2019年網絡安全的9個預測
預測一向很難，而且網絡安全領域的預測更難。威脅界面廣闊無垠，攻擊性和防御性技術層出不窮，民族國家攻擊無論規模還是復雜程度都在不斷增加。
網絡戰爭迷霧令人很難看清或評估任何趨勢。比如說，去年，CSO網站對2018年的預測就沒料想到加密貨幣挖礦的快速上升。事后來看的話，這種對網絡罪犯而言相對容易且低風險的變現手法應該是很明顯的。
不過，CSO網站去年的預測還是命中了一些：威脅檢測過程的自動化程度上升、涉IoT設備的攻擊大幅增加、網絡犯罪增多導致的信任衰退等等。
今年，CSO網站給出的未來12個月里可能出現的重大事件或趨勢如下：
1. 勒索軟件逐漸減少，但破壞力依然驚人
因為罪犯轉向其他方式賺取收益，勒索軟件將會逐漸消退。但勒索軟件仍是個問題，會進化成更針對性的攻擊。卡巴斯基數據顯示，2017和2018年遭遇過勒索軟件的用戶數量比2016到2017年時間段內遭遇勒索軟件攻擊的人數減少了近30%。
但隨機性減少，針對性卻變強了，后期的勒索軟件攻擊大多影響重大。賽門鐵克發現，SamSam勒索軟件背后的黑客團伙如今就主要針對數量相對較少的美國公司開展行動，大部分是市政和醫療機構。
勒索軟件攻擊數量減少的原因是罪犯找到了加密貨幣劫持和其他更有效的生財之道。現成加密貨幣挖礦工具的數量和質量意味著罪犯無需多少技術。卡巴斯基給出的數據：過去一年加密貨幣挖礦攻擊受害者數量上升了44.5%，就充分體現了這一點。隱藏挖幣機在2019年繼續猛增，惡意軟件作者以此侵害你的業務。只要攻擊者能從挖幣機感染中賺到外快，加密貨幣挖礦就會繼續是個威脅。
2. 隱私監管和公眾對隱私的看法將驅動數據保護策略
去年，CSO網站預測歐盟將很快處罰幾家違反了《通用數據保護條例》(GDPR)的公司以殺雞儆猴。但該預測并沒有成真。盡管如此，2019年里，個人信息受損會遭到處罰的威脅依然會對安全運營產生巨大的影響。
這些處罰很有可能即將到來。2019年上半年，GDPR的實施將開始變嚴。涉嫌以監視用戶隱私牟利的公司，比如谷歌和Facebook，未來幾年可能不會太好過。已有數百份投訴發出，其中一些投訴對象就是谷歌和Facebook。
2019年，我們將看到歐盟開始回應這些投訴。GDPR和其他隱私監管規定的風險將進一步闡明。即便GDPR不回應，也會釋放出不用太在意這項條例的信號。
對公司如何保護個人信息的關注增加，將會推動更多人向這些公司問責。消費者對層出不窮的安全事件和其他不道德信息披露(比如Facebook)的反應，會促使他們要求公司企業對用戶信息設置更多默認隱私和控制。
2019年有可能會頒布類似GDPR的隱私法律。《加州消費者隱私法案》已被通過，將在2020年生效。11月1日美國參議院 Ron Wyden 提交了《消費者數據保護法案》(CDPA)，該法案對隱私違法行為的處罰非常嚴厲，甚至包括了入獄。
鑒于美國聯邦政府效力的當前狀態，該法案不太可能吸引太多關注。同時，美國大多數處理消費者數據的公司企業將以GDPR和CCPA作為參考。加州和紐約將持續推動有關消費者數據隱私的協商，美國聯邦政府卻在故意拖延。
公司企業將開始考慮采用隱私優先的數據處理方式，尤其是在這些法律擴展到更多轄區和針對銀行、醫療與支付等特定垂直行業的情況下。公司企業收集、使用和共享數據的方式需要進行重大調整。
3. 民族國家對個人的攻擊和監視會更多
對記者、持不同政見者和政治家的黑客國家隊網絡攻擊還將繼續增多。有類似意向的政府對自己國土上的此類攻擊會睜一只眼閉一只眼。
對本國公民實施監視的最壞可能結果，在沙特異議記者卡舒吉被虐殺案中得到了充分體現。以色列《國土報》報道稱，沙特政府利用以色列網絡武器在卡舒吉位于加拿大時對他實施監視。
以色列政府似乎是其他政府監視本國國民所用技術的主要出口商。《國土報》另一篇報道稱，多個國家在用以色列軟件監視異見者和同性戀。
4. 微軟將在其所有主流產品中加裝高級威脅防護(ATP)
Windows 10 高級威脅防護(ATP)是可以讓持有E5安全證書的用戶了解攻擊者所作所為的一項服務。計算機連接到ATP服務時即啟動遙測。
微軟將在所有版本的Windows上推廣ATP服務，借以打造重視安全的品牌形象。未來幾年，該項服務將成為令用戶選擇Windows產品而不是IBM Red Hat 產品的一大賣點。
5. 確認中期選舉中出現了選票造假
選票造假的確認將刺激人們呼吁更好的選民信息保護和推動更多的人參與在線投票過程。但想要讓投票盡可能方便的人和想要保護投票過程完整性的人之間的沖突仍將繼續。
我們需要確保每個人都能在線登記和投票，但我們也需要采取重要措施以確保可以安全而恰當地做這件事。
6. 多因子身份驗證將成為所有在線交易的標準
盡管遠不是完美解決方案，大多數網站和在線服務將拋棄僅口令式的訪問，提供帶額外要求或可選身份驗證的方法。一段時期內，不同形式的多因子身份驗證(MFA)可能會使用戶迷惑和感到沮喪。
只使用口令來驗證身份會使我們對網絡釣魚和其他攻擊愈加不設防。但所有供應商都急于實現不同形式的身份驗證方法，意味著用戶可能會因需管理多種雙因子身份驗證而煩躁不堪。在更標準化的過程出現之前，這種煩躁的狀態估計不會得到改善。
而這類標準，至少在供應商端，已經著手在做了。從FIDO2瀏覽器增強和Duo/思科的并購就能看出端倪。來年有望看到這方面的更多創新，讓MFA的使用更便捷更令人信服。
7. 魚叉式網絡釣魚更具針對性
攻擊者知道，越是了解你，對你網絡釣魚成功的可能性就越高。其中一些戰術令人毛骨悚然。魚叉式網絡釣魚的趨勢之一，是黑客攻入電子郵件系統，潛伏并暗中學習，然后運用他們學到的信息和經常相互溝通的人所建立起的關系與信任。
這一趨勢體現最明顯就是抵押貸款欺詐——買房人將過戶費匯往黑客假冒可信按揭代理發出的電子郵件中提供的虛假賬戶。攻擊者黑掉抵押放貸機構的計算機，記下所有即將到來的交易及其截止日期。然后在抵押代理通常會發出匯款提醒郵件的日期之前，網絡釣魚攻擊者使用該抵押代理的計算機向買房人發出附帶虛假賬戶的過戶費支付提醒郵件。天真的客戶匯出費用，然后面臨失去房子的后果(除非他們還能再拿出一筆過戶費來完成真正的交易，而絕大多數人通常是不會有這么多閑錢的。)
8. 各國將設立網絡戰規則
即便是在常規戰爭中，大多數國家也都會就基本規則達成共識，比如不虐囚、不使用毒氣、不屠殺平民等。這些規則設置了貼合世界上大多數國家利益的行為邊界。
網絡戰中不存在這樣的規則，某些國家似乎認為他們可以隨心所欲地做任何事。朝鮮黑掉了索尼影業，俄羅斯黑關鍵工業控制系統并試圖影響其他國家的選舉，中國盜取知識產權，美國和以色列使用惡意軟件摧毀伊朗核設施。數字邊界正在被試探，一些民族國家已開始反擊。數字戰爭中的《日內瓦公約》指日可期。
在網絡戰問題上，無論有沒有規則，有些國家都會繼續越界。俄羅斯、中國和朝鮮仍會是網絡攻擊者的天堂。網絡攻擊者將有更多的資源可用，無論這些資源是來自他們背后的政府，還是來自勒索軟件和加密貨幣劫持攻擊得來的不義之財。他們將運用這些資源開發新的攻擊方式，提升其惡意軟件的彈性和適應性。除非國際地緣政治發生重大變化，否則這一情況將持續發酵。而國際地緣政治發生重大變化，最早也要到下一次美國總統選舉了。
9. 更多公司將要求CSO/CISO擁有網絡安全碩士學位
網絡安全培訓會變得更加成熟，僅有培訓認證已不足以使安全人員在職業生涯中更進一步。五花八門的安全認證系統無法提供合適的教育和訓練。網絡安全碩士學位遍地開花，包括加州大學伯克利分校和紐約州立大學這樣的名牌大學都未能免俗，越來越多的公司企業希望聘用通過碩士培養過程獲得跨學科技術技能的CSO/CISO。
【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
