身份認證挑戰驅動的網絡安全趨勢

何靜

2020年，人們將開始認識到身份認證危機對全世界組織和個人的全面影響。以下是一些與身份認證有關的特定趨勢和預測，以及對網絡安全造成的影響。

電子郵件安全將被證明是選舉安全措施中最薄弱的環節

在所有網絡安全攻擊中，90 %與電子郵件有關，如美國選舉的基礎設施也容易受到基于電子郵件攻擊的影響。這意味著電子郵件安全性必須成為阻止干擾2020年美國總統大選的優先事項。但是研究表明，美國大多數州政府都忽略了此漏洞。與美國各地選舉人員相關的電子郵件域中，只有5 %的域已實施基于域的郵件驗證。

基于域的郵件驗證、報告和一致性（DMARC）是一種廣為接受的開放標準，可以確保只有授權的發件人才能發送來自特定域的電子郵件，這是阻止網絡釣魚攻擊最基本、最有效的方法之一，也是美國國土安全部要求在美國聯邦機構中使用它的原因。2019年5月，黑客通過魚叉式網絡釣魚活動破壞了佛羅里達州2個縣的選舉系統，而在2019年11月，黑客在選舉活動中對路易斯安那州進行了基于網絡釣魚的勒索軟件攻擊。

由于只有極少數的組織機構采用DMARC技術，因此通過電子郵件進行攻擊是尋求破壞選舉惡意行為者的簡便方法。

身份驗證將是安全部門的主要挑戰

大多數組織都從加密、沙箱、網絡分段等角度考慮網絡安全，卻忽略了身份驗證的核心作用。在2019年，人們看到企業和安全供應商越來越意識到身份和訪問管理（IAM）作為網絡安全不可或缺的組成部分的重要性。

但是，授予訪問權限只是網絡安全“身份危機”的一小部分。每個電話、計算機、人員以及物聯網設備均具有必須進行身份驗證才能建立可信通信的身份，然而驗證身份并非易事。

Deepfake技術將被更多的網絡攻擊所利用

到2020年，人們將看到深度偽造（Deepfake）技術從概念驗證和偶發攻擊工具向更常見的策略過渡。Deepfake的音頻和視頻可以使針對個人和組織的網絡攻擊變得更加復雜和令人信服，因此攻擊也更加有效。

2019年，一名欺詐者利用人工智能語音技術，假冒了德國一家公司的首席執行官，說服該公司員工向匈牙利供應商的銀行轉賬20萬美元，然后立即轉給了墨西哥的另一家銀行。

如果認為網絡犯罪分子沒有采用這種技術來獲利的想法是錯誤的。網絡詐騙者將在其工具箱中添加Deepfake，將其與已經成功的偽造技術（例如電話號碼欺騙和電子郵件模擬）相結合，以推進網絡釣魚和BEC技術，并推動針對性越來越強的網絡攻擊。安全專家預計，由于使用Deepfake技術的增加，基于偽造技術進行的攻擊造成的損失可能在2020年達到數十億美元。

DMARC的采用將在各個行業中增長

人們將看到DMARC的采用將繼續增長。DMARC是一種與供應商無關的身份驗證協議，它使電子郵件域所有者可以保護其域免受欺騙，并且在過去三年中，使用該域的域數量已增長了5倍。到2020年，人們將看到多個垂直領域有所增長，尤其是醫療保健和政府領域。

在美國政府的領導下，美國國防部很快將要求其所有領域執行DMARC，從而導致受保護的軍事設施數量增加。服務于醫療保健行業的全球非營利組織H-ISAC敦促醫療保健公司采用DMARC作為最佳實踐的一部分，因此，人們已經看到該領域的采用率有所提高。這種增長將在整個2020年持續。

主要品牌廠商將引領BIMI的發展

郵件識別品牌標志（BIMI）是一種電子郵件標準，它將改變人們通過電子郵件與自己喜歡的品牌廠商進行交互的方式。郵件識別品牌標志提供了一個框架，組織可以通過該框架提供授權徽標，以在收件人的收件箱中顯示該組織的身份驗證電子郵件。

預測BIMI將會越來越受歡迎，尤其是在嚴重依賴客戶信任和參與的大型企業和知名廠商中。實際上，谷歌公司將在2020年啟動BIMI試點，這將有助于刺激采用率。Verizon Media公司的研究表明，BIMI可以提高開放率和高客戶參與度，這給營銷人員提供了極大的動力來支持電子郵件認證，這是采用BIMI的前提。

物聯網/智能城市安全將會繼續成為攻擊者的目標

保護城市設施安全，首先必須防止網絡釣魚者訪問計算機，因為他們可以將命令遠程發送到物聯網設備。物聯網安全面臨許多挑戰，其中至少一部分是對設備通信進行身份驗證。

此外，使用默認密碼和過時的加密，讓物聯網設備易于被黑客入侵。2019年發生了一些基于物聯網設備的黑客攻擊事件，而在2020年，人們真正需要關注的是黑客針對能源網絡和其他主要基礎設施造成破壞。