2025年全球事件响应报告

报告基于2024年全球500余起重大网络安全事件的分析。揭示了当前威胁格局的五大核心趋势、攻击者常用战术及防御建议，

一、五大新兴威胁趋势

1. 业务中断型勒索攻击

勒索攻击已从早期单纯加密数据（第一波）发展到数据窃取+勒索（第二波），进而升级为以制造业务瘫痪为核心的第三波攻击。2024年86%的事件涉及业务中断，攻击者通过删除虚拟机、破坏数据、锁定客户环境等手段迫使企业支付更高赎金。典型案例中，勒索中位数金额从2023年的69.5万美元飙升至125万美元，涨幅80%。企业需通过灾难恢复演练、备份策略优化提升业务韧性。

2. 软件供应链与云攻击的升级  

29%的事件涉及云环境，攻击者利用IAM配置错误（如缺乏MFA、过度权限）入侵云平台，并通过云存储快速外泄数据（45%的案例使用T1567.002技术）。开源软件供应链风险同样突出，如XZ Utils后门事件暴露了依赖链的脆弱性。防御需聚焦最小权限原则、集中化日志审计和API速率限制。

3. 攻击速度的指数级提升  

自动化工具和AI使攻击者能在极短时间内完成入侵。2024年数据外泄中位时间缩短至2天，19%的案例中攻击者1小时内即完成数据窃取。例如某大学VPN遭暴力破解后，攻击者18小时内部署勒索软件。防御方需通过AI驱动分析、自动化响应剧本将MTTD/MTTR压缩至分钟级。

4. 朝鲜IT工人计划引发的内部威胁激增  

朝鲜国家支持的黑客通过伪造身份渗透企业IT岗位（2024年相关事件翻三倍），利用KVM-over-IP硬件和VS Code隧道进行隐蔽控制。其目标包括窃取源代码、植入后门及勒索，金融、科技行业成重灾区。企业需加强背景审查、最小特权管控及员工行为监控。

5. AI辅助攻击的崛起  

AI已用于生成高仿钓鱼邮件、自动化漏洞利用及恶意代码混淆。模拟测试显示，AI可将攻击时间从2天缩短至25分钟。防御需结合AI检测引擎、深度伪造识别训练及自动化威胁遏制。

二、攻击者成功的关键因素

1. 复杂性：75%的事件中关键日志证据因安全工具碎片化未被及时发现，85%需跨4+数据源关联分析。  

2. 可见性缺口：企业平均每月新增300项云服务，但40%的案例因云资产未监控导致攻击潜伏。  

3. 过度信任：41%的事件源于过度权限账户，攻击者借此横向移动（如某案例中700台ESXi服务器被加密）。

三、防御者行动框架

1. 安全运营升级  

整合多源数据（端点/云/身份日志），部署AI驱动的威胁狩猎，并通过自动化剧本实现实时响应。保留专业IR团队支持应急。

2. 零信任架构加速  

实施持续身份验证、网络分段及数据分类保护，尤其需限制云IAM权限（如禁用长期凭证）。

3. DevSecOps与云安全左移  

在开发阶段扫描第三方组件漏洞，运行时监控云配置变更，并自动化修复高风险项（如暴露的API密钥）。

四、行业与地域差异

北美：网络入侵（23%）与商业邮件诈骗（19%）为主。  

EMEA：勒索攻击占比最高（31%）。  

制造业：25%案例涉及勒索，高频出现在暗网数据泄露站点。  

金融业：25%为商业邮件诈骗，云控制面攻击风险突出（9%）。

五、战术技术（MITRE ATT&CK）热点

初始访问：T1078（有效账户滥用）占40%，常因弱密码（20%）或无MFA（28%）导致。  

横向移动：T1021（远程服务滥用）占86%，RDP/SMB协议最常被利用。  

防御规避：T1562（削弱防御）占30%，包括禁用EDR和Windows事件日志。

六、总结

报告强调，威胁格局正转向“速度+破坏”双驱动模式。企业需以零信任为核心，通过整合安全架构、强化云/供应链管控及AI赋能运营，构建动态防御体系。Unit 42数据表明，尽管攻击者不断进化，但系统性解决复杂性、可见性与信任问题可显著降低风险。

扫码加入知识星球：网络安全运营运维

下载本篇和全套资料