卡巴斯基发布威胁预测，2018年哪些安全问题需引起重视

卡巴斯基实验室的网络安全分析团队“GReAT”每到年底都会对一年的网络攻击数据进行分析和研究，并对下一年的威胁进行预测，今年也不例外，2018年的威胁预测一出就在网络上相互转载，主要提出的问题有以下几个：

供应链攻击将日益严重

供应链攻击问题贯穿于以下几个环节：

开发环节:软件开发涉及到的软硬件开发环境、开发工具、第三方库、软件开发实施等等，并且软件开发实施的具体过程还包括需求分析、设计、实现和测试等，软件产品在这一环节中形成最终用户可用的形态。

交付环节:用户通过在线商店、免费网络下载、购买软件安装光盘等存储介质、资源共享等方式获取到所需软件产品的过程。

使用环节:用户使用软件产品的整个生命周期，包括软件升级、维护等过程。

另外还有众多的未授权的第三方下载站点、云服务、共享资源、破解盗版软件等这些环节的安全性问题其实也属于供应链攻击的范畴。

供应链攻击就是针对以上各个环节从而影响到最终用户产品，像第三方库、开发工具、开发软硬件环境、到达用户的渠道、使用软硬件产品的过程等都存在不同程度的安全风险，根据卡巴斯基的研究报告表明目前的“供应链攻击”数量可能比我们了解到的要高得多，只是这些还没有被暴露出来。

移动恶意软件将越来越高端化

近年来针对移动应用环境的恶意软件越来越多，这些恶意软件可能会使你的手机向高收费号码发送短信，或是利用无用的垃圾信息骚扰联系人，以及其他任何没有经过用户许可的有害行为。在恶意软件范围中，还有一种被称为间谍软件，这种软件通常采取的做法是为存在兴趣的第三方收集信息--联系人列表、电话记录、短信信息、地理位置以及浏览器历史记录等。

卡巴斯基的安全分析团队研究发现，现在很多移动恶意软件已经可以通过简单的方式直接控制你的电脑，获取有效数据、控制摄像头和麦克风等，高端化趋势日益明显，由于遥测技术的缺陷，一些移动恶意软件难以被发现和根除，现还未被发现的移动恶意软件的总数，可能比已经公布的要多。

web 框架分析工具多样化

随着人们安全意识的不断增强，企业的安全团队也越来越专业和强大，这也使得攻击者获得0day漏洞越来越难，于是各种强大的web 框架分析工具层出不穷，攻击者的攻击手段也越来越缜密，卡巴斯基也认为由于分析框架的普遍性和零日漏洞的高昂代价，我们可以估计在2018年使用“BeEF”之类的分析工具包将会增加，更多的黑客团队可能采用公共框架，或者自己开发工具包。

除此之外，卡巴斯基的安全团队还发现了大量破坏性的攻击，像去年针对中东地区多个目标的“雨刷攻击”，能够对攻击组织内部系统和设备造成大规模破坏，还有今年爆发的windows勒索病毒事件都在全球范围内对计算机系统造成了严重应用，预计这种破坏性攻击还会上升。

另外，加密系统将越来越有可能被破解，除了算法本身的漏洞，在具体的实践中出现的其他层面的漏洞也不容忽视；信息泄露事件仍是重灾区；大型僵尸网络将有可能被政治家或其他有企图的人员利用。从卡巴斯基透露的威胁预测可以看出，无论是个人、企业还是政府，所面临的安全威胁都在呈现多样化、高端化、复杂化，且有日益增长的趋势，只有构建威胁情报画像，实现威胁情报的分享和利用才能将威胁尽量降到最低，及时的情报共享是高效威胁响应的重要因素。

如何实现威胁情报共享呢?

首先，各个行业都建立起各自的安全防护体系，最后综合行程覆盖互联网、大型专网，跨区域、跨行业纵横交织的综合网络防御体系。其次，以技术体系为核心，把政府教育科研机构、各行各业包括安全企业连接起来，形成一整套威胁情报体系，让所有的威胁情报数据在这个体系上进行收集、监控、智能分析、共享等，这样或许才能从广泛意义上实现主动防御。