過去的一年裡，網絡空間安全面臨的形勢日益復雜多變，大規模針對性網絡攻擊行為增加，安全漏洞、數據泄露、網絡詐騙等風險突出。

　　隨著創新技術的不斷興起，以及網絡犯罪的日益專業化，網絡安全攻擊風險仍在持續增長。

　　瑞數信息作為國內前沿的互聯網應用安全防護企業，日前對 2023 年的網絡安全攻擊趨勢進行了簡要預測。以下是企業需要關注的七個網絡安全趨勢：

　　趨勢一：API威脅復雜化

　　無處不在的API，為創新技術和業務發展提供強 力支橕的同時，也增加了企業風險的暴露面和攻擊面，近幾年因API安全問題導致的攻擊和數據泄漏事件頻頻發生。OpinionMatters在 2022 年發布的調研報告顯示，超過四分之三的英美高 級網絡安全專業人員表示，過去 12 個月裡，其所在企業經歷了至少一次API相關的安全事件。而在數十家全球頂 級汽車制造商生產的車輛和車聯網服務中，更發現了許多API應用缺陷，利用這些缺陷，攻擊者可以進行廣泛的惡意活動，從非法竊取車主個人隱私信息，到遠程解鎖車輛、監控車輛等。

　　由於API防護的缺失，企業對於暴露了哪些API、對誰開放API、API通信中攜帶了哪些敏感數據、對方如何使用這些數據等問題都未給予應有的重視。攻擊者可以通過後端業務系統漏洞、接口暴露、安全配置缺陷等直接攻擊API進行數據竊取，還可以利用API的參數組合及各參數值類型相對固定進行注入類攻擊，或通過參數與用戶身份進行關聯進行越權類攻擊。

　　面對API安全威脅不斷復雜化、多樣化的快速發展趨勢，企業在威脅認知、管控手段上相對滯後的探索形成了鮮明的差距，企業的數字化系統正在面臨嚴峻的安全挑戰。基於此，保護API應用安全將成為 2023 年企業安全運營的重要任務。

　　趨勢二：應用數據安全迎來持續關注

　　近年來，全球數據安全形勢愈發嚴峻，層出不窮的泄密事件嚴重影響著企業數字化轉型的進程。據IBM Security的“數據泄露成本報告”顯示， 2021 年- 2022 年間，數據泄露的全球平均成本從 424 萬美元增加至 435 萬美元，同比增長2.6%，創歷史新高。

　　由於企業互聯網化進程的不斷深入，使得越來越多的業務被遷移到互聯網上，大量的應用數據被產生、傳輸、公開、共享。與此同時，新一代應用通過 Web、H5、App、API、微信和小程序等多種業務渠道接入，導致應用敞口風險和鏈條管控難度加大，各類變化多端的撞庫攻擊、暴力破解、爬蟲攻擊、API接口濫用，也導致企業數據泄露風險加劇。

　　隨著我國《網絡安全法》《數據安全法》《個人信息保護法》《數據出境安全評估辦法》等法律法規相繼頒布實施，預計 2023 年企業對於數據安全合規的管理將越來越嚴格，基於數據的傳輸、提供、公開等全生命周期進行保障的應用數據安全技術會迎來企業的持續關注。

　　趨勢三：針對數據庫的勒索軟件攻擊持續增長

　　數據作為一種有利可圖的資產，是網絡犯罪的重要目標，而勒索軟件已成為數據盜竊的一個重要途徑，讓攻擊者通過威脅公開企業數據來獲取勒索贖金。

　　2023 年預計對數據庫的勒索攻擊將繼續有增無減，尤其針對雲數據庫的勒索攻擊將大幅增加，因為越來越多的企業和政府將關鍵數據存儲在雲端，勒索軟件也已進入雲環境。

　　值得注意的是，與傳統的惡意軟件在文件系統層面加密文件不同，數據庫勒索軟件能夠在數據庫內部加密數據。這意味著企業在及時發現數據庫加密行為方面將面臨嚴峻挑戰，積極主動地保護數據將更加至關重要。因此，企業不僅應盡快制定DR或RR(滾動恢復)計劃，還應加強針對備份數據的勒索行為檢測與恢復演練，這樣纔能確保在發生勒索軟件攻擊時及時恢復安全乾淨的數據。

　　趨勢四：關鍵基礎設施進一步成為攻擊重點

　　隨著網絡空間軍事化、網絡武器平民化、網絡攻擊常態化日趨明顯，關鍵信息基礎設施持續成為網絡攻擊的重點目標。對於金融、運營商、政府、能源、教育、衛生、交通行業等高度敏感的行業而言，保護關鍵信息基礎設施安全變得更加緊迫。

　　當前，關鍵信息基礎設施加速實現數字化、網絡化、智能化昇級，網絡入侵、攻擊滲透、遠程控制等網絡安全風險無處不在。 2023 年，關鍵信息基礎設施面臨的安全態勢比以往任何時候都要嚴峻。

　　雲計算和移動化的普及，使得政府和企業的攻擊面進一步擴大，因此在保護關鍵信息基礎設施時，最 大的挑戰之一是能夠評估和管理攻擊面。政府和企業需要確定網絡的組成部分以及存在的弱點，同時增加對可疑活動的監控，以進一步調查網絡安全事件。同時，隨著著網絡攻擊變得越來越復雜，在政府和企業之間建立協作，對於采取統一戰線應對關鍵基礎設施威脅至關重要。

　　趨勢五：供應鏈攻擊數量激增

　　如今企業嚴重依賴供應鏈，這種高度的依賴性也使得供應鏈安全和風險成為現代企業必須面對的重要挑戰。隨著軟件供應鏈攻擊日益普遍，Gartner將其列為 2022 年的第二大威脅，並預測到 2025 年全球45%的組織將遭受一次或多次軟件供應鏈攻擊。

　　2023 年，全球經濟發展存在大量不確定因素，網絡犯罪的發展趨勢也將繼續不斷上昇。可以預見，引入到供應鏈中的安全威脅在復雜性、規模和頻率上都將會持續加大，供應鏈攻擊的數量將會快速增加。

　　對於企業而言，簡單的安全規劃已不足以防御攻擊者，需要部署更加全面的供應鏈安全防護工具，尤其是Web應用中動態加載的第三方前端組件，讓攻擊變得更加復雜與隱蔽，應采用更主動的方法來觀察和持續分析用戶行為以檢測可疑訪問，以完善自身供應鏈安全和風險轉變能力。

　　趨勢六：車聯網雲端攻擊成為最 大安全隱患

　　隨著汽車智能化發展，車聯網成為車輛進行軟硬件昇級、功能上新、應用更新、漏洞修復等必備的基礎功能。然而，車聯網龐大的代碼量、復雜的供應鏈、車路雲互聯互通等新特性也引發了巨大的安全風險，成為黑客的重點攻擊對象，如進行竊聽攻擊、惡意昇級、回滾攻擊、DDOS攻擊等，使整車昇級面臨多維安全挑戰。

　　其中，雲端安全是目前車聯網最 大的安全隱患。一方面，汽車的辦公、生產、銷售甚至運營維護的網絡全都要在雲端打通，雲端成為高價值目標;另一方面，汽車通過雲端控制，意味著無條件接受雲端的旨意，一旦攻擊者入侵雲端服務器竊取敏感數據，甚至取得控制權後再遠程控制車輛，後果將不堪設想。

　　面對不斷增長的智能網聯汽車安全威脅，提昇車聯網網絡安全和數據安全防護能力勢在必行。

　　趨勢七：遠程辦公常態化需持續加強安全防護

　　遠程辦公將成為一個長久的趨勢。傳統線下辦公的網絡邊界逐漸模糊，公司電腦、私人電腦、移動終端逐漸增多的設備，通過VPN、虛擬化桌面或辦公軟件接入企業內網，以及分支機構、合作伙伴、外包人員訪問公司總部資源，都會為企業IT資產安全帶來風險。

　　因此，遠程辦公所涉及的企業業務系統暴露、易受攻擊、員工遠程訪問的身份識別、業務訪問違規操作、員工終端設備的安全防護等問題，對公司的安全防護能力發起了極大的挑戰。從安全角度來看，遠程辦公常態化意味著企業需要完全重啟安全策略和工具，以更好地降低風險。

　　趨勢八：Web3 安全風險漸行漸近

　　Web3 以區塊鏈技術作為基礎，構建出了一個去中心化的網絡世界，從基礎設施的層面來看，Web3 的確有可能更難顛覆，但它也可能比現有網絡更容易遭受攻擊。

　　相比傳統應用，Web3 應用有開放性的特點，代碼的透明公開使其擁有更廣的攻擊面，黑客不需要滲透任何企業防御網就能進入。如果攻擊者可以拿到證書、根權限或者密匙，尤其是拿到運行於整個生態系統的關鍵私人密鑰，整個Web3 就會被顛覆。同時，在Web3 代幣相當於數量可觀的金錢，在巨大的利益面前，黑客攻擊Web3 的欲望更強烈，會花費大量精力來尋找漏洞並攻破它。

　　此外，網絡釣魚威脅已經在Web3 世界中抬頭。在Web3 中，用戶對自己的賬戶安全負責，而很多人缺乏安全防范意識，這就使得在Web3 中同樣存在大量空投詐騙、網絡釣魚等行為，來盜竊用戶的數字資產。

　　因此，Web3 開發者們必須在安全問題出現之前制定全面的安全策略，需要從協議部署前到部署後的步驟全面考慮安全性，如智能合約審計、監控和響應、漏洞賞金、網絡保險等，並采用可靠編碼、人工智能、機器學習等功能的安全平臺來實時檢測和阻止安全威脅。