盡管在2021年至2022年間，網絡安全預算有所增長，但近幾年的增長勢頭已明顯放緩。這意味著，網絡安全領導者在采購決策時，必須更加審慎地考慮如何改善當前的安全和合規(guī)狀況，以確保每一分投入都能帶來實實在在的效益。
那么，如何在2025年優(yōu)化企業(yè)的網絡安全預算，以有效應對不斷演變的威脅呢?領導層需要深入了解當前的網絡安全格局，并明確哪些舉措能夠幫助他們恰當?shù)鼐徑怙L險。
AI：憑證安全的“隱形殺手”
雖然現(xiàn)在的AI模型不會像科幻電影中的終結者那樣，用深沉且?guī)Э谝舻穆曇粽f出“我會回來的”，但它們正以更加隱蔽的方式威脅著我們的網絡安全。不法分子越來越頻繁地利用ChatGPT等AI模型創(chuàng)建深度偽造內容，以改進他們的社會工程攻擊。
過去，零信任的口號是“信任但驗證”，而如今，這一格言已演變?yōu)椤安恍湃稳魏问挛锖腿魏稳恕薄ｋS著惡意行為者利用AI和大型語言模型(LLM)，社會工程攻擊變得愈發(fā)逼真，攻擊者能夠輕松模仿現(xiàn)實世界中人們的物理和數(shù)字存在。例如，網絡犯罪分子只需將CEO社交媒體個人資料中的內容輸入AI，然后使用“以該個人的風格撰寫”的提示，就能生成看似合法的釣魚郵件。這使得人們難以區(qū)分真假信息，從而增加了憑證被盜用的風險。
為了應對這一挑戰(zhàn)，企業(yè)需要制定全面的身份策略，以識別所有用戶并了解他們的正常行為。如果沒有這些能力，幾乎無法識別因憑證被盜用而產生的異?；顒印?
初始訪問方法的“商品化”擴大了攻擊面
惡意行為者繼續(xù)將漏洞利用作為獲取初始訪問權限的主要方法。一旦他們識別出可利用的漏洞，就會使用略有不同的攻擊路徑來入侵系統(tǒng)。當我們將視角放大，審視整個網絡犯罪生態(tài)系統(tǒng)時，初始訪問問題就顯得更加有意義了。
在暗網上，網絡犯罪分子越來越專注于自己的細分專業(yè)領域。例如，初始訪問中介(IAB)專注于獲取目標系統(tǒng)的訪問權限，然后在暗網或Telegram頻道上出售這些訪問權限。無論他們出售的是與漏洞相關的訪問權限還是被盜的憑證，這一生態(tài)系統(tǒng)都使得不那么老練的網絡犯罪分子能夠部署更復雜的攻擊。
對于中型和大型企業(yè)而言，由于它們更可能成為攻擊者的目標，因此風險緩解策略可能包括更頻繁、更廣泛地輪換密碼，以降低憑證被盜用的風險。
身份管理：安全的核心與挑戰(zhàn)
身份一直是安全的核心，并且這一地位將不會改變。雖然企業(yè)可能對其人類用戶和身份有深入的了解和管理，但在管理非人類身份(如服務賬戶)方面卻越來越吃力。
隨著機器與機器之間的通信以及跨應用程序使用的身份數(shù)量爆炸式增長，惡意行為者越來越多地將機器對機器和應用程序對機器的身份作為攻擊向量。技術債務、混亂和不明確的訪問路線為攻擊者創(chuàng)造了額外的機會。特別是在多云和混合基礎設施中，惡意行為者可以利用多條訪問路線來入侵系統(tǒng)。
服務賬戶可能帶來的風險包括開發(fā)人員創(chuàng)建的安全變通方法、第三方供應商的系統(tǒng)以及密碼策略未更新的舊設備、賬戶和權限等。因此，識別和管理服務賬戶將是關鍵的安全風險緩解策略。企業(yè)需要明確定義這些賬戶可以做什么和不可以做什么，并像對人類管理員賬戶一樣嚴格執(zhí)行這些策略。
合規(guī)：不可或缺的一環(huán)
本杰明·富蘭克林曾斷言：“世界上除了死亡和稅收之外，沒有什么是確定的?！比绻裉爝€在世，他可能會加上“還有數(shù)據(jù)保護法規(guī)”。盡管全球范圍內出現(xiàn)了一些放松管制的舉措，但網絡安全卻是個例外。立法和監(jiān)管機構將繼續(xù)加倍努力，確保公司保護消費者和員工的信息。
企業(yè)應投資于能夠生成強大合規(guī)文檔的解決方案，并能夠跨多個法律、法規(guī)和框架進行映射。這將有助于企業(yè)滿足不斷變化的合規(guī)要求，并證明其已采取了適當?shù)陌踩胧?
網絡風險保險：更嚴格的審查與監(jiān)控
在商業(yè)世界中，網絡保險被視為一種轉移安全事件成本的方式。然而，近年來網絡保險提供商對于應該賠付公司哪些費用變得越來越謹慎，并更新了他們的保險范圍和除外條款以變得更加嚴格。甚至最初獲得保險的要求也變得顯著更加苛刻。
為了獲得網絡責任保險的批準，企業(yè)需要回答保險承保人提出的越來越具體的問題，并提供持續(xù)的控制監(jiān)測來支持這些回答。這意味著企業(yè)需要更有效地實施、維護和監(jiān)控安全控制，以滿足保險公司的要求。
減少用戶摩擦：提高安全采用率的關鍵
企業(yè)需要部署更多的安全產品、制定更深入的安全策略，并以更嚴格的方式監(jiān)控其環(huán)境。然而，每次添加新的控制措施時，都會給最終用戶帶來額外的摩擦。例如，企業(yè)在允許用戶登錄公司設備、網絡和應用程序之前，會添加新的身份驗證因素。這增加了登錄步驟和時間，對于用戶來說是一種負擔。
為了減輕這種負擔并提高安全的采用率，企業(yè)需要尋找減少摩擦的解決方案。隨著消費者和客戶要求企業(yè)對他們的敏感信息負責，公司需要實施能夠幫助他們在安全性和可用性之間找到微妙平衡的解決方案。
展望未來：以身份為基礎的水晶球
雖然無人能真正預測未來，但過去幾年基于身份的攻擊在統(tǒng)計上的增加表明，威脅行為者將繼續(xù)部署這些方法。因此，當企業(yè)在2025年選擇其網絡安全投資時，他們應該重點考慮如何實施身份衛(wèi)生、在復雜環(huán)境中(包括由相互連接的應用程序和大量難以管理的用戶如服務賬戶組成的環(huán)境)實施、維護和監(jiān)控用戶訪問的流程。
通過加強身份管理、提高合規(guī)性、優(yōu)化網絡風險保險策略以及減少用戶摩擦，企業(yè)可以更好地應對不斷演變的網絡安全威脅，并保護其敏感信息和資產免受攻擊。
