2016年，網絡安全事件頻發，針對個人的勒索軟件攻擊、通信信息詐騙、惡意代碼攻擊層出不窮，全球網絡空間安全威脅態勢日趨嚴峻。美國火眼、趨勢科技等公司紛紛發佈報告，預測2017年網絡安全威脅態勢。
1. 網絡攻擊將上升到國家層面。2017年全球局勢將更加動盪，國家層面的網絡衝突隨時可能爆發。2016年，全球發生瞭如英國脫歐、土耳其未遂軍事政變等事件，2017年這些事件將繼續發酵，全球隨時可能爆發區域衝突，而網絡戰是被優先考慮的對抗手段之一。超級大國為網絡攻擊的演進引領了道路，一是擴充網絡部隊，二是研發網絡戰武器。此外，美國總統特朗普上任或將在網絡空間方面採取更強硬立場，全面提升美國的網絡攻防能力。
2. 大規模、高價值竊密和數據洩露事件持續高發。竊密和數據洩露多是關於高價值的信息，包括政府祕密文件、社會保障和醫療保障信息、信用卡和借記卡信息、電子郵件內容、密碼等。2016年發生的重大竊密和數據洩露事件，其影響和規模之大超過了往年：2016年共發生2260起已證實的竊密和數據洩露事件；2016年企業竊密和數據洩露事件的平均損失額達400萬美元，預計到2017年竊密和數據洩露造成的損失將更大。
3. 物聯網設備成為攻防技術研究和網絡攻擊實施熱點，其安全審查將受重視。物聯網設備成為攻防技術研究和網絡攻擊實施的熱點。2016年10月，基於物聯網設備的Mirai殭屍網絡對美國DNS服務商Dyn發起攻擊，導致美國互聯網癱瘓，Twitter、Paypal、Github等大量與日常生活相關的重要網站平臺無法正常訪問。物聯網設備的安全與大眾生活和國家安全息息相關，越來越多的國家將對物聯網設備加強安全審查。2016年4月，日本強化物聯網安全審查，推進物聯網領域通用標準制定工作。2016年8月，我國中央網信辦要求在物聯網安全方面推進標準的研究和制定工作。2016年11月，美國國土安全局要求物聯網製造商必須在產品設計階段確保其安全性，否則將面臨被起訴的可能。2016年，美國國土安全部發布《物聯網安全戰略指導原則》向物聯網設備和系統開發商、製造商、管理者提供安全建議，以減少物聯網設備被攻擊的可能。2017年，更多國家將加強物聯網設備的安全審查，提高對物聯網設備廠商的要求。
4. 雲端安全不斷改善，但云端攻擊造成的危害將不斷加深。大型雲供應商運營的經驗和技術日益成熟，網絡攻擊造成雲故障的頻率在減少，但云服務供應商仍是高價值攻擊目標之一。2017年，雲端攻擊數量可能會減少，但造成的危害將不斷加大。許多公司或政府機構迫於速度、效率和成本的壓力，將數據存儲在受信任網絡或遷移到雲中，而控制性、可見性、安全性等方面的脫節可能會導致數據洩露。犯罪分子將繼續探索新的攻擊方式，而憑據和身份驗證系統仍可能是最主要的被攻擊點。
5. 關鍵基礎設施安全面臨巨大挑戰。關鍵基礎設施一旦遭到破壞或功能喪失，就會危及國防安全、國家經濟安全、公眾健康和社會穩定。2017年，關鍵基礎設施仍將面臨巨大的安全挑戰。一是關鍵基礎設施是具有高價值的攻擊目標，將優先被深挖漏洞；二是聯網和自帶設備辦公等趨勢不可逆，將有更多的關鍵基礎設施設備被暴露在網絡上；三是工控搜索引擎可快速發現聯網工控設備並發現其脆弱性。
6. 勒索軟件仍是網絡犯罪分子的掘金利器。2016年，超過62個最新勒索軟件家族出現，帶有勒索軟件的攻擊數量同比增長60倍，勒索軟件贖金高達10億美元。據統計，70%的商業用戶向黑客支付了贖金，大部分勒索軟件能實際獲取300美元以上贖金。在巨大經濟利益的驅動下，勒索軟件強勁的增長態勢將會在2017年延續下去。在技術層面，不斷髮生的大規模數據洩露事件，將強力助推勒索軟件實現自動化，降低犯罪活動的技術成本；在安全防護層面，潛在受害者沒有合適的分析決策機制以恰當防範此類威脅，使得基於勒索的攻擊擁有很廣泛的目標基礎；在產業層面，勒索軟件目前已基本形成完善的商業模式，代碼編寫者和網絡犯罪分子共享利益分成。
7. 毫無經驗的攻擊者仍可大做文章。以2016年Patchwork APT攻擊為例，該APT攻擊所使用的代碼全部是通過複製、粘貼互聯網公開代碼組合而成，其對多個主權國家的重要行業和關鍵領域構成了嚴重的安全威脅。在攻擊目標上，包括中國、美國、日本、英國等國家；在攻擊領域上，包括公共部門、公有企業、非政府組織，以及航空、廣播、能源、金融、製藥、出版、軟件等領域。攻擊者並不需要知道網絡攻擊的具體細節，主要通過購買黑客工具來達到目的，能在投入極小的情況下，對機構造成巨大的經濟損失，或對國家安全構成極為嚴重的威脅。
8. 威脅情報將在風險管理決策中扮演更重要的角色。威脅情報和大數據安全分析、基於攻擊鏈的縱深防禦等思想正在形成新一代防禦體系的基石。政府與企業開始建立協同聯動機制，利用威脅情報做防護實戰演練，建立以數據為核心的開放共享的安全威脅情報生態。威脅情報將在風險管理決策中扮演更重要的角色。2017年，政府、企業和組織在風險管理決策中充分利用威脅情報將是大勢所趨。
9. 網絡安全態勢催使人工智能和機器學習快速發展。面對高等級人才嚴重不足的局面，網絡安全行業迫切需要自動化、智能化解決方案來改善防禦體系，這將直接促使人工智能技術和機器學習技術的發展。2016年，已有大量網絡安全公司投資人工智能和機器學習，2017年此領域將繼續保持投資熱度，並可能有較成熟的產品投入到網絡安全防禦體系中。
10. 信息安全技術人才匱乏令網絡威脅防禦雪上加霜。據調查，2016年有82%的大中型企業急需信息安全技術人才，全球共有超過100萬個信息安全職位處於空缺狀態，而數量如此之大的空缺職位在信息安全行業中是從未出現過的。2017年，經驗豐富的信息安全技術人才仍將匱乏，且這一問題將長期存在。很多人手不足的公司可能會與臨時性的安全專家、安全諮詢服務機構，或是可提供一攬子解決方案的安全服務提供商合作，還很有可能將大部分基礎設施遷移到雲端，從而只需點擊鼠標就可添加安全服務。
（根據The 2017 Security Landscape，2017年網絡安全前景，載於http://www.csoonline.in；Security Predictions The Next Tier，明年的網絡安全預測，載於https://www.trendmicro.com等材料編譯。）
END
（文章來源：《保密科學技術》，作者：劉 陽 / 國家保密科技測評中心；文中圖片來源：互聯網）
歡迎關注保密科學技術訂閱號
微信頁面
通訊錄→訂閱號→右上角“+”→搜索“保密科學技術”
文章頁面
點擊右上角→查看公眾賬號→添加關注
把這篇文章分享給朋友
點擊右上角→發送給朋友/朋友圈
更多精彩，盡在《保密科學技術》雜誌
歡迎掃描關注
保密科學技術微信賬號
相關推薦
