導讀 報告分析了2023年創紀錄的30,458起安全事件和10,626起確認的泄露事件，比2022年增加了兩倍。利用漏洞作爲初始切入點的攻擊幾乎是上一年的三倍，佔所有泄露事件的14%。這一激增主要是由於勒...
報告分析了2023年創紀錄的30,458起安全事件和10,626起確認的泄露事件，比2022年增加了兩倍。利用漏洞作爲初始切入點的攻擊幾乎是上一年的三倍，佔所有泄露事件的14%。這一激增主要是由於勒索軟件攻擊者針對未修補的系統和設備上的漏洞（零日漏洞）的攻擊頻率不斷增加。MOVEit軟件漏洞是這些網絡攻擊的最大驅動因素之一，首先發生在教育領域，後來蔓延到金融和保險行業。
勒索軟件攻擊者利用零日漏洞仍然是對企業安全的持續威脅。人工智能(AI)的崛起可能緩解一些擔憂，因爲與大規模漏洞管理的挑战相比，人工智能的崛起並不是罪魁禍首。雖然採用人工智能獲取有價值的企業資產是一個即將出現的問題，但無法修補基本漏洞使得威脅行爲者不需要改進他們的方法。
對網絡安全基礎設施和安全局(CISA)已知被利用漏洞(KEV)目錄的分析顯示，在補丁發布後，組織平均需要55天才能修復50%的嚴重漏洞。與此同時，在互聯網上檢測到CISAKEV大規模利用的平均時間爲5天。
今年的調查結果反映了當今CISO必須應對的不斷變化的形勢——既要比以往任何時候都更快地解決漏洞，又要投資於與勒索軟件和網絡安全衛生相關的持續員工教育。本報告中研究的事件的廣度和深度提供了一個窗口，讓我們了解違規行爲是如何發生的，盡管復雜性較低，但仍然會給企業帶來巨大的損失。”
去年，15%的違規行爲涉及第三方，包括數據保管人、第三方軟件漏洞以及其他直接或間接的供應鏈問題。這一指標是2024年DBIR的新指標，與2023年DBIR中描述的前一時期相比增長了68%。
人爲因素仍然是網絡犯罪分子的大門
大多數違規行爲（68%），無論是否涉及第三方，都涉及非惡意的人爲因素，即一個人犯錯或成爲社會工程攻擊的受害者。這一比例與去年大致相同。一個潛在的抵消力量是報告實踐的改進：20%的用戶在模擬活動中識別並報告了網絡釣魚，11%的點擊電子郵件的用戶也報告了網絡釣魚。
入侵事件中人爲因素的持續存在表明網絡安全培訓方面仍有很大改進空間，但自我報告的增加表明文化發生了變化，人們不再對人爲錯誤感到羞恥，並可能有助於強調普通勞動力中網絡安全意識的重要性。
今年報告的其他主要發現包括：
● 所有違規行爲中有32%涉及某種勒索手段，包括勒索軟件
● 在過去兩年中，大約四分之一（24%至25%）的以經濟利益爲目的的事件都涉及借口
● 在過去10年中，使用被盜憑證的情況幾乎佔所有違規行爲的三分之一（31％）
● 歐洲、中東和非洲地區一半的覆蓋範圍是內部
● 間諜攻擊繼續在亞太地區佔據主導地位
標題：新報告稱漏洞利用泛濫威脅網絡安全
地址：https://www.utechfun.com/post/367881.html