小松樹 發達集團監事
來源:哈拉閒聊   發佈於 2022-11-22 07:40

2023年5大資安威脅公開,手法更難纏、贖金更多!怎麼辦?企業有3大解方

網路資安廠商Fortinet在本(11)月公布《2023全球資安威脅預測》,其中包含5點資安威脅趨勢,以及告訴企業組織相關的應對手法。

#資訊安全



「在整個網路領域,我們觀察到令人不安的趨勢,即各種類型的(資安)威脅變得越來越普及,例如勒索軟體即服務、針對智慧邊緣設備的資安攻擊。」網路資安廠商Fortinet在本月公布的《2023全球資安威脅預測》裡寫道。
在《2023全球資安威脅預測》中,主要由Fortinet的旗下團隊FortiGuard Labs策畫,首先回顧今年常見的資安攻擊手法,並且接續提出2023年的資安威脅趨勢,可分成以下5點:
威脅1:「網路犯罪即服務」超難纏,手法、贖金持續攀升
網路犯罪即服務,意思是: 有經驗的網路犯罪者,向他人出售執行網路犯罪時所需要的工具和知識。 如此一來,其他網路犯罪者不需要在前期投入時間和資源來部署攻擊計畫。

網路犯罪者在RaaS(Ransomware-as-a-service,勒索軟體即服務)手法上日漸猖獗,2021下半年只有5400個勒索軟體變種(variants),2022上半年則出現10666個新的勒索軟體變種。
掌握最新AI、5G、區塊鏈應用!免費訂閱《數位時代》日報及社群活動資訊



不僅如此,勒索「贖金」也持續攀升。根據美國金融犯罪執法局(FinCEN)報告指出,各組織在2021年上半年支付了近6億美元(換算約新台幣187億元)的贖金,幾乎超過前10年的總和。
對此,FortiGuard Labs預測未來將出現更多的網路犯罪者透過「暗網」(Dark Web)提供服務,除了出售勒索軟體與其他惡意軟體,也可能順勢發展出CaaS(Cybercrime-as-a-Service,網路犯罪即服務)的商業模式。
而對網路犯罪老手來說,打造與銷售「網路犯罪即服務」的攻擊產品,能夠以簡單、快速且重複性高的手法,輕鬆獲取高額利益與報酬。
威脅2:「偵察即服務」大行其道,使惡意攻擊的破壞效果更上層樓
偵查即服務(Reconnaissance-as-a-Service)意思是: 隨著資安攻擊變得更具針對性,駭客組織很可能在暗網上雇用「偵探」,並在發動攻擊行動前調查特定目標的相關情報 。
根據FortiGuard Labs形容,偵察即服務產品將提供一份完整的「攻擊藍圖」,其中包含企業安全架構、資安專責人員名單、內部伺服器數量、已知的外部漏洞,甚至是早已外洩的待售機敏資訊等等,來網路犯罪者實現具備高度針對性且更加有效的攻擊手段。
而為了將「網路犯罪即服務」帶來的威脅降至最低,FortiGuard呼籲組織必須結合欺敵策略與數位風險保護(DRP Digital Risk Protection),在偵察階段即開始對抗惡意活動,以獲取資安防禦的絕對優勢。
威脅3:自動化技術助長洗錢犯罪,催生全新的「洗錢即服務」威脅模型
為了發展更強大的網路犯罪集團,駭客組織通常會雇用「錢騾」(money mules)洗錢,並透過匿名電匯服務或加密交易轉移資金,避免從事非法活動的風聲走漏。然而,招聘錢騾的過程相當耗時,網路犯罪者必須建立各種不同名目的假網站,以合法化表面上的業務。因此,駭客組織很快就會改為使用機器學習(ML)招募新血,幫助他們更好地判別「潛在的錢騾」,同時減少整體流程所花費的時間。
FortiGuard Labs認為,「洗錢即服務」的攻擊規模將迅速擴大,成為「網路犯罪即服務」的主流產品。此外,倘假設自動化服務完全取代傳統錢騾,將使洗錢活動變得更難以追蹤,也大大降低被盜資金被追回的機會。
威脅4:虛擬城市,成為網路犯罪滋生的溫床
元宇宙(mextaverse)在資訊世界催生了嶄新的沉浸式體驗,但也為網路犯罪增加更多機會。
由於人們可以在這座虛擬城市裡購買商品和服務,因此無論是數位錢包、虛擬貨幣交易所、NFT,還是可用於交易的所有貨幣,都為網路犯罪者開啟了全新的攻擊面。
與此同時,虛擬城市的AR或VR驅動元件,使網路犯罪者更容易竊取指紋對應、臉部辨識資料、視網膜掃描等生物特徵,並且衍生出資料竊盜、詐騙、勒索等犯罪行為。
威脅5:Wiper惡意軟體逐漸商品化,為破壞性惡意攻擊開啟無限可能
已有10年歷史的Wiper惡意軟體在2022年捲土重來,不少駭客使用新型Wiper變種病毒發動更具毀滅性的攻擊。
根據FortiGuard Labs《2022上半年全球資安威脅報告》顯示,與烏俄戰爭相關的硬碟資料銷毀惡意軟體數量顯著增加,且除了歐洲地區以外,全球亦有24個國家及地區發現相同類型的攻擊手法。
以現階段Wiper惡意軟體重新盛行的速度而言,網路犯罪者不僅會融合電腦蠕蟲、Wiper惡意軟體、勒索軟體,試圖將威脅最大化,更有可能讓Wiper惡意軟體「商品化」。
面對潛在資安威脅,企業組織可以這麼做
《2023全球資安威脅預測》最後指出,雖然網路資安攻擊手法層出不窮,但好消息是,許多資安人員正在努力反制這些惡意行為,例如美國司法部今年1月在打擊勒索軟體營運方面取得了重大勝利。
FortiGuard Labs也向企業組織提出3點資安建議:
  • 了解網路攻擊的生命週期: 為了有效地保護你的組織,你需要掌握網路犯罪者的動機與戰術,以及了解駭客們如何行動。對此,「MITRE ATT&CK資安框架」可以提供幫助,其提供統一且結構化的方式,去描述攻擊者手法與行為;換言之,只要使用一張框架呈現,就能看出攻擊者所使用的策略與手法。
  • 採用網路安全網狀平台: 擁有一個廣泛、綜合、自動化的網路安全網狀平台,對於降低使用複雜性、提高安全性是非常重要的。此外,企業的安全解決方案應該使用AI技術來加強,以便能夠即時偵測駭客攻擊並且阻止威脅。
  • 實施網路分段與微分段: 此處指的是通過「分段」(segmentation)來防止攻擊擴散到整個系統,或者滲透到未受保護的設備。「微分段」(microsegmentation)則是一種網路安全技術,使安全架構師能夠進一步分割環境,假設出現資安漏洞,它可以限制駭客在應用程式中的移動能力與範圍。

評論 請先 登錄註冊