PREPARING FOR 2020: TRENDS IN CYBERCRIME, THREATS AND RISKS

隨著 2019 即將結束，讓我們來看看這一年的網路情勢。 在過去的 12 個月中，主要趨勢是什麼？我們可以從中學到什麼來為2020 年及以後做準備？

勒索軟體：一個犯罪份子無限量提供的 “禮物” 

2019 年的主要威脅仍然是勒索軟體，這是一種相對簡單的攻擊，可對端點和伺服器上的資料進行加密，並要求贖金以換取釋放被劫持的數據。 勒索軟體攻擊是不用偷偷來的； 通知，是 MO 的一部分，除鎖定文件外，勒索軟體不會（直接）對受感染的系統造成其他損害。 也就是說，真正的目的地不在於重要的數據，而是這些數據可為企業帶來巨大的獲利。哪麼不管企業是否願意付贖金，最後獲利的還是這些犯罪份子。

從技術上來說，這是一個應對起來非常簡單的威脅，在 2020 年，每個 CISO 的第一個重要工作是在即使企業處於危險之中但減少繼續向駭客們提供輕鬆的贖金，。如果有適當的備份計畫，公司企業所要做的就是清除受影響的 workstation，並從最新的感染前 snapshot 或 image 中恢復。 更好的是，值得信賴的 EDR 解決方案能夠輕鬆地從一開始就防止勒索軟體，並可立即還原感染的設備。

但是實際上，太多的企業沒有足夠的準備。 太多的企業擁有龐大的網路，網路的可見性太高，並且擁有大量的舊設備。 太多的企業使用過時的訊息系統； 對攻擊的知識不夠； 不定期備份或沒有頻繁地更新軟體。 對於某些組織而言，實用性絕非易事，千萬不要小看這些，但現實是，無論面臨多大的挑戰，若未能使網路井然有序並無法在其端點上實踐簡單又好訓練的企業都將面臨勒索軟體攻擊的考驗及影響。

Also see: Looking Into Ransomware-as-a-Service (Project Root) | Behind Enemy Lines

以 Balimore 為例，該市在 2019 年 5 月遭受了勒索軟體攻擊。攻擊使該市 offline 數週，恢復緩慢且昂貴。 Baltimore 政府估計此次金融攻擊的成本為 18.2  百萬-自該攻擊以來，該市的 Information Technology 辦公室已花費 460 萬美元用於恢復工程，並預計到年底將再花費 540 萬美元。 另外 820 萬美元的成本來自潛在的收入損失或延遲收入，例如地價稅，房地產費用和罰款。

2019 年的 Balitmore 攻擊是年中後襲擊美國的第一波（有時是協調一致的）襲擊。 最明顯的攻擊是針對 Texas 的 22 個城市和機構。 此外對教育部門的攻擊最大。 自 2019 年初以來，已有對美國公立學校數百次勒索軟體攻擊 - 超過了 2018 年對美國整體所有攻擊的總數。也由於這類攻擊，一些學區已經停止運作了幾個月。

在過去的12個月中，勒索軟體攻擊在全球增長了一倍以上，其中美國是全球一半以上事件的目標。 情況變得如此危急，勒索軟體被認為是對美國國家安全的威脅，並且人們真正擔心勒索軟體攻擊可能通過投票機或針對加密的選民數據來干擾即將舉行的美國大選。

Ransomware Take Away for 2020:  讓自己脫離攻擊區，得到適當的保護，並開始備份和實施應急計劃。 這不僅是 Security 101，還包括 Security119。2019 年教了我們，那些無法做出正確，關鍵的決定的人將還是會被攻擊。

APTs: Making Nation-State Attacks Great Again

在今年政府 (US) 支持的高階威脅特別的忙碌。 在 2019 年期間，大陸，伊朗和北韓都被發現從事駭客活動，而美國政府今年已非正式承認對伊朗的網路攻擊。

在 2019 值得注意的攻擊是：對飛機製造商 Airbus 的廣泛攻擊，一個為北韓帶來近 30 億美元收入的金融界的攻擊以及伊朗對 Saudi 企業和公司的攻擊。 此外，事實證明，今年推出的中國客機 C919 ，幾乎完全是由一系列美國製造商和其他製造商仿製出來的，這表示被盜 IP 在攻擊過程中發揮了強大的作用。 美國國防部長最近並表示，中國正在犯下人類歷史上最大的 IP theft 權盜竊案。 但也不用多說，大多數資訊是通過網路措施被盜的。

Also see: APT and the Enterprise – FUD or Real Threat?

這與以前的國家級網路攻擊不同，這些攻擊範圍廣泛，影響了各種機構，個人和公司努力實現其最終目標。 在此過程中，更多不被視為這些高級攻擊者目標的傳統產業，也受到了打擊。 這些包括基礎設施公司和服務提供商。 毫無疑問，不斷變化的威脅環境也將要求這些企業投入更多的資金來保護公司資訊和基礎架構。

我們可以從美國國防部 CMMC 的新法規中看出這一點，該法規將在今年適用於組織主要武器製造商和供應商的 300,000 個分包商，在招標中參與的條件要求部署適當的保障措施。 中國政府從來沒有採取過一半的措施，得出的結論是，它不再信任美國的技術，並命令所有政府和公共機構刪除美國的硬件和軟件，並在2022年之前完全將其國內採購。

APT Take Away for 2020: 期望更多的相同性。 隨著各國爭奪網路空間的戰略優勢，越來越多的 battle 似乎將擴大到大型企業的保護和均質化供應鏈，而小型企業則可能不得不選一邊站。

IoT：網路上的陌生人

隨著入侵企業網路的物聯網（IoT）設備數量持續增長，今年的國家級駭客和犯罪企業自然都對利用 IoT 設備攻擊產生了興趣。

在今年年初時，APT 駭客 Fancy Bear（又名 Strontium）襲擊了印表機，影片解碼器和 IP / VOIP 電話來大規模的存取公司網路。 同時，模仿者 Mirai botnets 了在 2019 年中，易受 Eternalblue 攻擊的 unpated 設備，一個資安廠商報告中指出，他們在 honeypots 上看到幾乎所有攻擊都是專注於大規模攻擊的自動化腳本。

Also see: What is Network Security In Today’s Day and Age?

隨著製造商不斷的向最普通的設備添加 IoT 和雲端功能，因此每個企業都必須越來越重視與 Internet 連接的設備的安全性。避免在網路上出現此類問題並變得越來越困難。

IoT Take Away for 2020:  網路的可見度很重要。 你無法捍衛自己看不到的東西，每個盲點都是進入整個網路的潛在點。

Breaches and Leaks:  你的數據就是我的數據..

我們聽到的許多 “網路攻擊” 根本不是實質的攻擊，但數據洩露卻是，這是由於惡意或疏忽行為將敏感信息暴露給外面的世界而導致的。 數字數據洩漏一直存在，但是隨著數據量呈指數增長，並且公司企業正在遷移到基於雲端的系統，數據洩露變得越來越頻繁和嚴重。

令人震驚的規模的數據洩露 - 就如國家級一般 - 就是企業在缺乏對在雲端上的知識，技能或意願落實資安所付出的代價。

Also see: Insider Threats | From Malicious to Unintentional

例如，許多企業將其整個客戶數據庫存儲在例如 Amazon AWS 或 Microsoft Azure之類的雲端服務上。 如果使用正確，這些平台是可靠的，但客戶端很容易錯誤配置防火牆，保留開放權限，使用很弱的密碼，回收密碼或無法保護其他憑證。

這些基本的錯誤導致在今年暴露了數百萬敏感記錄：病歷，財務，個人信息等等。 通常情況下，"技術" 是沒有錯的。 當今的挑戰是教育使用雲端環境的工作人員的 DevOps 的技能，使他們可以意識到危險並採取明智的行動。

此案例是當組織無法應對挑戰時可能發生的情況，Canadian Bank of Nova Scotia 的開發人員，他們在 Github 上保留了部分 code 及密碼，還有給敏感系統的憑證..。

Breaches Take Away for 2020:  做正確的事。 最好的落實是如何預防和處理數據洩露，但研究中表示，即使是一些頂級諮詢公司也沒有採納他們自己的建議。 請不要成為其中之一。

假新聞：偽造直到成功，政治的新常態 - 白的變黑的，黑的還是黑的..

今年，我們經歷了另一種趨勢的上升，越來越多的網路駭客攻擊參與政治活動，而且對我們的生活產生了更大的影響。 從據稱遭到伊朗駭客入侵以色列總理候選人的手機 ; 以色列網路攻擊公司製造產品用於世界各地的各種政權，用以監視政黨 ; 俄羅斯和北韓等國家政治動機攻擊，甚至以川普（或希拉里）的圖像為特色的勒索軟體活動。

業界以及民主國家的行為都已認知到，將不再有任何 “無網路干擾” 選舉。 2019 年 12 月的英國大選已經目睹了幾起網路事件：對一個主要政黨的 DDoS 攻擊，另一個政黨的虛假信息策略以及據稱由俄羅斯支持的實體洩露了與關鍵選舉問題有關的信息。

現在，隨著 " Deep Fakes” 和假新聞活動被視為真正的選舉策略，隨著走向美國 2020 年選舉季節，我們更需要提高大眾對民主威脅的普遍認識。

Disinformation Take Away for 2020: 加強有影響力的政治人物和政黨機構的安全機制，並做出更大的努力來防止投票程序受到篡改。 最重要的是，對於 24/7 新聞，即時點贊及轉發新聞保持著健康又保守的態度。

總結

很明顯的，2019 是前幾年的延續，但更加激烈 - 在全世界內發生了更多的攻擊，更多的數據洩露和更大的破壞。 2020 年會緩解嗎，還是威脅會不斷升級？ 我們在 2019 年看到的問題不會自動 “消失”，但我們也不是無能為力。 2019 年的一大教訓是企業和公司，政府和個人必須在訊息安全，教育和預防方面進行更多投資。 網路犯罪是一個可以解決的問題，沒有人需要成為受害者。

但是對於那些繼續忽視現實，拒絕接受在現代，互聯世界中開展業務的挑戰的人來說，2020 年可能會比之前更黯淡。

原文