2023年十大网络安全预测

Hack The Box公司的首席执行官Haris Pylarinos曾是一名道德黑客，他表示，自己不得不像网络犯罪分子一样思考，以确定2023年的几大威胁。

他预测2023年将出现物联网设备和传感器大举入侵的一幕。

Pylarinos表示，业界低估了物联网攻击的危险性。掌握硬件技能对于防止灾难性网络攻击至关重要，而这类攻击可能会摧毁整个社会。

应对网络安全攻击、新型病毒家族和新兴威胁途径的方法通常是开发一套新的网络安全工具。

但是如今网络安全领域的工具太多了，这种方法变得很笨拙。公司企业部署了所有最新的系统，却被告知还需要勒索软件防护、安全访问服务边缘（SASE）或零信任网络访问（ZTNA）等工具。这种情况似乎永远没个尽头。

KnowBe4公司的战略洞察和研究高级副总裁Joanna Huisman认为，2023年全球企业组织的重心会发生转移，转移到创建安全文化上。

Huisman表示，如今大多数企业组织显然需要安全意识培训，它们正开始从单纯的培训转向更加注重行为和文化。全球范围内出现了一股积极的发展势头，致力于打造强大的安全文化，这势必需要高管和整个员工群体的支持。

零信任已经成为2022年的热门术语，但到目前为止，空谈多过实践。

Syxsense公司的首席执行官Ashley Leonard表示，零信任技术在企业基础设施中的实际应用很有限。2023年，我们最终将看到零信任概念在企业IT环境中得到广泛落实。

Syxsense公司的Leonard还强调了端点在IT、计算能力和网络安全领域的角色发生了变化。

端点安全近年来越来越突出，这个趋势会持续下去。有必要强调智能手机、PC、服务器、平板电脑和笔记本电脑的安全性，因为它们是防止网络入侵的第一道防线，以便当场阻止攻击。但除了网络安全外，更多的任务将会分包给端点。

Leonard表示，近年来，云计算备受关注，云计算集中了计算能力，但在很多情况下，功能强大的处理器和端点都没有得到充分利用。

如今由云计算管理的许多任务可以在端点得到更好地执行，这种情况将在2023年开始改变。作为其中的一部分，编排和自动化技术将是支持IT团队维护安全和服务的关键。

数据删除公司Incogni分析了Chrome网络商店中1237个下载量不低于1000人次的Chrome扩展插件的风险情况。

研究表明，两个Chrome扩展插件中就有一个（48.66%）具有高到非常高的风险，比如请求许可，可能因而暴露个人身份信息（PII）、分发广告软件和恶意软件，或者记录用户的一切行为，包括他们在网上输入的密码和财务信息。

预计2023年会有大量针对Chrome和浏览器扩展插件的攻击。

Surfshark公司的信息安全官Aleksandras Valentij表示，用户应谨慎对待需要以下权限的浏览器扩展插件：读取和更改用户访问的所有网站上的所有数据、音频捕获、浏览数据、剪贴板读取、桌面捕获、文件系统、地理位置、存储以及视频捕获。

在授予浏览器扩展插件权限时记得运用常识，比如广告拦截程序为什么需要访问音频捕获功能或访问文件系统。

与之前的许多技术一样，虚拟专用网络（VPN）曾经是一项前沿技术。

随着时间的推移，全球的IT和商业环境已经发生了变化，而VPN基本上保持不变。因此，VPN现在可能无法阻止黑客入侵，它们有时可能会使黑客更容易得逞。企业可能会在2023年摆脱对VPN的依赖。

DH2i公司的联合创始人兼首席执行官Don Boxley表示，现在可以用现代软件定义边界（SDP）完成用VPN几乎不可能完成的任务。

Boxley表示，SDP使企业组织能够使用零信任网络访问隧道将任何对称网络地址转换（NAT）背后的应用程序、服务器、物联网设备和用户连接到任何完全圆锥形NAT（full cone NAT），无需重新配置网络或设置复杂且易出问题的VPN。

完全圆锥形NAT指这种NAT：来自同一个内部IP地址和端口的所有请求被映射到同一个外部IP地址和端口。此外，任何外部主机可以将数据包发送到内部主机，只需将数据包发送到被映射的外部地址。

Logj4漏洞敲响了一记警钟，影响了全球十分之一的公司。

Platform.sh公司的隐私和安全副总裁Joey Stanford认为，通过鼓励企业雇佣经验丰富的开发人员来执行漏洞检查和加强软件集成，为开源提供资金支持，Logj4漏洞将在2023年促进更安全的开源创新。

Stanford表示，政府层面也会有所行动，比如要求建立软件材料清单（SBOM），以确保未来的软件项目更安全，这将惠及使用和致力于开源的企业，并确认其在未来互联网开发中的应有地位。

Quest公司的技术策略师和首席工程师Adrian Moir表示，在来年，企业将改进其数据安全测试流程，日益部署混沌工程来夯实企业弹性。

混沌工程最初是为开发人员测试而构建，它可以帮助IT团队测试恢复操作以及应用程序和数据传输管道。通过定期测试企业数据保护设备的每个环节，团队将能够确认从不可变数据存储到可复制性的诸多恢复技术有效地工作。

Moir表示，鉴于勒索软件、自然灾害及其他业务干扰因素，企业高层将弹性和风险降低作为更高的优先级，预计企业会把这项工作视作常规数据保护操作的一部分。

商业电子邮件入侵（BEC）将继续成为网络攻击者的首要攻击方法，也是进入企业组织的最简单途径。

随着零日攻击不断增加，人们会考虑减小外部攻击面。因此，BEC将推动多因素身份验证（MFA）的采用。

下一代托管服务提供商Thrive公司的首席信息安全官Chip Gibbons表示，MFA将无处不在；没有MFA的保护，任何东西都不应该从外部获得。

谈到网络风险的治理和监管，VMware公司的高级网络安全策略师Karen Worstell认为，由于网络风险本身涉及更大的利害关系以及企业声誉通常不堪一击，整个体系已崩溃。

Worstell表示，因此，企业将加大网络风险管理方面的投入力度。

董事会在确保充分控制和报告网络攻击的流程方面需要极其明确的角色和责任。网络风险治理不仅仅是首席信息安全官的责任。现在，它显然是企业主管需要操心的问题。说到网络安全，推诿注定是行不通的。

缓解风险

Codeproof公司的首席执行官Satish Shetty给出了一些建议，这将帮助企业降低风险，避免成为媒体的头条新闻：

•对员工进行安全培训，告知不要点击网络钓鱼链接或从外部邮件下载附件。

•使用Slack和Microsoft Teams之类的应用程序进行内部沟通。

•主要使用电子邮件进行外部沟通。

•迁移到基于云的电子邮件服务，比如Microsoft 365或Google Workspace，而不是使用内部电子邮件服务器。

•部署移动设备管理（MDM）和移动威胁防御（MTD）软件，以保护移动设备和便携式设备，充分利用其执行安全配置的功能。

•在线帐户使用强密码和双因素身份验证。