本文來自微信公眾號“安全牛”。
近日，Skybox Security發(fā)布《2022年漏洞和威脅趨勢報告》（以下簡稱“報告”），對當前不斷上升的網(wǎng)絡(luò)安全風險、持續(xù)增加的漏洞管理需求進行了分析和研究。報告研究者認為：在網(wǎng)絡(luò)威脅局勢快速演變的過程中，組織不能再用傳統(tǒng)的工具、過時的漏洞處置方法來應(yīng)對未來的網(wǎng)絡(luò)威脅，以傳統(tǒng)掃描和修補為主的安全手段，不僅緩慢、隨意、費力、燒錢，而且在面對層出不窮的新安全威脅時，往往難以發(fā)揮作用。
報告研究背景
新冠肺炎疫情在全球肆虐，許多組織紛紛遷移到云計算，IT和OT資產(chǎn)急劇增多，攻擊面隨之大幅擴大。與此同時，新型威脅急劇增多，攻擊越來越頻繁，而且規(guī)模之大前所未有。重大泄密事件在安全行業(yè)屢見不鮮，甚至涉及社會民生的關(guān)鍵基礎(chǔ)設(shè)施都受到攻擊。
除此之外，網(wǎng)絡(luò)安全組織在人員配備上持續(xù)嚴重不足，多數(shù)受訪安全負責人認為，技能缺乏導致組織更難滿足安全方面的要求，更難有效地應(yīng)對各種事件。近期愈演愈烈的“辭職熱潮”進一步加劇了人才短缺的現(xiàn)狀。安全團隊在保護更廣大的邊界遠離越來越多的威脅，同時面臨更復雜、資源更緊張的局面。
在今年的報告中，客觀展現(xiàn)了當前信息安全官（CISO）及其團隊面臨的新挑戰(zhàn)。報告指出目前許多組織仍然依賴速度慢、費力氣、零碎、基本上被動的漏洞管理方法。而另一方面，則是零日漏洞數(shù)量快速增長，企業(yè)檢測并響應(yīng)網(wǎng)絡(luò)攻擊所需的平均時間延長到了280天。調(diào)查結(jié)果還顯示，相比較安全防護人員，今天的網(wǎng)絡(luò)攻擊者變得更擅長借助一系列新的技術(shù)手段，包括新型的惡意軟件和漏洞來發(fā)起攻擊。
報告關(guān)鍵發(fā)現(xiàn)
•新漏洞數(shù)量快速增長
報告數(shù)據(jù)顯示，2021年公布的新漏洞共有20175個，比2020年的18341個大幅上升。這是迄今所報告的單年數(shù)量最多的漏洞，自2018年以來同比增幅最大的一年。新漏洞導致累計漏洞總數(shù)很龐大，因而安全團隊比以往任何時候更難確定問題的優(yōu)先級并解決問題。
•OT威脅進一步加劇
運營技術(shù)（OT）中的漏洞從2020年的690個猛增至2021年的1295個，增幅達88%。與此同時，OT資產(chǎn)越來越多地連接到網(wǎng)絡(luò)，關(guān)鍵基礎(chǔ)設(shè)施及其他關(guān)鍵系統(tǒng)因而暴露在外。針對OT系統(tǒng)發(fā)動的攻擊顯著增多，干擾了組織的業(yè)務(wù)運營，甚至危及健康和安全。
•新的惡意軟件層出不窮
惡意軟件團伙不斷推出新型的惡意軟件，尤其是加密貨幣劫持程序和勒索軟件程序，兩者分別猛增75%和42%。這些程序使威脅分子更容易發(fā)動攻擊，并迅速牟利。它們表明了惡意軟件開發(fā)人員響應(yīng)新的市場機會和經(jīng)濟動因有多靈活。
•攻擊者和漏洞利用工具在迅速變化
漏洞猛增的同時，我們看到整個網(wǎng)絡(luò)威脅領(lǐng)域也在迅速變化。網(wǎng)絡(luò)犯罪已成為一個龐大的新興行業(yè)，威脅分子通過一大批專門的產(chǎn)品和服務(wù)實施各種攻擊，另外還有龐大的基礎(chǔ)設(shè)施為秘密進行的溝通、協(xié)作和金融交易提供便利。
•威脅分子更迅速地利用漏洞
如今在外面被利用的新漏洞的數(shù)量猛增24%，這使得網(wǎng)絡(luò)犯罪分子利用新漏洞的機會更多，留給安全團隊在遭到攻擊之前檢測和應(yīng)對漏洞的時間更短了。
•模式轉(zhuǎn)變：從檢測和響應(yīng)變?yōu)閮?yōu)先考慮和預(yù)防
該報告描述的趨勢指明了一個不可回避的結(jié)論：傳統(tǒng)漏洞管理策略已與當前的現(xiàn)狀完全脫節(jié)。以掃描和修補為主的方法太緩慢、太隨意、太費力、太燒錢。它們無法揪出許多實際的威脅，同時又將寶貴的資源白白浪費在虛假警報上。
威脅應(yīng)對建議
組織的網(wǎng)絡(luò)安全人員迫切需要采用新一代工具和技術(shù)，由被動滅火改為積極預(yù)防，由采取手動做法改為使用自動化以提高效率，由隨意的權(quán)宜之計改為有系統(tǒng)、全面且持續(xù)地降低風險。
新興的漏洞生命周期管理涉及這四大部分：
1.全面發(fā)現(xiàn)：聚合來自所有資產(chǎn)（包括IT、OT和云）及網(wǎng)絡(luò)各個角落的數(shù)據(jù)。這不僅需要主動掃描，還需要無需掃描的檢測，結(jié)果可以全方位洞察攻擊面。
2.精準確定優(yōu)先級：漏洞數(shù)據(jù)整合到網(wǎng)絡(luò)模型中，隨后分析該數(shù)據(jù)以揭露暴露的風險。綜合分析暴露的風險、危險程度、被利用的機率和資產(chǎn)重要性，以計算精確的風險分數(shù)，便于精準確定優(yōu)先級。
3.針對性緩解和修復：自動化工具可識別和推薦有效又實用的措施，以應(yīng)對和降低風險。這些措施不僅限于打補丁，還包括配置變更、網(wǎng)絡(luò)隔離及更多方面。這使組織即便在補丁不切實際或沒有補丁的情況下也能預(yù)防或限制攻擊（包括零日攻擊）。
4.長期監(jiān)管：自動化工具可幫助安全人員實施和維護補救措施。工具可自動生成工單、跟蹤性能和服務(wù)級別協(xié)議（SLA）、向團隊告知需要更新的變更，以及確保問題得到了及時處理。
參考鏈接：
https://www.skyboxsecurity.com/wp-content/uploads/2022/04/skyboxsecurity-vulnerability-threat-trends-report-2022_041122.pdf
