2020年IT安全的7個預測

段鐵興

在2020年，至關重要的是我們要確保在威脅造成損害之前，盡一切努力將其阻止，以下是2020年安全實踐標準的一些預測：

1.錯誤配置的云計算資源仍然是一個問題

組織在2019年面臨的一些較大的IT安全挑戰源于對云計算資源的管理不善。例如，Amazon S3存儲桶多次錯誤配置，或者在完成工作之后很長時間仍處于打開狀態，看來這一趨勢在2020年仍然是一個問題。

展望未來，組織可以選擇標準化的存儲方法獲得幫助，而不必采用更為獨特或定制的方法。通過選擇標準工具，組織選擇的云計算提供商將能夠幫助其了解可能發生的故障以及如何修復。盡管不能完全消除問題，但隨著新一年的進展，可確實采取正確的步驟來減少錯誤配置云計算資源的可能性。

2.第三方安全的風險將會增加

組織在努力確保內部系統安全的同時，技術供應鏈中來自第三方的風險將繼續增加。組織已修補的漏洞可能會被從第三方供應商中打開，從而打開了組織的網絡后門，這也是一個數據安全問題。例如，一家組織可能會將一部分人力資源職能外包給第三方公司，組織需要非常了解與第三方共享什么類型的數據以及如何使用這些數據，必須采取額外的預防措施來保護敏感數據。

組織需要關注要保護的數據類型。可以訪問員工數據進行處理的第三方，與可以訪問市場營銷數據庫以進行對外銷售活動的第三方之間存在著很大差異。員工記錄可能包含個人詳細信息，例如需要阻止黑客入侵的稅務檔案編號，使用數據分類策略可幫助組織確定數據優先級。組織在2020年需要花費時間了解第三方供應商的安全性，以及在組織中存在的數據，這將使企業對潛在風險有更全面的了解，包括如何以及在何處共享數據。

3.持續發展的物聯網使更復雜的攻擊隨之增長

隨著物聯網的持續增長并成為IT領域的重要組成部分，物聯網設備發生重大漏洞的風險正在急劇增加，這在很大程度上是由于物聯網制造商并未將物聯網安全放在首位。有數據表明，物聯網設備本身嚴重缺乏安全性，這一事實不會很快改變。

2019年上半年的網絡攻擊相對來說并不復雜，但網絡攻擊者將繼續改進技術，使攻擊更具破壞性。物聯網設備用于關鍵應用中，出現漏洞只會對組織產生不利影響，但人們的健康可能會受到危害，例如在連接胰島素泵或關鍵基礎設施。

根據摩爾定律，處理器芯片每18個月運算能力就會增加一倍，但不幸的是，物聯網安全并未以類似的速度發展。在2020年，組織將需要了解與網絡連接的內容以及網絡的保護方式，修補物聯網設備漏洞需要成為組織IT優先事項。

4.安全問題將會影響組織的發展

盡管媒體的注意力集中在引人注目的網絡漏洞上，但沒有檢測出來的漏洞應引起更大關注，遭受破壞的小型組織如果遭受嚴重的數據或IP損失，將會無法恢復。

由于沒有大型組織的巨額預算，小型組織對于尋求經濟利益或損害聲譽的黑客來說是容易攻擊的目標。在過去的幾年中，人們看到了常見密碼的統計模型，還發現不良行為者會使用這些已知的密碼和帳戶嘗試進行低速和慢速登錄攻擊。

考慮到這一點，更多成熟的組織把更多的數據和應用程序遷移到云平臺中。這時，組織計劃需要就哪些數據應移至云平臺以及如何在其中進行安全保護做出明智的決策。

5.安全人員短缺將找到新的創造性方法來減輕負擔

鑒于一些組織無法找到和保留所需的安全專家，并且預算也受限制的事實，2020年將出現更多具有創造性的方法。網絡和安全團隊之間更加依賴團隊方法帶來更多成功的結果。幫助團隊分析網絡數據以檢測威脅和性能問題的單一觀點將加快運營速度，并降低平均修復時間（MTTR）。

云計算安全聯盟的云計算控制矩陣為組織考慮，將其數據移至云平臺提供了明確的指導原則。諸如美國國家標準技術研究院（NIST）網絡安全框架之類的框架可以指導有關安全性的活動。

6.密碼仍然是比較薄弱的環節

多年來，密碼在數據安全方面提供了相對一致的保護，在2020年，將考慮全面部署多因素身份驗證。

研究機構正在推廣高級保護措施，例如采用谷歌公司的USB-C Titan Key固件，該固件密封在硬件芯片中，這種芯片使密鑰更能抵御物理攻擊。這樣的方法可以顯著加強對關鍵數據存儲的保護。

7. DoH的意識和使用將越來越廣泛

2020年將增加DNS-over-HTTPS（DoH）的采用。這涉及兩大技術趨勢。首先是在全球互聯網和組織網絡內部加密的使用越來越多；第二種是發生在新技術上所謂的“隱私清洗”。

迄今為止，瀏覽器供應商已將DoH定位為用戶的隱私增強功能。此更改的實際效果是將域名系統（服務）協議（DNS）移出操作系統，并移入瀏覽器應用程序的控制權。最終結果是減少或模糊了用戶在如何處理其數據方面的選擇，同時只提供適度的安全性和隱私利益。

在2020年期間，需要仔細評估DoH，并確定如果部署將為企業帶來什么價值。

組織對加強安全性越來越精明，但是隨著技術發展，黑客也越來越聰明。重要的是要對組織目前的狀況進行盤點，并評估在2020年可以采取哪些不同的措施來保護組織的業務。

總之，這些趨勢將有助于組織在2020年內塑造自己的網絡安全方法，現在是專注于組織所面臨的未來，以便更好地應對新挑戰的時候了。