2020年網絡安全行業趨勢預測

　　2019 年網絡安全形勢已然更加複雜，網絡***手段更爲多樣，數據泄露、勒索軟件、APT ***等安全事件頻發。此外，網絡安全市場也在急劇膨脹，快速發展，安全產品更新快，種類多，數量激增。在 2020 年，網絡威脅隨着雲技術、大數據、物聯網、人工智能等技術的發展，也將進化，變得更加複雜、棘手、難以應對。網絡安全投入持續增長，市場規模將進一步擴大，發展潛力也將繼續被激發出來。
　　在 2020 年，網絡威脅將仍然是安全行業發展的主要驅動力，而國家政策要求是安全市場增加的重要推進力。此外，技術變革將催生安全行業中新的應用場景與市場空間。在威脅、政策、技術的多重驅動下，信息網絡安全行業需求將更加旺盛，發展將更加成熟。
　　<strong>1、2019 年網絡安全事件回顧</strong>
　　<strong>（一）俄羅斯 50 多家大型企業遭到未知***者勒索</strong>
　　3 月 2 日，Rostelecom-Solar 的網絡安全專家記錄到針對俄羅斯企業的大規模網絡***。***使用物聯網設備，尤爲是路由器，假裝成歐尚、馬格尼特、斯拉夫尼奧夫等 50 多家知名公司發送釣魚電子郵件，對公司人員進行勒索***。追蹤被黑的網絡設備要比服務器困可貴多，且使用物聯網設備的***更簡單，對***者來講更安全。
　　<strong>（二）英特爾 CPU 再現高危漏洞，獲得官方證明可泄漏私密數據</strong>
　　3 月，美國伍斯特理工學院研究人員在英特爾處理器中發現另一個被稱做 Spoiler 的高危漏洞，與以前被發現的 Spectre 類似，Spoiler 會泄露用戶的私密數據。雖然 Spoiler 也依賴於預測執行技術，現有封殺 Spectre 漏洞的解決方案對它卻無能爲力。不管是對英特爾仍是其客戶來講，Spoiler 的存在都不是個好消息。
　　<strong>（三）華碩軟件更新服務器遭***劫持 50 萬華碩用戶受影響</strong>
　　4 月，安全研究人員表示，全球最大的計算機制造商之一華碩近 50 萬臺 Windows 計算機在去年遭到了***，***者劫持了華碩的實時軟件更新服務器（Live Update），在無人知曉的狀況下在客戶的電腦上安裝了惡意後門。這些惡意文件通過了華碩數字證書的合法簽名，因此看起來與該公司的軟件更新並無差異。
　　<strong>（四）網絡安全等級保護制度 2.0 系列標準正式發佈</strong>
　　5 月 13 日，《信息安全技術網絡安全等級保護基本要求》、《信息安全技術網絡安全等級保護測評要求》、《信息安全技術網絡安全等級保護安全設計技術要求》三項國家標準正式發佈，並於 2019 年 12 月 1 日正式實施。
　　<strong>（五）CapitalOne 大規模數據泄露</strong>
　　7 月，Capital One 數據事件披露，事件影響超過 1 億的美國人和 600 萬的加拿大人。一項調查顯示，事件背後的***嫌疑人是一名前 Amazon Web Services 員工，被指控非法訪問 Capital One 的 AWS 服務器檢索數據以及其餘 30 家公司的數據。
　　<strong>（六）委內瑞拉再度因網絡***上演大停電</strong>
　　7 月，委內瑞拉再度因網絡***上演大停電，委內瑞拉的 23 個州中有一半以上受到了停電影響。這是今年 3 月的大規模停電以來，停電首次波及首都加拉加斯。
　　<strong>（七）《兒童我的信息網絡保護規定》正式出臺</strong>
　　8 月 23 日，國家互聯網信息辦公室正式發佈《兒童我的信息網絡保護規定》，並於 2019 年 10 月 1 日起施行。這是我國第一部專門針對兒童網絡保護的立法，該規定填補了互聯網時代兒童我的信息保護的法律空白。
　　<strong>（八）YouTube 非法蒐集兒童隱私，美國判罰谷歌 1.7 億美圓</strong>
　　YouTube 涉嫌違反兒童隱私法，美國聯邦貿易委員會宣佈將對谷歌處以 1.7 億美圓罰款。這是《兒童在線隱私保護法》出臺以來開出的最大罰單。
　　<strong>（九）隱私安全遭質疑 ZAO 被工信部約談</strong>
　　9 月 3 日，工信部網站發佈，對北京陌陌科技有限公司相關負責人進行了問詢約談。ZAO App 一經推出便迅速火爆，但也由於隱私安全問題遭到用戶質疑。其中爭議最大的就是用戶協議中寫到須要使用者贊成把肖像權，永久、不可撤銷、免費地給它使用，還能修改，包括它的關聯公司。
　　<strong>（十）印度核電廠疑似遭 APT 組織***</strong>
　　11 月，印度獨立網絡核電站 Kudankulam 遭遇疑似朝鮮 APT 組織 Lazarus ***，印度官方發佈聲明認可遭到外部***者***，被***的是用於管理內部計算機鏈接互聯網的服務器。這些服務器主要控制部份內部計算機的網絡訪問權限，而且這些服務器與核電站的關鍵設施是隔離的，影響比較低。
　　<strong>（十一）Adobe 泄漏 7 百萬 Creative Cloud 用戶數據</strong>
　　11 月，Adobe 確認有近 700 萬個 Creative Cloud 用戶的資料外泄。問題最初是由安全機構 Comparitech 和安全研究人員 Bob Diachenko 發現，在一個公開的資料庫當中包含了大量 Creative Cloud 用戶的資料，其中包括電郵地址、賬戶創建日期、使用的 Adobe 產品、訂閱狀態、賬戶 ID 和所在地等等。
　　<strong>2、2020 年網絡安全趨勢預測</strong>
　　<strong>（一）勒索軟件熱潮不退，還是網絡安全***的「寵兒」</strong>
　　對於***者而言，利用勒索軟件犯罪風險很小，只有在少數狀況下，發起勒索軟件活動的網絡犯罪分子會被繩之以法。然而，其潛在的回報卻很大。在過去的一年中，勒索軟件***案件頻發，有許多受害者屈服於***者的勒索要求，他們一般支付高額贖金以換取其網絡的安全或換回信息數據。數據顯示，勒索軟件今年的***成本超過 100 億美圓。
　　在 2020 年，做爲一種有利可圖且相對無風險的網絡犯罪形式，***想必不會放棄。而且目標式勒索軟件***將大幅度增長，確保破壞規模並提升贖金，這樣的手法只會有增無減。
　　<strong>（二）數據隱私問題依然熱門，過去揭露的泄露事件只是冰山一角</strong>
　　2019 年網絡安全對於數據的依賴性極強，數據泄露事件還是人們的核心關注點。數據安全問題逐漸凸顯的另外一面是數據的激增。據預測數據顯示，2020 年我國數據總量全球佔比將達 20%，成爲數據量最大、數據類型最豐富的國家之一。
　　***販賣我的信息、企業數據遭竊取和泄露、網絡運營商收集用戶數據等一系列事件依然在人們視線中活躍。後續引起的網絡釣魚事件在 2020 年會持續增長。據微軟的一項分析發現，網絡釣魚詐騙今年增加了 250％。將來這些技術會變得愈來愈複雜，這使它們既難以識別，也更成功地實施。隱私和安全已經成爲數字時代的新標誌，數據安全和隱私將是 2020 年企業面臨的頭等大事。
　　數據比黃金更有價值，無論是企業負責人仍是網絡***者都已察覺。在新的十年開始之初，企業組織將會更加劇視數據存儲位置，劃分數據敏感程度以及如何保護。我的的數據隱私保護意識也將會增強。
　　<strong>（三）人工智能技術做爲一把「雙刃劍」，將使******技術、手法更加複雜</strong>
　　2019 年，網絡安全行業開始利用 AI 技術開展安全防護工做，探索安全解決方案。但網絡***者隨即跟上了步伐，利用 AI 技術和機器學習研發***工具、惡意程序，以此來繞開和躲避***目標系統。
　　所以，2020 年基於 AI 的惡意軟件防禦將變得越發重要。網絡安全威脅的發展推進咱們進入 AI 對抗 AI 的時代。機器學習、自動化、Deepfakes 等都是人工智能技術發展的成果，可是在享受成果的同時，也要防範其中帶來的安全風險。
　　Sophos CTO Joe Levy 預測，網絡安全行業嘗試並採用機器學習新技術的速度將繼續提升，使系統在保護信息系統及其用戶方面可以作出半自主甚至全自主的決策。這些新的防護技術相當重要，由於網絡犯罪分子極可能會結合自動生成內容和人工操做來開展有目標的***，從而逃避當前的防護，執行「人腦（溼件）」***。
　　<strong>（四）Deepfakes 技術進一步成熟，相關欺詐案件數量或持續走高</strong>
　　2019 年，AI 換臉是頻頻出現的熱詞。所謂 deepfake，是指使用人工智能技術來製做視頻內容，它能夠實現以假亂真的效果，使得人們沒法經過肉眼分辨真僞。
　　從國外的惡搞奧巴馬，到國內的朱茵換臉楊冪、以及 ZAO App 的曇花一現。這項腦洞大開的技術在 2017 年由 Reddit 網站用戶「deepfakes」提出並開源，便在論壇炸了鍋。隨即衍生出 FakeApp 等視頻合成工具和一系列僞造影片。
　　Deepfake 對女性羣體的威脅更大，相關僞造視頻中，有超過 90% 以上涉及到了色情。同時，AI 支持的 Deepfakes 技術能帶來的巨大經濟收益，預計在 2020 年會有更多的人模仿***，更多的基於 Deepfakes 的***可能以很低的成本製造出以假亂真的音頻和視頻，與此相關的欺詐損失將超過 205 億美圓。
　　據 Mitek CTO Stephen Ritter 預測，Deepfakes 對 2020 年選舉也將產生重大影響，由於人們的真實身份變得愈來愈難以驗證。這項技術將用於生成虛假視頻，污衊政治候選人說過什麼或者作過什麼，而且這些視頻近乎能夠實時製做。
　　<strong>（五）智能互聯設備數量大幅增長，物聯網安全問題意識增強</strong>
　　2019 年可謂是物聯網發展關鍵的一年，智能聯網設備相較以前大幅增長，技術更加先進，對於人們的生活更加便捷。可是針對物聯網安全的問題也開始困擾着人們。
　　物聯網的普及使得安全問題迫在眉睫。IoT Analytics 預測，到 2020 年，全球活躍的物聯網設備數量將達到 100 億臺。智能家居、智慧城市、車聯網等，其建設都有賴於物聯網技術的進步。
　　然而，物聯網安全頻頻見諸報端，好比******家用路由器、智能門鈴、汽車或者其餘智能設備來監視用戶生活，竊取用戶信息，將用戶的信息數據隱私出售換取實質利益，或者成爲進一步犯罪的手段，這些都讓人們對物聯網「又愛又怕」。
　　在 2020 年，智能聯網設備的供應商會增強安全因素的考量。研發沒有安全問題的聯網產品，增長人們對設備的信任程度，擴大市場推進行業發展。所以，物聯網設備製造商和鏈接設備的部署者須要制定計劃，升級其提供的功能以確保安全的物聯網系統。
　　<strong>（六）供應鏈***、開源軟件惡意感染繼續增長</strong>
　　據賽門鐵克數據顯示，2019 年，供應鏈***增長了 78%。企業資源集中於特定市場從而將大多數輔助業務流程外包給了熟練的供應商和經驗豐富的第三方，下降了成本，加快了交付速度。大多數人從已知開發人員的官方網站安裝軟件或更新的時候，不會過多思考。所以，在過去幾年，***愈來愈多地利用這種信任，經過源代碼來傳播惡意軟件。
　　利用用戶對廠商產品的信任，在廠商產品下載安裝或者更新時進行惡意軟件植入進行***。這種***手法不易發現，且潛藏時間長久。IBM 表示，2019 年發現漏洞的平均時間高達 206 天。通常狀況下，用戶都不會懷疑受信任的開發人員或供應商，而供應商又能夠提供大量的用戶，***者能夠以較低的投入，得到很是高的回報。
　　<strong>（七）雲安全事件隨企業上雲的普及而增長，雲數據存儲與處理面臨考驗</strong>
　　在 2019 年的重大數據泄露中，有很大一部分源於配置不當的雲存儲，形成大型科技公司和金融機構的數據泄露。好比 Capital One 數據泄露事件，利用一個配置錯誤的 AWS S3 存儲桶來下載敏感數據，影響了大約 1 億美國人和 600 萬加拿大人。
　　《福布斯》稱，到 2020 年，企業會將 83% 的工做量轉移到雲上。雲計算的進步將引起新的網絡信息安全問題，驅動雲安全市場的高速增加。網絡技術協同融合意味着安全風險的交織與演變。
　　DivvyCloud 聯合創始人兼 CTO Chris DeRamus 預測，在 2020 年，企業持續上雲，咱們將看到大量因爲配置錯誤而致使的數據泄露。因爲科技更新換代的壓力，開發人員常常以創新的名義繞過安全性，這就容易致使大規模的數據泄露。
　　<strong>（八）5G 普及，移動端將遭遇更大的***風險，爲 APT 組織所青睞</strong>
　　抓住 2019 的尾巴，我國正式進入 5G 商用元年。在今年 10 月正式商用 5G。到 11 月，中國 5G 手機銷量超 500 萬部。中國 5G 基站到年末將建成超 13 萬個。據預測，2020 年中國將建設超過 60-80 萬個 5G 宏基站。
　　來年 5G 的普及也意味着***者將加大了移動惡意軟件***的力度。Mimecast 威脅情報副總裁 Joshua Douglas 預測，在 2020 年，企業專一於簡化終端用戶體驗，建立即時通信並自動執行平常任務。在 2020 年，咱們將看到針對移動平臺的***會有所增長，***者利用新工具的安全隱患進行帳戶訪問並隱藏身份。同時，將來移動設備的數據丟失，將用時更短，數量更大。企業對於移動威脅的檢測和響應投入也將增長，以此完善總體安全策略。
　　移動端植入已成爲不少 APT 團伙的基本操做，移動端的零日漏洞價格也是水漲船高，行情一路看漲。今年 9 月份，零日漏洞交易服務商 Zerodium 發佈的數據顯示，Android 零日漏洞的價格首次超過了 iOS。
　　<strong>（九）安全法律法規進一步落地，企業或將面臨合規資源和機制不堪重負</strong>
　　2019 年，等保 2.0、《國家關鍵信息基礎設施安全保護條例》、《兒童我的信息網絡保護規定》等網絡安全相關法規、政策逐漸出臺、落地，推進了總體行業的發展。
　　在 2020 年，行業相關法律法規將陸續出臺，好比即將生效的《加利福尼亞消費者隱私法》，不斷填補安全行業空白區域。同時，現有的和新出臺的安全法規將進一步落地，加大對不合規企業、過分收集數據企業的懲處力度。企業或將面臨合規資源和機制不堪重負的問題。
　　<strong>（十）威脅情報信息共享重要性提高，或將面臨新挑戰</strong>
　　在 2020 年網絡安全***全面升級，而威脅情報共享和有效利用將成爲提高總體網絡安全防禦效率的重要措施。
　　2019 年 11 月，國家互聯網信息辦公室會同公安部等有關部門起草了《網絡安全威脅信息發佈管理辦法(徵求意見稿)》，向社會公開徵求意見。威脅情報對於網絡安全防禦具備現實價值，且愈來愈多的企業和機構對此需求迫切。
　　威脅情報發佈標準的落地，由此創建更好的威脅信息共享體系。集體網絡防護和公私協做將進一步增強將來網絡安全防護的信心和能力。若是與行業內的其餘公司共享網絡安全方面的信息，他們就能夠同歸對比各自的安全策略和實踐方式來找出自身在安全保護方面的短處，並提高安全機制的成熟度。可是對於企業應該共享哪些類型的威脅信息以及分享給誰，這些信任問題將阻礙威脅情報信息共享的發展。
　　<strong>參考來源：</strong>
<a href="https://www.forbes.com/sites/gilpress/2019/12/03/141-cybersecurity-predictions-for-2020/#4eeae4b11bc5">福布斯發佈 141 條 2020 年網絡安全預測</a>
<a href="https://www.forbes.com/sites/gilpress/2019/12/12/42-more-cybersecurity-predictions-for-2020/#693082624a56">福布斯發佈 42 條 2020 年網絡安全預測</a>
<a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/2020?_ga=2.58289450.1049299363.1576654977-289150172.1571886174">趨勢科技 2020 年安全預測</a>
<a href="https://www.helpnetsecurity.com/2019/12/09/cybersecurity-predictions-2020/">2020 年的 5 大網絡安全預測</a>
<a href="https://www.helpnetsecurity.com/2019/12/17/enterprise-analytics-trends-2020/">2020 年頂級企業分析趨勢</a>