讓網(wǎng)絡(luò)安全培訓(xùn)變得有趣：提供方便有趣的培訓(xùn)。員工應(yīng)該關(guān)心數(shù)字安全，了解如何預(yù)防以及如果遇到任何奇怪的事情該怎么辦。通過(guò)讓人力資源部門(mén)與 IT 部門(mén)合作，會(huì)看到改進(jìn)的培訓(xùn)結(jié)果。在考慮正確的方法時(shí)，請(qǐng)查看整體公司文化和員工的需求?？紤]使用微學(xué)習(xí)將主題放在他們的腦海中。

提供目標(biāo)職位：使網(wǎng)絡(luò)安全文化具有吸引力的一種方法是以認(rèn)證的形式提供目標(biāo)。修復(fù)技能差距的關(guān)鍵是通過(guò)獲得網(wǎng)絡(luò)安全認(rèn)證幫助員工獲得新的領(lǐng)軍職業(yè)。通過(guò)幫助現(xiàn)有員工做到這一點(diǎn)，可以幫助減少技能差距并提升員工。公司還可以與學(xué)校合作，鼓勵(lì)網(wǎng)絡(luò)安全教育，甚至鼓勵(lì)高中生獲得認(rèn)證。

使用人工智能工具：人工智能 (AI) 工具可以分析最新數(shù)據(jù)并更快地發(fā)現(xiàn)潛在攻擊。此外，可以確定警報(bào)的優(yōu)先級(jí)，以便了解哪些是不相關(guān)的，哪些是關(guān)鍵的。現(xiàn)在攻擊者正在使用人工智能工具來(lái)設(shè)計(jì)和發(fā)起攻擊，不使用這些工具的團(tuán)體正在為他們提供一個(gè)良好的開(kāi)端。

一是物聯(lián)網(wǎng)終端設(shè)備更容易遭受攻擊和信息泄露。物聯(lián)網(wǎng)終端類(lèi)型多樣、數(shù)量眾多、部署場(chǎng)景復(fù)雜，現(xiàn)有物聯(lián)網(wǎng)大多從滿(mǎn)足可用性出發(fā)，對(duì)其軟硬件平臺(tái)、通信協(xié)議等普遍缺乏完善的完整性保護(hù)、機(jī)密性保護(hù)和身份的驗(yàn)證機(jī)制。

二是物聯(lián)網(wǎng)網(wǎng)絡(luò)本身的安全性問(wèn)題突出。物聯(lián)網(wǎng)在萬(wàn)物互聯(lián)網(wǎng)環(huán)境中存在無(wú)線傳感器網(wǎng)絡(luò)、蜂窩移動(dòng)通信網(wǎng)、因特網(wǎng)、各類(lèi)專(zhuān)網(wǎng)等各類(lèi)異構(gòu)網(wǎng)絡(luò)的互聯(lián)互通的應(yīng)用場(chǎng)景，這些網(wǎng)絡(luò)本身都存在著各類(lèi)網(wǎng)絡(luò)安全問(wèn)題。

三是物聯(lián)網(wǎng)的數(shù)據(jù)安全問(wèn)題。當(dāng)前物聯(lián)網(wǎng)領(lǐng)域設(shè)備類(lèi)型多，收集的各類(lèi)數(shù)據(jù)類(lèi)型多。多源數(shù)據(jù)的鑒別與發(fā)現(xiàn)、異構(gòu)網(wǎng)絡(luò)的數(shù)據(jù)融合與處理、核心設(shè)備參數(shù)配置與更新等問(wèn)題處理難度大。

四是物聯(lián)網(wǎng)上承載的各類(lèi)應(yīng)用安全問(wèn)題。物聯(lián)網(wǎng)面臨各種各樣的行業(yè)應(yīng)用需求，需要對(duì)各類(lèi)信息進(jìn)行分類(lèi)處理。同時(shí)，目前行業(yè)應(yīng)用系統(tǒng)的建設(shè)并沒(méi)有統(tǒng)一技術(shù)標(biāo)準(zhǔn)和安全措施，各種網(wǎng)絡(luò)互聯(lián)成為一個(gè)大的網(wǎng)絡(luò)平臺(tái)的融合問(wèn)題以及相應(yīng)的安全問(wèn)題。

規(guī)則 1：不要忽視開(kāi)發(fā)用的密鑰與證書(shū)

由于供職于一家需要每天持續(xù)掃描數(shù)以百萬(wàn)計(jì)的公、私有代碼庫(kù)的公司，我們深知構(gòu)建健全的密鑰與證書(shū)政策的重要性。

規(guī)則 2：持續(xù)查看默認(rèn)配置

云服務(wù)提供商通常會(huì)預(yù)先配置好一些通用的訪問(wèn)控制策略。這些策略雖然易于快速上手，但是正是由于其通用性，導(dǎo)致了它們不一定適用于您的真實(shí)應(yīng)用服務(wù)，特別是在有新的云服務(wù)被引入時(shí)，它們往往需要在默認(rèn)控制策略的基礎(chǔ)上，進(jìn)行定制化的配置。

規(guī)則 3：列出所有可被公開(kāi)訪問(wèn)的存儲(chǔ)

無(wú)論為對(duì)象和數(shù)據(jù)選擇哪種存儲(chǔ)方法，請(qǐng)檢查并確保只公開(kāi)那些需要被訪問(wèn)的組件和存儲(chǔ)。

規(guī)則 4：定期審查訪問(wèn)控制

隨著基于身份的安全系統(tǒng)，在整體安全措施中逐漸占據(jù)主導(dǎo)地位，它們形成了所謂的“零信任(zero-trust)”策略的基礎(chǔ)。主動(dòng)地實(shí)施“最小特權(quán)原則”，對(duì)云端的服務(wù)、系統(tǒng)、以及網(wǎng)絡(luò)的訪問(wèn)進(jìn)行安全加固。同時(shí)，我們也應(yīng)當(dāng)定期安排手動(dòng)和自動(dòng)化的檢查方式，來(lái)審查管控的執(zhí)行是否嚴(yán)格。

(1)字符型：字符型驗(yàn)證碼，是我們?nèi)粘Ｗ罱?jīng)常見(jiàn)到的驗(yàn)證碼。通常是一些字母、數(shù)字的組合，而且為了增加識(shí)別的難度，這些字符經(jīng)常會(huì)被變形、被扭曲、被翻轉(zhuǎn)。

(2)計(jì)算型：計(jì)算型驗(yàn)證碼，通常是一些數(shù)學(xué)公式，需要進(jìn)行復(fù)雜的運(yùn)算，才能得出正確的結(jié)果。

(3)點(diǎn)擊型：點(diǎn)擊型驗(yàn)證碼的最大特點(diǎn)是：使用者只需要通過(guò)鼠標(biāo)進(jìn)行點(diǎn)擊，不需要輸入任何東西。通過(guò)這種人類(lèi)專(zhuān)屬的行為動(dòng)作，以及使用者在瀏覽器中的一些操作數(shù)據(jù)、瀏覽數(shù)據(jù)等，共同識(shí)別出真正的人類(lèi)。

(4)滑動(dòng)型：滑動(dòng)型驗(yàn)證碼通過(guò)收集使用者的動(dòng)作，判斷是否為人類(lèi)。

(5)短信型：短信型驗(yàn)證碼，是最常用的一種方式。各種APP一般會(huì)采用這種方式，簡(jiǎn)單直接，通過(guò)運(yùn)營(yíng)商來(lái)發(fā)送短信。

(6)掃碼型：掃碼型驗(yàn)證碼，實(shí)際上就是首先確保在手機(jī)上已經(jīng)成功登錄，然后通過(guò)掃描二維碼的方式在PC上繼續(xù)登錄。

(7)生物特征型：各種人臉識(shí)別、指紋識(shí)別、聲紋識(shí)別甚至虹膜識(shí)別，都可以算作是生物特征型驗(yàn)證碼。

大多數(shù)組織跟蹤所有相關(guān)的可變因素、清點(diǎn)所有過(guò)去和現(xiàn)在資產(chǎn)的能力跟不上其發(fā)展需要—這常常被視為一項(xiàng)復(fù)雜又耗費(fèi)資源的任務(wù)，幾乎沒(méi)多少短期效益。然而，考慮到受攻擊的潛在成本，及有可能導(dǎo)致的災(zāi)難性后果，組織仍然需要重視這一問(wèn)題，在此情況下，攻擊面管理(簡(jiǎn)稱(chēng)“ASM”)等新興技術(shù)有了用武之地。ASM是一種技術(shù)，通過(guò)挖掘互聯(lián)網(wǎng)數(shù)據(jù)集和證書(shū)數(shù)據(jù)庫(kù)，或模擬采用偵察技術(shù)的攻擊者，來(lái)全面分析組織資產(chǎn)。這兩種方法都包括掃描組織的域、子域、IP、端口和影子IT等，以查找面向互聯(lián)網(wǎng)的資產(chǎn)，并對(duì)它們進(jìn)行分析，以發(fā)現(xiàn)漏洞和安全缺口。高級(jí)ASM可針對(duì)每個(gè)發(fā)現(xiàn)的安全缺口，為組織提供實(shí)用的應(yīng)對(duì)方法。ASM包括報(bào)告開(kāi)源情報(bào)(OSINT)功能—開(kāi)源情報(bào)可能用于社會(huì)工程攻擊或網(wǎng)絡(luò)釣魚(yú)活動(dòng)中，比如社交媒體上公開(kāi)的個(gè)人信息，甚至視頻、網(wǎng)絡(luò)研討會(huì)、公開(kāi)演講和會(huì)議內(nèi)容等材料。ASM的最終目的是，確保沒(méi)有暴露的資產(chǎn)未受監(jiān)控，并消除任何盲點(diǎn)。

首先，產(chǎn)品或服務(wù)必須具有供用戶(hù)大規(guī)模使用的API。在安全編排、自動(dòng)化和響應(yīng)(SOAR)市場(chǎng)出現(xiàn)之前，并不是所有的產(chǎn)品都為用戶(hù)提供了直接的API訪問(wèn)。預(yù)期的設(shè)想是：用戶(hù)將與儀表板或控制臺(tái)交互，應(yīng)用程序?qū)⒃趦?nèi)部處理所有API請(qǐng)求。但當(dāng)用戶(hù)開(kāi)始從幾十個(gè)產(chǎn)品中接收到數(shù)千個(gè)警報(bào)時(shí)，這種方法就不再是可行的網(wǎng)絡(luò)防御了。現(xiàn)在，大多數(shù)產(chǎn)品都期望并支持用戶(hù)某種程度的自動(dòng)化，但是用戶(hù)通過(guò)產(chǎn)品或服務(wù)提供的圖形界面手動(dòng)與應(yīng)用程序交互的最初設(shè)計(jì)原則，導(dǎo)致了不同程度的自動(dòng)化支持。許多產(chǎn)品現(xiàn)在都有兩個(gè)不同的API可用，一個(gè)設(shè)計(jì)用于與典型用戶(hù)交互，另一個(gè)設(shè)計(jì)用于支持組織管理功能和相關(guān)信息。在本文中，前者稱(chēng)為前端API，后者稱(chēng)為后端API。這種區(qū)別很重要，因?yàn)椴煌腁PI通常公開(kāi)不同類(lèi)型的信息和功能。因此，它們可能受到不同的許可限制，這些能力和訪問(wèn)選項(xiàng)上的差異可能會(huì)影響條件操作流程或復(fù)雜操作流程的自動(dòng)化，這需要結(jié)合調(diào)用前端和后端API來(lái)實(shí)現(xiàn)。

一.零信任將成為主流的網(wǎng)絡(luò)安全架構(gòu)

數(shù)字時(shí)代下，云大物移等新興技術(shù)的融合與發(fā)展使得傳統(tǒng)邊界安全防護(hù)理念逐漸失效，而零信任安全建立以身份為中心進(jìn)行動(dòng)態(tài)訪問(wèn)控制，必將成為數(shù)字時(shí)代下主流的網(wǎng)絡(luò)安全架構(gòu)。零信任是面向數(shù)字時(shí)代的新型安全防護(hù)理念，是一種以資源保護(hù)為核心的網(wǎng)絡(luò)安全范式。

二.人工智能催生新型網(wǎng)絡(luò)空間安全威脅

隨著人工智能技術(shù)的發(fā)展，攻擊者傾向于針對(duì)惡意代碼攻擊鏈的各個(gè)攻擊環(huán)節(jié)進(jìn)行賦能，增強(qiáng)攻擊的精準(zhǔn)性，提升攻擊的效率與成功率，有效突破網(wǎng)絡(luò)安全防護(hù)體系，對(duì)防御方造成重大損失。

三.量子技術(shù)為網(wǎng)絡(luò)空間安全技術(shù)的發(fā)展注入新動(dòng)力

應(yīng)對(duì)量子威脅的方法主要集中在發(fā)展量子密碼和后量子密碼這兩方面。量子密碼為提升信息安全保障能力提供了新思路。量子計(jì)算對(duì)傳統(tǒng)加密措施的影響源于其獨(dú)特的量子特性，如果發(fā)揮其正面功能，將這些特性用于構(gòu)造信息加密算法，量子計(jì)算所帶來(lái)的威脅或許能輕松應(yīng)對(duì)。