2021年，我們一方面在繼續(xù)應(yīng)對從2020年就已經(jīng)開始的全球新冠疫情，另一方面，我們也遇到了一系列新的網(wǎng)絡(luò)安全挑戰(zhàn)。
在這一年里，供應(yīng)鏈攻擊影響著醫(yī)療、汽車、旅游、零售和食品供應(yīng)等方方面面，對供應(yīng)鏈的威脅及其潛在的災(zāi)難性級聯(lián)效應(yīng)讓供應(yīng)鏈攻擊成為各類重大威脅中的第一大威脅。在此期間，隨著數(shù)字經(jīng)濟發(fā)展的不斷深入，數(shù)據(jù)對提高生產(chǎn)效率的乘數(shù)作用不斷凸顯，成為最具時代特征的生產(chǎn)要素。數(shù)據(jù)作為新生產(chǎn)要素，在創(chuàng)造越來越多價值的同時，也面臨著更多的安全威脅。隨著企業(yè)上云步伐加速，針對云環(huán)境的威脅也不斷增加。與此同時，勒索軟件和挖礦攻擊也急劇上升，遠遠超過了我們的預期水平。
本著合作與分享的精神，我們基于各種開源信息和網(wǎng)絡(luò)威脅情報制定了《2022網(wǎng)絡(luò)威脅形勢研究報告》，希望與行業(yè)同仁共享我們觀察到的網(wǎng)絡(luò)威脅形勢，與他們一道為守護企業(yè)業(yè)務(wù)發(fā)展、抗擊網(wǎng)絡(luò)犯罪攜手奮戰(zhàn)!
1. 供應(yīng)鏈攻擊
多年來，供應(yīng)鏈攻擊始終是一個重大安全問題，但自 2020 年初以來，整個社會似乎面臨著更多更有組織的攻擊。這可能是由于組織實施了更強大的安全保護，攻擊者只好退而求其次轉(zhuǎn)向供應(yīng)商。他們設(shè)法通過讓企業(yè)系統(tǒng)下線、經(jīng)濟損失和聲譽受損等方式來產(chǎn)生重大影響。供應(yīng)鏈之所以重要是因為一旦攻擊成功就可能會影響大量使用受影響供應(yīng)商的客戶。因此，單一攻擊的級聯(lián)效應(yīng)可能會產(chǎn)生廣泛傳播的影響。根據(jù)歐盟網(wǎng)絡(luò)安全局(ENISA)的調(diào)查研究，供應(yīng)鏈攻擊呈現(xiàn)出以下趨勢：
攻擊者目標更加明確：66%攻擊事件的攻擊目標是供應(yīng)商代碼，20%攻擊事件的攻擊目標是數(shù)據(jù)，14%攻擊事件的攻擊目標是內(nèi)部流程。
供應(yīng)商并不清楚攻擊者是如何發(fā)生的：在 66% 的供應(yīng)鏈攻擊中，供應(yīng)商并不太清楚他們是如何受到攻擊的?？紤]到供應(yīng)商大多屬于技術(shù)部門，不了解供應(yīng)鏈攻擊的發(fā)生方式可能表明供應(yīng)商基礎(chǔ)設(shè)施的網(wǎng)絡(luò)防御成熟度不高或不愿分享相關(guān)信息。還有其他因素可能導致對供應(yīng)商不了解自己是如何被入侵的，比如攻擊的復雜性以及發(fā)現(xiàn)攻擊的速度，這都會對事件調(diào)查造成阻礙。
復雜的供應(yīng)鏈攻擊一般是APT組織所為：據(jù)研究調(diào)查，超過50%的供應(yīng)鏈攻擊歸因于知名網(wǎng)絡(luò)犯罪組織，包括 APT29、Thallium APT、UNC2546和Lazarus APT等等。但由于這類復雜攻擊一般需要更長的時間來調(diào)查，2021年發(fā)生的很多攻擊還沒有辦法歸因于特定攻擊組織。
2. 數(shù)據(jù)安全威脅
隨著數(shù)據(jù)在數(shù)字化經(jīng)濟發(fā)展中發(fā)揮著更加重要的作用，針對數(shù)據(jù)的威脅也一直位居前列，并且預計這一趨勢在2022年將繼續(xù)存在。攻擊者探索了一系列新技術(shù)，并利用了越來越多、影響力越來越大的在線服務(wù)。此外，鑒于數(shù)據(jù)的重要性，尤其是私人和敏感數(shù)據(jù)的重要性，攻擊者正在針對目標數(shù)據(jù)采用更復雜的安全威脅，例如勒索軟件或供應(yīng)鏈攻擊。根據(jù)Verizon的調(diào)查數(shù)據(jù)顯示，數(shù)據(jù)安全威脅呈現(xiàn)出以下趨勢：
人為錯誤是數(shù)據(jù)泄露的主要原因：據(jù) Verizon 稱，85%的數(shù)據(jù)泄露都與人為因素有關(guān)?？紤]到社會工程和其他人為錯誤都是主要攻擊模式，這就很容易理解了。總體來說，泄露最多的數(shù)據(jù)是憑證 (60%) 和個人數(shù)據(jù) (50%)，而由人為錯誤引起的數(shù)據(jù)泄露中，泄露最多的是個人數(shù)據(jù) (80%)。
醫(yī)療保健行業(yè)數(shù)據(jù)泄露激增：由于疫情原因，醫(yī)療保健部門成為人們關(guān)注的焦點，攻擊者利用這場危機打擊了這個本已遭受重創(chuàng)的領(lǐng)域;同時由于疫情原因，在線醫(yī)療保健服務(wù)、遠程醫(yī)療保健和遠程醫(yī)療方法增加，因此攻擊者竊取醫(yī)療數(shù)據(jù)的機會大大增加。此外，醫(yī)療記錄中包含患者的醫(yī)療和行為健康數(shù)據(jù)和人口統(tǒng)計數(shù)據(jù)，以及他們的健康保險和聯(lián)系信息，攻擊者竊取醫(yī)療數(shù)據(jù)的動機遠高于其他類型的數(shù)據(jù)。
商業(yè)環(huán)境中的數(shù)據(jù)泄露事件增多：據(jù)SANS Institute稱，在過去幾年中，大約 74,000 名員工、承包商和供應(yīng)商因公司筆記本電腦被盜而受到數(shù)據(jù)泄露的影響。數(shù)據(jù)未加密則加劇了這種情況。
攻擊動機和攻擊向量保持不變：據(jù) Verizon 報道，與攻擊者動機和主要攻擊向量相關(guān)的趨勢基本保持不變。網(wǎng)絡(luò)釣魚仍然是數(shù)據(jù)泄露的主要原因(36%)，其次是使用被盜憑證 (25%) 和勒索軟件 (10%)。經(jīng)濟動機仍然是攻擊的主要動因，其次是間諜活動，通常涉及盜竊知識產(chǎn)權(quán)或其他機密信息。
3. 云環(huán)境威脅
基于云的服務(wù)現(xiàn)在構(gòu)成了許多業(yè)務(wù)流程的關(guān)鍵要素，簡化了文件共享和協(xié)作。然而，這些基于云的服務(wù)在計算機網(wǎng)絡(luò)運營 (CNO) 過程中越來越多地被攻擊者利用，其發(fā)展呈現(xiàn)出以下趨勢：
云漏洞利用增多：攻擊者傾向于利用服務(wù)器軟件中已知的 RCE 漏洞，通常是掃描哪些服務(wù)器有漏洞，而不是關(guān)注特定領(lǐng)域或地區(qū)。在實現(xiàn)初始訪問之后，攻擊者就可以部署各種工具。
惡意軟件托管和命令與控制(C2)：電子犯罪和有針對性的入侵攻擊者大多是利用合法的云服務(wù)來傳播惡意軟件;針對性的入侵攻擊者也使用這些服務(wù)進行命令與控制。這種策略的優(yōu)勢在于能夠規(guī)避基于簽名的檢測，因為云托管服務(wù)的頂級域名通常受到許多網(wǎng)絡(luò)掃描服務(wù)的信任。
利用配置錯誤的鏡像容器：攻擊者會定期利用配置不當?shù)?Docker 容器。 Docker 鏡像是用于創(chuàng)建容器的模板，一個鏡像有問題將會影響N個節(jié)點和集群。此外，攻擊者還會訪問和修改 Kubernetes 集群。Kubernetes 框架是一個復雜的系統(tǒng)，由許多組成部分組成，很容易出現(xiàn)配置錯誤。
4. 勒索軟件攻擊
勒索軟件是一種惡意攻擊，攻擊者會加密企業(yè)的數(shù)據(jù)并要求付款才能恢復訪問權(quán)限。通過釣魚郵件和暴力破解遠程桌面協(xié)議 (RDP) 服務(wù)進行攻擊是兩種最常見的攻擊向量。在過去一年里，勒索軟件攻擊呈現(xiàn)出以下趨勢：
勒索軟件組織針對基礎(chǔ)設(shè)施發(fā)起攻擊：雖然針對基礎(chǔ)設(shè)施的勒索軟件攻擊并不是什么新鮮事，但這類攻擊在 2021 年顯著增加，幾乎日常生活的方方面面都受到勒索軟件的威脅，例如醫(yī)院、警局、自來水廠、燃料管道、食品生產(chǎn)商和學校等等。知名的勒索軟件攻擊事件包括Colonial Pipeline、JBS Foods、New Cooperative攻擊事件，更多詳細信息及完整報告，請關(guān)注公眾號“青藤云安全”免費下載索取。
RDP和釣魚依舊是最常見的攻擊向量：在過去幾年中，通過 RDP 進行初步攻擊一直是主要的攻擊向量。然而，自 2021 年以來，我們看到這種攻擊向量正在下降。相比之下，通過網(wǎng)絡(luò)釣魚電子郵件進行的攻擊有所增加。我們將這兩種攻擊向量視為獲得初始立足點的最常用方式，而且這兩個攻擊向量也是攻擊者最便宜且最有利可圖的方法。
從雙重勒索發(fā)展到多重勒索：攻擊者為了實現(xiàn)利潤最大化開始實施多重勒索計劃。首先，攻擊者會從組織竊取并加密敏感數(shù)據(jù)，威脅受害者付款，否則就要公開發(fā)布這些數(shù)據(jù)。現(xiàn)在，攻擊者現(xiàn)在還針對組織的客戶和/或合作伙伴索要贖金。一些研究將 DDoS 的使用作為第三重攻擊向量，然后將向受害者客戶索要贖金作為第四重勒索。
勒索軟件即服務(wù)(RaaS)商業(yè)模式發(fā)展壯大：在攻擊中使用勒索軟件即服務(wù) (RaaS) 平臺已成為常態(tài)。這種類型的服務(wù)為其他攻擊者提供了一個平臺，并且實行的是聯(lián)屬營銷模式，讓RaaS平臺像企業(yè)一樣運轉(zhuǎn)盈利。有了RaaS平臺，即使攻擊者缺乏技術(shù)知識，也可以進行勒索軟件攻擊。
招募企業(yè)內(nèi)鬼：更復雜的勒索軟件攻擊即將出現(xiàn)的趨勢是積極招募員工在勒索軟件活動期間提供協(xié)助。據(jù)悉，一名俄羅斯國民因鎖定和招募特斯拉員工協(xié)助勒索而被定罪。該員工需要在其公司的計算機系統(tǒng)上執(zhí)行惡意軟件，從而從公司網(wǎng)絡(luò)中竊取數(shù)據(jù)。
5. 漏洞利用
安全漏洞是指信息系統(tǒng)中的弱點，這個弱點或者脆弱性是由于缺乏防控措施或者防控措施不足造成的，比如組織沒有應(yīng)用某一個組件的補丁而造成的脆弱性暴露。漏洞的暴露和利用不僅僅會給企業(yè)帶來巨大的經(jīng)濟損失，還有可能損害客戶利益、企業(yè)聲譽。雖然漏洞之多已經(jīng)讓很多人對其無感，但漏洞依然是攻擊者熱衷的對象。下面是關(guān)于漏洞利用的發(fā)展趨勢：
公開的CVE漏洞首次超過20000：根據(jù) NIST 數(shù)據(jù)顯示，2021 年發(fā)布了 20,136 個常見漏洞和披露 (CVE)。這標志著連續(xù)五年發(fā)現(xiàn)了創(chuàng)紀錄的漏洞數(shù)量，也是歷史上第一次 CVE 的數(shù)量超過 20,000 個。
被利用的前 10 個漏洞中有 80% 是原有漏洞：在2021年7月，CISA發(fā)布了2020年網(wǎng)絡(luò)犯罪分子利用的主要漏洞列表。利用最多的前10個漏洞中都已經(jīng)有補丁或已有更新版本，而且只有兩個是在2020年發(fā)現(xiàn)的，這再次凸顯了全面、及時打補丁的重要性和必要性。
史詩級漏洞Log4j席卷全球：雖然 Apache Log4j 漏洞是 2021 年發(fā)現(xiàn)的最后一個重大漏洞，但它很快成為被利用最多的一個漏洞。雖然針對Log4j漏洞及時打補丁會存在一些困難，但真正的困難將是識別有哪些前端、中間件、后端、桌面應(yīng)用程序、現(xiàn)成的軟件和內(nèi)部創(chuàng)建的軟件受到了影響。青藤萬相支持全面、細粒度的資產(chǎn)清點，支持精確識別10余類主機關(guān)鍵信息清點，800多項業(yè)務(wù)應(yīng)用識別，其中包括Web框架、系統(tǒng)安裝包、Jar庫/類庫等，能夠有效識別已部署的業(yè)務(wù)系統(tǒng)使用的PHP、JAVA、Python框架情況。區(qū)別于常規(guī)的SCA工具，青藤萬相通過黑盒檢測方式，為用戶提供持續(xù)性、動態(tài)的業(yè)務(wù)系統(tǒng)成分分析，支撐應(yīng)用環(huán)節(jié)的軟件供應(yīng)鏈安全防護。
6. 挖礦攻擊
挖礦劫持是犯罪分子偷偷使用受害者的計算能力來獲取數(shù)字貨幣的一種網(wǎng)絡(luò)攻擊形式。挖礦劫持不僅僅是挖掘加密貨幣，而且是大規(guī)模盜竊資源，可以禁用受害者的防病毒軟件并打開安全端口，以便與其命令與控制基礎(chǔ)設(shè)施進行通信。挖礦劫持還可以為更復雜的攻擊提供強大的數(shù)據(jù)轉(zhuǎn)移能力。在過去一年里，挖礦攻擊主要呈現(xiàn)出以下發(fā)展趨勢：
2021 年加密劫持數(shù)量創(chuàng)歷史新高：自 2019 年以來，我們看到過去幾年占主導地位的挖礦程序呈穩(wěn)步下降的趨勢，Coinhive 和JSECoin 的關(guān)閉加速了這種下降趨勢，但現(xiàn)在攻擊者已經(jīng)轉(zhuǎn)移到其他類型的惡意活動。2021年思科報告稱，其 69% 的客戶 2020 年受到加密挖礦惡意軟件的影響，而且還表示加密挖礦在任何其他惡意活動中產(chǎn)生的 DNS 流量最多。我們可以總結(jié)得出，與加密劫持相關(guān)的經(jīng)濟收益激勵了相關(guān)的攻擊者進行這些攻擊?；诩用茇泿诺牟▌觾r值，預計挖礦將在2022年仍是一個重要的攻擊方式。
XMRig主導了挖礦市場：根據(jù)Check Point發(fā)布的一份報告稱，2020 年全球挖礦惡意軟件市場由 XMRig(35%)、JSECoin(27%)、Lucifer(7%)、WannaMine(6%)、RubyMiner(5%)和其他(20%)主導。2021 年上半年，其市場份額增至 51%，占所有加密惡意軟件的一半以上。
從瀏覽器轉(zhuǎn)向基于文件的加密劫持：Verizon的研究證實，自 Coinhive 關(guān)閉以來，基于瀏覽器的挖礦程序占比下降了?；谖募耐诘V程序填補這一空缺，它們首先入侵受害者的主機，然后在主機上投放挖礦軟件。
挖礦攻擊開始針對云和容器基礎(chǔ)設(shè)施：云基礎(chǔ)設(shè)施的使用，讓處理能力能夠根據(jù)需要隨時擴大。當云主機被加密劫持惡意軟件感染時，成本可能會變得巨大。容器基礎(chǔ)設(shè)施也是一個吸引攻擊者眼球的目標，因為這些環(huán)境將根據(jù)需要生成工作節(jié)點。過去在 Kubernetes 上已經(jīng)看到過加密挖礦，但切入點要么是易受攻擊的 Web 應(yīng)用程序，要么是已經(jīng)包含挖掘惡意軟件的惡意容器。
