規劃出合適的解決方案。Kingston 的「諮詢專家」團隊可協助您運用我們的加密型 USB 隨身碟解決方案，成功降低安全風險。無論您做什麼，Kingston 總是與您同在，致力於支援您的業務需求。儘管 2022 年對組織來說可能會充滿意想不到的挑戰和機會，但我們相信，我們的解決方案得以支援企業應對任何技術挑戰。

#KingstonIsWithYou

請教專家

要規劃適當的解決方案需要對專案目標有通盤了解。讓 Kingston 專家引導您完成作業。

請教專家