網絡風險成為2022年全球商業領域關注的首要問題

根據保險機構安聯公司日前發布的風險晴雨表，網絡風險成為2022年全球企業最擔心的問題。由于新冠疫情、數據泄露或重大IT中斷的威脅，使企業更擔心業務和供應鏈中斷、自然災害或疫情大流行，這些不利因素在過去一年中對企業運營影響很大。

在安聯公司的調查中，網絡安全事件第二次位居榜首(44%的受訪者認為至關重要)。業務中斷緊隨其后，名列第二(42%);自然災害排名第三(25%)，高于2021年的第6位。氣候變化從第9位上升至第6位(17%)，創下歷史新高，而疫情大流行則降至第4位(22%)。

這項調查匯集了來自全球89個國家和地區的2650名專家的觀點，這些專家包括首席執行官、風險經理、經紀人和保險專家。

AGCS公司首席執行官Joachim Mueller總結說，“業務中斷可能仍是2022年的主要潛在風險主題。對于大多數企業來說，最主要的擔憂是由于各種項目無法正常生產或提供服務。由于各種觸發因素，2021年遭到了前所未有的破壞。例如，嚴重的網絡攻擊、許多與氣候變化相關的天氣事件對供應鏈的影響，以及與疫情相關的制造問題和運輸瓶頸造成了嚴重破壞。

普普點評

在大多數接受調查的國家和地區，網絡攻擊事件被列為最主要的風險。其主要驅動因素是勒索軟件攻擊最近的激增，57%的受訪者認為這是未來一年的最大的網絡威脅。對于網絡犯罪分子來說，勒索軟件已經成為一項大生意，他們正在改進策略，降低進入門檻，只需很少訂閱費和很少的技術知識就可以實施網絡攻擊。網絡犯罪的商業化使得大規模利用漏洞變得更加容易。

元宇宙為網絡攻擊做好準備了嗎？

去年3月，元宇宙概念股羅布樂思(Roblox)在美國紐約證券交易所正式上市;5月，Facebook表示將在5年內轉型成一家元宇宙公司;8月，字節跳動斥巨資收購VR創業公司Pico……2021年，元宇宙無疑成為了科技領域最火爆的概念之一。雖然它只是一個想法，但發展勢頭很猛。它結合了增強現實和虛擬現實，是另一種數字現實，人們在其中工作、娛樂和社交，是繼互聯網之后的一大熱門。

然而在其成為一大潮流時，伴隨而來的一大挑戰是，如何應對網絡攻擊。

元宇宙好比是共享的虛擬空間，人們由數字化身(avatar)來代表，這個虛擬世界的壯大和發展，取決于其中的社會做出的決定和行動。它是現實世界新的一對一數字副本，可搜索、可點擊、機器可讀。隨著虛擬世界變得更具交互性，人們必須對其在這個世界的行動和行為負責。這就需要考慮網絡安全，即使元宇宙數年后才會成為現實，也要為網絡攻擊做好準備。

現在的問題是元宇宙是否準備好應對網絡攻擊，無論有沒有準備好，網絡攻擊都會到來。因為元宇宙是一種熱門商品，是網絡攻擊的完美目標。

普普點評

當前，新技術不斷發展和變化，網絡安全很難跟上步伐。元宇宙最終可能會面臨網絡安全事件和數據泄露的挑戰，我們可能會看到更多類似科幻的攻擊(比如化身被黑)。這些事件可能更難識別、驗證和加以控制，而且很難在向用戶和數據保護機構通知泄密事件方面確定責任界限?，F在還很難說該如何防范未來對元宇宙的所有網絡攻擊。

Fortinet 全球零信任態勢報告：超半數企業組織在搭建零信任架構時面臨挑戰

在網絡安全領域，零信任（zero-trust）安全概念早已風靡多年，多數網絡安全權威專家對零信任安全理念表示高度認同。盡管一些組織已經構建了某種形式的零信任安全體系愿景，遺憾的是，這些愿景或規劃并不足以支撐相關的解決方案付諸實踐。不僅如此，甚至關于如何定義零信任戰略，用戶也普遍存在困惑。零信任安全的未來已來，組織應當對其有正確認知并盡快付諸實施。

據Fortinet最新發布的全球零信任態勢報告顯示，對于零信任戰略，77%的受訪者表示他們對零信任有所了解，75%的受訪者則表示他們熟悉零信任網絡訪問（ZTNA）概念。超過 80% 的受訪者表示，他們已經構建或正在構建零信任和/或零信任網絡訪問（ZTNA）戰略。然而，依然有超 50% 的受訪者認為，他們尚不具備實施零信任核心功能的組網能力。近 60% 的受訪者表示，他們無法持續對用戶和設備進行身份驗證，還有54% 的受訪者表示難以在身份驗證后對用戶和設備進行監控和管理。

受訪者普遍對于零信任缺乏全面的認知，由于認知不足造成的安全能力短板情況嚴峻，令人擔憂。這些缺失的能力恰是保障零信任戰略順利實施的關鍵所在。

普普點評

高效的零信任解決方案作為一個全面集成系統協同工作所具備的基本要素，能夠抵御組織所面臨的各種安全防護和管理漏洞。例如，全面集成零信任策略、端點防護以及網絡安全解決方案的Fortinet Security Fabric 安全架構，可在跨分布式網絡環境下自動追蹤用戶，輸出高質量威脅情報信息，構建積極主動的安全防御體系。

Check Point 軟件技術公司 2022 年安全報告：全球網絡安全事件分析

2021 年，全球各地企業與機構遭到的網絡攻擊較 2020 年平均增長 50%。教育和研究部門成為重災區，平均每周遭受 1,605 次攻擊。軟件廠商遭受的攻擊數量增長 146%，同比增長幅度創歷史新高。

2022 年 1 月 21 日 -- 全球領先網絡安全解決方案提供商 Check Point? 軟件技術有限公司（納斯達克股票代碼：CHKP）的威脅情報部門 Check Point Research (CPR) 發布了其《2022 年安全報告》。報告揭示了 CPR 在 2021 年觀察到的關鍵攻擊向量和技術，其中包括年初空前復雜和廣泛的 SolarWinds 攻擊與年末大規模爆發的 Apache Log4j 漏洞攻擊。

2021 年，全球企業與機構每周遭受的網絡攻擊較 2020 年增長了 50%。其中教育/研究部門首當其沖，每周遭受 1,605 次攻擊（增長 75%）。其次是政府（每周 1,136 次，增長 47%）和通信相關機構（每周 1,079 次，增長 51%）。軟件廠商所遭受的攻擊同比增長幅度最大 (146%)，這與 2021 年觀察到的軟件供應鏈攻擊不斷增長的趨勢一致。去年，移動設備攻擊不斷升級，主要云服務漏洞日益增加，臭名昭著的 Emotet 僵尸網絡卷土重來。

普普點評

隨著世界各地的政府和執法機構采取了更強硬的態度，嚴厲打擊勒索軟件組織，勒索軟件生態系統正開始瓦解。一些令人震驚的網絡事件讓各國政府意識到，與其亡羊補牢、被動應戰，不如主動出擊消滅網絡風險。這種理念也同樣適用于企業，脫節、孤立、被動的防御方法并不可取，全方位的可視性、實時的威脅情報以及能夠整體調度的安全基礎設施才是良藥。

截至2021年底我國每萬人擁有5G基站數達10.1個

工業和信息化部近日發布《2021年通信業統計公報》(以下簡稱《公報》)，顯示截至2021年底，我國累計建成并開通5G基站142.5萬個，總量占全球60%以上，每萬人擁有5G基站數達到10.1個。

《公報》指出，2021年通信業發展質量進一步提升，5G、千兆光網等新型信息基礎設施建設覆蓋和應用普及全面加速，移動互聯網流量持續快速增長，行業綜合價格下降，同時業務收入保持增長，為“十四五”發展奠定堅實基礎。

數據顯示，2021年，我國電信業務收入累計完成1.47萬億元，比上年增長8.0%，實現自2014年的8年來較高增長水平，增速較上年提高4.1個百分點。其中，云計算、大數據、數據中心等面向企業的新興數字化服務快速發展，收入比上年增長27.8%，拉動電信業務收入增長3.6個百分點，對電信業務收入增長貢獻率上升至44.5%，成為收入增長第一拉動力;固定、移動數據及互聯網業務繼續發揮穩定器作用，收入占比為61.5%，對電信業務收入增長貢獻率為39.4%。按照上年不變單價計算，全年電信業務總量完成1.7萬億元，比上年增長27.8%;按電信業務總量和收入測算，電信業綜合價格比上年下降13.6%。

普普點評

據了解，2021年，全行業加快“雙千兆”建設，推動國家大數據中心發展，構建云網融合新型新型基礎設施，賦能社會數字化轉型的供給能力不斷提升。此外，2021年，通信行業開展了面向老年人等特殊群體適老化改造，持續開展精準降費、互聯網行業專項整治和APP專項整治工作，不斷提升服務水平。通信大數據在高效支撐常態化疫情防控發揮重要作用，有力服務經濟社會大局。

網絡安全與自動化威脅情報共享優秀做法

許多組織選擇通過多種方式共享網絡威脅情報(Cyber Threat Intelligence, CTI)訂閱各種信息源，其中包括妥協指標方案(Indicators of Compromise, IOC)。在當前市場上，威脅情報最普遍的使用場景是利用IOC情報(Indicators of Compromise, IOC)進行日志檢測來發現內部重要風險。這種方式可以發現傳統安全產品無法發現的很多威脅，并且因為這其中大多是已經被成功攻擊的操作，所以“亡羊補牢”對于安全運營仍會有較大的幫助。

IOC信息通常通過信息共享和分析中心或組織(Information Sharing and Analysis Center or Organization, ISAC/ISAO)來傳播。在這些信息流中尋找可操作、實用的IOC是一個重大挑戰，只有實用的IOC才能為網絡防御提供實質性的好處，然而即使是實用的IOC中大部分也通常在未使用或丟失直到不再有價值時才使用，此時網絡攻擊者往往會迅速停止使用特定IOC。

通過多項研究和試點工作，約翰·霍普金斯大學申請的應用物理實驗室(Applied Physics Laboratory, APL)已成功部署威脅源，可在幾分鐘內收集、提取、識別可操作的IOC，并將其共享給共享組織，如ISAC或ISAO，該方法被稱為基于“無悔”策略的方法。

普普點評

“無悔”策略的使用能夠提取運營成本中目前被網絡防御行動忽視的許多CTI的價值。它不是一個靈丹妙藥，它不會捕獲從CTI的積極分析中得出的見解，但它可以提供社區成員可在其安全操作中使用的可操作數據，以破壞針對其網絡的惡意活動。簡而言之， “無悔”策略的價值之處在于低影響下的自動處理，因此對實時性支持較好，有利于威脅的快速發現與響應。

安全“左移”將成為2022年云安全熱議話題

安全“左移”是IT開發和DevOps人員使用的專業術語，用于描述將安全測試和安全技術向軟件開發周期上游移動。當前，安全“左移”已經成為軟件行業的共識，因為在軟件開發生命周期早期修復漏洞遠比在后期進行補救更加省時省力。在云安全領域，安全“左移”需要把更多的自動化、安全和網絡功能直接融入到應用程序開發中，以便安全人員根據應用程序要求，編排和自動化基礎架構，包括安全性。這個概念在業內又叫“X即代碼”模型(網絡即代碼和安全即代碼等)。

日前，在舉行的NetEvents Interactive網絡研討會上，安全“左移”這個主題備受矚目，風險投資公司DNX Ventures執行合伙人Hiro Rio Maeda表示：“當今網絡界的兩大主題是供應鏈風險以及如何在應用程序構建的早期階段確保安全——換句話說，我們稱之為網絡安全界中的‘左移’?！?/span>

NetFoundry創始人兼首席執行官Galeal Zino贊同這一說法。他表示：“除非可以將網絡和安全移到開發交付生命周期的核心……否則事后添加安全為時已晚?！盡aeda提到的供應鏈風險在SolarWinds黑客事件中盡顯無遺，當時不法分子將惡意代碼插入到軟件更新中。

普普點評

許多安全工具旨在事后檢測泄密或威脅，但這時壞人早已潛入系統，可能已經造成了威脅。安全“左移”是可以在開發早期階段實施安全代碼和策略，比如零信任策略方法，可以驗證來自多個途徑的代碼和更改，在惡意程序添加進來之前就阻止威脅。在不斷倡導加速軟件開發流程的環境、尤其在云端——即所謂的持續集成和交付服務(CI/CD)中，非常需要這種方法。