多年來，企業(yè)網(wǎng)絡(luò)攻擊面的范圍和復(fù)雜程度一直在不斷擴(kuò)大，且這種擴(kuò)張趨勢毫無放緩跡象。

這一趨勢可歸因于多個(gè)因素，其中包括：

• 物聯(lián)網(wǎng)的興起，為網(wǎng)絡(luò)增加了大量設(shè)備

• API和互聯(lián)微服務(wù)的日益普及

• 遠(yuǎn)程辦公模式的轉(zhuǎn)變，需要將家庭設(shè)備和連接納入工作體系

• 影子IT的泛濫似乎難以控制

• 向去中心化基礎(chǔ)設(shè)施管理和云服務(wù)的遷移，使整個(gè)IT生態(tài)系統(tǒng)變得更加復(fù)雜和難以捉摸

根據(jù)云安全聯(lián)盟(CSA)的數(shù)據(jù)，目前82%的企業(yè)采用混合環(huán)境。近三分之二的企業(yè)與兩家或更多云服務(wù)提供商合作，這進(jìn)一步加劇了攻擊面的復(fù)雜性。

AI的廣泛應(yīng)用更是讓情況雪上加霜。AI助手和智能體為網(wǎng)絡(luò)犯罪分子提供了可乘之機(jī)，他們也利用自己的AI工具擴(kuò)大攻擊規(guī)模。CSA調(diào)查發(fā)現(xiàn)，超過半數(shù)的受訪企業(yè)使用AI，其中約三分之一已經(jīng)遭遇過與AI相關(guān)的安全漏洞。

攻擊面迅速擴(kuò)張，網(wǎng)絡(luò)事件看似無休止地增加——Clutch的一項(xiàng)調(diào)查顯示，73%的企業(yè)經(jīng)歷過網(wǎng)絡(luò)事件，55%的企業(yè)在過去一年中遭遇過此類事件——這要求我們采用全新的攻擊面管理方法。僅僅進(jìn)行微調(diào)已遠(yuǎn)遠(yuǎn)不夠。

我預(yù)測，到2026年，攻擊面管理將發(fā)生轉(zhuǎn)變，重點(diǎn)將放在以下幾個(gè)方面：

• 集中式云管理，安全訪問服務(wù)邊緣(SASE)解決方案將成為主流

• 主動(dòng)風(fēng)險(xiǎn)管理將取代被動(dòng)應(yīng)對措施

• 零信任將成為不可或缺的基本要求

• 智能、自主的AI工具將成為攻擊面保護(hù)的關(guān)鍵

• 高度關(guān)注第三方和供應(yīng)鏈風(fēng)險(xiǎn)

1. 云管理將實(shí)現(xiàn)集中化

迄今為止，并非所有云資產(chǎn)都處于完全無人管理的狀態(tài)，但管理方式較為分散。隨著越來越多敏感數(shù)據(jù)和業(yè)務(wù)遷移至云端，風(fēng)險(xiǎn)也在不斷上升，云保護(hù)的重要性前所未有。

此外，遠(yuǎn)程辦公和混合辦公模式的興起，員工自帶設(shè)備(BYOD)并通過不安全或安全防護(hù)不足的網(wǎng)絡(luò)登錄云系統(tǒng)，這要求我們加強(qiáng)云防護(hù)。這需要采用諸如軟件定義廣域網(wǎng)(SD-WAN)網(wǎng)絡(luò)、防火墻即服務(wù)、安全網(wǎng)頁網(wǎng)關(guān)、云訪問安全代理(用于云數(shù)據(jù)可視化和控制)以及強(qiáng)大的數(shù)據(jù)丟失防護(hù)計(jì)劃等措施，同時(shí)結(jié)合身份和訪問管理、零信任和企業(yè)策略執(zhí)行等傳統(tǒng)防護(hù)手段。

鑒于涉及眾多環(huán)節(jié)，我們預(yù)測，采用集成這些多維度防護(hù)措施的解決方案將大幅增加。如今先進(jìn)的SASE技術(shù)能夠無縫整合上述所有方法，通過集中到一個(gè)視圖來降低復(fù)雜性并提高敏捷性，這將推動(dòng)SASE在2026年占據(jù)主導(dǎo)地位。

2. 主動(dòng)出擊將成為關(guān)鍵

進(jìn)入2026年，網(wǎng)絡(luò)威脅數(shù)量之多、嚴(yán)重性之高、發(fā)展速度之快，使得被動(dòng)應(yīng)對措施難以取得成功。要堵住每一個(gè)漏洞、加固整個(gè)攻擊面，簡直是不可能的任務(wù)。新的漏洞不斷涌現(xiàn)，尤其是在不斷延長的供應(yīng)鏈中。因此，唯有主動(dòng)出擊才能奏效。

我們預(yù)測，2026年的主動(dòng)攻擊面管理措施將包括：

• 持續(xù)、自適應(yīng)、自動(dòng)化的資產(chǎn)盤點(diǎn)。企業(yè)將部署解決方案，持續(xù)掃描生態(tài)系統(tǒng)以發(fā)現(xiàn)新資產(chǎn)，并繪制其范圍和內(nèi)外部弱點(diǎn)圖。

• 具備相關(guān)意識(shí)的決策層。企業(yè)將更傾向于選擇那些懂得監(jiān)測和評估攻擊面各個(gè)部分(包括AI工具)的領(lǐng)導(dǎo)者。

• 集成式實(shí)時(shí)威脅情報(bào)。實(shí)時(shí)威脅情報(bào)將被整合到所有攻擊面管理工作流程中，確保決策領(lǐng)先于惡意行為者，而非滯后。

• 自動(dòng)且即時(shí)威脅排序。漏洞管理方法將根據(jù)漏洞的可利用性、嚴(yán)重程度及對業(yè)務(wù)運(yùn)營的影響來對風(fēng)險(xiǎn)進(jìn)行優(yōu)先級排序，確保最嚴(yán)重的漏洞得到優(yōu)先處理，避免被忽視。

3. 零信任將賦予新內(nèi)涵

網(wǎng)絡(luò)釣魚攻擊不斷演變。2025年，我們已經(jīng)見證了更狡猾的網(wǎng)絡(luò)釣魚、視頻釣魚、二維碼釣魚以及許多其他類型的社會(huì)工程攻擊。人為失誤仍然是最大的網(wǎng)絡(luò)風(fēng)險(xiǎn)，而觸發(fā)人為失誤的方法也變得越來越巧妙。例如，在二維碼釣魚攻擊中，63%的案例涉及能夠訪問敏感數(shù)據(jù)的員工主動(dòng)發(fā)起輸入向量。

AI生成的深度偽造內(nèi)容取得了巨大進(jìn)步，這意味著即使是音頻和視頻通話也不再可信。例如，某公司員工被一通據(jù)稱是CEO打來的電話欺騙，授權(quán)進(jìn)行大額付款。他們認(rèn)出了CEO的聲音，但那其實(shí)是AI生成的。卡迪夫大學(xué)2025年的一項(xiàng)研究發(fā)現(xiàn)，深度偽造語音能夠以95%至97%的準(zhǔn)確率欺騙語音識(shí)別系統(tǒng)，而人類對于已知聲音的真?zhèn)伪鎰e率僅為17.5%。

要阻止這類攻擊是不可能的，唯一真正的防御措施是對員工進(jìn)行持續(xù)且反復(fù)的培訓(xùn)。我們預(yù)計(jì)，旨在推動(dòng)實(shí)際行為改變并在工作過程中進(jìn)行的網(wǎng)絡(luò)釣魚模擬培訓(xùn)將得到廣泛應(yīng)用。上下文信息成為判斷真實(shí)性的關(guān)鍵線索。

與此同時(shí)，企業(yè)還將建立并嚴(yán)格執(zhí)行訪問控制、對所有人員和設(shè)備實(shí)施零信任策略，并默認(rèn)采用多因素身份驗(yàn)證。內(nèi)部暗語和超過一定金額的付款需雙人驗(yàn)證將成為常態(tài)。

4. AI將成為關(guān)鍵角色

長期以來，關(guān)于將AI集成到網(wǎng)絡(luò)安全解決方案中的利弊一直存在爭議，然而，事實(shí)證明，雖然AI是攻擊面管理面臨的問題之一，但它也是解決方案的關(guān)鍵部分。到2026年，AI在攻擊面管理中的應(yīng)用將成為常態(tài)。

這不僅僅是指利用AI自動(dòng)化掃描和觸發(fā)關(guān)于可疑郵件或潛在網(wǎng)絡(luò)釣魚掃描的警報(bào)，它將包括智能、自主的AI，能夠自主發(fā)現(xiàn)威脅并比人類更快地修復(fù)它們。

例如，多個(gè)專業(yè)智能體可以協(xié)同工作，識(shí)別威脅、分析其構(gòu)成的風(fēng)險(xiǎn)水平，并實(shí)時(shí)修復(fù)相關(guān)漏洞。

在另一種場景中，眾多智能體可以監(jiān)控用戶行為、共享威脅情報(bào)，并動(dòng)態(tài)識(shí)別和應(yīng)對新興威脅，解決未知的未知問題，以領(lǐng)先惡意行為者一步。

5. 風(fēng)險(xiǎn)管理將超越企業(yè)邊界

第三方和供應(yīng)鏈風(fēng)險(xiǎn)并非新問題，但在2026年，它們將成為焦點(diǎn)。如今的企業(yè)依賴于長長的數(shù)字供應(yīng)鏈，包括應(yīng)用程序、短代碼、API和提供關(guān)鍵數(shù)字服務(wù)的軟件。這些供應(yīng)鏈可能不透明，包含許多看不見的第n方，它們?yōu)榱奶鞕C(jī)器人、配送跟蹤器、支付網(wǎng)關(guān)、數(shù)據(jù)庫檢索等提供支持。

只要有一個(gè)被攻破的依賴項(xiàng)或被忽視的漏洞，攻擊者就能侵入供應(yīng)鏈，并橫向移動(dòng)到目標(biāo)組織。這尤其令人擔(dān)憂，因?yàn)樵S多數(shù)字合作伙伴是缺乏資源來使用數(shù)據(jù)脫敏技術(shù)保護(hù)自己和用戶數(shù)據(jù)的小型企業(yè)。

因此，2026年將看到更廣泛的攻擊面映射興起，其范圍將超越企業(yè)本身，覆蓋整個(gè)供應(yīng)鏈。包含第三方、第四方和第n方風(fēng)險(xiǎn)的風(fēng)險(xiǎn)評估解決方案將超越競爭對手，企業(yè)將更傾向于選擇能夠動(dòng)態(tài)更新以反映不斷變化的威脅環(huán)境的第三方評估解決方案。

2026年將是攻擊面管理的關(guān)鍵一年

隨著攻擊面不斷擴(kuò)大，攻擊本身變得更快、更智能，攻擊面管理必須比攻擊者更加聰明、更具前瞻性。2026年將成為攻擊面管理突破固有框架、變得敏捷、主動(dòng)、智能和遠(yuǎn)見卓識(shí)的一年，這一切都將由新技術(shù)推動(dòng)。