初始访问代理：深入分析

核心观点与关键数据

初始接入代理（IAB）概述
IAB 是专门入侵网络系统并出售未授权访问权限的威胁行为者，主要协助勒索软件攻击，尤其是 RaaS 方案。通过简化攻击流程，IAB 降低执行勒索软件攻击的风险，专注于初始入侵并利用其专业知识将访问权限出售给其他恶意行为者。

目标国家与行业

• 国家：2023年，美国是 IAB 的主要目标（48%），2024年法国和巴西成为日益频繁的目标。
• 行业：商业服务领域受攻击最频繁（与勒索软件趋势一致），零售业持续位列前三，制造业在2024年成为新目标（14%→23%）。
• 组织规模：2024年，大型组织（年收入超10亿美元）成为主要目标（27%），推动 IAB 攻击平均收入至19.61亿美元（增长1000%）。

访问类型与权限

• 主要访问类型：2023年以 RDP 访问为主（>60%），2024年 VPN 访问激增（45% vs. 41% RDP）。
• 权限类型：域管理员（平均价格高85%）、本地管理员和域用户最为常见，占所有权限类型的近80%。

价格趋势

• 2023年，IAB 平均价格3,066美元，中位数1,500美元，65%低于2,000美元。
• 2024年，平均价格降至1,295美元（降幅60%），多数价格区间集中在500-2,000美元，高价值列表占比仅9%。

安全产品与漏洞

• 超过60%的设备仅配备 Windows Defender，凸显安全防护不足。
• 常见安全产品包括 SentinelOne、Sophos 等，但多数设备存在漏洞或未启用额外防护。

研究结论与建议

结论
IAB 是网络犯罪生态系统的重要组成部分，为勒索软件、数据泄露等恶意活动提供立足点，降低技术门槛。美国因高价值目标成为主要目标，大型组织因收入潜力被频繁攻击。VPN 访问崛起，安全防护不足（尤其是 Windows Defender 单一防护）加剧风险。

建议

• 技术措施：实施多因素身份验证（MFA）、强密码策略、网络划分、定期补丁管理，部署防火墙和入侵检测系统。
• 组织措施：加强员工安全培训（如模拟钓鱼）、监控暗网活动、使用威胁情报服务、定期审计权限。
• 权限管理：遵循最小权限原则（PoLP），限制用户访问范围。
• 安全产品：避免依赖单一防护（如 Windows Defender），引入 SentinelOne、Sophos 等多层次解决方案。