[ 億歐導讀 ] 如今的(de)科技行業充滿着活力，也(yě)在(zài)不(bù)斷發生變化。處于(yú)IT安全領域的(de)企業可能處于(yú)一(yī / yì ／yí)個(gè)獨特的(de)位置，即惡意黑客開發的(de)技術可能會迫使企業業務進行更改。這(zhè)意味着各行業中總會出(chū)現一(yī / yì ／yí)些新的(de)事物，并且還有一(yī / yì ／yí)些技術和(hé / huò)工具失去了(le／liǎo)可用性。

圖片來(lái)自“123rf.com.cn”

本文轉載自賽文交通網，原标題《全球視角 | 智能網聯汽車發展現狀》。億歐智慧城市對文章進行二次編輯，供讀者參考。

---

如今的(de)科技行業充滿着活力，也(yě)在(zài)不(bù)斷發生變化。處于(yú)IT安全領域的(de)企業可能處于(yú)一(yī / yì ／yí)個(gè)獨特的(de)位置，即惡意黑客開發的(de)技術可能會迫使企業業務進行更改。這(zhè)意味着各行業中總會出(chū)現一(yī / yì ／yí)些新的(de)事物，并且還有一(yī / yì ／yí)些技術和(hé / huò)工具失去了(le／liǎo)可用性。

當涉及到(dào)技術安全趨勢時(shí)，很難擺脫一(yī / yì ／yí)些宣傳和(hé / huò)炒作：每個(gè)公司都希望讓用戶相信他(tā)們位于(yú)市場的(de)最前沿。爲(wéi / wèi)了(le／liǎo)幫助人(rén)們了(le／liǎo)解當今安全領域中真正熱門或趨冷的(de)内容，以(yǐ)下将深入探讨網絡安全的(de)發展趨勢。

1．熱門：憑證填充

每年針對大(dà)型公司的(de)黑客攻擊行爲(wéi / wèi)似乎攻擊不(bù)斷，導緻數以(yǐ)百萬計的(de)用戶名／密碼洩露。當網絡攻擊者在(zài)大(dà)規模自動嘗試登錄各種網站時(shí)使用大(dà)量的(de)被盜登錄憑據列表時(shí)，這(zhè)些攻擊的(de)後果就(jiù)是(shì)所謂的(de)憑證填充。攻擊者利用了(le／liǎo)許多人(rén)在(zài)多個(gè)站點上(shàng)使用相同的(de)用戶名和(hé / huò)密碼的(de)事實。由于(yú)攻擊的(de)自動化性質，即使隻有一(yī / yì ／yí)小部分被盜登錄憑據是(shì)匹配的(de)，它仍然值得攻擊者使用。

PasswordPing公司産品管理負責人(rén)兼首席營銷官Kristen Ranta Haikal Wilson說(shuō)，“我們需要(yào / yāo)提高用戶憑證的(de)安全性。通過在(zài)登錄、密碼重置和(hé / huò)賬戶激活期間主動篩選受損的(de)憑據，組織可以(yǐ)大(dà)大(dà)減輕在(zài)線賬戶接管和(hé / huò)欺詐，而(ér)對最終用戶的(de)影響非常小。”

關鍵數據：根據Sharpe Security公司的(de)調查數據，2018年，航空公司60％的(de)客戶登錄流量和(hé / huò)零售店91％的(de)客戶登錄流量都包含憑證填充。

2．熱門：協作應用安全性

越來(lái)越多的(de)企業開始依賴可幫助他(tā)們協調和(hé / huò)協作工作的(de)應用程序。也(yě)許最流行的(de)是(shì)Slack，這(zhè)是(shì)一(yī / yì ／yí)個(gè)無處不(bù)在(zài)的(de)消息傳遞和(hé / huò)協作平台，但此類别還包括虛拟工作區，如SharePoint和(hé / huò)文件共享以(yǐ)及同步Dropbox等應用程序。這(zhè)些工具提高了(le／liǎo)生産效率，但卻開放了(le／liǎo)攻擊面。“随着越來(lái)越多的(de)組織采用這(zhè)些重要(yào / yāo)的(de)應用程序，他(tā)們無意中擴大(dà)了(le／liǎo)黑客可以(yǐ)利用的(de)渠道(dào)來(lái)分發惡意内容。”網絡安全即服務提供商Perception Point公司首席執行官Yoram Salinger說(shuō)。由于(yú)許多是(shì)基于(yú)網絡或雲計算服務，個(gè)别業務部門在(zài)安裝應用程序時(shí)并沒有咨詢IT團隊，因此在(zài)安全性方面，它們通常受到(dào)關注。

關鍵數字：在(zài)Perception Point公司進行的(de)一(yī / yì ／yí)項調查中，超過80％的(de)受訪者表示，其組織中的(de)員工通過這(zhè)些協作服務共享文件和(hé / huò)URL，安全人(rén)員将通過電子(zǐ)郵件或其他(tā)更傳統的(de)方式共享的(de)文件進行掃描，但這(zhè)不(bù)會通過協作應用程序得到(dào)這(zhè)種處理。

3．趨冷：勒索軟件

勒索軟件是(shì)一(yī / yì ／yí)種有害的(de)惡意軟件，可以(yǐ)控制受感染的(de)計算機的(de)數據以(yǐ)獲取受害者贖金，并威脅要(yào / yāo)永久加密數據，除非受害者支付費用。特别是(shì)，2017年的(de)WannaCry和(hé / huò)NotPetya攻擊确實将這(zhè)種惡意軟件進入了(le／liǎo)公衆意識。

因此，人(rén)們可能會驚訝地(dì / de)發現勒索軟件攻擊整體數量正在(zài)下降，漏洞攻擊套件活動也(yě)相應減少。 2018年的(de)大(dà)多數勒索軟件攻擊是(shì)通過網絡釣魚傳播，這(zhè)解釋了(le／liǎo)爲(wéi / wèi)什麽這(zhè)類惡意軟件的(de)整個(gè)重心從消費者轉移到(dào)以(yǐ)電子(zǐ)郵件爲(wéi / wèi)中心的(de)企業的(de)原因。

關鍵數字：整體勒索軟件活動在(zài)2018年下降了(le／liǎo)20％。當WannaCry和(hé / huò)Petya變種被識别之(zhī)後，這(zhè)一(yī / yì ／yí)數字下降幅度更大(dà)，下降了(le／liǎo)52％。

4．熱門：銀行特洛伊木馬

當被問及爲(wéi / wèi)什麽要(yào / yāo)攻擊和(hé / huò)搶劫銀行時(shí)，惡名昭著的(de)犯罪分子(zǐ)Willie Sutton表示：“因爲(wéi / wèi)這(zhè)是(shì)金錢所在(zài)之(zhī)地(dì / de)。”越來(lái)越多的(de)惡意軟件作者将這(zhè)一(yī / yì ／yí)格言銘記于(yú)心，推出(chū)了(le／liǎo)更多的(de)特洛伊木馬，專門用于(yú)獲取金融機構用戶賬戶的(de)訪問權限。這(zhè)些特洛伊木馬以(yǐ)更廣泛的(de)方式傳播，例如網絡釣魚網站，被劫持的(de)電子(zǐ)郵件等。一(yī / yì ／yí)旦安裝，将專注于(yú)用戶與銀行網站的(de)互動，試圖通過鍵盤記錄和(hé / huò)其他(tā)間諜軟件技術收集登錄信息，然後告知攻擊者。

關鍵數字：去年，這(zhè)些特洛伊木馬成爲(wéi / wèi)移動領域的(de)特殊威脅，特别是(shì)在(zài)Android平台設備上(shàng)。安全廠商McAfee公司估計，銀行特洛伊木馬在(zài)2018年的(de)數量增長了(le／liǎo)77％。

5．熱門：物聯網

物聯網（IoT）是(shì)一(yī / yì ／yí)個(gè)總稱，它涵蓋了(le／liǎo)比計算機更小、更簡單、連接到(dào)無線網絡并爲(wéi / wèi)特定目的(de)部署的(de)各種各樣的(de)小工具。這(zhè)些設備包括工業傳感器到(dào)智能家用恒溫器，并承諾互聯網可以(yǐ)超越人(rén)們在(zài)屏幕上(shàng)看到(dào)的(de)東西，真正與“現實世界”互動。

不(bù)幸的(de)是(shì)，物聯網設備往往是(shì)非标準化的(de)産品，缺乏内置的(de)安全性，難以(yǐ)遠程管理，并且固有功能可能被黑客攻擊。近年來(lái)最大(dà)的(de)物聯網爆炸事件之(zhī)一(yī / yì ／yí)是(shì)Mirai僵屍網絡，它讓連接互聯網的(de)閉路電視攝像頭參與了(le／liǎo)一(yī / yì ／yí)次針對Minecraft玩家的(de)攻擊，在(zài)這(zhè)一(yī / yì ／yí)過程中意外地(dì / de)占用了(le／liǎo)大(dà)量互聯網的(de)資源。

關鍵數據：安全專家表示，如果要(yào / yāo)讓這(zhè)項技術存活下來(lái)，物聯網設備需要(yào / yāo)被鎖定，或者至少要(yào / yāo)與互聯網隔離。在(zài)對過去十年學術安全研究的(de)分析中，Crossword Cybersecurity公司估計，在(zài)過去十年中，專注于(yú)物聯網的(de)項目數量增加了(le／liǎo)123％，目前所有此類項目中有14％專注于(yú)物聯網。

6．趨冷：人(rén)工智能

将人(rén)工智能歸類爲(wéi / wèi)趨冷趨勢似乎讓人(rén)意外，因爲(wéi / wèi)很多安全廠商宣傳他(tā)們的(de)人(rén)工智能産品，有時(shí)被稱爲(wéi / wèi)“機器學習”或“深度學習”。 Nyotron公司産品和(hé / huò)營銷高級總監Rene Kolga表示，“如果向首席信息安全官提及人(rén)工智能，發現很多組織過度使用人(rén)工智能這(zhè)一(yī / yì ／yí)術語。就(jiù)像在(zài)Forcepoint公司的(de)Raffael Marty一(yī / yì ／yí)樣，很多公司正在(zài)談論人(rén)工智能和(hé / huò)機器學習在(zài)網絡安全中出(chū)現的(de)問題。”

關鍵數字：波洛蒙研究所估計，人(rén)工智能驅動的(de)端點安全解決方案的(de)誤報率接近50％。

7．熱門：量子(zǐ)密碼學

用于(yú)加密通信的(de)當前方法本質上(shàng)不(bù)安全。相反，它們依賴于(yú)加密密鑰的(de)交換，理論上(shàng)這(zhè)些密鑰可以(yǐ)被攻擊者破壞。安全性依賴于(yú)這(zhè)樣的(de)事實：這(zhè)些密鑰隻能通過計算密集型數學來(lái)破解，在(zài)某種程度上(shàng)，其問題的(de)難度使得這(zhè)種方法成爲(wéi / wèi)一(yī / yì ／yí)種不(bù)切實際的(de)攻擊方法。

因爲(wéi / wèi)如果人(rén)們對計算機有一(yī / yì ／yí)點了(le／liǎo)解的(de)話，那就(jiù)是(shì)随着時(shí)間的(de)推移，新的(de)計算機可以(yǐ)更快地(dì / de)處理數字解密。被稱爲(wéi / wèi)量子(zǐ)計算機的(de)下一(yī / yì ／yí)代計算機将能夠對以(yǐ)前幾乎不(bù)可能實現的(de)加密問題在(zài)短時(shí)間内解決，這(zhè)些計算機的(de)工作原理是(shì)量子(zǐ)物理學，而(ér)不(bù)是(shì)二進制計算。量子(zǐ)密鑰分發用一(yī / yì ／yí)個(gè)理論上(shàng)完美的(de)安全性的(de)密鑰基礎設施取代了(le／liǎo)當前的(de)加密密鑰基礎設施。由于(yú)人(rén)們無法在(zài)不(bù)改變量子(zǐ)狀态的(de)情況下觀察到(dào)它，因此，如果中間人(rén)試圖窺探他(tā)們的(de)對話，通過特殊硬件共享密鑰的(de)計算機将立即得到(dào)警報。

關鍵數字：這(zhè)可能聽起來(lái)都很具有未來(lái)感，而(ér)且大(dà)多數估計是(shì)廣泛的(de)量子(zǐ)計算在(zài)五到(dào)二十年得到(dào)應用。在(zài)分析的(de)十多年的(de)學術研究中，Crossword Cybersecurity公司發現，專注于(yú)量子(zǐ)加密的(de)項目數量飙升了(le／liǎo)227％。

8．熱門：網絡釣魚

網絡釣魚是(shì)誘騙用戶交出(chū)登錄信息的(de)騙術，這(zhè)一(yī / yì ／yí)點并不(bù)新鮮，但這(zhè)并沒有阻止它成爲(wéi / wèi)攻擊者的(de)最愛。雖然人(rén)們主要(yào / yāo)将網絡釣魚與電子(zǐ)郵件聯系在(zài)一(yī / yì ／yí)起，但攻擊者正在(zài)利用各種各樣的(de)攻擊媒介來(lái)欺騙受害者。SlashNext公司首席執行官兼創始人(rén)Atif Mushtaq說(shuō)：“越來(lái)越多的(de)員工在(zài)浏覽器中直接受到(dào)針對性的(de)網絡釣魚攻擊，這(zhè)些攻擊具有高度合法性的(de)網站、廣告、搜索結果、彈出(chū)窗口、社交媒體帖子(zǐ)、聊天應用程序、即時(shí)消息以(yǐ)及流氓浏覽器擴展和(hé / huò)免費網絡應用程序。大(dà)多數IT主管也(yě)沒有意識到(dào)網絡釣魚威脅移動的(de)速度有多快，通常隻持續幾分鍾到(dào)幾小時(shí)，然後其網站關閉，網絡犯罪分子(zǐ)可以(yǐ)繼續逃避現有的(de)安全控制。”

關鍵數據：根據Verizon Data Breach公司2019年開展的(de)調查報告，93％的(de)數據洩露最終涉及網絡釣魚攻擊。

9．趨冷：防病毒

安全廠商賽門鐵克公司在(zài)五年前宣布殺毒軟件已經消亡，但産品細分市場通過IT部門推進，有些規則需要(yào / yāo)許多行業來(lái)維護防病毒軟件的(de)保護。盡管蠕蟲病毒和(hé / huò)其他(tā)形式的(de)惡意軟件正在(zài)進行攻擊，但防病毒軟件已經成爲(wéi / wèi)一(yī / yì ／yí)種防禦機制，IT專業人(rén)員認爲(wéi / wèi)這(zhè)種機制基本上(shàng)已過時(shí)，無法應對日益複雜的(de)攻擊，并且完全無視網絡釣魚電子(zǐ)郵件等重要(yào / yāo)媒介。

關鍵數據：SANS研究所的(de)一(yī / yì ／yí)項調查顯示，反病毒軟件檢測不(bù)到(dào)一(yī / yì ／yí)半的(de)網絡攻擊。

10．熱門：多因素身份驗證

文中讨論的(de)許多安全漏洞歸結爲(wéi / wèi)：如果密碼以(yǐ)某種方式被盜，則攻擊者可以(yǐ)無限制地(dì / de)訪問私人(rén)信息或功能。爲(wéi / wèi)了(le／liǎo)克服這(zhè)個(gè)困難，安全系統應該将這(zhè)些密碼視爲(wéi / wèi)訪問受限數據所需的(de)幾個(gè)因素之(zhī)一(yī / yì ／yí)。這(zhè)些因素可能包括用戶知道(dào)的(de)東西（如密碼），他(tā)們擁有的(de)東西（如安全令牌），或者他(tā)們所擁有的(de)東西（與生物識别安全相關）。一(yī / yì ／yí)個(gè)典型的(de)例子(zǐ)是(shì)ATM機，它需要(yào / yāo)PIN和(hé / huò)物理卡才能訪問；許多網站現在(zài)都需要(yào / yāo)密碼和(hé / huò)通過短信發送到(dào)用戶手機的(de)代碼才能登錄。

關鍵數據：随着大(dà)規模黑客攻擊使得密碼的(de)可靠性降低，越來(lái)越多的(de)公司開始轉向多因素安全認證。根據Okta公司的(de)2019年Business ＠ Work報告，令人(rén)放心的(de)是(shì)，70％的(de)公司正在(zài)使用兩到(dào)四個(gè)因素來(lái)保證安全，這(zhè)比前一(yī / yì ／yí)年的(de)65％有所上(shàng)升。

11．趨冷：區塊鏈

比特币的(de)價格在(zài)2018年下降了(le／liǎo)近80％，雖然比特币和(hé / huò)區塊鏈并不(bù)是(shì)一(yī / yì ／yí)回事，但基于(yú)區塊鏈的(de)安全技術的(de)興趣似乎也(yě)在(zài)以(yǐ)同樣的(de)速率下降。Nyotron公司的(de)Kolga表示對這(zhè)項技術的(de)投資已經凍結。另一(yī / yì ／yí)方面，這(zhè)些東西總是(shì)有一(yī / yì ／yí)線希望：比特币價值的(de)下降也(yě)導緻了(le／liǎo)密碼攻擊的(de)相應下降，這(zhè)會劫持受害者的(de)計算機挖掘比特币，以(yǐ)使網絡攻擊者獲利。

關鍵數據：最近一(yī / yì ／yí)項針對高管的(de)調查顯示，隻有1％的(de)人(rén)計劃在(zài)他(tā)們的(de)公司推出(chū)區塊鏈技術。Forrester Research公司估計，90％的(de)企業區塊鏈實驗從未實現過商業化生産。

建議不(bù)要(yào / yāo)追逐趨勢

雖然人(rén)們希望這(zhè)些觀點已經成爲(wéi / wèi)IT安全中一(yī / yì ／yí)些不(bù)斷變化的(de)挑戰的(de)焦點，但人(rén)們也(yě)希望，某些最佳實踐将繼續支持智能安全專業人(rén)員解決問題的(de)方式。Pensar Development公司的(de)IEEE成員兼安全和(hé / huò)信息技術總監Kayne McGladrey說(shuō)，“企業正在(zài)回歸到(dào)最基本的(de)層面：符合NIST指令的(de)補丁、庫存管理、密碼政策。很多人(rén)正在(zài)認識到(dào)，不(bù)可能捍衛無法看到(dào)的(de)東西，而(ér)最簡單的(de)方法就(jiù)是(shì)保持系統最新狀态，并防止憑證填充攻擊。”