世界經(jīng)濟(jì)論壇(WEF)最新的全球網(wǎng)絡(luò)安全展望2024年洞察報(bào)告提供了對(duì)網(wǎng)絡(luò)不平等、網(wǎng)絡(luò)保險(xiǎn)、網(wǎng)絡(luò)技能短缺、實(shí)現(xiàn)網(wǎng)絡(luò)韌性和構(gòu)建更好的網(wǎng)絡(luò)生態(tài)系統(tǒng)方面日益擴(kuò)大的差距的洞察。在如何以零信任的方式彌合這些差距方面做出規(guī)定，將使世界經(jīng)濟(jì)論壇的網(wǎng)絡(luò)安全愿景報(bào)告變得完整。

埃森哲和世界經(jīng)濟(jì)論壇合作進(jìn)行了這項(xiàng)研究，該研究基于對(duì)49個(gè)國(guó)家的高管的采訪。主要發(fā)現(xiàn)包括：

地緣政治及其持續(xù)的不穩(wěn)定是全球?qū)用嫔献畲蟮木W(wǎng)絡(luò)安全驅(qū)動(dòng)因素，共有70%的領(lǐng)導(dǎo)人表示，這一因素影響了他們公司的網(wǎng)絡(luò)安全戰(zhàn)略。

當(dāng)涉及到GenAI時(shí)，攻擊者將占據(jù)上風(fēng)。大約一半的人認(rèn)為，未來(lái)兩年，GenAI將成為網(wǎng)絡(luò)安全領(lǐng)域最具影響力的技術(shù)。略高于多數(shù)(55.9%)的人認(rèn)為，GenAI將為攻擊者提供整體網(wǎng)絡(luò)優(yōu)勢(shì)，而35.1%的人認(rèn)為它將保持對(duì)防御者的平衡。27%的受訪CISO將在其安全運(yùn)營(yíng)中使用GenAI，以提供警報(bào)和事件的數(shù)據(jù)豐富。大多數(shù)網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者認(rèn)為，企業(yè)將在AI競(jìng)爭(zhēng)中失利。

領(lǐng)導(dǎo)人擔(dān)心LLMS變得更加武器化，以及Gen AI被用來(lái)創(chuàng)建攻擊工具和應(yīng)用程序。媒體VentureBeat繼續(xù)看到這一趨勢(shì)的加速，證實(shí)了武器化的LLM時(shí)代已經(jīng)到來(lái)。領(lǐng)導(dǎo)人還擔(dān)心GenAI和LLMS如何被用于創(chuàng)建攻擊產(chǎn)品和服務(wù)，包括勒索軟件即服務(wù)和FraudGPT。攻擊者正在使用ChatGPT對(duì)大規(guī)模的社會(huì)工程攻擊進(jìn)行微調(diào)，并挖掘數(shù)據(jù)以發(fā)起鯨魚釣魚攻擊。Ivanti發(fā)布的《2023年安全準(zhǔn)備狀況報(bào)告》發(fā)現(xiàn)，近三分之一的首席執(zhí)行官和高級(jí)管理層成員曾通過(guò)點(diǎn)擊相同的鏈接或匯款的方式，成為網(wǎng)絡(luò)釣魚詐騙的受害者。

幾乎每一位高級(jí)領(lǐng)導(dǎo)人都知道，有一位業(yè)內(nèi)同行的公司遭到入侵。絕大多數(shù)公司(98%)與至少三分之一的公司有關(guān)系，這些公司在過(guò)去兩年中經(jīng)歷過(guò)入侵。

絕大多數(shù)領(lǐng)導(dǎo)人(73%)表示，他們正在強(qiáng)調(diào)網(wǎng)絡(luò)安全基礎(chǔ)，以縮小安全差距。有一小部分人(13%)認(rèn)為人為錯(cuò)誤將是未來(lái)12個(gè)月其公司中發(fā)生漏洞的主要原因。

彌合信任缺失需要從零信任開始

數(shù)十家公司從未報(bào)告過(guò)勒索軟件攻擊，特別是在制造業(yè)，因?yàn)樗鼈兿Ｍ３止?yīng)商、投資者和客戶的信任。

勒索軟件攻擊去年激增，新的社會(huì)攻擊也在增加，這些攻擊利用了幫助臺(tái)對(duì)黑客的固有信任，這些黑客打電話給他們的同事，并冒充他們的同事獲得登錄憑據(jù)。民族國(guó)家攻擊者正在微調(diào)他們的交易技巧，以發(fā)動(dòng)利潤(rùn)豐厚的勒索軟件攻擊，目的是竊取數(shù)十億比特幣，為他們的導(dǎo)彈計(jì)劃提供資金，并創(chuàng)建巨大的地下網(wǎng)絡(luò)來(lái)清洗加密貨幣。

“勒索軟件防御不是你在受到攻擊時(shí)所做的事情，勒索軟件防御看起來(lái)很像在你的環(huán)境中每天都做正確的安全工作 - 從身份和機(jī)密管理到配置基礎(chǔ)設(shè)施，再到管理數(shù)據(jù)保護(hù)和備份” CISO Merritt Baer在去年年底接受VentureBeat采訪時(shí)建議道。

在零信任的基礎(chǔ)上全力以赴，首先假設(shè)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施已經(jīng)被攻破，需要遏制入侵。假設(shè)各種各樣的入侵企圖和勒索軟件攻擊是不可避免的，這是零信任的基石之一。

通過(guò)假設(shè)所有設(shè)備、終端、身份、系統(tǒng)和用戶在默認(rèn)情況下都不受信任，并且需要身份驗(yàn)證和持續(xù)驗(yàn)證，則實(shí)現(xiàn)了對(duì)每個(gè)用戶、會(huì)話和資源請(qǐng)求的信任。NIST 800-207標(biāo)準(zhǔn)為希望采用該框架的公司提供了一個(gè)有用的框架。

John Kindervag在Forrester工作期間創(chuàng)建了零信任框架，他在去年的一系列采訪中告訴VentureBeat，“你從一個(gè)保護(hù)面開始。我已經(jīng)看過(guò)了，如果你還沒(méi)有看過(guò)，那就是零信任學(xué)習(xí)曲線。你不是從一項(xiàng)技術(shù)開始的，這是對(duì)這一點(diǎn)的誤解。當(dāng)然，供應(yīng)商希望出售這項(xiàng)技術(shù)，因此(他們說(shuō))你需要從我們的技術(shù)開始。這些都不是真的。你從一個(gè)受保護(hù)的表面開始，然后你弄清楚[這項(xiàng)技術(shù)]。”

以零信任完成世界經(jīng)濟(jì)論壇愿景

埃森哲和世界經(jīng)濟(jì)論壇的富有洞察力的研究進(jìn)一步幫助彌合了公司、行業(yè)和客戶關(guān)系中的信任差距，VentureBeat使用零信任原則完成了對(duì)調(diào)查數(shù)據(jù)的分析。

以下是世界經(jīng)濟(jì)論壇關(guān)于網(wǎng)絡(luò)安全的愿景需要以零信任的方式以及在哪里得到加強(qiáng)：

用零信任框架確保軟件供應(yīng)鏈的安全需要成為更高的優(yōu)先事項(xiàng)——世界經(jīng)濟(jì)論壇寫道：“當(dāng)涉及到供應(yīng)鏈，這是需要最多協(xié)作的領(lǐng)域之一時(shí)，54%的公司未能充分了解其供應(yīng)鏈中的網(wǎng)絡(luò)脆弱性——這一點(diǎn)就是明證。大公司和中小公司之間的網(wǎng)絡(luò)成熟度差距正在不斷拉大，形成了系統(tǒng)性的供應(yīng)鏈安全風(fēng)險(xiǎn)?！笔┠偷码姎馊駽ISO和CPSO負(fù)責(zé)網(wǎng)絡(luò)安全和產(chǎn)品安全的高級(jí)副總裁Christophe Blassiau表示，全球公司必須在提高規(guī)模較小的合作伙伴的標(biāo)準(zhǔn)方面發(fā)揮更大的作用，以防止它們成為威脅載體。

最低權(quán)限訪問(wèn)。作為零信任標(biāo)準(zhǔn)的核心要素，世界經(jīng)濟(jì)論壇報(bào)告稱，網(wǎng)絡(luò)韌性日益重要。采取行動(dòng)以獲得更大的彈性，首先授予每個(gè)會(huì)話所需的最低特權(quán)訪問(wèn)權(quán)限。

微分段。建立一個(gè)正確的零信任框架的賭注這被認(rèn)為是任何零信任倡議在規(guī)模上到位最困難的方面之一。Holmes在Illumio的一次網(wǎng)絡(luò)研討會(huì)上說(shuō)，“如果你不做微細(xì)分，你將無(wú)法真正可信地告訴人們，你做了一次零信任之旅。如果你在某個(gè)地方有一個(gè)物理網(wǎng)絡(luò)，我最近和某人交談時(shí)，他們有一句很棒的話，他們說(shuō)，‘全球2000年將永遠(yuǎn)有一個(gè)物理網(wǎng)絡(luò)?！耶?dāng)時(shí)就想，你知道嗎?他們可能是對(duì)的。在某種程度上，你將需要對(duì)其進(jìn)行微細(xì)分。否則，你就不是零信任?！?/p>

多因素身份驗(yàn)證(MFA)。正確的MFA需要從將其設(shè)計(jì)到工作流中并將對(duì)用戶體驗(yàn)的影響降至最低開始。VentureBeat了解到，CIO和CISO正在推動(dòng)基于身份的安全意識(shí)，同時(shí)考慮無(wú)密碼技術(shù)如何減輕對(duì)長(zhǎng)期MFA的需求。領(lǐng)先的無(wú)密碼身份驗(yàn)證提供商包括依萬(wàn)提的零登錄(ZSO)、Microsoft Azure Active Directory(Azure AD)、OneLogin Workforce Identity、Thales SafeNet Trusted Access和Windows Hello for Business。隨著更多的勞動(dòng)力保持虛擬狀態(tài)，在移動(dòng)設(shè)備上執(zhí)行身份管理已成為一項(xiàng)核心要求。

持續(xù)監(jiān)測(cè)和評(píng)估。該報(bào)告強(qiáng)調(diào)了進(jìn)行持續(xù)監(jiān)測(cè)和評(píng)估的必要性，發(fā)現(xiàn)29%的公司報(bào)告在過(guò)去12個(gè)月中受到網(wǎng)絡(luò)事件的重大影響。正如思科安全與協(xié)作執(zhí)行副總裁兼總經(jīng)理Jeetu Patel在他最近的世界經(jīng)濟(jì)論壇文章中所寫的那樣，“AI可以從海量數(shù)據(jù)中學(xué)習(xí)，以了解惡意行為的指標(biāo)。然后，AI可以分析加密的流量，以近乎實(shí)時(shí)的方式推斷異常行為，并自動(dòng)采取適當(dāng)?shù)男袆?dòng)。擁有這種級(jí)別的可見性對(duì)于正確地獲得零信任至關(guān)重要?！?/p>

零信任可以把信任變成商業(yè)加速器。歸根結(jié)底，網(wǎng)絡(luò)安全是一個(gè)商業(yè)決策。2024年，它將比以往任何時(shí)候都更多地受到風(fēng)險(xiǎn)降低潛力和為收入增長(zhǎng)做出貢獻(xiàn)的能力的評(píng)估。2024年，網(wǎng)絡(luò)安全預(yù)算將面臨新的審查，這將對(duì)整個(gè)行業(yè)產(chǎn)生反響。

安全領(lǐng)導(dǎo)者需要努力創(chuàng)建一個(gè)統(tǒng)一的框架，該框架可以隨著其安全和治理需求的變化而適應(yīng)和靈活處理。零信任有效地實(shí)現(xiàn)了這兩個(gè)目標(biāo)。

追求零信任并確保每個(gè)終端、設(shè)備、網(wǎng)絡(luò)和身份都是可信任的，這是加速企業(yè)增長(zhǎng)的賭注，現(xiàn)在是時(shí)候把網(wǎng)絡(luò)安全投資視為客戶體驗(yàn)和保護(hù)收入的關(guān)鍵了。