回顧過去一年，網(wǎng)絡(luò)安全形勢已然變得更加復(fù)雜。隨著云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等技術(shù)的發(fā)展，網(wǎng)絡(luò)威脅持續(xù)進(jìn)化，變得更加棘手、難以應(yīng)對。同時，網(wǎng)絡(luò)攻擊手段更為多樣，數(shù)據(jù)泄露、勒索軟件、APT攻擊等安全事件頻發(fā)。
 
在疫情常態(tài)化的趨勢下，可以預(yù)見2022年的網(wǎng)絡(luò)安全形勢依然嚴(yán)峻。人類社會高度互連，網(wǎng)絡(luò)攻擊并非遙不可及之物，這就需要對現(xiàn)有的和潛在的風(fēng)險有所了解，并且知曉如何做才能降低這些風(fēng)險。對此，瑞數(shù)信息作為國內(nèi)前沿的互聯(lián)網(wǎng)應(yīng)用安全防護(hù)企業(yè)，對2022年的網(wǎng)絡(luò)安全攻擊趨勢進(jìn)行了簡要預(yù)測，并給出了相應(yīng)的防護(hù)建議。
 
2022年網(wǎng)絡(luò)攻擊將呈現(xiàn)六大趨勢
 
趨勢1：安全漏洞攻擊持續(xù)增加——攻擊者加強0day漏洞偵查能力，內(nèi)網(wǎng)Web應(yīng)用保護(hù)不足
 
網(wǎng)絡(luò)空間中，大部分的安全問題都源自內(nèi)網(wǎng)。攻擊者普遍會利用Web應(yīng)用漏洞對內(nèi)網(wǎng)進(jìn)行滲透，以達(dá)到控制整個內(nèi)網(wǎng)、獲取大量有價值信息的目的。
 
據(jù)國家信息安全漏洞共享平臺（CNVD）統(tǒng)計，2020年共收錄安全漏洞20704個，繼續(xù)呈上升趨勢，同比增長27.9%，2016年以來年均增長率為17.6%。其中，0day漏洞數(shù)量為8902個（占 43.0%），同比增長56.0%。
 
2022年，企業(yè)內(nèi)網(wǎng)的安全漏洞數(shù)量還將不斷增加，甚至變得越來越復(fù)雜。由于內(nèi)網(wǎng)Web應(yīng)用的保護(hù)嚴(yán)重不足，攻擊者利用安全漏洞的攻擊行為將變本加厲，尤其借助自動化的工具，在短時間內(nèi)以更高效、隱蔽的方式對Web進(jìn)行漏洞掃描和探測，使得企業(yè)面臨更為嚴(yán)重的安全風(fēng)險和損失。
 
同時，攻擊者會進(jìn)一步加大事前的努力，在攻擊準(zhǔn)備階段花費更多的時間和精力來搜尋0day漏洞，并利用新的技術(shù)將攻擊擴(kuò)展到更廣泛的網(wǎng)絡(luò)環(huán)境，無疑加大了企業(yè)應(yīng)用防護(hù)的難度。
 
趨勢2：勒索軟件數(shù)量繼續(xù)上升——勒索軟件成為最大的安全威脅，對醫(yī)療行業(yè)的攻擊加劇
 
近幾年，勒索軟件攻擊態(tài)勢愈發(fā)嚴(yán)重，不僅數(shù)量有了較大增長，贖金、企業(yè)修復(fù)成本等也翻倍增長，勒索軟件成為當(dāng)今社會最普遍的安全威脅之一。據(jù)Cybersecurity Ventures研究表明，2021年全球勒索軟件的損失成本預(yù)計將達(dá)到200億美元，比2015年高出57倍。此外，據(jù)劍橋大學(xué)研究表明，勒索軟件攻擊的保險索賠在過去五年中以驚人的速度增長，2020年，在所有的網(wǎng)絡(luò)攻擊保險索賠中，勒索軟件以54%的占比高居第一。
 
可以預(yù)見，2022年勒索軟件數(shù)量還將顯著增長，攻擊者的數(shù)量也將達(dá)到空前的程度。同時，勒索軟件攻擊也將迅速蔓延至整個攻擊面，勒索軟件威脅將無處不在。
 
從行業(yè)影響看，勒索軟件攻擊對金融、教育、醫(yī)療等各行各業(yè)構(gòu)成了嚴(yán)重威脅，但醫(yī)療機(jī)構(gòu)因其豐富的醫(yī)療設(shè)備和患者信息成為了攻擊者的最佳目標(biāo)。據(jù)FBI發(fā)布的安全通告顯示，在過去一年內(nèi)至少發(fā)現(xiàn)了16起針對美國醫(yī)療和應(yīng)急響應(yīng)機(jī)構(gòu)的Conti勒索軟件攻擊，該勒索軟件在全球攻擊了超過400家醫(yī)療和應(yīng)急響應(yīng)機(jī)構(gòu)。
 
2022年，勒索軟件對醫(yī)療行業(yè)的攻擊還將持續(xù)加劇。在這種形勢下，醫(yī)療機(jī)構(gòu)的IT團(tuán)隊將面臨空前挑戰(zhàn)。
 
趨勢3：數(shù)據(jù)安全風(fēng)險加劇——數(shù)據(jù)泄露的規(guī)模更大、成本更高，應(yīng)用數(shù)據(jù)安全面臨更大挑戰(zhàn)
 
據(jù)Canalys發(fā)布的《網(wǎng)絡(luò)安全的下一步》報告顯示，2020年數(shù)據(jù)泄露呈現(xiàn)爆炸式增長，短短12個月內(nèi)泄露的記錄比過去15年的總和還多。
 
進(jìn)入2022年，數(shù)據(jù)泄露還將繼續(xù)增加，規(guī)模會更大，各國政府和企業(yè)將付出更多的代價來進(jìn)行恢復(fù)，損失的成本不僅限于事件響應(yīng)成本、數(shù)據(jù)備份成本、系統(tǒng)升級成本，還包括聲譽損失成本、法律風(fēng)險成本等隱性成本，其損失甚至數(shù)倍、數(shù)十倍于顯性損失。
 
數(shù)據(jù)泄露的主要原因源于Web應(yīng)用程序攻擊、網(wǎng)絡(luò)釣魚和勒索軟件。其中，對Web應(yīng)用程序的攻擊仍是黑客行為的主要攻擊方向。2022年，應(yīng)用安全依然面臨挑戰(zhàn)，尤其是數(shù)據(jù)在應(yīng)用中的安全值得企業(yè)重點關(guān)注。
 
趨勢4：API攻擊成為惡意攻擊首選——利用API欺詐是黑產(chǎn)首選，API濫用是最常見攻擊方式
 
在萬物互聯(lián)的數(shù)字時代，API承載著企業(yè)核心業(yè)務(wù)邏輯和敏感數(shù)據(jù)，支撐著用戶早已習(xí)慣的互動式數(shù)字體驗。根據(jù)Akamai的一項統(tǒng)計，API請求已占所有應(yīng)用請求的83%，預(yù)計2024年API請求命中數(shù)將達(dá)到42萬億次。與此同時，針對API的攻擊成為了惡意攻擊者的首選，相對于傳統(tǒng)Web窗體，API的性能更高、攻擊成本更低，越來越多的黑客開始利用API進(jìn)行業(yè)務(wù)欺詐。
 
事實上，很多企業(yè)并不清楚自己擁有多少API，也并不能保證每個API都具有良好的訪問控制，被遺忘的影子API和僵尸API會帶來重大的未知風(fēng)險。據(jù)Gartner預(yù)測，到2022年API濫用將是最常見的攻擊方式，為API構(gòu)建安全防護(hù)體系勢在必行。
 
趨勢5：業(yè)務(wù)欺詐變本加厲——AI技術(shù)廣泛用于欺詐，新型團(tuán)伙欺詐頻出
 
在社會高度智能化、技術(shù)應(yīng)用門檻越來越低的今天，AI也成為詐騙者的目標(biāo)和幫兇。偽造郵件、克隆聲音、電話詐騙、人臉偽造等利用AI技術(shù)的業(yè)務(wù)欺詐手段層出不窮，反AI欺詐已經(jīng)成為一個社會性的問題。
 
隨著互聯(lián)網(wǎng)行業(yè)快速發(fā)展，新型業(yè)務(wù)欺詐來勢洶洶，呈現(xiàn)出團(tuán)伙化、跨境化、精準(zhǔn)化、多樣化等特征，出現(xiàn)了如：公共Wi-Fi欺詐、刷單薅羊毛、線下人力資源機(jī)構(gòu)黑產(chǎn)、投資理財類詐騙、虛假交易網(wǎng)站詐騙、虛假中獎類等多種欺詐案例，給企業(yè)和個人造成了巨大的損失。據(jù)Juniper Research研究發(fā)現(xiàn)，在2021年至2025年期間，在線支付欺詐造成的商家損失將累計超過2060億美元，這個數(shù)字相當(dāng)于亞馬遜2020財年凈收入的近10倍。在新的一年里，如何以“魔法打敗魔法”，用技術(shù)手段來解決新型業(yè)務(wù)欺詐問題，將成為市場和行業(yè)共同努力的方向。
 
趨勢6：供應(yīng)鏈安全告急——第三方組件造成的供應(yīng)鏈漏洞攻擊加劇，供應(yīng)鏈惡意軟件數(shù)量上升
 
針對單一供應(yīng)商的攻擊引發(fā)的連鎖反應(yīng)，可能危及整個供應(yīng)商網(wǎng)絡(luò)。有研究表明，當(dāng)今平均Web應(yīng)用程序包含超過1000個代碼依賴項，其中一些突破了2000個標(biāo)準(zhǔn)。從安全角度來看，這些第三方代碼中的每一個，實際上都可以用作將惡意代碼注入應(yīng)用程序的攻擊媒介。
 
隨著開源、云原生等技術(shù)的大范圍應(yīng)用，下一代軟件供應(yīng)鏈威脅也正在逐漸爆發(fā)。據(jù)Forrester研究表明，應(yīng)用軟件80%-90%的代碼來自開源組件。全球?qū)﹂_源代碼的旺盛需求，將導(dǎo)致Web應(yīng)用供應(yīng)鏈攻擊在2022年進(jìn)一步成熟，范圍擴(kuò)大，并且更加復(fù)雜，預(yù)計使用惡意軟件進(jìn)行Web應(yīng)用供應(yīng)鏈攻擊的數(shù)量將不斷攀升。
 
同時，下一代Web應(yīng)用供應(yīng)鏈攻擊正在到來，其顯著特點是刻意針對“上游”開源組件，進(jìn)行更主動的攻擊，攻擊者會主動將新的漏洞注入為供應(yīng)鏈提供支持的開源項目中。因此，下一代Web應(yīng)用供應(yīng)鏈攻擊將更加隱蔽，也將有更多的時間對下游企業(yè)展開攻擊，危險性將更高。
 
2022年網(wǎng)絡(luò)安全三大防護(hù)建議
 
建議1：由WAF走向WAAP
 
隨著企業(yè)數(shù)字化進(jìn)程的不斷加速，更多的門戶網(wǎng)站、核心業(yè)務(wù)、交易平臺等日益依賴Web、APP、H5、微信等多渠道開展。與此同時，越來越多的開放性API業(yè)務(wù)也正在蓬勃發(fā)展。伴隨流量的提升，API業(yè)務(wù)帶來的Web敞口風(fēng)險和風(fēng)險管控鏈條的擴(kuò)大，不僅各種利用Web應(yīng)用漏洞進(jìn)行攻擊的事件正在與日俱增，各類工具化、智能化、擬人化的Bots攻擊對數(shù)字化業(yè)務(wù)的影響也在快速攀升。
 
然而，現(xiàn)有的Web安全服務(wù)彼此之間常常出現(xiàn)難以融合的局面，無法實現(xiàn)統(tǒng)一的安全服務(wù)閉環(huán)。Gartner指出，到2023年，30%以上面向公眾的Web應(yīng)用程序和API將受到云Web應(yīng)用程序和API保護(hù)(WAAP)服務(wù)的保護(hù)，WAAP服務(wù)結(jié)合了分布式拒絕服務(wù)(DDoS)防御、機(jī)器人程序緩解(Bot Mitigation)、API保護(hù)和WAF。
 
瑞數(shù)信息專家認(rèn)為，傳統(tǒng)WAF技術(shù)面臨各種挑戰(zhàn)，單一的WAF產(chǎn)品已不足以解決無處不在的安全風(fēng)險，防御新的威脅需要一種整體的、集成的安全方法，即從WAF走向WAAP，將本地、各類云端充分整合，支持WAF、Bots管理、API防護(hù)獨立或聯(lián)合部署，提供多層級的聯(lián)動防御機(jī)制，令企業(yè)安全地將各類Web業(yè)務(wù)和應(yīng)用交付在混合架構(gòu)中，實現(xiàn)Web安全一體化防御。
 
建議2：傳統(tǒng)備份和災(zāi)備的局限，用戶需要新一代融合安全能力的數(shù)據(jù)保護(hù)技術(shù)
 
數(shù)據(jù)作為新的生產(chǎn)要素，數(shù)據(jù)價值的利用已成為數(shù)字經(jīng)濟(jì)發(fā)展的重要推動力。然而，在勒索軟件攻擊不斷迭代的環(huán)境下，傳統(tǒng)的備份與災(zāi)備面對新興的數(shù)據(jù)安全威脅已顯得捉襟見肘。
 
一方面，傳統(tǒng)災(zāi)備系統(tǒng)不會對備份數(shù)據(jù)的好壞進(jìn)行檢測，以至于備份數(shù)據(jù)中可能因勒索軟件的攻擊，存在大量被損毀的文件，恢復(fù)后的系統(tǒng)仍無法正常使用，造成部分企業(yè)即使有備份，仍然被迫支付贖金的后果。另一方面，傳統(tǒng)災(zāi)備系統(tǒng)需要數(shù)天甚至數(shù)周的恢復(fù)時間，無法滿足快速恢復(fù)的應(yīng)急響應(yīng)需求，將業(yè)務(wù)中斷的損失降至最低。
 
因此，新一代數(shù)據(jù)安全技術(shù)的建設(shè)已刻不容緩。瑞數(shù)信息專家建議，加強備份和復(fù)制數(shù)據(jù)的安全性，保證快速的數(shù)據(jù)提供和安全的數(shù)據(jù)恢復(fù)，并深化數(shù)據(jù)處理環(huán)節(jié)的安全防護(hù)，讓企業(yè)和行業(yè)的數(shù)據(jù)價值釋放得到安全可靠的保障。
 
建議3：深化基于AI的行為檢測
 
傳統(tǒng)安全主要基于攻擊特征與行為規(guī)則實行被動式防御，在靈活的黑客面前已逐漸失效，不僅是0day攻擊、各類應(yīng)用和業(yè)務(wù)欺詐，在數(shù)據(jù)泄漏和勒索層面更是堪憂；同時攻防對抗水漲船高，防守方規(guī)則的構(gòu)造和維護(hù)門檻高、成本大。
 
瑞數(shù)信息專家認(rèn)為，基于AI技術(shù)對用戶行為模式進(jìn)行智能分析與識別，將不再受制于復(fù)雜繁瑣的攻擊特征與行為規(guī)則，應(yīng)進(jìn)一步擴(kuò)大使用場景，不僅應(yīng)用于攻擊趨勢預(yù)判、高隱蔽性異常行為透視、未知威脅行為溯源等更智能的安全分析，也可以加強對于數(shù)據(jù)的破壞、篡改、加密勒索等數(shù)據(jù)威脅行為的識別檢測，并通過更實時的安全預(yù)警及安全聯(lián)防進(jìn)一步縮短響應(yīng)時間，提升了攻擊門檻，在攻防格局中處于主動位置。