2023年11项网络安全预测

分析师和专家进行了调研，并做出了2023年的网络安全预测。如果这些预测成真，您所在的企业做好准备了吗？

2022年，网络安全领域发生了很多事情。

我们看到网络参与了俄罗斯袭击乌克兰的战争。供应链攻击继续占据新闻头条。医疗机构和教育机构成为黑客攻击的首要目标。在持续的勒索软件袭击后，哥斯达黎加宣布进入国家紧急状态。这只是2022年网络安全领域的表面事件。

那么，2023年会发生什么？我们可以从2022年学到什么经验，并在未来的一年中加以运用？来自分析公司、非营利组织和供应商的网络安全专家分享了以下预测。

FIDO联盟执行董事Andrew Shikiar预测，在影响云提供商Cloudflare和Twilio的Oktapus社交工程攻击后，其他知名提供商将在2023年成为多因素身份验证（MFA）旁路攻击的目标。

许多组织继续使用有问题的传统MFA方法，例如短信或电子邮件等一次性密码，这些方法已被证明易受攻击。在组织采用更强的MFA选项（如生物识别和密钥）之前，MFA旁路攻击将继续影响他们。尤其是FIDO联盟新近推出的Webauthn、PassKey，可以有效消灭MFA旁路攻击，这种最新的MFA方式应更大规模推广。

零信任正在进行，但截至2022年，它尚未转化为网络物理系统，包括操作系统技术（OT）。Gartner分析师Katell Thielemann表示，这种情况将在2023年持续下去。她解释说，零信任在网络物理系统中本质上不起作用，原因如下：

然而，将网络物理系统与零信任相结合并非不可能。Thielemann表示，组织应该在2023年开始调整网络物理系统的零信任。例如，以适用于特定OT系统和设备的方式引入网络分段。

安全通常不仅被视为成本中心，也被视为业务阻碍因素——即使是偶然的。例如，安全团队可能会设置Web应用程序防火墙来阻止恶意流量，但它也可能会阻止需要连接到公司网络以满足业务需要的第三方合作伙伴。

2023年，安全不再是孤立的。安全团队必须了解业务以及了解他们如何帮助业务取得成功。

“我们看到DevSecOps和类似的努力都在取得成功。它们指向一个方向，即如果您的安全团队不了解业务如何赚钱，安全就不可能成功，”内容交付网络、网络安全和云服务公司Akamai的安全技术和战略总监Tony Lauro说。

劳动力的减少已经迫在眉睫——如果他们还没有达成目标的话——攻击者已经准备好瞄准他们留下的任何弱点。2023年，攻击者将意识到正在重组的组织以及网络安全裁员造成的潜在漏洞。

扩展检测和响应供应商Anomali总裁Hugh Njemanze表示，为了减少恶意行为者的机会，请重新审查现有程序。“确保考虑到更改功能和权限的潜在影响，并确保关停的是无关紧要的服务。”

零信任从一开始就充满争议——尤其是关于它是否算一种产品的争议。2023年可能会变得清晰。网络供应商Juniper Networks的高级总监兼技术传播者Mike Spanbauer表示，我们将特别看到为供应商产品提供更透明的功能清单。

零信任是产品帮助创建的框架，这一信息对客户来说应该更加清晰。Spanbauer表示：“客户对供应商到底做什么的要求和不交付内容的怀疑将持续上升。”

许多流行的工具，如Metasploit和Mimikatz，被黑客、恶意攻击者合法地使用。因此，Forrester分析师Heidi Shey认为，2023年将是企业对攻击性安全工具提供商提起诉讼的一年。她说，组织和政府将向供应商施压，要求他们防止类似的新工具落入黑客手中，并可能在数据泄露后面临诉讼。

Omdia高级总监Maxine Holt预测，积极主动的安全工作将在2023年成为焦点，特别是基于风险的漏洞管理，这将是积极主动的安全工作的基本要素。

基于风险的漏洞管理市场仍然相对较新，但将在帮助组织评估和购买漏洞管理产品以及在攻击者之前发现安全缺陷方面发挥关键作用。

量子计算在五到十年内无法实现商业化，但CISO不能再推迟这方面的准备工作了。随着组织检查其当前和未来的攻击面，对量子安全的认识将在2023年有所提高。

(ISC)2的CISO Jon France表示，组织目前对量子安全最大的担忧是，当前加密流量可能被捕获用于稍后的解密。他说，所有被捕获的流量都变得难以保护，因为当它变得商业上可行时，它可能会被量子打破。

2023年，安全结构的采用率将上升。安全结构通过帮助收集基础设施和环境层（如云基础设施、SaaS应用程序和端点）的原始数据，成为安全团队的核心枢纽和知识库。安全结构旨在回答以下问题：我拥有哪些资产？什么是重要的？有什么问题？谁能修好它？问题是否有所好转？

网络资产管理供应商JupiterOne的创始人兼CEO Erkang Zheng说，团队管理其网络安全环境中的潜在复杂性已经太难了。我们将看到安全结构方法的采用率增加，因为大多数安全框架都过于复杂，需要在数十个域上分层数百个控件。

员工在家办公、办公室工作或两者兼而有之。SaaS工具和产品帮助雇主适应了这一转变。然而，这些服务的安全对雇主来说并不一定是首要任务。

SaaS安全供应商黑曜石安全联合创始人Ben Johnson预测，2023年，各组织将更加重视SaaS安全。

Johnson说，安全部门正在询问这些应用程序是否配置正确。它们是让每个人都从前门进入，或者他们实际上被锁在适当的高度？

工具：SaaS安全态势管理（SSPM）。SSPM工具通过API连接到公司使用的各种SaaS应用程序，以确保它们遵循公司安全策略。如果配置不遵循策略，SSPM要么通知安全管理员，要么自动进行更改，以将配置重新纳入策略。

如果勒索软件还不够糟糕，2023年的经济衰退可能会导致其上升。

“如果人们没有工作，他们会找到其他方法来赚钱，”管理监测和响应供应商Fortra’s Alert Logic的安全运营副总裁Tom Gorup说。Gorup指出，现在运行勒索软件并不难，尤其是勒索软件已经作为一种服务兴起。