當前的安全威脅，不僅在攻擊手法上日新月異，更重要的是，它們的攻擊管道與攻擊面，也隨著安全威脅無所不在的發展趨勢 ─ 從實體到虛擬、從端點到雲端、從 IT 到 OT 都存在各種安全威脅入侵的風險，而變得更加多元而廣泛。
編譯／酷魯
我們需要更全面地掌握當前安全威脅無所不在的最新發展趨勢，再進一步洞悉無所不在的各種主流安全威脅的攻擊手法與風險等級後，才能針對當前無所不在的各類安全威脅，對症下藥地規劃出最直接有效的安全防護實踐與緩解措施。以下各篇章中的「網路安全」指的是能同時涵蓋網路、應用、資料、裝置、使用者及其他關鍵資產安全的 Cybersecurity 而言，而非僅限保護通訊系統安全的 Network Security。
在這麼一個安全威脅無所不在的世界裡，目前到底有什麼值得關注的最新發展趨勢？就讓我們一同探索！
一、AI 正成為次世代安全的支柱
進入 2025 年，AI 正全面融入安全防護的各個面向，例如威脅偵測、事件回應及安全政策的制定。其中，生成式 AI 代表了安全領域的一種變革性技術典範，能從根本上重塑數位防禦機制。它讓安全防護與管理從被動轉向主動，利用先進機器學習模型即時分析複雜的網路模式並識別潛在漏洞。它還能促進自動化的事件回應，生成複雜的加密金鑰，並為資安專業人員提供沉浸式的訓練情境。
二、準備迎接初始存取掮客的崛起
據 Deloitte 資安威脅情報團隊指出，初始存取掮客（Initial Access Broker，IAB）的崛起已成為當前新一股安全趨勢。光是 2024 年 10 月，就有近 400 件 IAB 在地下論壇張貼販售企業非法存取權的案例。IAB 是將受害組織網路存取權販售給惡意第三方的威脅行動者/組織，他們專精於滲透網路，但不會親自執行最終的攻擊。IAB 降低了 Cyber 攻擊的入門門檻，使缺乏專業技術知識也能發動攻擊。
三、開源軟體攻擊與開源法規的增加
開放原始碼安全基金會（Open Source Security Foundation，OpenSSF）預測，開源軟體攻擊在 2025 年將持續上升。OpenSSF 首席資安架構師 Christopher Robinson 表示，由於許多開發人員並未受過資安訓練，許多企業也未對其應用程式進行適當審查，結果讓自己與客戶暴露在可能的漏洞風險之下。
隨著開源供應鏈攻擊數量增加，相關法規也將隨之而來。Robinson 表示，OpenSSF 已經在與歐盟委員會合作制定開源法規，據傳日本與印度政府也在考慮類似的立法。
四、vCISO 與安全顧問的興起
風險管理供應商 Black Kite 資深副總裁兼網路風險策略師 Jeffrey Wheatman 表示，我們常聽到有人開玩笑說安全長（CSO）其實是「替罪羊長」（chief scapegoat officer）的縮寫才對。這一點從 SolarWinds 資安長（CISO） Tim Brown 被美國證券交易委員會的訴訟點名就可以看出。許多資安長與安全長因而開始選擇出任「委任資安長」（vCISO）或安全顧問的工作，這對於沒有資源聘請全職資安長與安全長的企業而言是個不錯的選擇。或許 2025 年將會是這兩個職位有所變動的一年。
五、破除「工具過載」，推動「安全技術合理化」
根據 Palo Alto Networks 調研，資安團隊正面臨平均擁有超過 30 種工具的「工具過載」（Tool overload）問題，工具太多反而造成阻礙。代管服務公司 Optiv 資安長 Max Shier 預期，2025 年資安長將推動「安全技術合理化」，也就是評估一家組織的安全堆疊，以實現價值最大化，並消除多餘、低效並降低成本。
[ 加入 CIO Taiwan 官方 LINE 、 Facebook 與 IG，與全球CIO同步獲取精華見解 ]
六、對 MSP 與 MSSP 的依賴增加
據調查，目前企業內部包括伺服器、行動裝置、微服務與 IoT 裝置等非人類身分（nonhuman identity）數量已以 50 比 1 超越人類身分。對大多數企業來說，無法完全靠內部資源、技能與專業知識處理這個問題。至於代管服務供應商（MSP）和代管資安服務供應商（MSSP）則不失為管理這個問題的最佳選擇。預計，2025 年，會有愈來愈多的企業導入這兩類服務，以提升資安韌性。
七、奉行「絕不信任，始終驗證」的零信任架構
零信任架構代表著網路安全中的一場典範式轉移，從根本上重塑了當代數位環境的網路防護。它基於嚴格的「絕不信任，始終驗證」（never trust, always verify）原則，要求所有使用者、裝置與網路流量都必須持續通過驗證與監控。該架構透過精細度的網路分割，能迅速限制可疑活動，例如可立刻隔離行為異常的使用者，或透過高強度加密讓攻擊者看不見企業網路流量。
八、日益受到重視的 IoT 安全
政策制定者正在優先推動全面的 IoT 安全標準，要求連網裝置具備強大的加密協定、定期安全更新與嚴格的驗證機制。這股監管推力來自於 IoT 裝置的指數級成長，全球因此產生超過 91 億次安全事件，多層次防護開始成為新興的安全策略。其中，先進加密技術正成為標準，Sonos 與 Tesla 等高階 IoT 產品正在實施憑證式身分認證，以確保只有合法軟體才能在裝置上運行。
九、回應量子破解加密的量子密碼學應運而生
當前量子運算從根本上挑戰現有的加密方法，尤其對 RSA 等現行加密演算法帶來重大風險。量子密碼學作為回應新興挑戰的先進方法應運而生，透過運用量子力學不可改變的定律，提出革命性的量子金鑰分發（Quantum Key Distribution，QKD）安全通訊機制，能以前所未有的安全性傳遞金鑰，任何攔截或竊聽量子通道的企圖都會立即被偵測。這也帶動了各國政府與產業的探索潮，美國國家標準與技術研究院（NIST）等組織也正開發能抵禦潛在量子攻擊的後量子加密（post-quantum cryptographic，PQC）演算法。
十、為企業打造安全生態系的 CSMA 網路安全網格架構
Gartner 提出網路安全網格架構（Cybersecurity Mesh Architecture，CSMA），作為一種超越傳統孤立式防禦機制的變革性企業安全方法，為企業提供了一個靈活且具協作性的安全生態系統。該架構透過建立一個模組化的框架，讓不同安全解決方案能夠無縫互操作。它主要透過四個關鍵層次來實現：安全分析與情報、分散式身分網布、整合的政策管理，以及統一的儀表板。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
