2023 RSAC大會明天開幕，7個值得關注的熱門議題推薦
責編：gltian ｜2023-04-23 15:21:144月24日，2023年度RSAC大會將在舊金山莫斯科尼中心（Moscone Center）正式開幕。與往年一樣，大會將是一個難得的行業交流與學習的機會，會通過高峰論壇、競賽活動、展覽等多種方式，呈現網絡安全行業發展中的新理念、新技術、新產品，以及眾多創新網絡安全企業。但問題是，參會者究竟要把注意力放在哪里？
今年的RSAC大會議程令人眼花繚亂，共有500多場高峰論壇、主題演講和研討會，涵蓋了從漏洞攻擊、軟件供應鏈安全、高級持續威脅（APT）研究以及惡意軟件分析等各方面的熱點內容。為了更好地幫助大家聚焦重點，把握行業發展趨勢，本文精選了7個人氣最高的熱門活動/議題。
1. AppSec會成為創新沙盒決賽的最后贏家嗎？
“創新沙盒大賽”一直是RSAC大會中最受關注的活動之一，這是一個讓各個初創型網絡安全公司展示其創新技術與理念的平臺。RSAC創新十強往往代表著行業最優秀、最有價值、最具前沿性的創新想法和發展方向。
今年的創新沙盒決賽的十強入圍企業是：AnChain.AI、Astrix Security、Dazz、Endor Labs、HiddenLayer、Pangea、Relyance AI、SafeBase、Valence Security和Zama。從這個名單可以看出，和應用程序安全性（AppSec）相關的創新企業收到了特別的關注，共有4家相關企業進入了最后的決賽。
Omdia高級首席分析師Rik Turner將行業對AppSec關注度的持續增長，歸因于新冠疫情大流行推動的遠程辦公需求快速增加。隨著現代應用程序架構日趨組件化，且企業越來越愿意通過第三方應用程序來提供服務，威脅行為者只需要入侵少數的關鍵網站，就可以訪問其他許多網站上的應用程序和數據信息。在此背景下，關注和加強AppSec的重要性不言而喻。
2. MITRE將發布供應鏈安全框架模型
在去年的RSA大會上，MITRE實驗室首次推出了其用于評估軟件供應鏈風險的信任系統（SoT）概念，在今年的RSAC會議上，MITRE將會正式發布SoT框架模型。
SolarWinds和Log4j等安全事件，不斷為軟件供應鏈風險和安全敲響了警鐘。然而到目前為止，行業還沒有一個通用的方法來定義或衡量來自第三方軟件系統供應商的安全風險。SoT的發布或許可以改變這一狀況。
MITRE軟件供應鏈安全首席工程師Robert Martin表示：SoT將是MITRE風險模型管理器（RMM）平臺的一部分，用于評估組織供應鏈風險和安全性。我們認為SoT框架模型對企業而言將會非常有吸引力，因為它提供了一個更全面、布局更合理的結構，能夠詳細解釋在軟件供應鏈中存在的風險，并且可以遠遠超越傳統的風險衡量和評估工具。
3. 實戰化的勒索攻擊模擬演練
在面對勒索軟件攻擊時，很多企業會陷入慌亂，并不知道應該做什么。創建一個有助于提升勒索攻擊事件響應能力的模擬環境非常重要。但是要設計出一個有效的桌面攻擊模擬方案通常并不容易。而在今年的RSAC大會上，LMG Security公司將會從實戰化攻擊的角度，模擬出勒索軟件和網絡勒索攻擊的真實流程和場景，以幫助企業組織找出應對該類型攻擊中的不足和漏洞。
LMG Security培訓和研究主管Matt Durrin指出：要模擬出真實勒索攻擊場景需要大量的技巧，包括仿真能力、展現能力，以及一定的創造力，才有可能模擬現實網絡攻擊中可能出現的種種混亂和不可預測性。我們會基于實際應對這些攻擊的多年經驗，充分利用與現代勒索軟件攻擊相符的元素。LMG Security本次展示的模擬攻擊將是依據經典的LockBit攻擊來建模，并加入了更多經典元素。在默認的攻擊情景中，所有本地數據都會被加密，內部系統將無法恢復。要恢復數據，需要支付250萬美元贖金，而如果在48小時內不支付，贖金價格將翻倍。
4. 完整版勒索攻擊防護策略發布
在遭受高風險的勒索攻擊后，企業應該如何做出理性、明智的選擇？在今年的RSAC會議上，網絡安全咨詢公司Triton Tech consulting將發布一套幫助企業應對高風險勒索軟件攻擊的完整策略，甚至還包括了幫助企業決策是否需要支付贖金。
Triton Tech consulting首席執行官兼創始人Brandon Clark計劃表示：組織首先需要知道什么是危險的，比如知道系統有多少彈性，可能會付出什么代價，以及有什么資源可以用于恢復系統。此外，企業還需要權衡的因素包括攻擊者在收取贖金后是否會真正解鎖系統，以及他們是否會再次發起類似的攻擊。在很多時候，勒索攻擊響應決策還需要包含有道德方面的考慮因素。例如，當勒索軟件攻擊者以可能危及生命的系統為目標時，組織需要考慮的就不僅僅是技術方面的因素和損失了。
5. xIoT設備真實攻擊方法演示
擴展物聯網設備（xIoT）通常以不受保護的狀態存在于企業網絡中，并且通常沒有得到很好的監控，這也使其成為網絡犯罪分子可以輕松用于攻擊的最佳選擇。
在RSAC 2023大會上，安全研究員兼策略師Brian Contos將提供有關這些設備的一系列入侵方法演示，并將討論如何將它們用作攻擊內部部署設備、云內設備的支點，以竊取敏感數據、保持持久性和逃避檢測。他的攻擊演示將包括從關閉電源到破壞資產，從竊取敏感數據到網絡上的橫向移動等各個維度，同時還將分享攻擊者是如何建立物聯網攻擊工具的信息。
Contos在活動預告中表示，由于物聯網系統上很難安裝任何額外的安全防護模塊或系統，因此所有傳統的安全防護技術（如防火墻、IPS或反惡意軟件）都很難適合于物聯網的場景下。安全團隊需要特別關注三種物聯網設備的安全性：企業物聯網設備，如攝像頭、打印機、IP電話和智能門鎖；運營技術（OT）設備，如工業機器人，閥門控制器和其他在工業環境中應用的數字設備；物聯網終端的連接設備，如網絡交換機、路由網關和物聯網數據存儲器等。
6. 廢棄網絡設備數據泄漏情況的調查和建議
研究人員已經多次警告稱，通過一些廢棄的網絡設備，攻擊者可以獲取到企業大量的網絡配置、憑據、應用程序和客戶數據。根據Eset公司研究人員最新開展的實驗，在其購買的16臺二手路由器（包括Cisco Systems ASA 5500、Fortinet FortiGate和Juniper Networks SRX Series Services Gateway路由器）上，發現其中有9臺仍然保存著原用戶敏感的核心網絡配置信息、企業憑據以及企業應用程序、客戶、供應商和合作伙伴的數據。
事實上，根據Eset 4月18日發布的《路由器研究白皮書》顯示，可以通過已廢棄的網絡設備，輕易發現了組織內部網絡系統的完整布局，如果這些布局信息被攻擊者獲取，將可以生成用于攻擊的完整網絡拓撲地圖。
近年來，如何安全地回收和重新利用計算機設備一直是一個令人擔憂的領域。多年來，人們發現硬盤驅動器、移動設備和打印機的敏感數據都存在清除不當的情況。包括Eset在內的多項研究均發現，很多交給二手買家或回收服務機構的計算設備沒有進行適當的數據擦除處理。Eset安全專家將在今年的RSAC大會上詳細展示其最新調查結果，并給出企業防護建議。
7. 如何避免自動化滲透測試技術的濫用
將最新的人工智能技術利用到傳統的安全滲透測試活動中，對于更快、更全面地識別安全漏洞至關重要，但有安全研究人員也開始發出警告，是否有足夠的防護手段來防止該技術被濫用。初創公司Inrupt負責信任和數字道德的副總裁david Ottenheimer，將會在RSAC 2023大會上討論如何開發更好的安全測試方法，以及如何保障機器學習和人工智能模型應用的安全性。
Ottenheimer此前表示：源源不斷的事實表明，安全研究人員和技術人員已經找到了如何繞過AI系統安全防護機制的方法，因此有必要盡快就如何測試和提高安全性進行更廣泛的討論。這是因為，如果人工智能模型在沒有充分研究的情況下被迅速采用，它們可能會遭受廣泛性的攻擊或難以想象的災難后果。
來源：安全牛