未來一年，數位轉型的浪潮將由那些走在新興技術整合尖端的企業所引領。雲端技術、人工智慧與機器學習 (AI/ML) 以及 Web3 的進步將重新改變威脅情勢的樣貌，在傳統防禦的邊界之外開拓出新的疆土。然而，這些技術的發展，還是得仰賴其底層 IT 結構來發揮效率。2024 年，企業領導人必須採取措施來確保其企業系統與流程都能跟上這些現代化解決方案的腳步，更別說在建構及保護這些解決方案時所衍生的新式資安挑戰。
隨著新的一年越來越近，決策者勢必得掌握企業網路資安的重要潮流以及優先領域，以創造成長空間、防範企業在邁向創新的道路上可能出現的任何威脅。在這篇文章中，我們將討論趨勢科技安全專家團隊對於2024年可能引起重大變化的預測。
組態設定錯誤將使網路駭客能藉由雲端原生蠕蟲來擴大攻擊
企業應該為 2024 年做好萬全準備，以確保其雲端資源不會被那些「從雲端就地取材」的攻擊用來對付自己。資安團隊需要密切監控雲端環境，還要預先知道雲端蠕蟲可能利用雲端組態設定錯誤來入侵、並藉由 Rootkit 來常駐於雲端內部。雲端技術 (如容器化應用程式) 一旦遭到感染將特別危險，因為駭客可能會經由它作為跳板，將感染擴散至其他帳號和服務。由於蠕蟲能夠一次感染多個容器，並且大規模地攻擊漏洞，將偵查、攻擊及常駐等各項動作全部自動化，因此將成為駭客集團2024年首要的攻擊手法之一。
AI 生成的影音內容將使得網路上出現更多精密的社交工程詐騙
2024 年，生成式 AI 的各種應用不僅對企業有利，而且對那些想要尋求最新賺錢方式的詐騙集團也同樣有利。儘管詐騙集團在新技術方面通常落後，但在暴利的引誘下，網路駭客勢必會利用 AI 生成的誘餌來強化其社交工程攻擊。值得注意的是，儘管 WormGPT 這個不肖的大型語言模型 (LLM) 工具目前已經關閉服務，但未來暗網上還是可能會再出現其他類似的工具。在這段期間，網路駭客將繼續尋找其他方法來繞過網路上那些合法 AI 工具的限制。除了結合各種 AI 工具從事數位身分冒用的新興威脅 (如虛擬綁架) 之外，我們預測駭客將特別青睞使用語音仿真技術的針對性攻擊。
目前正逐漸興起的資料下毒手法將對訓練中的機器學習模型帶來災難
未來，在營運當中導入機器學習 (ML) 模型將成為企業改變遊戲的真正關鍵，企業都希望能利用這些模型來加速創新、提高生產力。隨著時序邁入 2024 年，一些嘗試汙染機器學習模型訓練資料的手法將開始受到駭客青睞。駭客很可能駭入模型資料的蒐集階段，或者入侵模型資料的儲存或資料流程的基礎架構來發動這類攻擊。此外，那些採用特殊資料集的特化模型，將比採用大量資料集來進行訓練的 LLM 與生成式 AI 模型更容易發生資料遭下毒的危險，所以資安人員必須更密切注意採用外部資源作為 ML 訓練資料的風險。
駭客將瞄準 CI/CD 流程的軟體供應鏈
2024 年，軟體供應鏈將成為網路駭客的一大目標，駭客的目標是要經由持續整合/持續交付 (CI/CD) 系統來滲透供應鏈。舉例來說，儘管 CI/CD 系統可以加快軟體開發速度，但來自第三方函式庫及容器的元件與程式碼並不是沒有資安風險，例如：缺乏徹底的資安稽核、包含惡意或過時的原件，或者暗藏可能導致程式碼注入攻擊的漏洞。所以未來一年，開發人員對於第三方來源的任何東西還是應該保持警戒。同樣地，在未來一年，為了確保關鍵軟體開發流程的永續並清除可能的錯誤，DevOps 人員對於其打算採用的任何外部程式碼都必須小心謹慎並定期加以掃描。
新式勒索伎倆與駭客集團將以區塊鏈為核心
儘管公有區塊鏈在網路攻擊的持續洗禮下會不斷強化，但特殊用途的許可制區塊鏈可就不是如此，因為後者採用了集中化的設計。由於這類區塊鏈缺乏經過千錘百鍊的資安韌性，因此今年駭客將針對這類私有區塊鏈，以勒索為基礎開發出全新的商業模式。在這些勒索行動中，駭客可能利用偷來的金鑰故意在區塊鏈上插入一些惡意資料或篡改現有的交易記錄，然後再跟受害者勒索一筆贖金作為封口費。此外，駭客也可能藉由掌控一定數量的節點來將整個私有區塊鏈加密，然後逼迫受害者支付贖金。至於駭客集團本身，我們預測 2024 年將看到完全仰賴區塊鏈並採用智慧合約或「去中心化自治組織」(Decentralized Autonomous Organization，簡稱 DAO) 來運作的駭客集團。
反制明日的資安威脅
凡是真正革命性的技術，最終無疑都會跨越邁入主流的門檻，然而,隨著這些新創技術變成產業標準的過程中，若要為企業擴展做出貢獻，就需要為新採用的工具和解決方案增加額外的保護層。在資安方面，企業只要能做好萬全準備並確實落實，就能盡情享受 IT 進步所帶來的好處，又不會讓自己暴露在非必要的風險當中。如欲了解更多有關企業與一般使用者未來將面臨的資安議題與挑戰，請閱讀我們的完整報告「關鍵擴展性：趨勢科技 2024 年資安預測」。