百万次渗透测试显示企业安全态势正在恶化

 二维码 3




    根据网络安全公司Cymulate基于1万次渗透测试数据的企业安全态势评估,2022年企业数据泄露风险大幅增长,评分从2021年的30分大幅到44分。(Cymulate的进攻性安全测试包括了针对生产环境的渗透测试。)


WAF导致的暴露风险有所下降,但数据泄露风险却在快速增长


Cymulate发现,在客户环境中发现的十大严重漏洞中,平均有四个已经存在两年以上。其中包括高严重性的WinVerifyTrust签名验证漏洞(CVE-2013-2900),该漏洞可允许恶意可执行文件通过安全检查,以及Microsoft Office中的内存损坏漏洞(CVE-2018-0798)。

不过,也有好消息。安全评估的数据表明,企业跨平台恶意软件检测的风险评分普遍提高了,大量攻击被Web网关阻止。

与此同时,Cymulat的进攻性网络安全测试还发现,云和电子邮件依然是黑客的游乐场。


攻击越来越多地来自流行的云

    越来越多的攻击者开始利用流行的云服务(例如亚马逊和Azure)而不是流行的文件共享服务(如Dropbox和Box)发动攻击,来逃避电子邮件附件过滤器和其他安全技术。因为企业很难阻止来自大型可信云服务提供商的数据。

    在Cymulate研究中,最成功的攻击策略包括在偷渡式入侵场景中通过浏览器攻击用户,存档和泄露数据,并将该数据传输到AWS或Azure等云服务帐户。


电子邮件安全的网络效应



    在Cymulate渗透测试发现的前十大风险中,近一半与IT基础设施缺乏安全措施有关。常见问题包括无法识别网络钓鱼域名、无法配置DNSSEC以及缺乏两种关键邮件安全技术:DMARC(基于域名的邮件身份验证、报告和一致性)和SPF(发件人策略框架)。

    总体而言,公司在部署关键的电子邮件安全和完整性技术方面进展缓慢,例如DMARC、SPF和第三种技术,即域密钥识别邮件(DKIM),这有助于防止网络钓鱼成功和品牌欺诈。报告指出,虽然实施DMARC、DKIM和SPF的公司可以更好地防止基于电子邮件的攻击,但只有当邮件发送接收方都使用时,技术标准才能发挥网络效应。

    报告还显示,不同行业各有优劣势。例如,教育和酒店业的数据泄露风险最高,而科技行业对直接威胁的保护水平最低。科技行业和政府的Web应用防火墙的防护都低于平均水平。

参考链接:

https://cymulate.com/news/one-million-security-assessments/