普普安全资讯一周概览（0709-0715）

作者：

时间：

2022-07-15

数据安全的未来将是安全领域的一场革命

世界正在迅速走向数字化，这已不是什么秘密。银行、购物、约会和支付账单都触手可及。

数据安全是一个广义的术语。它涵盖了谁在查看您的数据、为什么以及可以查看哪些数据。有法律和法规来确保数据隐私的未来。但是，某些漏洞仍然存在，可能使数据隐私容易受到攻击。密切关注未来五年在全球数据保护方面将发生的事情至关重要。美国政府已经开始了一场隐私辩论，并正在努力实施一些重大的隐私变更。让我们展望未来，讨论未来几年数据保护角色和法规可能发生的变化。

普普点评

如果说我们从过去两年大流行后学到了什么，那就是数据很重要，但保护数据更为关键。各国已经实施了许多改变来保护他们的数据，而且还会有更多改变。称未来几年是数据安全领域的一场革命并没有错。

安全配置管理（SCM）的价值与应用

安全配置管理（SCM）已经成为现代企业组织开展网络安全建设的重要基础工作，是各种安全能力有效运营的基础，缺少它一切只是空中楼阁。SANS 研究所和互联网安全中心建议，当企业全面梳理IT资产后，最重要的安全控制就是进行可靠的安全配置。CIS关键安全控制第4项（Critical Security Control 4）也表明，“企业应建立和维护硬件（包括便携式和移动设备的最终用户设备、网络设备、非计算/物联网设备及服务器）和软件（操作系统及应用程序）的安全配置。”

攻击者总是伺机寻找那些默认设置很容易中招的系统，一旦发现漏洞，攻击者就会更改系统设置，实施破坏活动。在这种情况下，安全人员能够拥有一套合适的管理工具，对安全配置进行有效管理显得格外重要。SCM工具不仅可以识别使组织系统易受攻击的错误配置，还可以让组织准确了解关键资产上发生的变化，比如，可以识别对关键文件或注册表项所做的“异常”变更等。

普普点评

虽然安全配置管理过程很复杂，但如果组织使用合适的SCM工具，大部分工作都可以借助自动化来完成。组织使用安全加强标准，并设立基准基线，以识别该标准出现的变化，是“密切关注敌人”的好方法。

数字经济时代，筑牢数据安全防线

在物联网、云计算、大数据、AI等新技术的推动下，数字经济正在高速增长，与此同时，信息基础设施安全、数据安全、个人信息保护等一系列网络安全问题也成为数字经济健康、快速、持续发展的关键问题。

与传统经济相比，数字经济更需要成为“可信经济”。“可信经济”是以可信网络为底座，以可信数据为关键生产要素，构建具有安全运行发展生态的新经济。数字经济的发展需要IPv6、5G、物联网、大数据、云计算、区块链和人工智能等新时代信息技术赋能，也要善于利用新技术打造安全可信的基础设施与应用系统。

在上述过程中，数据加密与隐私保护尤为重要。数据是生产要素，不仅要防止数据泄露也要防止数据被篡改，数据加密是一种手段。需要实时对数据进行审计与版本核对，防止因数据被恶意再加密导致资产被控或被勒索。在融合多方数据分析计算的同时，需保护敏感数据不外泄，需使用多方计算(MPC)、可信硬件和联邦学习等技术。

普普点评

网络安全是政府、企业、个人共同关注、共同来支持完成的。当前5G时代，安全方面虽然比过去的3G、4G有了很大地改进，但是整个网络安全永远是魔高一尺道高一丈，要尽可能发挥技术的能力，在5G时代网络安全应该更要加强。

企业是一个很重要的环节，特别是互联网企业，企业为网络安全人才提供更多的锻炼机会。人才培养除了高校的培养以外，政府可以组织各种训练班、培训班，进行网络安全技术的交流以及案例的分析，包括组织一些大赛等，来发现网络安全人才，并且激发更多的互联网爱好者投身到网络安全行业里来。

数据安全的未来将是安全领域的一场革命

随着数字化活动的普及，数字身份作为数字化活动的基础显得尤为重要。传统的中心化身份管理系统存在诸多弊端，如数字身份的拥有者没有实际的控制自己的身份，存在着身份信息容易泄露及滥用的风险。区块链技术的各种优点，正好可以解决中心化数字身份存在的问题。因此，在分析数字身份由中心化到去中心化转型的必要性后，重点研究基于区块链的分布式数字身份技术。随着数据的爆炸式增长，各种安全问题随之而来。登录第三方网站注册的个人信息，往往由于第三方互联网企业缺乏安全意识、缺乏信息保护的技术手段，导致用户真实的身份信息被非法机构入侵获取并加以贩卖。同时，用户的个人信息不由用户自己支配，无授权下的滥用场景频发。

区块链技术凭借其去中心化、多方共识、公开透明、防篡改以及可追溯等特征，给数字身份的安全转型提供了可信的解决方案。该技术恰好可以解决数字身份当前的痛点，使得身份所有者对自己的数字身份有着绝对的话语权。

普普点评

分布式去中心化数字身份理论的基础上搭建区块链网络，对实际问题进行建模和验证。分布式数字身份技术借助区链技术的发展，在数字生活中将得到广泛的应用，但是该数字身份的推广还处在起步阶段也存在一定的不足。如何保证上链传输过程中的安全、链上数据的真实可信等问题，都是后续需要研究的方向。

保护楼宇管理系统免受网络安全威胁

数字化转型正在被许多行业采用，包括商业房地产和设施对日常运营至关重要的行业。为了寻找降低运营成本和能源消耗的方法，建筑业主正在将物联网系统和传感器添加到经常老化的建筑管理系统中。

通过自动化楼宇管理库存，我们可以消除盲点，并显揭示以前可能遗漏的资产。通过使用构建始终最新的库存而不是依赖于数据快照的解决方案，我们可以节省时间和金钱。

在收集和分析来自所有设施复杂建筑管理环境的信息时，资源效率是关键。商业房地产业主需要不断更新风险信息，使他们对自己的安全状况和运营弹性有信心。此外，为了分析随着时间推移可能出现的网络变化或执行快速事件响应，需要强大的取证时间线分析和查询工具。

普普点评

许多建筑运营商不具备内部技能或资源可用性，无论是人力还是预算，以有效地解决改善网络安全问题。如果是这种情况，那么继续下去的一个好方法是使用托管安全服务提供程序。另一方面，如果企业希望在内部解决OT和IoT网络安全问题，那么可以选择跟网络安全企业合作以提高安全和运营弹性。

人机合智：安全运营中的人工智能

人工智能是对人类智能的补充，而不是替代。在复杂系统的环境中，尤其是在与快速适应的、智能化的对手对抗时，以主动学习为核心的自动化技术将带来极高的价值。人类的主要工作是经常性的检查机器学习系统，加入新的样例，不断的调整迭代。

许多信任人工智能驾驶汽车的网络安全专业人士，对人工智能在网络安全对抗中的作用持怀疑态度。但是，在海量数据和告警需要处理的今天，自动化操作是提高安全运营团队效率最有效的方法之一，基本上也是未来唯一的解决之道。

自动化将创造性思维从耗时的操作任务中解放出来，尤其是在检测高级威胁时非常有用，关联分析、优先级排序，自动执行低风险的控制措施（如隔离可疑文件或要求用户重新验证），这些都可以显著提高安全运营效率、降低网络风险。

普普点评

人工智能或机器学习至少在可见的将来无法成为唯一的网络安全策略。在数据的汪洋大海中寻找蛛丝马迹时，将机器智能与安全专家的人类智能相结合，是且仅是最为实际有效的技术手段。

零信任网络访问2.0

现有的零信任网络访问（ZTNA）1.0框架已经得到较广泛应用，不过有分析认为，这种技术框架并不完善，存在导致组织攻击面得不到完整保护、应用程序管理散乱以及更复杂的技术堆栈等缺陷。为了帮助现有ZTNA用户弥补技术应用中的不足，ZTNA 2.0架构应用而生。研究人员介绍，这种新架构的核心目标是实现对所有威胁途径的所有流量都要能够进行持续性信任验证和安全检查。

ZTNA 2.0在技术上具有一定优势，并且已经受到行业关注。但是，ZTNA 2.0还需要通过更多的实际落地案例来表明它能够真正兑现承诺。Palo Alto 申博太阳城官网不久前推出了Prisma Access解决方案，代表着安全厂商正在从产品化的角度落地ZTNA 2.0。据了解，Prisma Acces可以在技术堆栈的基础架构层扩展和保护工作负载，同时为访问和完成数据交易的用户提供ZTNA 2.0安全。

普普点评

网络攻击已达到了新的水平，很多组织的应用系统仅因为一次网络钓鱼活动就可能遭到破坏。ZTNA 2.0表明，为了有效控制企业（包括一些已建设零信任体系的组织）的防御缺口，安全团队需要更好地控制OSI模型上面几层的活动，然后尽快采取针对性的对策。ZTNA 2.0作为一项标准要真正成熟起来，还需要在众多行业有更广泛的应用和可量化的应用效果，这样其他组织才能在制定预算时说服企业管理层。

上一篇:普普安全资讯一周概览（0716-0722）下一篇:普普安全资讯一周概览（0702-0708）