2025年全球事件应变报告

核心观点

• 新兴趋势： 研报确定了五种主要的新兴趋势重塑威胁格局：破坏业务运营的勒索攻击、软件供应链和云攻击日益增强的影响、攻击速度加快、朝鲜内部威胁的崛起以及人工智能辅助攻击的出现。
• 威胁行为者成功因素： 基于数千次事件响应经验，Unit 42 确定了三大核心因素使对手得以成功：复杂性、可见性差距和过度信任。这些因素促成初始访问、允许威胁未经控制地升级并扩大整体损害。
• 防御者建议： 为应对这些挑战，安全领导者必须加速他们通往零信任之旅的进程，减少生态系统中的隐含信任。同样关键的是确保应用和云环境从开发到运行时，确保配置错误和漏洞能够迅速得到解决。最后，赋能安全运营，看得更远，响应更快。

关键数据和结论

• 勒索攻击： 2024年，Unit 42响应的事件中有86%造成了某种影响相关的损失，包括运营、声誉或其他方面。近半数（49.5%）受影响的受害者能够从备份中恢复，但加密本身仍然是一种常用的策略。初始勒索要价中位数增加了近80%，达到125万美元。
• 软件供应链和云攻击： 在云环境中，威胁行为者常常嵌入在配置错误的环境中，扫描庞大网络以获取有价值的数据。在一项活动中，攻击者扫描了超过2.3亿个独特目标以寻找敏感信息。云数据平面漏洞仅占所有案例的很小比例（不到5%），但使用云资源进行数据窃取非常普遍。
• 攻击速度： 攻击速度的不断加快——由自动化和简化的黑客工具包放大——留给防御者的检测和响应时间极少。在近五分之一的案例中，数据窃取在入侵发生的第一个小时内即已完成。
• 内部威胁： 组织面临内部威胁风险加剧，因为像朝鲜这样的国家针对组织窃取信息以资助国家计划。与朝鲜相关的内部威胁案例在2024年翻了三倍。
• 人工智能辅助攻击： 早期对AI辅助攻击的观察表明，AI如何放大入侵的规模和速度。Muddled Libra（也称为Scattered Spider）成功利用服务提供商的帮助台实施社交工程，以获取特权访问管理器（PAM）账户的访问权限。利用该访问权限，他们检索了存储的凭证并攻破了具有域特权的账户——所有这一切都在短短40分钟内完成。
• 常见影响因素： 系统性问题使威胁行为者能够一次次取得成功。通过主动解决这些问题，组织能够降低网络攻击的可能性和影响。近40%案例中的影响因素是安全工具和管理方面的问题。

防御者建议

• 赋能安全运营： 摄取所有相关的安全数据，汇总并标准化来自云基础设施、本地系统、身份、端点和应用程序的遥测数据，以创建单一事实来源。利用人工智能驱动的能力检测和优先处理威胁。
• 加速您的零信任之旅： 控制数据访问和移动，识别并验证所有用户、设备和应用程序，执行严格的最低权限访问，应用整体安全检查，提升您在IR领域的专家团队建设，从被动安全向主动安全转型，通过自动化实现实时威胁响应。
• 安全应用和云： 防止安全问题流入生产环境，修复新发现的网络安全漏洞，自动化云检测和响应，识别并阻止运行时攻击。