【51CTO.com快譯】2016年即將過去，我們也該著眼于新的12個月了。通過對數十家供應商及分析企業的意見進行總結，這里整理出15項與網絡安全緊密相關的發展趨勢。

[[179022]]

物聯“惡意”網

物聯網設備已經呈現出涵蓋一切之勢——包括智能儀表到醫療設備應有盡有，但其同時亦成為僵尸網絡中的新晉重要成員。而且由于此類設備計算能力有限，因此其固件往往無法進行補丁安裝或者更新。這種情況將在2017年進一步惡化，意味著我們需要提防由其引發的大規模DDoS攻擊乃至勒索軟件及APT等企業網絡攻勢。。

當然，那些能夠確保產品安全的物聯網廠商則將在2017年借此贏得市場青睞。

犯罪軟件即服務

入門級黑客以及網絡攻擊活動開始進入主流文化，這意味著這部分群體將越來越多地引發安全隱患。他們會利用現成工具進行網站入侵以及端口掃描，并通過DDoS即服務以及勒索軟件即服務(簡稱RaaS)造成嚴重破壞。雖然這部分攻擊者缺乏入侵后的橫向移動能力，但其活動仍會給企業的品牌聲譽帶來影響。

DDoS: 大規模阻斷型武器

DDoS攻擊在2016年實現了火力升級，已經由以往的400 Gbps帶寬增長到1 Tbps甚至更高，而這要歸功于無數物聯網設備的加入。這些攻擊活動需要專門的保護舉措方可應對，而目前還鮮少有機構具備這種應對能力。事實上，如果集中火力，此類攻擊甚至有可能在2017年內攻陷整個國家的關鍵性基礎設施與互聯網。

云計算比重繼續增加

隨著更多法規、合規性以及安全要求的出現，云環境已經逐漸為金融機構所接受，意味著掌握海量資金的巨頭們必須著手進行云環境測試并將部分服務轉移至自有數據中心之外。

然而，企業還需要轉變原有安全關注點，從而切實保護包含用戶信息的應用及服務免受勒索軟件及其它惡意軟件的侵擾。雖然云安全即服務類方案能夠有效削減企業在內部防火墻的采購與維護層面的成本，但相信仍將有不少企業出于安全考慮而決定將數據繼續保留在“內部環境”中。

間諜對間諜

網絡間諜活動在2016年年內表現得相當猖獗，特別是考慮到中國竊取美國知識產權以及俄羅斯干擾美國總統選舉等指控的出現。另外，無人機亦將被廣泛應用于間諜及攻擊活動，這也將使“無人機劫持”在未來幾年內成為熱點議題。

考慮到2016年年內出現的利用移動瀏覽器安全漏洞及最新iOS JPEG零日漏洞等事件，相信新的一年中安全行業需要加大力度對抗間諜活動，并開始將取證分析方案全面推向移動系統當中。

入侵選票系統、選舉活動與候選人

通過對SS7以及可能暴露手機位置及對話數據的通話網絡進行入侵，預計新的一年中將有更多維基解密式的資料公布行為出現。屆時黑客技術將成為反對性研究工作中的常見工具，而從總統選舉到眾議院、參議院乃至州內選舉活動的各類政治行為都將處于其窺探之下。另外，公眾人物的位置數據一旦泄露，甚至有可能招致物理攻擊甚至人員傷亡。

而美國對此的回答將變得更為激進，不僅立足于網絡策略，同時亦會將回應思路納入外交、執法、經濟以及其它政策當中。

網絡恐怖活動

想象一下，如果交通指示燈癱瘓、電網中斷或者供水停止，其不僅會造成災難性的破壞，更會危及生命安全。然而，通過數據偽造行為，這些目標完全有可能通過網絡達成。

作為回應，美國政府可能會采取報復性網絡行動。但由于網絡攻擊往往難于溯源，因此我們幾乎沒辦法突破重重誤導找到攻擊者的確切身份。

開源的春天

開源已經憑借著顯著的開發成本削減效果、創新推動能力、上市時間壓縮以及生產力提升成為全球范圍內應用開發的新基礎。但是黑客們發現，大多數企業的網絡安全體系存在薄弱點，而且即使擁有現成補丁，企業在代碼的保護與管理方面仍然做得相當糟糕。這意味著開源漏洞利用項目將帶來極高的投資回報，而這一切都將在2017年體現為針對網站、應用及物聯網設備的攻擊活動。

依靠保險

根據Gartner公司的統計，全球2016年安全技術投入總額達816億美元，但數據泄露仍在繼續，安全解決方案的投資回報率創歷史新低。在這種情況下，購買網絡安全保險似乎是更為合理的應對方式。

不過保險公司也需要下力氣進行產品規劃，包括要求企業客戶制定更理想的安全策略并部署更有效的事件檢測與響應能力，正如重病患者不能購買某些醫療險種一樣。

打擊釣魚活動

長久以來，釣魚攻擊一直是最行之有效的網絡入侵手段。而且盡管不少企業已經開始對員工進行培訓，但員工畢竟是人，而人總會犯錯。

因此，企業需要重構網絡安全的對應實現方式。另外需要注意的是，谷歌最近開始將純HTTP站點直接視為非安全，這意味著人們對于這類警告越來越不敏感。這意味著魚叉式釣魚或惡意軟件也許更容易成功完成入侵。

勒索軟件無處不在

勒索軟件將繼續增加、發展并以自動化方式對云、醫療設備、關鍵性基礎設施乃至重要服務器進行攻擊。其已經成為一種具備先進“經濟模式”的犯罪工具，因為企業很清楚其只需要支付相對低廉的價碼即可擺脫麻煩，這也讓勒索活動的成功率大大提高。

然而，勒索攻擊者與受害者間的不信任關系亦可能導致付款比例越來越低，而這也許最終會令勒索軟件的規模有所收斂。

跟隱私說再見吧

政府監控行為將愈演愈烈，特別是針對犯罪嫌疑人以及政治異見者群體。

在蘋果與聯邦調查局之間爆發出尖銳沖突后，可以肯定情報機構將進一步加大對現有加密機制的破解力度。2017年將成為過去25年以來信息、隱私及安全領域相關辯論最為激烈的一年。

攻擊面進一步增加

現代車輛當中通常包含超過1億行代碼用以實現各類智能化、自動化以及互聯網接入功能，但汽車制造商本身并不清楚其車輛中運行有哪些軟件。這意味著其中幾乎必然包含存在安全漏洞的組件，黑客們自然不會放過這一好機會。

由此可能引發的問題包括鎖定車輛并要求支付贖金、自動駕駛型車輛入侵、車輛位置信息泄露、通信劫持、未授權監控及情報收集等等。這意味著軟件供應商與汽車制造商之間將因為相關責任而進行曠日持久的訴訟對抗。

身份偽造

隨著驗證碼、短信以及郵件等驗證方式被逐一破解，如今偽造身份的難度已經一降再降。2017年，廣告商與廣告平臺還將利用更為先進的追蹤技術收集真實用戶行為，這亦讓詐騙分子擁有更為豐富的資料可供參考。

作為回應，賬戶注冊的審查機制將更為嚴格，且需要用戶提供額外資料以證明新賬戶的合法性。

技能短缺?自動化來幫忙

由于安全人才的極度短缺，企業將利用自動化方案確保現有人才不致將精力浪費在定期進行的重復性審查工作上。

自動化亦將幫助安全專業人士更為高效地完成自身工作。他們將借此減少接收到的通知數量、確保通知內容更為相關并降低手動操作的強度，這一切都將使其更為主動地發現真正的惡意行為。

原文標題：Top 15 security predictions for 2017，作者： Taylor Armerding

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】