进入新的十年，物联网安全领域逐渐成熟，但也伴随着新一波风险。不久前，“物联网安全”一词听起来还很矛盾。但现在，人们对物联网安全重要性的认识空前高涨。随着联网设备渗透到我们生活的方方面面，从家庭到工厂，恶意黑客现在有了各种各样的最终目标。以下是对来年网络安全猫捉老鼠游戏的期待。1.智能楼宇安防受关注2020年，智能楼宇安防或将成为设施管理者的头等大事。Gartner研究表明，到2020年，80%的连接设备将与建筑物相关，智能建筑为对手提供了新的攻击向量。但专家们对此类攻击在明年是否会显着增加存在分歧。HoneywellBuildingSolutions全球网络安全总监MirelSehic预计会出现大幅增长。攻击者可能会使用楼宇管理系统作为获取IT数据和操纵楼宇控制的跳板。KudelskiSecurity首席执行官AndrewHoward表示：“我认为明年我们不会看到更多此类攻击，因为许多建筑物内的网络高度隔离。尽管可能有一个或两个系统连接到互联网，实际情况是大部分系统都没有连接到互联网，即使连接到互联网，通常也是VLAN隔离，这不像是普通的物联网网络，所有设备都铺设在一个扁平的网络架构上。根据我的经验，大多数建筑物，无论新旧，实际上都非常重视隔离。例如，电梯与建筑物管理系统隔离，并且与自动扶梯隔离。建筑物中的安全摄像头可能连接到互联网，但基本上很难将其用作进入建筑管理系统的跳板。在2013年Target信用卡数据泄露事件之后，互联建筑系统的前景成为主要的网络安全问题。在那事件中，Target的HVAC供应商遭到入侵，使攻击者能够访问其内部网络，包括其支付系统。仅此一项，黑客就窃取了4000万个信用卡号码。保持建筑物安全的挑战之一是事物通常是支离破碎的。在这个领域没有主要参与者成为安全供应商。2.5G安全性开始显现2019年，5G看起来像是一种理论上的可能性。今年上半年，5G出现在贸易展和个别地区，但现在，电信公司开始推出他们的5G网络。2020年，随着5G的继续推出，攻击也将继续。IOActive首席技术官CesarCerrudo对此表示赞同。在任何给定时间，连接的事物越多，安全问题就越多。5G最终成为底层协议的前景意味着从监控和交通摄像头到车辆的一切都将通过它连接。这有可能为攻击者提供瘫痪社区、城市甚至整个国家的途径。5G还可以为主要使用不同无线协议的设备提供连接。例如，5G可以作为LPWAN设备接入云端的回传线路。尽管具有抗干扰特性，但5G与其他形式的无线通信一样，容易受到拒绝服务攻击和拥塞的影响。电信和基础设施公司正在大力推广5G用于各种用例，包括工业用例。将5G用于具有实际业务影响的关键工业流程是一个冒险的提议。PASGlobal首席信息安全官JasonHaward-Grau说，使情况复杂化的是，许多工业环境都部署了过时的遗留设备。恶意黑客将开始针对这些环境造成严重后果，例如未经授权修改配置——这可能导致工业流程无法按预期运行，从而导致工业事故、停电，甚至环境灾难。3、托管安全服务市场近年来风起云涌，很多企业开始放弃自主管理安全的想法。根据KennethResearch的一份简报，托管安全服务是一个不断增长的细分市场，年增长率为15%。2020年，托管安全服务市场增速将更高。一般来说，许多正在进行数字化转型的公司和企业都难以找到足够的专业人员来应对日益复杂的网络安全问题。因此，他们将注意力转向托管服务。Cerrudo还预测对安全咨询业务的需求将会增加。随着我们对技术的依赖和使用的增长，需求应该会增长。企业寻求各种服务来帮助调整他们的问题和服务以满足他们公司的需要。此过程有多种方法，包括合作伙伴关系、外包、软件即服务(SaaS)解决方案、常规服务等。但网络安全市场的复杂性让一些公司对完全外包持怀疑态度。过去几年我在网络安全市场看到的变化之一是，大公司更愿意引入托管安全供应商来完成他们的部分安全工作，但不是全部。过去，他们要么完全在内部，要么完全外包。我认为我们将看到更多混合模型。4.OT网络安全巨头越来越重要随着安全仪表系统成为当前目标的消息，运营技术(OT)网络安全正在获得一些关注。Honeywell的MirelSehic预计，随着更多OT环境拥抱数字化，这一趋势将在2020年继续加速。霍华德同意：在与客户谈论OT环境时，他们历来对安全性感到紧张，而且这种趋势将会加速。一个因素是市场还不成熟。从安全的角度来看，OT格局的当前状态与十年前的IT格局相似。十年前，很难找到适用于IT环境的安全标准。网络安全人员可以找到一些NIST指导方针，但为特定工业环境寻找略有不同的指导方针根本不是这样。这种情况导致以OT为重点的组织的兴起，例如西门子的信任宪章和非营利基金会MITREEngenuity的威胁知情防御中心。Howard预计2020年将出现更多专注于OT网络标准的组织。在安全方面，OT世界比IT世界更难。毕竟，在IT世界中，笔记本电脑A与笔记本电脑B和服务器C之间的差异并不大，尤其是在操作系统整合方面。但罗克韦尔PLC和霍尼韦尔制造系统之间的区别是明显的。PASGlobal首席运营官MarkCarrigan观察到OT特定安全标准（例如ISA/IEC62443和《欧洲网络指令》）以及来自NIST、NERC、SANS和中心等组织的众多OT特定框架的发展互联网安全。卡里根在一封电子邮件中告诉媒体，2020年，随着这些框架和标准的逐步采用，网络风险将会降低。然而，采用和验证这些框架和标准对公司来说是资源密集型的，增加了工业网络安全的费用和复杂性。由于标准和框架的采用相对不成熟，组织可能需要评估多个框架的采用情况，从而进一步增加成本和复杂性。5.物联网安全：没有产品设计师希望在设计阶段就创建没有安全性的联网产品。除非他供职的公司难以协调上市时间、成本和客户体验。尽管如此，Arm的物联网服务集团战略副总裁CharleneMarini认为，鉴于物联网安全越来越受到关注，情况正在改善。她在邮件中透露：物联网设备制造商和联网设备部署商将制定功能升级计划，以确保物联网系统的安全性。这种思维转变将意味着设备制造商开始专注于创造可信、互联和可管理的产品。新的物联网安全理念包括在设计阶段嵌入生命周期管理功能、在编写软件时考虑到安全和隐私原则，以及为部署人员提供设备更新。对于部署物联网设备的公司来说，这种思维转变还涉及聘请经验丰富的专家来帮助管理大规模物联网网络。Marini的同事、Arm物联网云服务高级副总裁兼总经理HimaMukkamala认为，欧盟《通用数据保护条例》和美国?等法规将继续强调物联网设备隐私和安全的重要性.鉴于越来越多的物联网设备和政府法规，数据隐私和安全将成为物联网解决方案的最大驱动力。对于考虑在2020年部署物联网基础设施的组织而言，安全性将是其决策过程中的关键因素。Mimecast电子犯罪主管CarlWearn持类似观点。他预计明年与物联网相关的网络风险会因安全性差和勒索机会而增加，并预测与使用此类连接设备相关的立法会增加。Wearn表示，这种普遍缺乏连接性和设备内置安全性的问题长期以来一直被严重忽视，公众对其使用和潜在攻击的认识正在提高。6.AI炒作仍在继续，但垂直AI方法出现了围绕AI在网络安全中的炒作开始降温。但不要指望情况会显着改善。几乎所有东西都贴上了“AI”标签，其中许多只不过是决策树、算法或软件。当然，这并不是说人工智能没有巨大的潜力。但真正的术语“人工智能”已经成为一种流行词。例如。在不久前的一次会议上，我正在与其他一些网络安全主管讨论人工智能如何推动行为改变。与会者开始举例说明他们如何使用人工智能来最大限度地降低网络风险。例子真的很多。当我听到第七个例子时，我举手说：'没有人描述AI用例。你们只是在描述流程工作流程和软件。如果背后没有机器学习模型或神经网络功能之类的东西，那它就只是软件。Augury的战略副总裁ArtemKroupenev是一家使用工业物联网传感器监测机器健康状况的公司，他对人工智能在网络安全领域的未来持乐观态度。鉴于人工智能目前的成熟度，针对特定用例精心设计的产品将比采用通用方法构建的产品更有效。2020年，我们将看到工业公司开始围绕特定的垂直用例认真采用AI。对于此处的特定用例，我指的是工业物联网。谈到人工智能在网络安全中的应用，Cerrudo解释说：如果你想提供更好的解决方案，就必须缩小关注点，大力投资研发。人工智能的使用不断发展和成熟，它的使用越有针对性，它就会变得越精确。扩大范围只会增加复杂性并降低效率。【本文为专栏作者“李少鹏”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此阅读作者更多好文
