網(wǎng)絡(luò )安全服務(wù)供應商O(píng)range Cyberdefense發(fā)布《Security Navigator 2023》安全導向研究報告

§  各規模企業(yè)均遭受攻擊風(fēng)險，其中由惡意軟件造成的事件占CyberSOC（檢測和響應運營(yíng)中心）總量的40%；

§  99,000多起調查顯示，安全事件數量同比增長(cháng)5%，每個(gè)客戶(hù)平均每月發(fā)生34起安全事件，每個(gè)組織每天至少發(fā)生1起安全事件；

§  從2021年到2022年，網(wǎng)絡(luò )勒索受害者的所在地發(fā)生了顯著(zhù)變化，其中北美的受害者數量有所減少（美國-8%、加拿大-32%），但歐洲（+18%）、英國（+21%）、北歐（+138%）和東亞（+44%）的受害者數量有所增加；

§  報告指出，小型企業(yè)尤其需要應對惡意軟件事件帶來(lái)的挑戰（49%），而制造業(yè)是受網(wǎng)絡(luò )勒索影響最大的行業(yè)，公共行政部門(mén)則需主要應對內部因素引發(fā)的危機（66%）；

§  在CyberSOC檢測到的所有安全事件中，近一半（47%）來(lái)自?xún)炔繀⑴c者有意或無(wú)意的行為；

§  《Security Navigator 2023》研究報告首次包含了近500萬(wàn)條移動(dòng)設備補丁級別的匿名專(zhuān)有數據，以此闡釋了Android和iOS操作系統漏洞之間的差異。

《Security Navigator 2023》：安全事件數量持續上升，但速度有所放緩

近日，Orange集團旗下網(wǎng)絡(luò )安全服務(wù)供應商Orange Cyberdefense重磅發(fā)布年度安全導向研究報告《Security Navigator 2023》，深入分析了CyberSOC團隊調查、分類(lèi)的99,506起潛在事件，事件數量較2022年報告相比增加5%。雖然本年度的研究報告呈現出多個(gè)喜人跡象，表明安全事件發(fā)生的速度正在放緩，但仍有一些因素引發(fā)全球關(guān)注。

報告顯示，盡管網(wǎng)絡(luò )攻防正在一些領(lǐng)域取得勝利，卻仍然面臨諸多挑戰。例如，企業(yè)平均需要215天才能修復報告的漏洞。即使面對關(guān)鍵漏洞，通常也需要至少6個(gè)月的時(shí)間才能修復。而在Orange Cyberdefense道德黑客團隊進(jìn)行的所有測試中，有近50%的結果將漏洞報告為“嚴重”（“重要”或“高度關(guān)注”）等級。

網(wǎng)絡(luò )勒索危及全球各種規模的企業(yè)?！?/span>Security Navigator 2023》指出，82%的網(wǎng)絡(luò )勒索受害者是小型企業(yè)，與去年相比增加了4%。

在俄烏沖突爆發(fā)期間，網(wǎng)絡(luò )犯罪數量明顯減少，但這一現象只是稍縱即逝，而網(wǎng)絡(luò )勒索事件卻顯著(zhù)增加。在過(guò)去6個(gè)月中，東亞和東南亞的受害者數量分別增長(cháng)了30%和33%。

網(wǎng)絡(luò )勒索仍是主要的攻擊形式，但受害者所在地正在從北美轉向歐洲、亞洲和新興市場(chǎng)

勒索軟件和網(wǎng)絡(luò )勒索攻擊仍是現階段全球組織面臨的主要威脅，Orange Cyberdefense World Watch威脅警報會(huì )全年定期發(fā)布相關(guān)信息。在2022年的3月和4月，由于Lapsus$活動(dòng)和Conti數據泄露事件，以及俄烏沖突引發(fā)的擔憂(yōu)，有關(guān)勒索軟件的新聞數量在此期間顯著(zhù)增加。同時(shí)，在CyberSOC處理的事件中有40%涉及惡意軟件。  

此外，受害者所在地也發(fā)生了明顯變化。網(wǎng)絡(luò )勒索受害者的數量在北美和加拿大分別下降8%和32%，但在歐洲、亞洲和新興市場(chǎng)有所增加。從2021年到2022年，歐盟的受害者數量增加了18%、英國增加了21%、北歐增加了138%、東亞增長(cháng)了44%，而拉丁美洲增長(cháng)了21%。

與此同時(shí)，活躍犯罪團體的構成也發(fā)生了巨大變化。在2021年觀(guān)察到的前20名攻擊者中，有14名攻擊者已經(jīng)從2022年的排名中消失。在Conti于2022年第二季度解散后，Lockbit2和Lockbit3策劃了2022年規模最大的網(wǎng)絡(luò )勒索事件，受害者總數超過(guò)900人。  

基于Orange Cyberdefense的觀(guān)察，攻擊者大多為機會(huì )主義者，例如在進(jìn)行追蹤的攻擊者中，近90%聲稱(chēng)攻擊目標在美國、50%以上目標在英國、20%以上目標在日本。根據Orange Cyberdefense的觀(guān)察數據顯示，日本是受害者數量最少的國家之一。

·        俄烏沖突影響

值得強調的是，在俄烏沖突爆發(fā)后的前幾周，Orange Cyberdefense觀(guān)察到針對波蘭客戶(hù)的網(wǎng)絡(luò )犯罪活動(dòng)減少了50%，這顯然是網(wǎng)絡(luò )犯罪分子被俄烏沖突分散了注意力，需要重新集結。果然，這一情況在數周之后恢復如初。  

中小企業(yè)、制造業(yè)和公共部門(mén)尤其脆弱

·        中小企業(yè)

《Security Navigator 2023》報告指出，遭受網(wǎng)絡(luò )勒索的小企業(yè)數量是大、中型企業(yè)總數的4.5倍，而大型企業(yè)遭受的影響更為嚴重。

2022年，中小企業(yè)報告的確認事件占總數的49%（2019年：10%，2020年：24%，2021年：35%），這說(shuō)明中小企業(yè)尤其需要處理惡意軟件事件帶來(lái)的威脅。對于員工人數少于500人的中小企業(yè)而言，數據泄露的平均成本約為190萬(wàn)美元。因此，此類(lèi)企業(yè)很可能受此影響而面臨倒閉的風(fēng)險。

·        公共部門(mén)組織

在CyberSOC處理的安全事件中，公共部門(mén)組織報告的事件比例位居第五。在Orange Cyberdefense數據庫中，由公共部門(mén)報告的社會(huì )工程攻擊事件也占據了最大比例。

對于大多數行業(yè)來(lái)說(shuō)，Orange Cyberdefense檢測到的大多數事件都由內部行為導致，但對于醫療保健類(lèi)客戶(hù)，76%的事件由外部行為導致，如犯罪黑客和APT（國家支持的威脅行為體）。

·        就受害者數量而言，制造業(yè)仍然是受影響最大的行業(yè)

盡管研究結果表明，在“最愿意支付贖金”的行業(yè)中，制造業(yè)僅排名第五，但就網(wǎng)絡(luò )勒索受害者的數量而言，制造業(yè)仍是受影響最大的行業(yè)?！?/span>Security Navigator 2023》報告顯示，犯罪分子正在破壞“傳統”的信息技術(shù)系統，而非更專(zhuān)業(yè)的運營(yíng)技術(shù)。同時(shí)，犯罪分子將大量受害者的產(chǎn)生主要歸因于信息技術(shù)漏洞管理不善。據Orange Cyberdefense數據顯示，制造業(yè)企業(yè)平均需要232天才能修復報告的漏洞。在此維度上，制造業(yè)依然位列第五。

關(guān)鍵漏洞持續存在，修復延遲威脅安全

據全新的漏洞洞察數據庫顯示，研究人員確認企業(yè)信息技術(shù)系統持續存在嚴重漏洞，其中47%已確認的漏洞被評定為“重要”或“高度關(guān)注”等級。關(guān)鍵漏洞仍需要半年以上（184天）時(shí)間才能修復，其他漏洞則可能需要更長(cháng)時(shí)間。同時(shí)，數據表明許多漏洞（甚至是關(guān)鍵漏洞）永遠無(wú)法得到修復。

制造業(yè)的信息技術(shù)漏洞平均需要235天可被修復，而其他行業(yè)的平均修復時(shí)間為215天；在醫院（醫療保健和社會(huì )援助部門(mén)），信息技術(shù)漏洞平均需要491天得到修復；而在交通部門(mén)，信息技術(shù)漏洞的平均修復時(shí)間為473天。

值得注意的是，Orange Cyberdefense道德黑客發(fā)現一個(gè)已確認的“嚴重”（“重要”或“高度關(guān)注”）級別漏洞的平均時(shí)間為7.7天。

人力困境：在大多數行業(yè)中，內部威脅事件的數量超過(guò)外部攻擊，而網(wǎng)絡(luò )安全的空缺崗位卻無(wú)人填補

組織員工身處公司防御的最前線(xiàn)，卻也可能是防御最薄弱的環(huán)節?！?/span>Security Navigator 2023》報告指出：

§  對于公共行政部門(mén)，Orange Cyberdefense處理的大部分事件源于內部參與者有意或無(wú)意的行為；

§  對于制造業(yè)客戶(hù)，58%的事件被歸類(lèi)為內部事件，而對于運輸和倉儲客戶(hù)，這一數字高達64%。

《Security Navigator 2023》報告列舉了更高級別安全監控提高控制有效性的手段，但這無(wú)疑也會(huì )產(chǎn)生更多誤報，可能會(huì )給安全專(zhuān)業(yè)人員帶來(lái)更大壓力。僅在歐洲、中東和非洲地區，制造業(yè)就亟需填補30多萬(wàn)個(gè)網(wǎng)絡(luò )安全職位的空缺。

移動(dòng)安全：iOS系統與Android系統

在2021年9月至2022年9月期間，Orange Cyberdefense與近500萬(wàn)臺移動(dòng)設備產(chǎn)生交互，《Security Navigator 2023》報告首次包含了這些移動(dòng)設備的專(zhuān)用補丁數據。據第三方研究數據顯示，iOS系統和Android系統在2021年都處理了數量龐大的漏洞，其中：

§   Android系統報告了547個(gè)漏洞，iOS系統報告了357個(gè)漏洞；

§   79%的Android系統漏洞被認為攻擊復雜性較低（意味著(zhù)攻擊者可以輕松利用這些漏洞），而iOS系統的這一比例僅為24%；

§   iOS系統有45個(gè)漏洞獲得CVSS高分，而Android系統僅有18個(gè)。

《Security Navigator 2023》報告對iOS系統和Android系統報告的嚴重漏洞進(jìn)行檢查，并確定了修復生態(tài)系統的所需時(shí)長(cháng)。在iOS系統中，90%的生態(tài)系統需要224天升級到補丁版本。而無(wú)論使用Android系統和iOS系統，約有10%的用戶(hù)永遠不會(huì )安裝適合的補丁。

調查結果顯示，由于生態(tài)系統的同質(zhì)性，較高比例的iOS用戶(hù)會(huì )在首次披露安全問(wèn)題時(shí)面臨被攻擊的風(fēng)險，然而用戶(hù)可以通過(guò)快速遷移到新版本來(lái)規避風(fēng)險，70%的用戶(hù)會(huì )在補丁發(fā)布后51天內進(jìn)行更新。與iOS系統相比，Android生態(tài)系統則更加支離破碎，這意味著(zhù)Android設備往往更加容易遭到舊漏洞的攻擊，易受新漏洞攻擊的Android設備相對較少。

Orange Cyberdefense首席執行官Hugues Foulon表示：“在過(guò)去幾個(gè)月的時(shí)間里，宏觀(guān)環(huán)境事件頻發(fā)，網(wǎng)絡(luò )安全生態(tài)系統也因此變得更加警惕和團結。網(wǎng)絡(luò )攻擊事件正在成為頭條新聞，而俄烏沖突的發(fā)生再次表明，數字化世界也是虛擬的戰場(chǎng)?！?/span>

Hugues Foulon總結道：“Orange Cyberdefense的客戶(hù)非常成熟，其所面臨的安全事件數量增長(cháng)總體放緩，呈現出喜人的跡象（+5%，前一年為+13%），這表明我們能夠幫助客戶(hù)贏(yíng)得與惡意行為者的斗爭。然而，這些成功不應減緩我們打擊網(wǎng)絡(luò )犯罪的努力。今年的《Security Navigator 2023》報告調查結果展現出各規模組織所面臨的巨大挑戰。來(lái)自各個(gè)方向威脅在不斷演變，變得更加復雜，而這也凸顯了我們要為應對威脅不懈努力，并在網(wǎng)絡(luò )攻防中為客戶(hù)提供有力的支持?！?/span>

《Security Navigator 2023》報告包括：

§   來(lái)自全球2,700多名專(zhuān)家和Orange CyberDefense 17個(gè)安全運營(yíng)中心（SOC，Security Operation Center）、13個(gè)CyberSOC和8個(gè)不同位置CERT提供的100%第一手分析；

§   28頁(yè)CyberSOC統計數據；

§   有關(guān)網(wǎng)絡(luò )攻防形勢和俄烏沖突網(wǎng)絡(luò )影響的詳細分析；

§   來(lái)自漏洞操作中心和滲透測試服務(wù)的全新數據庫，分析漏洞的范圍和形態(tài)對各行業(yè)造成的影響；

§   聚焦影響制造業(yè)的威脅和漏洞調查；

§   全新的移動(dòng)安全威脅和漏洞數據。