IBM（紐約證券交易所代碼：IBM）全球安全部（IBM Security）今天發布其年度X-Force威脅情報指數，揭示了勒索軟件和漏洞利用是如何在2021年攜手“囚禁”企業，從而進一步加重全球供應鏈的負擔，使製造業成為眾矢之的。雖然網絡釣魚是去年網絡攻擊最常見的誘因，但IBM Security X-Force觀察到利用未打補丁的軟件漏洞而引發的攻擊增加了33%，與其它攻擊入口相比
，這是勒索軟件行動者在2021年最為依賴的一個攻擊入口，占勒索軟件攻擊的44%。

　　2022年的報告詳細介紹了2021年勒索軟件行動者如何試圖通過“瓦解”全球供應鏈的骨幹來攻擊製造業，使其成為2021年受到攻擊最多的行業（23%），取(qu)代(dai)了(le)過(guo)去(qu)很(hen)長(chang)一(yi)段(duan)時(shi)間(jian)受(shou)攻(gong)擊(ji)最(zui)多(duo)的(de)金(jin)融(rong)服(fu)務(wu)和(he)保(bao)險(xian)行(xing)業(ye)。之(zhi)所(suo)以(yi)受(shou)到(dao)比(bi)其(qi)它(ta)行(xing)業(ye)更(geng)多(duo)的(de)勒(le)索(suo)軟(ruan)件(jian)攻(gong)擊(ji)

，是(shi)因(yin)為(wei)攻(gong)擊(ji)者(zhe)賭(du)定(ding)
，對(dui)製(zhi)造(zao)業(ye)組(zu)織(zhi)的(de)破(po)壞(huai)將(jiang)導(dao)致(zhi)其(qi)下(xia)遊(you)供(gong)應(ying)鏈(lian)的(de)漣(lian)漪(yi)效(xiao)應(ying)，從(cong)而(er)迫(po)使(shi)他(ta)們(men)支(zhi)付(fu)贖(shu)金(jin)。令(ling)人(ren)震(zhen)驚(jing)的(de)是(shi)，47%的針對製造業的攻擊是由於受害者組織尚未或無法修補的漏洞造成的，這突出表明了組織需要優先考慮漏洞管理。

　　2022年IBM Security X-Force威脅情報指數描繪了IBM Security從其數據中觀察和分析出來的新趨勢和攻擊模式 -- 這些數據來自於網絡和端點檢測設備
、事件響應活動、網絡釣魚工具跟蹤等數十億個數據點 -- 包括Intezer提供的數據。

　　今年報告中的一些亮點包括：

• 勒索軟件團夥不畏打擊。勒索軟件繼續成為2021年觀察到的最主要的攻擊方式，盡管加大了對勒索軟件的打擊，但勒索軟件團夥沒有停下來的跡象。根據2022年的報告
  ，一個勒索軟件團夥在關閉或改名換姓之前的平均壽命為17個月。
• 漏洞暴露了企業最大的 "惡習"。X-Force顯示
  ，對於歐洲、亞洲和中東地區的企業來說，未修補的漏洞在2021年造成了約50%的攻擊
  ，暴露了企業最大的掙紮--修補漏洞。
• 雲上網絡危機的早期預警信號。網絡犯罪分子正準備好瞄準雲環境，2022年的報告顯示，新的Linux勒索軟件代碼增加了146%
  ，並轉向以Docker為重點目標，可能會使更多的威脅者更容易利用雲環境來進行惡意攻擊。

　　IBM X-Force負責人Charles Henderson表示，“網絡犯罪分子通常是為追逐金錢，有了勒索軟件
，他們開始追逐杠杆效應。 企業應該認識到，漏洞正讓他們陷入僵局 -- 勒(le)索(suo)軟(ruan)件(jian)的(de)攻(gong)擊(ji)者(zhe)會(hui)利(li)用(yong)這(zhe)些(xie)漏(lou)洞(dong)來(lai)謀(mou)取(qu)暴(bao)利(li)。這(zhe)是(shi)一(yi)個(ge)不(bu)二(er)的(de)挑(tiao)戰(zhan)，攻(gong)擊(ji)麵(mian)隻(zhi)會(hui)越(yue)來(lai)越(yue)大(da)。因(yin)此(ci)

，企(qi)業(ye)不(bu)應(ying)該(gai)假(jia)設(she)其(qi)運(yun)營(ying)環(huan)境(jing)中(zhong)的(de)每(mei)個(ge)漏(lou)洞(dong)都(dou)已(yi)打(da)過(guo)補(bu)丁(ding)，而(er)應(ying)假(jia)設(she)是(shi)在(zai)一(yi)個(ge)有(you)漏(lou)洞(dong)的(de)環(huan)境(jing)中(zhong)運(yun)營(ying)，並(bing)且(qie)要(yao)通(tong)過(guo)零(ling)信(xin)任(ren)戰(zhan)略(lve)來(lai)加(jia)強(qiang)其(qi)漏(lou)洞(dong)管(guan)理(li)。”

　　勒索軟件團夥的“九條命”

　　為了應對近期執法部門對勒索軟件的加速打擊
，勒索軟件團夥可能正在啟動他們自己的災難恢複計劃。X-Force的分析顯示，一個勒索軟件組織在關閉或改名換姓之前的平均壽命是17個月。例如，在2021年所有勒索軟件攻擊中占37%的REvil通過改名換姓活了四年，這表明它有可能會再次出現，盡管2021年中它已經被一個多國政府聯合的行動所攻破。

　　盡jin管guan執zhi法fa部bu門men的de取qu締di行xing動dong可ke以yi減jian緩huan勒le索suo軟ruan件jian攻gong擊ji者zhe的de速su度du
，但dan是shi重zhong塑su企qi業ye品pin牌pai或huo重zhong建jian基ji礎chu設she施shi也ye給gei企qi業ye帶dai來lai了le費fei用yong負fu擔dan。隨sui著zhe環huan境jing的de改gai變bian
，企qi業ye必bi須xu對dui其qi基ji礎chu設she施shi進jin行xing現xian代dai化hua改gai造zao
，將jiang其qi數shu據ju放fang置zhi在zai一yi個ge受shou保bao護hu的de環huan境jing中zhong--無論是在本地還是在雲端。這可以幫助企業管理、控製和保護他們的工作負載，並通過增加訪問混合雲環境中關鍵數據的難度
，來消除威脅者在妥協情況下的優勢。

　　漏洞成為企業的生存隱患

　　X-Force報告強調，2021年披露的漏洞數量創下新高，其中工業控製係統的漏洞同比增長了50%。盡管在過去十年中
，有超過146,000個(ge)漏(lou)洞(dong)被(bei)披(pi)露(lu)
，但(dan)隻(zhi)是(shi)在(zai)最(zui)近(jin)幾(ji)年(nian)
，企(qi)業(ye)才(cai)加(jia)速(su)了(le)他(ta)們(men)的(de)數(shu)字(zi)化(hua)之(zhi)旅(lv)，而(er)這(zhe)主(zhu)要(yao)還(hai)是(shi)由(you)新(xin)冠(guan)疫(yi)情(qing)所(suo)推(tui)動(dong)的(de)
，這(zhe)表(biao)明(ming)漏(lou)洞(dong)管(guan)理(li)的(de)挑(tiao)戰(zhan)還(hai)沒(mei)有(you)達(da)到(dao)頂(ding)峰(feng)。

　　同時
，漏洞的利用作為一種攻擊方法正變得越來越流行。X-Force觀察到自上一年以來這種攻擊增長了33%，2021年觀察到的兩個被利用最多的漏洞發現於廣泛使用的企業應用程序（Microsoft Exchange、Apache Log4J Library）。企(qi)業(ye)在(zai)管(guan)理(li)漏(lou)洞(dong)方(fang)麵(mian)的(de)挑(tiao)戰(zhan)可(ke)能(neng)會(hui)繼(ji)續(xu)加(jia)劇(ju)，因(yin)為(wei)數(shu)字(zi)基(ji)礎(chu)設(she)施(shi)不(bu)斷(duan)擴(kuo)大(da)，企(qi)業(ye)可(ke)能(neng)會(hui)因(yin)審(shen)計(ji)和(he)維(wei)護(hu)要(yao)求(qiu)而(er)變(bian)得(de)不(bu)堪(kan)重(zhong)負(fu)，這(zhe)突(tu)出(chu)了(le)在(zai)假(jia)設(she)受(shou)到(dao)損(sun)害(hai)的(de)情(qing)況(kuang)下(xia)進(jin)行(xing)運(yun)營(ying)的(de)重(zhong)要(yao)性(xing)，且(qie)要(yao)應(ying)用(yong)零(ling)信(xin)任(ren)戰(zhan)略(lve)來(lai)幫(bang)助(zhu)保(bao)護(hu)他(ta)們(men)的(de)架(jia)構(gou)。

　　攻擊者瞄準雲中的一致目標

　　2021年，X-Force觀察到更多的攻擊者將目標轉向類似Docker的容器 -- 根據RedHat的數據
，Dockershiqijinweizhizuizhuyaoderongqiyunxingyinqing。zaiyunzhong，guangfanbeishiyongderongqifuwuchengweilegongjizhedeyizhimubiao，tamenzhengzaijiabeinuli
，liyongkeyikuapingtaideeyiruanjianlaizuidahuatamendetouzihuibaolv，bingkejiangqizuoweishouhaizhejichusheshiyuqitazujianzhijiandetiaoban。

　　2022年的報告還對威脅者繼續投資於獨特的、以前未被注意到的Linux惡意軟件提出了警告
，Intezer提供的數據顯示
，擁有新代碼的Linux勒索軟件增加了146%。由(you)於(yu)攻(gong)擊(ji)者(zhe)仍(reng)然(ran)在(zai)穩(wen)步(bu)追(zhui)求(qiu)通(tong)過(guo)雲(yun)環(huan)境(jing)來(lai)擴(kuo)大(da)其(qi)攻(gong)擊(ji)規(gui)模(mo)的(de)方(fang)法(fa)
，企(qi)業(ye)必(bi)須(xu)專(zhuan)注(zhu)於(yu)擴(kuo)大(da)其(qi)混(hun)合(he)基(ji)礎(chu)設(she)施(shi)的(de)可(ke)見(jian)性(xing)。建(jian)立(li)在(zai)互(hu)操(cao)作(zuo)性(xing)和(he)開(kai)放(fang)標(biao)準(zhun)基(ji)礎(chu)上(shang)的(de)混(hun)合(he)雲(yun)環(huan)境(jing)可(ke)以(yi)幫(bang)助(zhu)企(qi)業(ye)發(fa)現(xian)盲(mang)點(dian)，並(bing)加(jia)速(su)和(he)自(zi)動(dong)化(hua)他(ta)們(men)的(de)安(an)全(quan)響(xiang)應(ying)。

　　2022年報告還發現：

• 亞洲成為受攻擊最嚴重的地區 -- 在2021年IBM觀察到的全球攻擊中，亞洲受到超過1/4的攻擊，在過去一年中
  
  
  ，亞洲的網絡攻擊比任何其它地區都多。在亞洲
  ，金融服務和製造業組織共受到近60%的攻擊。
• 首次來電，長期釣魚 -- 網絡釣魚是2021年網絡攻擊的最常見原因。在X-Force Red的滲透測試中
  ，與電話相結合，網絡釣魚活動的點擊率增加了兩倍。