IEEE：在人工智能时代，基本的网络卫生就足够了吗？

多年来，强密码、定期备份数据和多重身份验证一直被认为是消费者和企业网络安全的基本实践，有助于保护个人信息的安全。

这三大支柱是所谓网络卫生的基础，它们帮助人们保护个人信息的安全。但现在，我们正在进入一个新的网络安全范式，在这个范式中，生成人工智能可以用来解决人类和技术的弱点问题。

这就提出了一个问题：这些基本的网络卫生做法是否足以抵御新出现的与人工智能相关的网络威胁？

IEEE高级会员Kayne McGladrey表示，随着生成式人工智能的崛起，网络威胁也迎来了新的挑战，如商业电子邮件欺诈、深伪技术和生成攻击代码。

McGladrey说：“这些威胁不仅仅是理论上的，尽管目前它们的应用仍然相对有限。有理由预计，威胁行为者将继续寻找生成人工智能的创新新用途，超越商业电子邮件欺诈、深伪技术和生成攻击代码。”

那么，让我们来探究一下这些网络攻击是什么：

• 商业电子邮件泄露（BEC）：BEC攻击涉及威胁行为者泄露高管电子邮件账户，操纵个人进行未经授权的交易。传统上，这些攻击在很大程度上依赖于模仿高管的写作风格。然而，生成型人工智能现在不仅可以模仿写作风格，还可以模仿高管的语气，从而增强BEC攻击的可扩展性和有效性。多重身份验证被视为防止电子邮件泄露的最佳防御措施。
• 深伪技术：深伪技术使用人工智能技术制作令人信服和欺骗性的音频和视频内容。威胁行为者可以使用深伪技术来针对和冒充个人，这可能会导致错误信息、声誉受损甚至市场操纵。
• 人工智能生成的攻击代码：大多数恶意行为者不具备创建新漏洞或编写代码的技术技能。相反，他们依靠之前确定的战术手册进行攻击，从暗网中提取代码。生成型人工智能使威胁行为者能够创建专门用于利用其他系统漏洞的恶意代码。

超越基本的网络卫生

专家指出，即使是网络卫生方面的微小改进也会产生效果，因为恶意行为者往往会走阻力最小的道路。

那么，个人和组织如何补充其基本的网络卫生实践并提高其安全性呢？虽然强密码、定期备份数据和多重身份验证仍然至关重要，但以下是一些额外的建议步骤：

• 使用安全密钥：安全密钥是小型物理设备，通常通过USB连接到硬件。它们本质上是第二种身份验证形式，即使有人知道帐户密码，也会拒绝访问服务。它们不容易被欺骗，也不像其他形式的多因素身份验证那样容易发生网络钓鱼诈骗。它们在企业环境中越来越常见，也被高净值个人和名人用来保护对账户的访问。
• 定期软件更新：保持操作系统和软件应用程序的更新至关重要。这有助于修补可能被恶意行为者利用的漏洞。
• 基准参照良好的框架：各组织应遵循信誉良好、值得信赖的来源不断更新，如NIST网络安全框架（CSF）或互联网安全关键安全控制中心（CIS-CSC），并定期根据该框架对其进展进行基准测试。
• 教育和培训：提高员工、客户和个人的网络安全意识。这包括如何识别钓鱼电子邮件的培训、不共享密码的重要性以及了解公共Wi-Fi的风险。
• 使用科学：使用虚拟专用网络（科学），尤其是在连接到公共Wi-Fi时，可以帮助加密互联网流量并保护数据不被拦截。
• 访问控制和最低特权原则：组织应将访问权限限制在需要的人，并定期审查这些权限。实施“最低权限原则”，即用户对执行其角色所需的关键网络操作具有最低级别的访问权限。

IEEE会员Sukanya Mandal表示：“简而言之，虽然基本原理至关重要，但全面的网络卫生需要多层次的安全方法。这不仅涉及技术措施，还涉及教育、政策和实践，共同构建安全文化。”