安全云架構(gòu)有哪些關(guān)鍵步驟？

配置錯誤的興起始于2018年，主要是由沒有適當(dāng)訪問控制權(quán)力的云數(shù)據(jù)存儲實現(xiàn)驅(qū)動的……盡管主要云計算提供商努力使默認配置更安全，但這些錯誤仍然存在。

云計算網(wǎng)絡(luò)攻擊并不像人們想像的那樣驚心動魄，現(xiàn)實生活中的劇本更加平淡無奇。網(wǎng)絡(luò)攻擊者部署自動化技術(shù)來掃描互聯(lián)網(wǎng)以尋找可利用的漏洞。他們得到的是一個可供選擇的目標(biāo)虛擬“購物清單”，一旦進入云計算環(huán)境，他們就會利用其架構(gòu)上的弱點來查找敏感數(shù)據(jù)，例如個人身份信息(PII)可以在幾分鐘內(nèi)提取出來，通常是從對象存儲服務(wù)或數(shù)據(jù)庫快照。

網(wǎng)絡(luò)攻擊者不會遍歷安全團隊使用傳統(tǒng)入侵檢測和預(yù)防解決方案和流程監(jiān)控的傳統(tǒng)網(wǎng)絡(luò)。企業(yè)正試圖用以往的數(shù)據(jù)中心安全技術(shù)挫敗當(dāng)今的云計算攻擊者，并且對云計算威脅形勢沒有完全了解。

物聯(lián)網(wǎng)碎片化帶來了哪些挑戰(zhàn)？

隨著全球物聯(lián)網(wǎng)設(shè)備的數(shù)量遠遠超過 200 億，很明顯，該行業(yè)的受歡迎程度繼續(xù)增長。將設(shè)備連接到互聯(lián)網(wǎng)的 能力允許遠程操作和與其他設(shè)備合作。如果物聯(lián)網(wǎng)和人工智能技術(shù)繼續(xù)發(fā)展，用不了多久就會出現(xiàn)第一個真正的智能家居，即家中的設(shè)備由人工智能管家智能控制，可以預(yù)測居住者的需求，節(jié)約能源，提高整體效率。

但是，盡管物聯(lián)網(wǎng)技術(shù)帶來了許多優(yōu)勢，但它們?nèi)匀淮嬖谠S多問題。其中之一是早期設(shè)備缺乏安全措施；第一代物聯(lián)網(wǎng)設(shè)備問世之際，物聯(lián)網(wǎng)設(shè)備易受攻擊的想法還沒有被構(gòu)想出來。當(dāng)時的許多工程師認為， 單個物聯(lián)網(wǎng)設(shè)備對黑客來說會顯得無趣，而黑客會將他們的精力投入到攻擊服務(wù)器和主流 PC 上。?

然而，黑客很快就想到了將物聯(lián)網(wǎng)設(shè)備用作能夠執(zhí)行大規(guī)模拒絕服務(wù)攻擊的僵尸設(shè)備。黑客們還注意到，入侵物聯(lián)網(wǎng)設(shè)備也可以進入可用于發(fā)起攻擊的本地網(wǎng)絡(luò)，并且還認識到物聯(lián)網(wǎng)設(shè)備可用于間諜活動。

如何防范 Deepfake 攻擊和勒索

2021 年初，聯(lián)邦調(diào)查局發(fā)布了關(guān)于合成內(nèi)容（包括深度偽造）威脅日益增加的警告，將其描述為“生成或操縱的廣泛數(shù)字內(nèi)容，包括圖像、視頻、音頻和文本”。人們可以使用 Photoshop 等軟件創(chuàng)建最簡單類型的合成內(nèi)容。Deepfake 攻擊者使用人工智能 (AI) 和機器學(xué)習(xí) (ML) 等技術(shù)變得越來越老練。現(xiàn)在，這些可以創(chuàng)建逼真的圖像和視頻。

請記住，攻擊者從事網(wǎng)絡(luò)盜竊業(yè)務(wù)是為了賺錢。勒索軟件往往會成功。因此，他們將 deepfakes 用作新的勒索軟件工具是合乎邏輯的舉措。在共享勒索軟件的傳統(tǒng)方式中，攻擊者通過嵌入誘人的 deepfake 視頻的惡意軟件發(fā)起網(wǎng)絡(luò)釣魚攻擊。還有一種利用深度偽造的新方法。攻擊者可以向人們或企業(yè)展示各種非法（但虛假）的行為，如果圖像公開，這些行為可能會損害他們的聲譽。支付贖金，視頻將保持私密。

除了勒索軟件，威脅行為者可能會將數(shù)據(jù)和圖像武器化以散布謊言并欺騙員工、客戶和其他人，或勒索他們。

了解網(wǎng)絡(luò)犯罪的演變以預(yù)測其未來

對網(wǎng)絡(luò)犯罪從 1990 年代開始發(fā)展到今天的數(shù)十億美元的發(fā)展進行分析有一個壓倒一切的主題：網(wǎng)絡(luò)犯罪作為一項業(yè)務(wù)的發(fā)展密切模仿合法業(yè)務(wù)的發(fā)展，并將繼續(xù)發(fā)展以提高其自身的投資回報率.

在早期，黑客攻擊更多的是為了個人聲望和榮譽，而不是為了賺錢——但互聯(lián)網(wǎng)讓人們意識到互聯(lián)網(wǎng)上可以賺錢。網(wǎng)絡(luò)犯罪的第一階段大致符合 1990 年至 2006 年的時期。

從這個簡單的認識出發(fā)，HP Wolf Security對網(wǎng)絡(luò)犯罪的演變的研究表明，一個地下業(yè)務(wù)遵循并模仿了地上業(yè)務(wù)生態(tài)系統(tǒng)——包括數(shù)字化轉(zhuǎn)型。高級惡意軟件分析師兼報告作者亞歷克斯·霍蘭德（Alex Holland）表示：“數(shù)字化轉(zhuǎn)型加劇了攻防鴻溝的雙方——例如，‘即服務(wù)’產(chǎn)品的日益普及表明了這一點。這已經(jīng)使惡意活動民主化，以至于需要高水平知識和資源的復(fù)雜攻擊——曾經(jīng)是高級持續(xù)威脅 (APT) 組織的保留地——現(xiàn)在更容易被更廣泛的威脅行為者訪問?！?/span>?

面對不斷增長的攻擊面，金融業(yè)該何去何從？

近年來，零日漏洞的不斷加劇、勒索軟件的越發(fā)猖獗以及各種安全威脅的持續(xù)升級，使網(wǎng)絡(luò)安全形勢變得愈加嚴(yán)峻。金融服務(wù)業(yè)作為前沿技術(shù)的最佳踐行者，面臨的網(wǎng)絡(luò)安全問題更加嚴(yán)重復(fù)雜。尤其在新冠疫情期間，移動銀行應(yīng)用程序、移動客戶服務(wù)以及其他數(shù)字工具迅速得到了普及。

根據(jù)思科 CISO 基準(zhǔn)研究數(shù)據(jù)表明，2020 年有17% 的公司每天都會收到 10萬 個或更多的安全警報，這一趨勢在疫情發(fā)生后仍在繼續(xù)。數(shù)據(jù)還顯示，2021 年的常見漏洞和暴露數(shù)量創(chuàng)下歷史新高，達到20141個，超過了 2020 年 18325 個的記錄。

據(jù)Adobe 2022 年 FIS 趨勢報告顯示，在接受調(diào)查的金融服務(wù)和保險公司中，有超過一半的公司的移動用戶在 2020 年上半年都出現(xiàn)了顯著增長。此外，報告還發(fā)現(xiàn)，有十分之四的財務(wù)高管表示數(shù)字和移動渠道占其銷售額的一半以上，并預(yù)計這種趨勢將在未來幾年內(nèi)持續(xù)下去。

攻擊面管理為何成為 2022 主流？

近期，美國網(wǎng)絡(luò)安全審查委員會發(fā)布首份報告稱，2021年年底曝光的Log4j漏洞成為難以消除的漏洞，其影響將會持續(xù)十年之久。

Log4j事件表明，我們對暴露的IT資產(chǎn)知之甚少。據(jù)統(tǒng)計，大型組織通常擁有數(shù)千、數(shù)萬或更多面向互聯(lián)網(wǎng)的資產(chǎn)，包括網(wǎng)站、敏感數(shù)據(jù)、員工憑證、云工作負載、云存儲、源代碼、SSL 證書等。?

如果要問“攻擊者發(fā)現(xiàn)和利用Log4j等漏洞的頻率和速度帶來什么教訓(xùn)”，答案一定是應(yīng)在攻擊面管理和網(wǎng)絡(luò)保護工具部署等方面做出積極主動的探索。

現(xiàn)代數(shù)字基礎(chǔ)設(shè)施加速發(fā)展，容器化、SaaS應(yīng)用以及混合工作環(huán)境急速增長，企業(yè)面臨的攻擊面也在隨之?dāng)U大。為降低攻擊風(fēng)險，許多機構(gòu)都在努力發(fā)現(xiàn)、分類和管理面向互聯(lián)網(wǎng)的資產(chǎn)。

保護智慧城市安全始于網(wǎng)絡(luò)基礎(chǔ)設(shè)施

雖然智能城市的承諾為市政當(dāng)局和居民提供了“智能”服務(wù)的效率和價值，但它也帶來了網(wǎng)絡(luò)安全挑戰(zhàn)。每個連接的組件——從設(shè)備到網(wǎng)絡(luò)基礎(chǔ)設(shè)施——為黑客竊取數(shù)據(jù)、破壞系統(tǒng)和獲取他們不應(yīng)該擁有的信息提供了一個潛在的切入點。?

智慧城市生態(tài)系統(tǒng)可能充滿了數(shù)以萬計的物聯(lián)網(wǎng) (IoT) 設(shè)備，它們通過公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施進行通信。為了讓智慧城市取得成功，每個物聯(lián)網(wǎng)設(shè)備都必須是低功耗、性能卓越、能夠承受干擾并且可靠的。它們將在設(shè)備和連接它們的網(wǎng)絡(luò)基礎(chǔ)設(shè)施之間自由傳輸數(shù)據(jù)。

智慧城市設(shè)備制造商，從智能照明和供水系統(tǒng)到智能交通管理系統(tǒng)和交通系統(tǒng)，在安全方面充當(dāng)?shù)谝坏婪谰€。每個設(shè)備可能具有許多協(xié)同工作的技術(shù)，例如芯片組、傳感器、通信協(xié)議、固件和軟件。這些技術(shù)組件的構(gòu)建或采購必須考慮到安全性。