PC TECH 電腦技術

  • 增大字號
  • 缺省字號
  • 減小字號
IT 新聞


Google 報告發表2023年零日漏洞攻擊趨勢

E-mail 打印 PDF

Google Logo PNG Images - CleanPNG / KissPNG

 

Google 報告發表2023年零日漏洞攻擊趨勢

【香港】– Google 威脅分析小組 (Threat Analysis Group,TAG) 和 Mandiant 的綜合數據顯示,2023 年有 97 宗零日漏洞攻擊; 較 2022 年發現的 62 宗零日漏洞數字大幅增加,但仍較 2021 年 106 宗零日漏洞攻擊的數字低。

TAG 和 Mandiant 首個共同發布的零日漏動報告 重點剖析了 2023 年的零日漏洞趨勢,並聚焦兩大漏洞。第一是透過終端用戶平台和產品,例如行動裝置、作業系統 (OS)、瀏覽器和其他應用程式。第二則是以企業為中心的技術,例如網絡安全軟件和設備。

零日漏洞報告發現的5大趨勢包括:

供應商投入資源加強網絡安全防護,阻截漏洞攻擊:  值得注意的網絡安全防護更新包括 Google  推出MiraclePtr ,能夠於Chrome上防範於釋放後使用記憶體(use-after-free)漏洞所發動的攻擊,以及 Apple 為 iOS 加入的Lockdown鎖定模式,成功阻截許多利用野外漏洞鏈所作出的攻擊。

於2023 年,攻擊者將重點轉向第三方元件和函式庫: 由於第三方元件和函式庫的漏洞攻擊可影響多於一個產品,令其成為 2023 年的主要攻擊面。

針對企業產品的攻擊持續增加並愈見多元: 於2023 年,攻擊者利用企業特定技術的情況有所增加,相關漏洞攻擊總數比去年增加了 64%。其實,自2019 年起,以企業供應商為目標的漏洞數量正在增加。

商業監控供應商(Commercial surveillance vendors,CSVs) 帶領瀏覽器和行動裝置漏洞攻擊: 2023 年,在已知的17宗在Google 產品及 Android 系統裝置內發生的零日漏洞事件當中,75% (13宗) 由CSVs引致。此外,在去年出現於瀏覽器和行動裝置中的 37 個零日漏洞中,有超過 60% (22宗)與向各地政府出售間諜軟件的 CSVs有關。

受經濟誘因驅動的漏洞攻擊按比例減少: 出於經濟動機的攻擊者在2023 年發動了10 宗零日漏洞,比我們在2022 年所觀察到的數字低;當中包括三次由威脅組織FIN11個別策動的零日漏洞,以及四次分別由四個不同勒索軟件組織 (即Nokoyawa、Akira、LockBit和Magniber ) 所利用的漏洞。

網絡攻擊者趨向利用零日漏洞,通常因為較易逃脫並可持續運作。我們預計這種活動不會在短時間內減少。即使各方取得進展,零日漏洞仍是主要網絡威脅。

供應商必須繼續投資於網絡安全防護,以降低為用戶和組織機構帶來的風險,所有垂直行業的組織機構必須保持警惕。當零日攻擊突破防禦,組織機構會出現巨大的財務損失、嚴重的聲譽受損及資料被竊等。

雖然零日威脅難以防禦,但深度防禦安全措施仍可減少潛在影響。組織機構應專注建立完善的安全框架,包括漏洞管理、網路分段、權限和減少攻擊面。此外,防禦者應主動進行威脅搜尋,並遵循網絡安全機構所提供的指導和建議。

欲了解更多,請瀏覽Google zero-day landscape in 2023的報告。




























( 內容由有關方面代表提供, 經編輯後刊登 )

 
更多文章...


JPAGE_CURRENT_OF_TOTAL