我們分析研究了30份2020年網絡安全和網絡犯罪預測的獨立報告，並從中提煉出中5個最令人感興趣的發現和預測。
一、網絡安全專業從業者將受到各類法律規定困擾
作為持續爭議和辯論的源頭，《加利福尼亞消費者隱私法案》（CCPA）於2019年1月11日最終定稿。
該法案旨在保護加利福尼亞人個人數據，防止個人數據被肆無忌憚的網絡犯罪分子誤用或未經許可的使用。法案規定每項故意違法行為最高可處以7500美元的罰款，每起非故意違規行為可處以2500美元的罰款。
該法對處理或管理加利福尼亞居民個人數據的組織具有強制性，無論該居民是否位於加利福尼亞州。類似於歐盟GDPR，加利福利亞居民被賦予了一系列權利來控制其個人數據及其最終使用。
問題在於，如果每個美國州都制定自己的州隱私法，則僅在美國領土上就必須遵守50多個重疊的隱私法，有時甚至是相互矛盾的法規，否則將面臨嚴厲的經濟處罰甚至刑事訴訟。
區域、國家和跨國法規的迅速發展使情況更加惡化，2020年可能成為網絡安全合法性受到影響並開始迅速崩潰的一年。鑒於一方面司法系統更新緩慢，另一方面網絡安全技能不足且預算不足，網絡安全專業人員在工作中可能會開始無視這些一系列複雜的法案。
二、第三方數據泄露將主導威脅格局
賽門鐵克表示，2019年供應鏈攻擊上升了78％。一般來說，優秀的企業通常以較高的專業水平而著稱，他們會集中所有可用資源以在特定市場中實現卓越，從而超越競爭對手。
因此，他們將大多數輔助業務流程外包給了熟練的供應商和經驗豐富的第三方，從而降低了成本，提高了質量並加快了項目交付速度。
問題是，供應商存在安全隱患，他們在競爭激烈的全球市場中運作，不會將太多精力放在網絡安全方面，因此很少能為客戶提供可觀的網絡安全和數據保護水平。
IBM表示，2019年識別供應鏈攻擊事件的平均時間高達206天。更糟的是，由於攻擊的複雜性和受害人缺乏相應技能及意識，因此很少能檢測到此類攻擊，最終這類的攻擊往往由安全研究人員及相關媒體披露並報導。
網絡犯罪分子非常了解這種攻擊的有效性，並將繼續有目的地鎖定這一最薄弱的環節，以獲取你的數據，商業秘密和智慧財產權。
三、外部攻擊面將繼續擴大
根據IDG的CSO Online，2019年有61％的組織經歷了IoT安全事件。物聯網和連接設備的全球擴散，公共雲，PaaS和IaaS的使用極大地促進了相關業務發展並實現了公司業績快速增長。但隨之而來的 是Iot等設備擴大了網絡犯罪分子攻擊面的問題，而且會被掩蓋在高業績之下無人關注。
簡單地說；外部攻擊面由攻擊者可以從Internet訪問並屬於你組織的所有數字資產（也稱為IT資產）組成。
傳統的數字資產（例如網絡或Web伺服器）通常都有很多防禦措施，但是RESTful API和Web服務，混合雲應用程式以及託管在外部平台上的關鍵業務數據（新興的數字資產的幾個例子），它們的攻擊面通常無人關注
由於你無法保護自己所不知道的東西，因此這些數字資產中的絕大部分都沒有以任何方式正確維護，監視或保護。
流氓app，詐騙網站，釣魚網站和搶注網站使情況更加惡化，可通過適當實施的域安全監控來檢測到這種情況，這種監控手段提供了一種防禦方案，將會被越來越關注
總而言之，隨著技術升級，IT資源新增了許多未知因素（無論是內部還是外部），使得入侵將變得更加容易。
四、雲配置錯誤將會造成嚴重的數據泄漏事件
福布斯表示，到2020年，將有83％的企業工作負載轉移到雲中。不幸的是，用於數據存儲和處理的雲的穩定增長大大超出了負責雲基礎架構的IT人員所需的安全技能和足夠的培訓。
Gartner報告說，大約95％的雲安全故障是由客戶而不是公共雲基礎架構的供應商造成的。
不出所料，2019年重大數據泄露的很大一部分源於配置不當的雲存儲，暴露了大型科技公司和金融機構的「皇冠上的寶石」。
在2019年7月，世界媒體報導了Capital One的數據泄露事件，這可能是美國金融領域最大的數據泄露事件，影響了大約1億美國人和600萬加拿大人。。
據報導，攻擊者利用一個配置錯誤的AWS S3存儲桶來下載無人監管的極其敏感的數據。儘管Capital One估計只有1.5億美元的直接損失，但美國聯邦調查局(FBI)後來披露，有多達30個其他組織也可能因為同樣的AWS配置不當而受到攻擊。
可以預見的是，在2020年，雲安全事件將始終是數據泄露根源的重中之重。
五、密碼重用和網絡釣魚攻擊將激增
ImmuniWeb表示， 僅僅是《財富》500強中世界上最大的公司，你可能在2019年就能在黑暗網絡中搜出2100多萬份有效憑證。
網絡罪犯更喜歡快速、無風險的攻擊，而不是耗時的APT攻擊、代價高昂的0days攻擊，或者是對SAP複雜漏洞的連續利用。
即使許多組織最終設法實現了可使用的身份和訪問管理(IAM)系統，並使用了強大的密碼策略、MFA和對異常情況的持續監控，但是很少有外部系統包括在受保護的範圍內。
這些灰色地帶系統的範圍從SaaS CRM和ERP到彈性公共雲平台。即使攻擊者在暗網中發現或購買的密碼是無效的，它們也為社會工程學攻擊、網絡釣魚和智能暴力破解攻擊提供了大量的幫助。
從技術角度看，這些攻擊乍一看相當原始，但它們常常顯示出驚人的效率，並無情地破壞和削弱了組織的網絡安全防禦能力。
解決方案
為了給我們的讀者提供一個強大的、經濟有效的解決方案來應對上述五個新出現的挑戰，我們在2019年瀏覽了Gartner、Forrester和IDC強調的解決方案。我們將簡單性、可用的集成和物有所值三個方面視為最重要的因素。
出於對上述三個因素的考慮，我們應優先考慮ImmuniWeb Discovery：它將攻擊面管理和Dark Web Monitoring整合到一個產品中，為固定數量的受監視數字資產提供固定價格，並且重要的是，供應商正在積極發展其社區。現在該產品提供每天運行50,000多次免費安全測試，為網絡安全專業人員提供幫助。
原文連結：https://www.anquanke.com/post/id/196309