Orange Cyberdefense发布《Security Navigator 2023》安全导向研究报告

近日，Orange集团旗下网络安全服务供应商Orange Cyberdefense发布年度安全导向研究报告《Security Navigator 2023》，深入分析了CyberSOC团队调查、分类的99506起潜在事件，事件数量较2022年报告相比增加5%。虽然本年度的研究报告呈现出多个喜人迹象，表明安全事件发生的速度正在放缓，但仍有一些因素引发全球关注。

报告显示，尽管网络攻防正在一些领域取得胜利，却仍然面临诸多挑战。例如，企业平均需要215天才能修复报告的漏洞。即使面对关键漏洞，通常也需要至少6个月的时间才能修复。而在Orange Cyberdefense道德黑客团队进行的所有测试中，有近50%的结果将漏洞报告为“严重”（“重要”或“高度关注”）等级。

网络勒索危及全球各种规模的企业。《Security Navigator 2023》指出，82%的网络勒索受害者是小型企业，与去年相比增加了4%。 

勒索软件和网络勒索攻击仍是现阶段全球组织面临的主要威胁，Orange Cyberdefense World Watch威胁警报会全年定期发布相关信息。在2022年的3月和4月，由于Lapsus$活动和Conti数据泄露事件，以及俄乌冲突引发的担忧，有关勒索软件的新闻数量在此期间显著增加。同时，在CyberSOC处理的事件中有40%涉及恶意软件。 

此外，受害者所在地也发生了明显变化。网络勒索受害者的数量在北美和加拿大分别下降8%和32%，但在欧洲、亚洲和新兴市场有所增加。从2021年到2022年，欧盟的受害者数量增加了18%、英国增加了21%、北欧增加了138%、东亚增长了44%，而拉丁美洲增长了21%。

与此同时，活跃犯罪团体的构成也发生了巨大变化。在2021年观察到的前20名攻击者中，有14名攻击者已经从2022年的排名中消失。在Conti于2022年第二季度解散后，Lockbit2和Lockbit3策划了2022年规模最大的网络勒索事件，受害者总数超过900人。 

基于Orange Cyberdefense的观察，攻击者大多为机会主义者，例如在进行追踪的攻击者中，近90%声称攻击目标在美国、50%以上目标在英国、20%以上目标在日本。根据Orange Cyberdefense的观察数据显示，日本是受害者数量最少的国家之一。

1.中小企业

《Security Navigator 2023》报告指出，遭受网络勒索的小企业数量是大、中型企业总数的4.5倍，而大型企业遭受的影响更为严重。

2022年，中小企业报告的确认事件占总数的49%（2019年：10%；2020年：24%；2021年：35%），这说明中小企业尤其需要处理恶意软件事件带来的威胁。对于员工人数少于500人的中小企业而言，数据泄露的平均成本约为190万美元。因此，此类企业很可能受此影响而面临倒闭的风险。

2.公共部门组织

在CyberSOC处理的安全事件中，公共部门组织报告的事件比例位居第五。在Orange Cyberdefense数据库中，由公共部门报告的社会工程攻击事件也占据了最大比例。

对于大多数行业来说，Orange Cyberdefense检测到的大多数事件都由内部行为导致，但对于医疗保健类客户，76%的事件由外部行为导致，如犯罪黑客和APT（国家支持的威胁行为体）。

3.就受害者数量而言，制造业仍然是受影响最大的行业

尽管研究结果表明，在“最愿意支付赎金”的行业中，制造业仅排名第五，但就网络勒索受害者的数量而言，制造业仍是受影响最大的行业。《Security Navigator 2023》报告显示，犯罪分子正在破坏“传统”的信息技术系统，而非更专业的运营技术。同时，犯罪分子将大量受害者的产生主要归因于信息技术漏洞管理不善。据Orange Cyberdefense数据显示，制造业企业平均需要232天才能修复报告的漏洞。在此维度上，制造业依然位列第五。

据全新的漏洞洞察数据库显示，研究人员确认企业信息技术系统持续存在严重漏洞，其中47%已确认的漏洞被评定为“重要”或“高度关注”等级。关键漏洞仍需要半年以上（184天）时间才能修复，其他漏洞则可能需要更长时间。同时，数据表明许多漏洞（甚至是关键漏洞）永远无法得到修复。

制造业的信息技术漏洞平均需要235天可被修复，而其他行业的平均修复时间为215天；在医院（医疗保健和社会援助部门），信息技术漏洞平均需要491天得到修复；而在交通部门，信息技术漏洞的平均修复时间为473天。

值得注意的是，Orange Cyberdefense道德黑客发现一个已确认的“严重”（“重要”或“高度关注”）级别漏洞的平均时间为7.7天。

人力困境：在大多数行业中，内部威胁事件的数量超过外部攻击，而网络安全的空缺岗位却无人填补

组织员工身处公司防御的最前线，却也可能是防御最薄弱的环节。《Security Navigator 2023》报告指出：

• 对于公共行政部门，Orange Cyberdefense处理的大部分事件源于内部参与者有意或无意的行为；

• 对于制造业客户，58%的事件被归类为内部事件，而对于运输和仓储客户，这一数字高达64%。

《Security Navigator 2023》报告列举了更高级别安全监控提高控制有效性的手段，但这无疑也会产生更多误报，可能会给安全专业人员带来更大压力。仅在欧洲、中东和非洲地区，制造业就亟需填补30多万个网络安全职位的空缺。

在2021年9月至2022年9月期间，Orange Cyberdefense与近500万台移动设备产生交互，《Security Navigator 2023》报告首次包含了这些移动设备的专用补丁数据。据第三方研究数据显示，iOS系统和Android系统在2021年都处理了数量庞大的漏洞，其中：

• Android系统报告了547个漏洞，iOS系统报告了357个漏洞；

• 79%的Android系统漏洞被认为攻击复杂性较低（意味着攻击者可以轻松利用这些漏洞），而iOS系统的这一比例仅为24%；

• iOS系统有45个漏洞获得CVSS高分，而Android系统仅有18个。

《Security Navigator 2023》报告对iOS系统和Android系统报告的严重漏洞进行检查，并确定了修复生态系统的所需时长。在iOS系统中，90%的生态系统需要224天升级到补丁版本。而无论使用Android系统和iOS系统，约有10%的用户永远不会安装适合的补丁。

调查结果显示，由于生态系统的同质性，较高比例的iOS用户会在首次披露安全问题时面临被攻击的风险，然而用户可以通过快速迁移到新版本来规避风险，70%的用户会在补丁发布后51天内进行更新。与iOS系统相比，Android生态系统则更加支离破碎，这意味着Android设备往往更加容易遭到旧漏洞的攻击，易受新漏洞攻击的Android设备相对较少。

Orange Cyberdefense首席执行官Hugues Foulon表示：“Orange Cyberdefense的客户非常成熟，其所面临的安全事件数量增长总体放缓，呈现出喜人的迹象（+5%，前一年为+13%），这表明我们能够帮助客户赢得与恶意行为者的斗争。然而，这些成功不应减缓我们打击网络犯罪的努力。今年的《Security Navigator 2023》报告调查结果展现出各规模组织所面临的巨大挑战。来自各个方向威胁在不断演变，变得更加复杂，而这也凸显了我们要为应对威胁不懈努力，并在网络攻防中为客户提供有力的支持。”

点击“阅读原文”下载完整版《Security Navigator 2023》报告

来源：Orange Cyberdefense

（本文不涉密）