Akamai雲安全年度回顧：探索2023年網路趨勢及未來
- 劉中興／台北
-
回首2023年，Akamai連續四年榮膺Gartner評選的雲端WAAP客戶之選稱號，在欺詐預防和API安全方面均獲得KuppingerCole《領導力指南針》領導者，並成功抵禦住亞太地區創紀錄的DDoS攻擊，流量峰值達到每秒 900.1 Gbps、每秒1.582億個數據包。
2024年關將至，Akamai安全情報組聚合了多方視野，整理回顧了2023年的網路安全經驗洞察、防禦風險行動，以及對未來風險走向的研判。
醫療企業的軟肋：IoMT設備與零日漏洞
近一年來，醫療物聯網（IoMT）日益加劇的風險。鑒於醫療保健生態系統錯綜複雜，加上IT和網路安全人員配置問題，醫療企業在週邊網路保護上面臨重重困難。未經修補的IoMT設備是所有產業中更容易受到攻擊的一種資產，可能會引發勒索軟體攻擊等大型威脅。
API興起趨勢下，相關的漏洞層出不窮，可能會成為攻擊者攻破目標網路的立足點，也可能被濫用並導致資料洩露。攻擊者顯然也會不斷花樣整新，未來可能會繼續出現更多利用零日漏洞實施的技術攻擊。
未加密！難以置信的JSON Web權杖風險
在加密安全方面，JWT（JSON web token, 標準API識別方法之一）是一種常見驗證形式，但備受歡迎的身分驗證權杖，既沒有加密，在實施過程中也未考慮安全性，由此可能造成較大的攻擊面，且很容易出錯。相比常見的對稱演算法，非對稱演算法的保護效果更為明顯。
一個「/」，讓漏洞補丁失效
Outlook繞過漏洞，會讓未經授權的攻擊者，發送自訂通知聲音的Outlook邀請。在此攻擊路徑下，可將用戶端連接至攻擊者的伺服器，導致NTLM憑據洩露。駭客下一步會暴力破解用戶憑據，或執行中繼攻擊，滲透到了歐洲眾多政府機構。
三月發布的漏洞補丁，使得攻擊者無法指定自訂路徑（連接到攻擊者的伺服器），取消了遠端攻擊者利用此漏洞的選項。但謹慎機智的Akamai安全研究人員發現，在路徑名末尾添加「/」來驗證，針對關鍵漏洞設計的整個補丁便開始失效。進而防範此情況為攻擊者利用。
敲響Magecart攻擊的警鐘
2023年6月發布的Akamai《商業行業的威脅趨勢分析》SOTI報告，指出了Magecart攻擊正在持續入侵數位商務產業。攻擊者使用惡意JavaScript代碼注入的手段，試圖從電商網站的購物車竊取敏感使用者憑據，如信用卡資訊。
面對Magecart網路攻擊行為，Akamai安全研究團隊深度剖析了Magecart偽裝為供應商服務代碼片段竊取敏感性資料的攻擊手法，以及Akamai Client-Side Protection & Compliance檢測威脅的安全效能。閱讀更多詳情，盡在《Magecart 新趨勢：偽裝為供應商服務代碼片段，竊取敏感性資料》。
值得高度關注的區域攻擊趨勢
全球安全視野下，金融服務業仍然是亞太地區及日本，遭受Web應用程式和 API 攻擊更嚴重的垂直產業，商業次之。自Akamai 6月發布報告以來，針對金融服務業發起的攻擊已超過45億次。
網路犯罪分子的組合式攻擊方面，Web應用程式零日攻擊正在與勒索軟體相結合，並納入DDoS攻擊，以形成三重勒索策略。利用爬蟲程式進行Web抓取，也已成為幾乎所有航空公司重大活動或機票銷售的新常態。以API業務邏輯為導向的API攻擊不斷湧現，在未來也需要重點關注。
把脈全球網路安全態勢
當前威脅態勢下，企業需要全方位的雲安全服務承擔該工作負載，維持防護狀態並為每個端點實施獨特的保護。Akamai可以採用多層安全措施來防禦全方位的網路攻擊，分析不同客戶的細微差別和趨勢，採取更具定制化的方式監控和抵禦，防止惡意入侵。
來自Akamai安全營運指揮中心的見解
◆ 抵禦爬蟲程式，是一場持久戰
撞庫攻擊者往往技術高超且非常警覺，爬蟲程式攻擊危險係數高。因此擁有撞庫防禦解決方案非常必要，特別是在惡意爬蟲程式使用量持續攀升的金融服務業和商業產業。
◆ 告別小打小鬧，攻擊者愈發成熟
以每小時10美元的價格租用DDoS僵屍網路，試圖擊敗遊戲對手的駭客已變得更加老練，會密切關注特定的目標，有時甚至提前一年進行偵察，持續發掘潛在薄弱環節，精心策劃攻擊。
◆ 保持網路與營運相協調的安全實踐
建議企業客戶將Akamai作為自身網路團隊的外援，提高網路安全保護措施的有效性。首先，客戶可預先與 Akamai合作建立防禦體系；其次，可主動做好營運準備工作，並制定備份計畫。
Akamai安全顧問「哇塞」時刻
年底之際，Akamai CISO（Chief information security officer）顧問，也從眾多安全案例中，洞見到顯著成長的攻擊趨勢，發現爬蟲程式和API攻擊的數量持續成長、本地檔包含（LFI）是攻擊者更常利用的攻擊手段，已成為難以改變的局面。
關鍵資料洞察
◆ 總共有10%-16%的企業，每季度至少遭遇一次針對網路的命令和控制（C2）流量攻擊
◆ 勒索軟體方面，過去6個月內攻擊手段令人擔憂，零日漏洞和一日漏洞濫用猖獗。
◆ 多個勒索團夥發起初次攻擊後的三個月內，對受害者發起後續攻擊的可能性要高出近6倍。
歲末之際，回首2023年。Akamai通過對自身技術服務的積極革新以及對Neosec的收購整合，如今在獲取API 可見性、增強出海企業品牌保護、抵禦勒索軟體攻擊等方面，構建了更具縱深且多樣化的創新優勢與雲安全防護能力。面向2024年，Akamai將秉持專業的服務精神與高水準、全方位的解決方案，陪伴Akamai客戶加速出海，在全球化市場贏得更大的業務成長。
【詳細閱讀】
《年度回顧：探索2023年網路趨勢及未來》報告內容
