Аналитики поделились своими прогнозами. Готова ли ваша организация к угрозам, которые принесёт грядущий год?
По мере того, как 2023 год подходит к концу, пришло время взглянуть на будущие тенденции и прогнозы в области кибербезопасности, которые больше всего волнуют аналитиков и лидеров отрасли.
Текущий год особенно отметился шквалом атак программ-вымогателей, многие из которых переросли в двойное и даже тройное вымогательство, когда к классическому шифрованию и похищению данных с последующим шантажом добавляются, например, DDoS-атаки, полностью парализующие те компоненты бизнеса компании, которым удалось устоять после шифрования.
Набравшее обороты машинное обучение также изменило ландшафт кибербезопасности и вывело в авангард киберугроз генеративный искусственный интеллект, всё чаще используемый чёрными хакерами злонамеренно.
Ниже приведены девять прогнозов и тенденций в области кибербезопасности на 2024 год, о которых следует знать в любом случае, даже если не все из них сбудутся.
«Это довольно эффективно, поскольку хакеры получают сразу множество жертв за одну атаку или кампанию», — объяснил О’Брайен. «Ущерб наносится ещё до того, как информация о методах злоумышленников становится общеизвестной».
Вообще, обнаружить уязвимости нулевого дня не так просто. Злоумышленникам необходимо долгое и стабильное финансирование, а также специальные навыки, чтобы проводить подобные атаки. Данный факт, впрочем, не означает, что таких атак в будущем станет меньше. Наоборот, хакеры Cl0p показали всему киберпреступному сообществу эффективность подобной тактики, и лишь подстегнули других чёрных хакеров искать Zero-day уязвимости с ещё большим энтузиазмом.
Потенциал искусственного интеллекта практически безграничен. Там, где даже у самого изощрённого мошенника закончатся идеи, условный ChatGPT или его вполне могут подкинуть новых, абсолютно уникальных и не менее изощрённых вариантов для будущих атак.
Хотя злоумышленники уже вовсю используют генеративный ИИ для улучшения фишинговых кампаний, новые тенденции сулят продвинутые возможности машинного обучения в имитации высокопоставленных лиц или публично известных руководителей.
«Люди очень активны в социальных сетях, где они публикуют множество информации и постов. Легко взять все эти данные, поместить их во что-то вроде ChatGPT и попросить написать что-нибудь в стиле этого конкретного человека», — сказал Оливер Таваколи, технический директор Vectra AI, поставщика услуг кибербезопасности.
«Злоумышленник может отправить электронное письмо сотруднику, утверждая, что оно от генерального директора, финансового директора или аналогичной должности. Получение электронного письма, которое звучит ровно так, будто оно на самом деле исходит от вашего босса, безусловно, кажется гораздо более реальным, чем обычное электронное письмо», — разъяснил ход своих мыслей Таваколи.
Для борьбы с подобными атаками социальной инженерии эксперт рекомендовал организациям проводить тренинги по повышению осведомлённости сотрудников, регулярно определять их общую позицию в области безопасности и периодически даже устраивать локальные диверсии, чтобы вычислить слабое звено в своём штате до того, как его обнаружат злоумышленники.
«Наконец-то это произойдёт. В наступающем году мы собираемся по-настоящему отказаться от паролей, и биометрия станет самым выигрышным методом», — сказал Блэр Коэн, основатель и президент AuthenticID, поставщика услуг по управлению идентификацией и доступом (IAM).
По словам Коэна, биометрия имеет ряд преимуществ и является самым распространённым вариантом аутентификации, поскольку люди годами используют сканирование отпечатков пальцев и лица на потребительских устройствах. Биометрия также может противостоять атакам и мошенничеству куда лучше, чем одноразовые коды доступа по SMS или электронной почте.
Большинство киберпреступников всё же не будут связываться с откровенным криминалом, чтобы в прямом смысле «добыть пальчики» сотрудников с необходимым уровнем доступа. Ну а копирование биометрических данных цели на манер фильмов «Миссия невыполнима» тоже далеко не просто в реализации.
Тем временем, вопрос о том, какой отраслевой стандарт беспарольного доступа в итоге победит, до сих пор является предметом дискуссий. По словам Коэна, FIDO2 — яркий претендент, но отнюдь не очевидный победитель.
«Я приветствую FIDO2 и считаю, что это здорово для повседневного использования потребителями, но не думаю, что данный стандарт станет выбором предприятий, крупных банков и т.д», — сказал Коэн, особо подчеркнув уязвимость FIDO2 к мошенничеству со стороны сторонних производителей.
Джек Поллер, аналитик группы корпоративной стратегии компании TechTarget, не согласился с этим утверждением. По его словам, FIDO2 займёт лидирующие позиции на потребительском рынке, поскольку многие корпоративные организации, такие как Google, Amazon и Apple, в настоящее время поддерживают этот стандарт. А также потому, что FIDO2 вполне устойчив к фишингу, чего достаточно для хорошего уровня безопасности в большинстве случаев.
«Если я работаю в C-suite, я думаю о приоритизации рисков, оптимизации бюджета и упреждающих инвестициях в безопасность. Как цифровую, так и физическую», — сказал Рэндольф.
Организации должны провести оценку рисков и убедиться, что заинтересованные стороны имеют право голоса при составлении бюджета на обеспечение безопасности, посоветовал он.
Рэндольф и Рандаццо добавили, что IT-безопасность может быть объединена с физической или корпоративной безопасностью, такой как выявление и мониторинг потенциальных внутренних угроз или недовольных сотрудников. CISO могут внести свой вклад в обеспечение IT-безопасности, в то время как, например, правозащитные организации будут рассматривать вопросы насилия на рабочем месте.
«Если я никогда не встречал вас раньше, даже если вы появляетесь на созвонах в Zoom, откуда мне знать, что это действительно вы, а не самозванец с доступом к вашему компьютеру?», — справедливо подметил CISO одной из опрошенных компаний.
Организации будут всё чаще использовать верификацию личности для обеспечения доступа к учётной записи или сброса запросов. Технология также может сравнивать фотографии сотрудников и информацию с государственными документами, а также обеспечивать определение фейков, чтобы убедиться, что кто-то не использует изображение или видео, созданные искусственным интеллектом.
Холт рекомендовала компаниям изучить технологии проактивной безопасности, чтобы решить, какие из них окажутся наиболее применимыми и эффективными в рамках рассматриваемой организации.
В пример она привела следующие технологии:
«Перспективы регулирования подключаемых устройств будут продолжать меняться по мере того, как правительства и регулирующие органы разрабатывают более комплексные структуры для решения проблем, связанных с расширением использования и разработки подключаемых устройств, а также повышением изощрённости злоумышленников», — сказала Вероника Лим, руководитель отдела безопасности продуктов консалтинговой фирмы Deloitte. «Мы увидим, как организации будут более строго придерживаться стандартов кибербезопасности».
Впрочем, как организации будут справляться с ужесточением правил, ещё предстоит выяснить. Лим объяснила, что многие организации уже сталкиваются с проблемами своевременного применения патчей безопасности, что открывает хакерам расширенные возможности для злонамеренной эксплуатации. «Подключаемые устройства часто становятся мишенью для злоумышленников, потому что они часто содержат устаревшее и уязвимое программное обеспечение», — сказала Лим.
«Плохие парни действительно преуспели в выявлении этих третьих сторон, которые помогают им обходить мощные механизмы безопасности крупных организаций, таких как, например, банки», — сказал Алекс Кокс, директор по анализу угроз в LastPass. «Крупный банк тратит кучу денег на безопасность, но сторонние поставщики, с которыми он сотрудничает, этого обычно не делают. Если хакеры получают доступ к этому поставщику, это даёт им доступ и к куче других компаний».
Для организаций, обеспокоенных безопасностью сторонних производителей, также нет простого ответа. Кокс сказал, что, хотя сложно обеспечить определённый уровень безопасности в связке с третьими сторонами, организациям следует рассмотреть возможность создания контрольного списка безопасности, которому должны следовать их поставщики, или потребовать проведения оценки безопасности сторонними компаниями, прежде чем вести дела с каким-либо поставщиком.
По словам Джесс Берн, аналитика консалтинговой компании Forrester, в 2024 году организациям, возможно, придётся потратить несколько больше времени на проверку безопасности своих текущих и потенциальных партнёров-поставщиков, чтобы в будущем не попасть в неприятную ситуацию с отказом в страховой выплате.
Некоторые специалисты в области информационной безопасности уже считают, что операторы киберстрахования имеют слишком большое влияние, когда дело доходит до решений о реагировании на инциденты. Компания Forrester предсказала, что эта тенденция сохранится и в следующем году.
В 2024 году ожидается дальнейшее совершенствование тактик злоумышленников, в том числе с использованием возможностей искусственного интеллекта. В то же время, появляются и повсеместно интегрируются новые перспективные методы защиты, такие как биометрическая аутентификация или проактивные технологии выявления угроз.
Чтобы эффективно противостоять грядущим вызовам, компаниям нужно не только следить за тенденциями в сфере кибербезопасности, но и своевременно внедрять современные и надёжные решения. Лишь гибкость и способность адаптироваться к изменениям станут ключом к успеху в этой непростой борьбе, помогая организациям сохранить свои данные, ресурсы, время и деньги как в следующем году, так и на протяжении всего жизненного цикла.
По мере того, как 2023 год подходит к концу, пришло время взглянуть на будущие тенденции и прогнозы в области кибербезопасности, которые больше всего волнуют аналитиков и лидеров отрасли.
Текущий год особенно отметился шквалом атак программ-вымогателей, многие из которых переросли в двойное и даже тройное вымогательство, когда к классическому шифрованию и похищению данных с последующим шантажом добавляются, например, DDoS-атаки, полностью парализующие те компоненты бизнеса компании, которым удалось устоять после шифрования.
Набравшее обороты машинное обучение также изменило ландшафт кибербезопасности и вывело в авангард киберугроз генеративный искусственный интеллект, всё чаще используемый чёрными хакерами злонамеренно.
Ниже приведены девять прогнозов и тенденций в области кибербезопасности на 2024 год, о которых следует знать в любом случае, даже если не все из них сбудутся.
1. Увеличение вымогательских атак с использованием уязвимостей нулевого дня
В новом году злоумышленники могут ещё чаще прибегать к использованию уязвимостей нулевого дня для атак на корпоративный сектор, считает Дик О’Брайен, главный аналитик компании Symantec, входящей в состав поставщика корпоративных технологий Broadcom. Как стало понятно из на MOVEit Transfer, произошедшей в мае, злоумышленники вполне могут использовать одну единственную уязвимость для атаки на сразу сотни организаций, использующих единый уязвимый инструмент или технологию.«Это довольно эффективно, поскольку хакеры получают сразу множество жертв за одну атаку или кампанию», — объяснил О’Брайен. «Ущерб наносится ещё до того, как информация о методах злоумышленников становится общеизвестной».
Вообще, обнаружить уязвимости нулевого дня не так просто. Злоумышленникам необходимо долгое и стабильное финансирование, а также специальные навыки, чтобы проводить подобные атаки. Данный факт, впрочем, не означает, что таких атак в будущем станет меньше. Наоборот, хакеры Cl0p показали всему киберпреступному сообществу эффективность подобной тактики, и лишь подстегнули других чёрных хакеров искать Zero-day уязвимости с ещё большим энтузиазмом.
2. Генеративный искусственный интеллект и безопасность электронной почты
В 2023 году в технологической отрасли доминировал генеративный ИИ, поэтому ни один список тенденций не будет полным без рассмотрения того, как он может повлиять на организации с точки зрения угроз.Потенциал искусственного интеллекта практически безграничен. Там, где даже у самого изощрённого мошенника закончатся идеи, условный ChatGPT или его вполне могут подкинуть новых, абсолютно уникальных и не менее изощрённых вариантов для будущих атак.
Хотя злоумышленники уже вовсю используют генеративный ИИ для улучшения фишинговых кампаний, новые тенденции сулят продвинутые возможности машинного обучения в имитации высокопоставленных лиц или публично известных руководителей.
«Люди очень активны в социальных сетях, где они публикуют множество информации и постов. Легко взять все эти данные, поместить их во что-то вроде ChatGPT и попросить написать что-нибудь в стиле этого конкретного человека», — сказал Оливер Таваколи, технический директор Vectra AI, поставщика услуг кибербезопасности.
«Злоумышленник может отправить электронное письмо сотруднику, утверждая, что оно от генерального директора, финансового директора или аналогичной должности. Получение электронного письма, которое звучит ровно так, будто оно на самом деле исходит от вашего босса, безусловно, кажется гораздо более реальным, чем обычное электронное письмо», — разъяснил ход своих мыслей Таваколи.
Для борьбы с подобными атаками социальной инженерии эксперт рекомендовал организациям проводить тренинги по повышению осведомлённости сотрудников, регулярно определять их общую позицию в области безопасности и периодически даже устраивать локальные диверсии, чтобы вычислить слабое звено в своём штате до того, как его обнаружат злоумышленники.
3. Практики беспарольного доступа
В сфере кибербезопасности уже много лет говорят о том, как бы хорошо было насовсем отказаться от устаревших по своей концепции классических паролей, заменив их на современный и более безопасный беспарольный доступ. Что ж, 2024 вполне может стать годом, когда долгожданный переход затронет большинство организаций.«Наконец-то это произойдёт. В наступающем году мы собираемся по-настоящему отказаться от паролей, и биометрия станет самым выигрышным методом», — сказал Блэр Коэн, основатель и президент AuthenticID, поставщика услуг по управлению идентификацией и доступом (IAM).
По словам Коэна, биометрия имеет ряд преимуществ и является самым распространённым вариантом аутентификации, поскольку люди годами используют сканирование отпечатков пальцев и лица на потребительских устройствах. Биометрия также может противостоять атакам и мошенничеству куда лучше, чем одноразовые коды доступа по SMS или электронной почте.
Большинство киберпреступников всё же не будут связываться с откровенным криминалом, чтобы в прямом смысле «добыть пальчики» сотрудников с необходимым уровнем доступа. Ну а копирование биометрических данных цели на манер фильмов «Миссия невыполнима» тоже далеко не просто в реализации.
Тем временем, вопрос о том, какой отраслевой стандарт беспарольного доступа в итоге победит, до сих пор является предметом дискуссий. По словам Коэна, FIDO2 — яркий претендент, но отнюдь не очевидный победитель.
«Я приветствую FIDO2 и считаю, что это здорово для повседневного использования потребителями, но не думаю, что данный стандарт станет выбором предприятий, крупных банков и т.д», — сказал Коэн, особо подчеркнув уязвимость FIDO2 к мошенничеству со стороны сторонних производителей.
Джек Поллер, аналитик группы корпоративной стратегии компании TechTarget, не согласился с этим утверждением. По его словам, FIDO2 займёт лидирующие позиции на потребительском рынке, поскольку многие корпоративные организации, такие как Google, Amazon и Apple, в настоящее время поддерживают этот стандарт. А также потому, что FIDO2 вполне устойчив к фишингу, чего достаточно для хорошего уровня безопасности в большинстве случаев.
4. Более тесное сотрудничество руководителей по кибербезопасности, директоров компании и общественных организаций
Нарастающая экономическая неопределённость привела к сокращению бюджетов на нужды безопасности. В 2024 году руководители компаний, вероятно, будут более тесно сотрудничать с общественными организациями и CISO, чтобы определить, на что лучше потратить бюджет, считают Чак Рэндольф и Мариса Рандаццо из компании Ontic. Это требует чёткого понимания того, где существуют риски для организаций и как обеспечить безопасность данных и сотрудников, как в офисе, так и на удалёнке.«Если я работаю в C-suite, я думаю о приоритизации рисков, оптимизации бюджета и упреждающих инвестициях в безопасность. Как цифровую, так и физическую», — сказал Рэндольф.
Организации должны провести оценку рисков и убедиться, что заинтересованные стороны имеют право голоса при составлении бюджета на обеспечение безопасности, посоветовал он.
Рэндольф и Рандаццо добавили, что IT-безопасность может быть объединена с физической или корпоративной безопасностью, такой как выявление и мониторинг потенциальных внутренних угроз или недовольных сотрудников. CISO могут внести свой вклад в обеспечение IT-безопасности, в то время как, например, правозащитные организации будут рассматривать вопросы насилия на рабочем месте.
5. Продвинутые проверки личности
В 2024 году ожидается, что всё больше организаций будут проводить дополнительные проверки личности, чтобы убедиться, что все сотрудники, партнёры и клиенты являются теми, за кого они себя выдают во время регистрации учётных записей, особенно по мере совершенствования искусственного интеллекта.«Если я никогда не встречал вас раньше, даже если вы появляетесь на созвонах в Zoom, откуда мне знать, что это действительно вы, а не самозванец с доступом к вашему компьютеру?», — справедливо подметил CISO одной из опрошенных компаний.
Организации будут всё чаще использовать верификацию личности для обеспечения доступа к учётной записи или сброса запросов. Технология также может сравнивать фотографии сотрудников и информацию с государственными документами, а также обеспечивать определение фейков, чтобы убедиться, что кто-то не использует изображение или видео, созданные искусственным интеллектом.
6. Более широкое внедрение инструментов и технологий проактивной безопасности
«Организациям следует больше инвестировать в инструменты и технологии проактивной безопасности в 2024 году, чтобы лучше выявлять уязвимости и бреши в своих системах», — заявила Максин Холт, старший директор по исследованиям и контенту аналитической фирмы Omdia. По её словам, благодаря проактивной безопасности организации смогут заранее узнать, на что лучше всего потратить бюджет компании для получения максимального результата.Холт рекомендовала компаниям изучить технологии проактивной безопасности, чтобы решить, какие из них окажутся наиболее применимыми и эффективными в рамках рассматриваемой организации.
В пример она привела следующие технологии:
- управление уязвимостями на основе рисков;
- управление поверхностью атаки;
- инструменты обеспечения безопасности приложений, облака и данных;
- управление путями атак и проверка средств контроля безопасности, включая тестирование на проникновение, моделирование взломов и атак.
7. Дополнительные правила для устройств в организации
Внедрение Интернета вещей (IoT) продолжает набирать обороты, как и отсутствие надлежащих мер безопасности во встраиваемых устройствах. В 2024 году мы можем наблюдать усиление контроля со стороны регулирующих органов, особенно по мере роста угрозы искусственного интеллекта и поиска злоумышленниками дополнительных векторов атак.«Перспективы регулирования подключаемых устройств будут продолжать меняться по мере того, как правительства и регулирующие органы разрабатывают более комплексные структуры для решения проблем, связанных с расширением использования и разработки подключаемых устройств, а также повышением изощрённости злоумышленников», — сказала Вероника Лим, руководитель отдела безопасности продуктов консалтинговой фирмы Deloitte. «Мы увидим, как организации будут более строго придерживаться стандартов кибербезопасности».
Впрочем, как организации будут справляться с ужесточением правил, ещё предстоит выяснить. Лим объяснила, что многие организации уже сталкиваются с проблемами своевременного применения патчей безопасности, что открывает хакерам расширенные возможности для злонамеренной эксплуатации. «Подключаемые устройства часто становятся мишенью для злоумышленников, потому что они часто содержат устаревшее и уязвимое программное обеспечение», — сказала Лим.
8. Борьба сторонних производителей за безопасность
Взлом данных третьей стороной, такой как поставщик или партнёрская организация, может принести злоумышленникам более выгодные результаты. У третьих сторон обычно свои собственные стратегии безопасности и инфраструктура, которые могут в корне не соответствовать стратегиям их клиентов, открывая дополнительные пути для атак.«Плохие парни действительно преуспели в выявлении этих третьих сторон, которые помогают им обходить мощные механизмы безопасности крупных организаций, таких как, например, банки», — сказал Алекс Кокс, директор по анализу угроз в LastPass. «Крупный банк тратит кучу денег на безопасность, но сторонние поставщики, с которыми он сотрудничает, этого обычно не делают. Если хакеры получают доступ к этому поставщику, это даёт им доступ и к куче других компаний».
Для организаций, обеспокоенных безопасностью сторонних производителей, также нет простого ответа. Кокс сказал, что, хотя сложно обеспечить определённый уровень безопасности в связке с третьими сторонами, организациям следует рассмотреть возможность создания контрольного списка безопасности, которому должны следовать их поставщики, или потребовать проведения оценки безопасности сторонними компаниями, прежде чем вести дела с каким-либо поставщиком.
9. Поставщики могут повлиять на политику киберстрахования
Организации часто приобретают полисы киберстрахования, чтобы смягчить последствия атак программ-вымогателей. В то же время операторы киберстрахования совершенствуют процедуры андеррайтинга (оценки рисков), в связи с чем некоторые поставщики могут быть идентифицированы как ненадёжные, а сотрудничество с ними может повлиять на возможности получения страховых выплат пострадавшей компанией.По словам Джесс Берн, аналитика консалтинговой компании Forrester, в 2024 году организациям, возможно, придётся потратить несколько больше времени на проверку безопасности своих текущих и потенциальных партнёров-поставщиков, чтобы в будущем не попасть в неприятную ситуацию с отказом в страховой выплате.
Некоторые специалисты в области информационной безопасности уже считают, что операторы киберстрахования имеют слишком большое влияние, когда дело доходит до решений о реагировании на инциденты. Компания Forrester предсказала, что эта тенденция сохранится и в следующем году.
Заключение
Как отмечено выше, сфера кибербезопасности не стоит на месте. Она развивается постоянно — буквально с каждым днём возникают новые угрозы и вызовы. Чтобы эффективно противостоять киберпреступникам, компаниям необходимо быть в курсе будущих тенденций развития отрасли.В 2024 году ожидается дальнейшее совершенствование тактик злоумышленников, в том числе с использованием возможностей искусственного интеллекта. В то же время, появляются и повсеместно интегрируются новые перспективные методы защиты, такие как биометрическая аутентификация или проактивные технологии выявления угроз.
Чтобы эффективно противостоять грядущим вызовам, компаниям нужно не только следить за тенденциями в сфере кибербезопасности, но и своевременно внедрять современные и надёжные решения. Лишь гибкость и способность адаптироваться к изменениям станут ключом к успеху в этой непростой борьбе, помогая организациям сохранить свои данные, ресурсы, время и деньги как в следующем году, так и на протяжении всего жизненного цикла.
