網路資安威脅
2022 年資安預測重點:駭客藉「四重勒索」擴大獲利、供應鏈成駭客攻擊新場域、個資外洩風險攀升
本文探討資安人員與決策者應該知道的幾個有關未來一年的趨勢科技資安預測，以便在各個資安層面上做出正確的決定。
隨著 新冠肺炎(COVID-19) 疫情的延燒，企業已經學會如何適應新的商業局勢來維持營運。就在全球疫情延燒超過一年之後，2022 年，企業將再次找到新的動力，在混亂的局勢當中繼續向前邁進。未來一年，企業機構將更重視混合上班模式以適應新的世界，同時也希望這場公衛危機能盡快邁入尾聲。但犯罪集團也會趁著這段轉型期間，結合各種全新及千錘百鍊的技巧來發動攻擊。
2022 年，網路上將前所未有地出現大量零時差漏洞攻擊技巧。當大型企業忙著對抗針對性攻擊的同時，工具精良的犯罪集團將利用大眾化駭客工具成功入侵中小企業。此外，網路犯罪集團還將覬覦目前正日益成長的連網汽車資料，並在地下市場上兜售這些資料。隨著企業的數位轉型腳步加快，犯罪集團將不斷開發各種新式攻擊，企業機構可採用一些資安最佳實務原則與解決方案來強化防禦以對抗威脅。
本文探討資安人員與決策者應該知道的幾個有關未來一年的 趨勢科技資安預測 ，以便在各個資安層面上做出正確的決定。隨著企業致力透過多元化與區域化來建立更穩固的供應鏈，企業勢必採取零信任原則來提升環境的安全。
而就在企業試圖進行供應鏈的轉型之際，全球供應鏈將成為網路犯罪集團四重勒索伎倆的目標
犯罪集團將大量運用四重勒索的伎倆，對原本就因疫情而大受打擊的供應鏈造成更大衝擊。所謂的「四重勒索」包括：(1) 挾持受害者的關鍵資料來勒索贖金，(2) 威脅要將這些資料外流並公開，(3) 威脅要對受害企業的客戶不利，(4) 攻擊受害企業的供應鏈或廠商。經由這樣的手法，歹徒就能挾持供應鏈企業的關鍵資料、癱瘓其生產設備，甚至直接連絡企業的客戶和利害關係者，藉此逼迫企業支付大筆贖金。
未來一年，企業將藉由多元化策略來穩固其供應鏈，所以犯罪集團會趁著企業與新合作夥伴彼此磨合的期間發動針對性攻擊。針對這點，企業可採用零信任資安模式來提升供應鏈多元化的安全性，在單一連線期間不斷重複認證來確保互動與資料交換的安全。企業將必須確實做好雲端資安的基本功以保障其環境安全，防範各式各樣的雲端威脅，將風險控制在可管理的程度。
雲端駭客將謀定而後動，一方面將跟隨著科技的潮流而朝上游移動，另一方面將繼續採用通過驗證的攻擊技巧來攻擊採用雲端的企業。
2022 年，犯罪集團不僅將使用各種經過千錘百鍊的攻擊技巧，更將跟上科技發展的最新潮流來掌握先機。網路犯罪集團通常偏愛一些屢試不爽的攻擊策略，為了駭入雲端應用程式和服務，犯罪集團會繼續使用一些不太費力卻經常奏效的策略，例如：利用網路釣魚郵件來竊取登入憑證、攻擊已知的漏洞、使用從不更換的存取金鑰、不安全的容器映像以及缺乏安全防護的機密資訊。
不僅如此，犯罪集團還會運用新的技術來從事犯罪，例如，他們的攻擊也開始朝應用程式開發流程的上游移動。今日的駭客已經開始攻擊 DevOps 工具以及雲端內的整合式開發環境 (IDE)。2022 年，他們將繼續將攻擊 DevOps 開發流程，瞄準供應鏈、Kubernetes 環境以及基礎架構程式碼 (IaC) 部署環境。
為了確保雲端環境的安全，企業應做好雲端資安的基本功，了解並落實責任共同分擔的資安架構、套用優良框架架構 (well-architected framework)、採用加密、修補系統，以及導入適當的專業技能。除此之外，也應對於程式開發系統實施更嚴格的資安程序。為了持續防範不斷演變的勒索病毒威脅，企業將採取嚴格的伺服器強化與應用程式控管政策來保障伺服器安全。
伺服器將成為勒索病毒的主要戰場
我們預料，2022 年的勒索病毒威脅情勢將出現兩項重大發展。第一，勒索病毒攻擊將更具針對性且威力更強。勒索病毒集團所採用的手法、技巧與程序 (TTP) 或許大致上會維持不變，但他們將挑選更複雜的目標，可能會挑選比以往幾年的主要目標更大的目標下手。由於現代化勒索病毒 相對較新，因此企業很可能尚未投入足夠的資金來為伺服器建置與端點相同等級的勒索病毒防護與防禦。
我們預料的第二個發展方向是，勒索病毒集團將使用更多精密的現代化勒索手法，類似國家級駭客所用的持續性滲透攻擊 (APT) 手法，直接竊取機密的資料，然後就向受害企業勒索，完全略過將資料加密的步驟。在這樣的發展下，駭客的重點將不在於讓企業無法存取關鍵資料，而是將資料外洩或是從偷來的資料當中尋找可進一步利用的情報。此外我們也預料，隨著越來越多企業移轉至雲端，雲端將成為網路犯罪集團更有利可圖的目標。
以上有關勒索病毒的預測是根據我們今年觀察到的資安事件，為了防範各式各樣的勒索病毒攻擊以保障伺服器安全，企業應落實資安最佳實務原則，包括嚴格遵守各種伺服器強化政策來保護所有相關的作業系統和應用程式。
如欲進一步了解我們對於 2022 年資安問題及挑戰的各項預測，以及我們建議企業應採取哪些策略來確保環境與系統的安全，請閱讀我們的完整報告「 資安新動力：趨勢科技 2022 年資安預測」。
原文出處：Pushing Forward:Key Takeaways From Trend Micro’s Security Predictions for 2022