2018 年能给我们带来什么关于 2019 年的教训

从国家支持的攻击和脆弱的工业系统到持续的安全从业人员短缺，2018 年给我们带来了更大规模的漏洞、更大规模的 DDoS 攻击，以及组织在保护其基础设施免受犯罪分子攻击方面面临的越来越大的挑战。 这是开创性的一年——长达一周、数据量达 TB 级的 DDoS 攻击、对受感染系统进行加密挖掘监控以及发动攻击的政治和军事动机增强。 强制性的《GDPR》数据保护和隐私条例也已生效，将个人权利转变为个人数据保护，并在全球范围内产生影响。

2018 年，除用户本身之外，applications是网络犯罪分子的主要目标。展望新的一年，有一件事是肯定的：这种现象将保持不变。 applications及其用户仍将面临风险，随着 2019 年的到来，我们需要为不断演变的网络犯罪做好准备。

以下是我们看到的新趋势和持续风险的一些主要领域：

云安全——客户和云提供商之间将在应用程序安全方面承担双重责任，从而导致托管安全服务的兴起。

保障云中系统的安全是大家共同的责任。 虽然云提供商负责其基础设施和客户购买的服务，但确保应用本身的安全则是客户的责任。 随着越来越多的组织依赖云服务，云提供商正在划定一条界限，以帮助组织了解他们的责任在哪里。 许多早期的云安全解决方案都是出于需要而构建的，但随着越来越多关键应用s迁移到云端，客户将需要确保为其独特的应用需求制定适当的策略、身份和访问权限管理以及其他安全保护措施。 未来一年，托管安全服务提供商 (MSSP) 的数量可能会增加，提供传统云供应商所缺乏的必要服务……而安全人员供应有限的趋势仍将持续。

安全真正成为每个人的事

随着越来越多的业务部门（人力资源、财务等）在云中部署他们的服务，他们也需要采取安全措施。 这通常与他们的 IT 部门联合进行，或者至少遵循一些“最佳实践”，但许多人在急于转向云端时，会为了追求敏捷性而忘记或放弃安全性。 对于整个企业而言，更多地采用云意味着增加云基础设施安全、托管服务、IAM、用户行为分析以及编排/自动化类型解决方案的预算。

组织可能还希望在代码中构建更多的安全性，但也需要在 DevOps 功能中考虑安全性。 无论安全措施是什么（WAF、IPS、IAM、代理），都应在开发过程中考虑和测试这些服务。

2019 年最终将会为应用安全分配更多预算。 这很好，因为我们所有人的生活都依赖于这些应用s。

物联网——随着攻击者将注意力集中在应用层，受感染的物联网设备数量将会增加，而机器人检测将变得至关重要。

目前，联网设备数量已达数十亿，未来几年还将有数十亿台设备联网。 许多系统的内置安全性有限，或者根本没有，这使得它们很容易被接管。 过去，物联网僵尸网络仅被认为是理论上的，直到2016 年 Mirai 爆发。 如今，ThingBot 发起 DDoS 攻击已是家常便饭。

鉴于此，主动防御机器人在来年将至关重要。 虽然您可能已经拥有 Webapplication防火墙 (WAF)，但许多传统 WAF 不提供此重要功能，也没有能力缓解针对应用程序层的不断演变的威胁。 需要更高级的保护措施来应对应用程序堆栈中上升的威胁。

物联网安全的责任可以落在制造商身上

为了解决物联网设备安全功能有限的问题，加利福尼亚州最近通过了一项法律（ SB 327 ），赋予制造商更多责任。 虽然具体细节并不明确，但该法案确实规定，“从 2020 年 1 月 1 日开始，要求联网设备制造商为设备配备合理的安全功能，这些功能应与设备的性质和功能相适应，与设备可能收集、包含或传输的信息相适应，旨在保护设备及其所包含的任何信息未授权访问、破坏、使用、修改或披露，具体如前所述。”

这是针对这些不太智能的设备进行立法监管的重要第一步。 这也可能成为一个先例，其他州将很快效仿。 法律要求制造商披露设备收集、包含和传输的信息/数据。 它还要求每个设备都有一个唯一的密码，用户可以在使用前更改。 这一点很重要，因为许多受到攻击的物联网设备要么没有密码，要么默认密码众所周知，因此被利用。

移动——随着越来越多的组织转向自带设备战略，企业移动管理继续取得进步。

我们在这里不谈论任何新的 iPhone、Android、三星或其他机型，而是更多地谈论基于策略的访问、行为生物识别、5G 和企业移动性/BYOD 等领域。

基于策略的访问将使员工能够使用任何设备访问数据，同时这些数据受到加密或虚拟、隔离的工作容器的保护，如果设备丢失、被盗或员工离职，这些数据可以被删除。

设备也将能够更好地识别和验证所有者。 较新的面部识别软件可以确定面部轮廓，或通过识别人的声音、动作或打字风格来解锁手机。 这无疑很重要，因为越来越多的员工通过个人设备访问公司资源。

人与社会——社会工程学和网络钓鱼将继续成为非常成功的欺诈途径，隐私将变得更加难以捉摸。

根据 F5 实验室威胁研究，网络钓鱼是第一大攻击媒介。 社会工程策略使得网络钓鱼诈骗变得更加复杂和难以发现。 攻击者通过黑客攻击获取金钱利益，这推动了事件发生的类型和频率。 通常，网络钓鱼攻击是一种窃取身份然后用于应用攻击的方式。 据赛门铁克称，去年平均每个用户每月收到 16 封恶意电子邮件。 如果您遭受网络钓鱼，请密切关注其他入侵行为。 虽然在当今的数字时代保持完全的隐私几乎是不可能的（并且随着个人智能设备的大量出现而变得更加复杂），但请记住，我们大多数人都愿意每天分享有关我们自己的详细信息。 即使我们的数据和信息可能已经遍布互联网，我们仍然需要采取一切可能的安全和隐私预防措施。 欧洲的 GDPR 旨在保护每一点个人数据，任何违规行为都可能因 GDPR 罚款而导致组织崩溃。 根据 GDPR，受到破坏的组织的声誉受损可能会产生持久的影响。

我们需要保持聪明、保持警惕，并注意我们捐出了多少钱。 你永远不知道高中老友何时会突然出现在电子邮件中询问你是否要去返校节。 专业提示： 不要点击该链接！！