調查顯示，60%專案中帶有已知漏洞未打補丁的軟體可讓攻擊者進一步滲透

來自數十項滲透測試和安全評估的資料表明，幾乎每個組織都可能被網路攻擊者滲透。

根據Positive Technologies對安全評估的分析，絕大多數企業都可能在一個月內受到攻擊，攻擊者使用常見的技術，如破壞證書，利用已知的軟體和Web應用程式漏洞，或利用配置缺陷。

該公司的安全服務專業人員發現，在93%的情況下，外部攻擊者可能會破壞目標公司的網路，並獲得對本地裝置和系統的訪問許可權。在71%的案例中，攻擊者可能會以一種被認為“不可接受”的方式影響企業。例如，安全公司測試的每一家銀行都可能受到攻擊，攻擊方式可能會擾亂業務流程，降低服務質量。

除此之外，網路攻擊講關鍵系統破壞後，將目標系統暴露給惡意軟體操縱者，造成更嚴重的如服務中斷、企業人員身份洩露、資金或敏感資料被盜和/或欺詐使用者的能力。

Positive Technologies的年度報告顯示，企業需要在2022年進行評估，並對可能出現的威脅進行建模。“每家公司都可能成為攻擊的受害者，無論是有針對性的還是大規模的。根據現有的資料顯示，網路攻擊的數量逐年增加，其後果也越來越嚴重。看看勒索軟體運營商對組織造成的損害就知道了。”

該研究調查了從2020年7月開始到2021年6月底的安全評估資料。該公司的滲透測試人員對數十家公司進行了評估，並使用45個專案作為報告的基礎。

調查資料發現，被洩露的證書是進入公司網路的最可靠的方式，由於大多數員工使用的密碼過於簡單，證書的使用在71%的專案中都獲得了成功。

在81%的情況下，攻擊者只需較低的技術水平就能獲得域管理員帳戶的訪問許可權。“擁有憑據和域管理員許可權的攻擊者可以獲得許多其他憑據，以便在公司網路中橫向移動並訪問計算機和伺服器，”Positive Technologies在報告中指出。“大多數公司缺乏按業務流程劃分的網路分段，這使得多個攻擊媒介可以發展到同時發生多個不可接受的事件的程度。”

“擁有證書和域管理員許可權的攻擊者可以獲得許多其他證書，在企業網路中橫向移動，並訪問計算機和伺服器。”“大多數公司缺乏業務流程的網路分割，這使得幾個攻擊載體發展到多個不可接受事件同時發生的程度。”

並非所有的滲透測試資料顯示情況都很嚴峻，隨著時間的推移，企業的安全狀況已經在逐步改善。

然而，安全漏洞帶來的影響仍舊不容小覷。在60%的專案中，利用帶有已知漏洞的未打補丁軟體可以讓攻擊者進一步滲透到目標公司的網路中。軟體安全是網路安全的基礎防線，隨著漏洞利用的增加，檢測軟體中的安全漏洞是降低遭到網路攻擊的有效手段。在軟體開發過程中，透過 靜態程式碼檢測工具可以幫助開發人員減少30%-70%的安全漏洞，在提高軟體安全性上發揮著重要作用。

Positive Technologies的評估發現，大多數行業都存在嚴重的安全漏洞。報告指出，工業和能源行業，每八家公司就有七家容易受到攻擊者造成的“不可接受事件”的影響。不完善的安全實踐即便是專業的IT人員，也為攻擊者創造可利用的弱點。

該公司研究分析主管Kilyusheva稱，公司應該首先確定他們最關鍵的資產，並確定哪些事件和風險可能被認為是“致命的”。此外，Positive Technologies建議公司對業務流程進行分割槽，以防止攻擊者輕鬆跨業務部門移動。

建議企業機構加強防禦、監控潛在的攻擊媒介、識別攻擊鏈並修改流程以向任何妥協途徑新增步驟(例如多因素身份驗證)。並且驗證軟體安全性，尤其隨著開源元件的盛行，對其中安全漏洞的檢測及排除在軟體開發過程中尤為重要。

報告稱:“資訊保安服務機構是否有時間在檢測到攻擊時做出反應，取決於入侵者‘走’了多遠。鏈條越短，防守方的選擇就越少。”

為了及時阻止攻擊，在網路安全事件發生之前，降低軟體中存在的安全漏洞，並消除從滲透點到目標系統的最短路徑是至關重要的。

參讀連結：