一、網(wǎng)絡(luò)安全專(zhuān)業(yè)從業(yè)者將受到各類(lèi)法律規(guī)定困擾

作為持續(xù)爭(zhēng)議和辯論的源頭，《加利福尼亞消費(fèi)者隱私法案》(CCPA)于2019年1月11日最終定稿。

該法案旨在保護(hù)加利福尼亞人個(gè)人數(shù)據(jù)，防止個(gè)人數(shù)據(jù)被肆無(wú)忌憚的網(wǎng)絡(luò)犯罪分子誤用或未經(jīng)許可的使用。法案規(guī)定每項(xiàng)故意違法行為最高可處以7500美元的罰款，每起非故意違規(guī)行為可處以2500美元的罰款。

該法對(duì)處理或管理加利福尼亞居民個(gè)人數(shù)據(jù)的組織具有強(qiáng)制性，無(wú)論該居民是否位于加利福尼亞州。類(lèi)似于歐盟GDPR，加利福利亞居民被賦予了一系列權(quán)利來(lái)控制其個(gè)人數(shù)據(jù)及其最終使用。

問(wèn)題在于，如果每個(gè)美國(guó)州都制定自己的州隱私法，則僅在美國(guó)領(lǐng)土上就必須遵守50多個(gè)重疊的隱私法，有時(shí)甚至是相互矛盾的法規(guī)，否則將面臨嚴(yán)厲的經(jīng)濟(jì)處罰甚至刑事訴訟。

區(qū)域、國(guó)家和跨國(guó)法規(guī)的迅速發(fā)展使情況更加惡化，2020年可能成為網(wǎng)絡(luò)安全合法性受到影響并開(kāi)始迅速崩潰的一年。鑒于一方面司法系統(tǒng)更新緩慢，另一方面網(wǎng)絡(luò)安全技能不足且預(yù)算不足，網(wǎng)絡(luò)安全專(zhuān)業(yè)人員在工作中可能會(huì)開(kāi)始無(wú)視這些一系列復(fù)雜的法案。

二、第三方數(shù)據(jù)泄露將主導(dǎo)威脅格局

賽門(mén)鐵克表示，2019年供應(yīng)鏈攻擊上升了78%。一般來(lái)說(shuō)，優(yōu)秀的企業(yè)通常以較高的專(zhuān)業(yè)水平而著稱，他們會(huì)集中所有可用資源以在特定市場(chǎng)中實(shí)現(xiàn)卓越，從而超越競(jìng)爭(zhēng)對(duì)手。

因此，他們將大多數(shù)輔助業(yè)務(wù)流程外包給了熟練的供應(yīng)商和經(jīng)驗(yàn)豐富的第三方，從而降低了成本，提高了質(zhì)量并加快了項(xiàng)目交付速度。

問(wèn)題是，供應(yīng)商存在安全隱患，他們?cè)诟?jìng)爭(zhēng)激烈的全球市場(chǎng)中運(yùn)作，不會(huì)將太多精力放在網(wǎng)絡(luò)安全方面，因此很少能為客戶提供可觀的網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)水平。

IBM表示，2019年識(shí)別供應(yīng)鏈攻擊事件的平均時(shí)間高達(dá)206天。更糟的是，由于攻擊的復(fù)雜性和受害人缺乏相應(yīng)技能及意識(shí)，因此很少能檢測(cè)到此類(lèi)攻擊，最終這類(lèi)的攻擊往往由安全研究人員及相關(guān)媒體披露并報(bào)道。

網(wǎng)絡(luò)犯罪分子非常了解這種攻擊的有效性，并將繼續(xù)有目的地鎖定這一最薄弱的環(huán)節(jié)，以獲取你的數(shù)據(jù)，商業(yè)秘密和知識(shí)產(chǎn)權(quán)。

三、外部攻擊面將繼續(xù)擴(kuò)大

根據(jù)IDG的CSO Online，2019年有61%的組織經(jīng)歷了IoT安全事件。物聯(lián)網(wǎng)和連接設(shè)備的全球擴(kuò)散，公共云，PaaS和IaaS的使用極大地促進(jìn)了相關(guān)業(yè)務(wù)發(fā)展并實(shí)現(xiàn)了公司業(yè)績(jī)快速增長(zhǎng)。但隨之而來(lái)的 是Iot等設(shè)備擴(kuò)大了網(wǎng)絡(luò)犯罪分子攻擊面的問(wèn)題，而且會(huì)被掩蓋在高業(yè)績(jī)之下無(wú)人關(guān)注。

簡(jiǎn)單地說(shuō);外部攻擊面由攻擊者可以從Internet訪問(wèn)并屬于你組織的所有數(shù)字資產(chǎn)(也稱為IT資產(chǎn))組成。

傳統(tǒng)的數(shù)字資產(chǎn)(例如網(wǎng)絡(luò)或Web服務(wù)器)通常都有很多防御措施，但是RESTful API和Web服務(wù)，混合云應(yīng)用程序以及托管在外部平臺(tái)上的關(guān)鍵業(yè)務(wù)數(shù)據(jù)(新興的數(shù)字資產(chǎn)的幾個(gè)例子)，它們的攻擊面通常無(wú)人關(guān)注

由于你無(wú)法保護(hù)自己所不知道的東西，因此這些數(shù)字資產(chǎn)中的絕大部分都沒(méi)有以任何方式正確維護(hù)，監(jiān)視或保護(hù)。

流氓app，詐騙網(wǎng)站，釣魚(yú)網(wǎng)站和搶注網(wǎng)站使情況更加惡化，可通過(guò)適當(dāng)實(shí)施的域安全監(jiān)控來(lái)檢測(cè)到這種情況，這種監(jiān)控手段提供了一種防御方案，將會(huì)被越來(lái)越關(guān)注

總而言之，隨著技術(shù)升級(jí)，IT資源新增了許多未知因素(無(wú)論是內(nèi)部還是外部)，使得入侵將變得更加容易。

四、云配置錯(cuò)誤將會(huì)造成嚴(yán)重的數(shù)據(jù)泄漏事件

福布斯表示，到2020年，將有83%的企業(yè)工作負(fù)載轉(zhuǎn)移到云中。不幸的是，用于數(shù)據(jù)存儲(chǔ)和處理的云的穩(wěn)定增長(zhǎng)大大超出了負(fù)責(zé)云基礎(chǔ)架構(gòu)的IT人員所需的安全技能和足夠的培訓(xùn)。

Gartner報(bào)告說(shuō)，大約95%的云安全故障是由客戶而不是公共云基礎(chǔ)架構(gòu)的供應(yīng)商造成的。

不出所料，2019年重大數(shù)據(jù)泄露的很大一部分源于配置不當(dāng)?shù)脑拼鎯?chǔ)，暴露了大型科技公司和金融機(jī)構(gòu)的“皇冠上的寶石”。

在2019年7月，世界媒體報(bào)道了Capital One的數(shù)據(jù)泄露事件，這可能是美國(guó)金融領(lǐng)域最大的數(shù)據(jù)泄露事件，影響了大約1億美國(guó)人和600萬(wàn)加拿大人。。

據(jù)報(bào)道，攻擊者利用一個(gè)配置錯(cuò)誤的AWS S3存儲(chǔ)桶來(lái)下載無(wú)人監(jiān)管的極其敏感的數(shù)據(jù)。盡管Capital One估計(jì)只有1.5億美元的直接損失，但美國(guó)聯(lián)邦調(diào)查局(FBI)后來(lái)披露，有多達(dá)30個(gè)其他組織也可能因?yàn)橥瑯拥腁WS配置不當(dāng)而受到攻擊。

可以預(yù)見(jiàn)的是，在2020年，云安全事件將始終是數(shù)據(jù)泄露根源的重中之重。

五、密碼重用和網(wǎng)絡(luò)釣魚(yú)攻擊將激增

ImmuniWeb表示， 僅僅是《財(cái)富》500強(qiáng)中世界上最大的公司，你可能在2019年就能在黑暗網(wǎng)絡(luò)中搜出2100多萬(wàn)份有效憑證。

網(wǎng)絡(luò)罪犯更喜歡快速、無(wú)風(fēng)險(xiǎn)的攻擊，而不是耗時(shí)的APT攻擊、代價(jià)高昂的0days攻擊，或者是對(duì)SAP復(fù)雜漏洞的連續(xù)利用。

即使許多組織最終設(shè)法實(shí)現(xiàn)了可使用的身份和訪問(wèn)管理(IAM)系統(tǒng)，并使用了強(qiáng)大的密碼策略、MFA和對(duì)異常情況的持續(xù)監(jiān)控，但是很少有外部系統(tǒng)包括在受保護(hù)的范圍內(nèi)。

這些灰色地帶系統(tǒng)的范圍從SaaS CRM和ERP到彈性公共云平臺(tái)。即使攻擊者在暗網(wǎng)中發(fā)現(xiàn)或購(gòu)買(mǎi)的密碼是無(wú)效的，它們也為社會(huì)工程學(xué)攻擊、網(wǎng)絡(luò)釣魚(yú)和智能暴力破解攻擊提供了大量的幫助。

從技術(shù)角度看，這些攻擊乍一看相當(dāng)原始，但它們常常顯示出驚人的效率，并無(wú)情地破壞和削弱了組織的網(wǎng)絡(luò)安全防御能力。