Verizon 2024 数据泄露调查报告亮点
关键要点
Verizon于星期三发布了其2024年《数据泄露调查报告》DBIR，揭示了行动和攻击向量之间的相互作用，这些因素为数据泄露提供了初步路径。该报告涵盖了2022年11月1日至2023年10月31日期间的网络安全事件与数据泄露事件，并包含了近30500个事件和创纪录的10626起确认的数据泄露事件，分析范围覆盖94个国家。2024年DBIR提供了全球威胁态势的全面视角，并对分析方法进行了调整，与往年报告相比有一些变化。
报告的五个主要要点如下：
1 漏洞利用导致初步访问量在2023年几乎增加三倍
根据DBIR的数据，2023年将漏洞作为初始入侵点的使用量比2022年增加了180。例如，导致1000多家组织发生第三方数据泄露的MOVEit零日漏洞，事件中的漏洞利用比例从不到10上升至将近20。
clash怎么配置“2024年Verizon DBIR强调了漏洞利用的显著增加，突显了急需采取战略性漏洞管理措施的必要性。我们建议组织实施全面的、主动的策略，包括基于代理和无代理的安全措施，以预防潜在的泄露，”Qualys威胁研究部的漏洞研究经理Saeed Abbasi告诉SC Media。此外，组织还需要多层次的防御策略，整合先进的检测工具、零信任框架和快速的补丁管理。
具体来看，网页应用的漏洞利用大约占数据泄露的20，预计到2025年，VPN攻击向量利用的比例将持续上升。
由于MOVEit事件的重大影响，Verizon引入了新的供应链互联性指标，这个指标不仅包括通过第三方合作伙伴的泄露，也包括第三方软件的漏洞利用。供应链互联性泄露中，漏洞利用占到了约90，而今年，供应链泄露占所有泄露的15，同比增长了68。这突显出组织在选择供应商时需要审查潜在合作伙伴和软件供应商的安全记录。
“随着架构日益复杂，对第三方代码和服务的依赖不断增加，针对软件依赖和操作第三方提供商的供应链攻击将持续升级，尤其是在攻击者的技术变得更加隐蔽和难以检测的情况下，”Salt Security的保护战略副总裁Nick Rago在给SC Media的电子邮件中指出。
2 人为错误仍然是大多数泄露的因素，用户在几秒内点击钓鱼邮件
2024年Verizon DBIR同样强调了网络事件和泄露的人为因素，人为错误占据了68的泄露。尽管这一比例与去年报告的比例几乎相同，但今年的DBIR突显了与人为因素相关的新信息和动态。
一个引人注目的数据是，用户在钓鱼模拟链接上的平均点击时间仅为21秒，而提交敏感数据到模拟钓鱼网站的平均时间仅为28秒。然而，研究还发现，有20的用户在未点击链接的情况下报告了模拟钓鱼邮件，而有11的点击用户仍然将该邮件报告为钓鱼，这表明钓鱼意识相比往年有了提高。
与此同时，除了钓鱼之外的人为错误导致内部人员造成的数据泄露增加了75，在2023年占到了35的泄露案例。在大多数情况下73，内部威胁源于“杂项错误”，如数据误送、数据丢失/错位、配置错误等，最终导致数据泄露。误送是最常见的杂项错误类型，超过50的此类泄露归因于此。
除了明显的员工培训和教育需求外，SlashNext的首席执行官Patrick Harr告诉SC Media，科技如AI可以帮助保护人为因素免受自身影响，尤其在钓鱼和其他内部风险中。
“我们必须要从网络中心转向以人为本的安全态势。我们会围绕用户建立一个AI保护层，让用户具备超人的能力，增加计算机视觉和语言理解的能力，”Harr说。他补充道：“大家都在讨论个人助手以强化安全，我们将看到这些AI助手的崛起，以帮助人们做出最佳决策。”
