移動互聯網威脅逐漸被網絡罪犯所利用

由于移動互聯網威脅（移動端惡意軟件）的存在，特別是Andriod移動端上，將會在2022年會逐步擴大感染規模。雖然移動設備從一開始就設計了安全機制，使得創建不需要人機交互的“零接觸”威脅更加困難。但仍然可以找到嚴重的遠程安全漏洞來創建惡意軟件。

與此同時，個別政府還資助某些網絡安全公司研發這類移動端的惡意軟件，例如之前的Pegasus移動端間諜軟件。Pegasus 是價值 10 億美元的秘密以色列監控公司 NSO Group 的大型間諜軟件產品。該公司發布的一份“透明度和問責制報告”中透露其在 40 個國家/地區擁有 60 個客戶。大多數客戶是情報機構或執法部門。不幸的是，就像當初名震天下的震網病毒（Stuxnet）一樣，當這些間諜軟件被泄漏后，網絡犯罪組織會從中學習并復制攻擊技術手段。

黑客瞄準太空，太空黑客將出現

隨著政府和私營公司重新關注"太空競賽"，以及最近網絡安全研究集中在衛星漏洞上，WatchGuard相信“太空黑客”將在2022年成為頭條新聞。

最近，衛星黑客攻擊在研究人員和DEF CON等會議上引起了網絡安全社區的調查和關注。雖然衛星似乎無法應對大多數威脅，但研究人員發現，黑客可以使用價值約300美元的設備與衛星進行通信。此外，較舊的衛星可能沒有專注于現代安全控制，而是依靠距離和模糊性進行防御。

與此同時，許多私營公司已經開始了他們的太空競賽，這將大大增加軌道上的攻擊面。像馬斯克的星鏈（Starlink）這樣的公司正在發射成千上萬的衛星。在這兩種趨勢之間，加上衛星系統對國家、經濟和社會的價值，WatchGuard懷疑各國政府已經悄悄地開始了在太空中的網絡防御行動。

魚叉短信釣魚（SMSishing）轉向社交軟件

基于文本的網絡釣魚（稱為短信發送——SMSishing）多年來一直在穩步增長。像電子郵件社交工程一樣，它始于向大量用戶發送無針對性的誘餌消息，但最近已經演變成更具針對性的文本，偽裝成來自您認識的人（可能包括您的老板）的消息。許多人將他們的商業短信轉移到WhatsApp，Facebook Messenger，甚至微信、Teams或Slack等替代應用程序中。

然而，用戶去哪里，網絡犯罪分子就會隨之而來。因此，我們開始看到越來越多的人向WhatsApp、微信等社交網絡平臺發送類似魚叉短息釣魚（SMSishing）的消息。

簡而言之，WatchGuard預計到2022年，許多社交網絡平臺上的目標網絡釣魚消息將翻一番。

免密登錄認證帶來的安全隱患

Windows 10和11現在已經允許您使用Hello（Microsoft的生物識別技術）、Fido硬件令牌或帶有一次性密碼（OTP）的電子郵件等選項設置完全無密碼的身份驗證。雖然微軟做出這一大膽的舉動值得稱贊，但WatchGuard認為所有單因素身份驗證機制都是錯誤的選擇，并將重復舊有的秘密認證問題。因為物識別技術并不是一種無懈可擊的認證技術，隨著攝影測量學和3D打印技術的普及，攻擊技術也在不斷發展。即便是RSA的硬件令牌或是單次密碼（OTP）也并不安全。

數字身份驗證的唯一強大解決方案就是多因素身份驗證 （MFA）。在WatchGuard看來，微軟（和其他公司）本可以通過在Windows中強制和輕松地進行MFA來真正解決這個問題。您仍然可以將 Hello 用作身份驗證的一個簡便方法，但企業應強制用戶將其與另一個因素配對，例如通過加密通道（無文本或明文電子郵件）向手機發送推送批準。

WatchGuard的預測是，Windows免密碼身份驗證將在2022年被廣泛應用，但WatchGuard預計黑客和研究人員會找到繞過它的方法，證明我們沒有從過去的教訓中吸取教訓。

盡管成本飆升，企業仍會增加網絡安全方面的保險

自2013年勒索軟件取得天文數字般的成功以來，網絡安全保險公司已經意識到，保護客戶免受這些威脅的支付成本急劇增加。事實上，根據標準普爾全球的一份報告，網絡保險公司的損失率在2020年連續第三年增加了25個百分點，或超過72%。這導致獨立網絡保險單的保費在2020年增長了28.6%，達到16.2億美元。因此，他們大大增加了對客戶的網絡安全要求。不僅保險價格上漲，保險公司在提供網絡安全相關保險之前通常會主動檢查和審計客戶的安全性。

在2022年，如果您沒有適當的保護措施，包括用于遠程訪問的多因素身份驗證（MFA），則可能無法以您想要的價格獲得網絡安全保險，或者根本無法獲得網絡安全保險。與其他法規和合規標準一樣，這是的專注于安全和審計的新保險公司將推動公司在2022年改善防御的新重點。

零信任將成為信息安全的下一個增長點

大多數網絡安全專業人士從職業生涯的一開始就被灌輸了最低特權原則。通常情況下，為用戶提供其工作職能所需的最低級別的訪問權限是無可爭議的最佳實踐。不幸的是，最佳實踐并沒有被廣泛采用，或是被充分體現出來。在過去幾年或者說是幾十年中，我們已經看到攻擊者可以輕松地提升其訪問級別，并攻擊未遵循基本安全原則的企業網絡。

最近，一種"現代"信息安全架構在零信任的名義下越來越受歡迎。零信任的安全架構基本上可以歸結為"假設違規"。換句話說，假設攻擊者已經破壞了企業的某個數字資產或用戶，并以一種限制他們通過橫向移動到更關鍵系統的能力的方式設計企業的網絡和安全保護。你會看到像"微分段"和"斷言的標識"這樣的術語在零信任的討論中拋出。但是，任何從事網絡安全的人都會認識到，這種趨勢架構是建立在現有的、長期存在的強身份驗證安全原則和最小特權的想法之上建立起來的。

這并不是說零信任架構是一個流行詞或不必要的。相反，這正是企業自網絡搭建以來就應該做的事情。WatchGuard預測，到2022年，越來越多的企業將最終在其網絡中實施一種被稱之為“零信任”的信息安全架構。