4月24日，2023年度RSAC大会将在旧金山莫斯科尼中心（Moscone Center）正式开幕。与往年一样，大会将是一个难得的行业交流与学习的机会，会通过高峰论坛、竞赛活动、展览等多种方式，呈现网络安全行业发展中的新理念、新技术、新产品，以及众多创新网络安全企业。但问题是，参会者究竟要把注意力放在哪里？ 

今年的RSAC大会议程令人眼花缭乱，共有500多场高峰论坛、主题演讲和研讨会，涵盖了从漏洞攻击、软件供应链安全、高级持续威胁（APT）研究以及恶意软件分析等各方面的热点内容。为了更好地帮助大家聚焦重点，把握行业发展趋势，本文精选了7个人气最高的热门活动/议题。

1. AppSec会成为创新沙盒决赛的最后赢家吗？ 

“创新沙盒大赛”一直是RSAC大会中最受关注的活动之一，这是一个让各个初创型网络安全公司展示其创新技术与理念的平台。RSAC创新十强往往代表着行业最优秀、最有价值、最具前沿性的创新想法和发展方向。

今年的创新沙盒决赛的十强入围企业是：AnChain.AI、Astrix Security、Dazz、Endor Labs、HiddenLayer、Pangea、Relyance AI、SafeBase、Valence Security和Zama。从这个名单可以看出，和应用程序安全性（AppSec）相关的创新企业收到了特别的关注，共有4家相关企业进入了最后的决赛。

Omdia高级首席分析师Rik Turner将行业对AppSec关注度的持续增长，归因于新冠疫情大流行推动的远程办公需求快速增加。随着现代应用程序架构日趋组件化，且企业越来越愿意通过第三方应用程序来提供服务，威胁行为者只需要入侵少数的关键网站，就可以访问其他许多网站上的应用程序和数据信息。在此背景下，关注和加强AppSec的重要性不言而喻。

2. MITRE将发布供应链安全框架模型 

在去年的RSA大会上，MITRE实验室首次推出了其用于评估软件供应链风险的信任系统（SoT）概念，在今年的RSAC会议上，MITRE将会正式发布SoT框架模型。

SolarWinds和Log4j等安全事件，不断为软件供应链风险和安全敲响了警钟。然而到目前为止，行业还没有一个通用的方法来定义或衡量来自第三方软件系统供应商的安全风险。SoT的发布或许可以改变这一状况。

MITRE软件供应链安全首席工程师Robert Martin表示：SoT将是MITRE风险模型管理器（RMM）平台的一部分，用于评估组织供应链风险和安全性。我们认为SoT框架模型对企业而言将会非常有吸引力，因为它提供了一个更全面、布局更合理的结构，能够详细解释在软件供应链中存在的风险，并且可以远远超越传统的风险衡量和评估工具。

3. 实战化的勒索攻击模拟演练 

在面对勒索软件攻击时，很多企业会陷入慌乱，并不知道应该做什么。创建一个有助于提升勒索攻击事件响应能力的模拟环境非常重要。但是要设计出一个有效的桌面攻击模拟方案通常并不容易。而在今年的RSAC大会上，LMG Security公司将会从实战化攻击的角度，模拟出勒索软件和网络勒索攻击的真实流程和场景，以帮助企业组织找出应对该类型攻击中的不足和漏洞。

LMG Security培训和研究主管Matt Durrin指出：要模拟出真实勒索攻击场景需要大量的技巧，包括仿真能力、展现能力，以及一定的创造力，才有可能模拟现实网络攻击中可能出现的种种混乱和不可预测性。我们会基于实际应对这些攻击的多年经验，充分利用与现代勒索软件攻击相符的元素。LMG Security本次展示的模拟攻击将是依据经典的LockBit攻击来建模，并加入了更多经典元素。在默认的攻击情景中，所有本地数据都会被加密，内部系统将无法恢复。要恢复数据，需要支付250万美元赎金，而如果在48小时内不支付，赎金价格将翻倍。

4. 完整版勒索攻击防护策略发布 

在遭受高风险的勒索攻击后，企业应该如何做出理性、明智的选择？在今年的RSAC会议上，网络安全咨询公司Triton Tech consulting将发布一套帮助企业应对高风险勒索软件攻击的完整策略，甚至还包括了帮助企业决策是否需要支付赎金。

Triton Tech consulting首席执行官兼创始人Brandon Clark计划表示：组织首先需要知道什么是危险的，比如知道系统有多少弹性，可能会付出什么代价，以及有什么资源可以用于恢复系统。此外，企业还需要权衡的因素包括攻击者在收取赎金后是否会真正解锁系统，以及他们是否会再次发起类似的攻击。在很多时候，勒索攻击响应决策还需要包含有道德方面的考虑因素。例如，当勒索软件攻击者以可能危及生命的系统为目标时，组织需要考虑的就不仅仅是技术方面的因素和损失了。

5. xIoT设备真实攻击方法演示 

扩展物联网设备（xIoT）通常以不受保护的状态存在于企业网络中，并且通常没有得到很好的监控，这也使其成为网络犯罪分子可以轻松用于攻击的最佳选择。

在RSAC 2023大会上，安全研究员兼策略师Brian Contos将提供有关这些设备的一系列入侵方法演示，并将讨论如何将它们用作攻击内部部署设备、云内设备的支点，以窃取敏感数据、保持持久性和逃避检测。他的攻击演示将包括从关闭电源到破坏资产，从窃取敏感数据到网络上的横向移动等各个维度，同时还将分享攻击者是如何建立物联网攻击工具的信息。

Contos在活动预告中表示，由于物联网系统上很难安装任何额外的安全防护模块或系统，因此所有传统的安全防护技术（如防火墙、IPS或反恶意软件）都很难适合于物联网的场景下。安全团队需要特别关注三种物联网设备的安全性：企业物联网设备，如摄像头、打印机、IP电话和智能门锁；运营技术（OT）设备，如工业机器人，阀门控制器和其他在工业环境中应用的数字设备；物联网终端的连接设备，如网络交换机、路由网关和物联网数据存储器等。

6. 废弃网络设备数据泄漏情况的调查和建议

研究人员已经多次警告称，通过一些废弃的网络设备，攻击者可以获取到企业大量的网络配置、凭据、应用程序和客户数据。根据Eset公司研究人员最新开展的实验，在其购买的16台二手路由器（包括Cisco Systems ASA 5500、Fortinet FortiGate和Juniper Networks SRX Series Services Gateway路由器）上，发现其中有9台仍然保存着原用户敏感的核心网络配置信息、企业凭据以及企业应用程序、客户、供应商和合作伙伴的数据。

事实上，根据Eset 4月18日发布的《路由器研究白皮书》显示，可以通过已废弃的网络设备，轻易发现了组织内部网络系统的完整布局，如果这些布局信息被攻击者获取，将可以生成用于攻击的完整网络拓扑地图。

近年来，如何安全地回收和重新利用计算机设备一直是一个令人担忧的领域。多年来，人们发现硬盘驱动器、移动设备和打印机的敏感数据都存在清除不当的情况。包括Eset在内的多项研究均发现，很多交给二手买家或回收服务机构的计算设备没有进行适当的数据擦除处理。Eset安全专家将在今年的RSAC大会上详细展示其最新调查结果，并给出企业防护建议。

7. 如何避免自动化渗透测试技术的滥用 

将最新的人工智能技术利用到传统的安全渗透测试活动中，对于更快、更全面地识别安全漏洞至关重要，但有安全研究人员也开始发出警告，是否有足够的防护手段来防止该技术被滥用。初创公司Inrupt负责信任和数字道德的副总裁david Ottenheimer，将会在RSAC 2023大会上讨论如何开发更好的安全测试方法，以及如何保障机器学习和人工智能模型应用的安全性。

Ottenheimer此前表示：源源不断的事实表明，安全研究人员和技术人员已经找到了如何绕过AI系统安全防护机制的方法，因此有必要尽快就如何测试和提高安全性进行更广泛的讨论。这是因为，如果人工智能模型在没有充分研究的情况下被迅速采用，它们可能会遭受广泛性的攻击或难以想象的灾难后果。

文章来源：安全牛编译整理