《Disney +》 迪士尼、Marvel、彼思、星球大戰…  為編輯部會議室添購IRIS OHYAMA 55吋4K電視「55UB10P」!   訂閱數突破100萬!彩虹社旗下VTuber「葛葉」將舉辦首次個人活動!   疫情下的東京電玩展2021現場直擊!   《地平線 西域禁地》收藏版和數位豪華版內容搶先看   「鬼滅之刃 火神血風譚」新情報!善逸&伊之助 角色介紹影片公開!   《黑色行動冷戰》和《現代戰域》第四季Reloaded更新於7月15日推出   比Xbox One更小更厲害!終於入手超小&最輕的次世代主機「Xbox Series S」馬上開箱!   Supergiant 年度最佳遊戲獲獎作品《Hades》的起源 

Google 發表 2023 年零日漏洞攻擊趨勢報告

商業

Google 威脅分析小組 (Threat Analysis Group,TAG) 和 Mandiant 的綜合數據顯示,2023 年有 97 宗零日漏洞攻擊; 較 2022 年發現的 62 宗零日漏洞數字大幅增加,但仍較 2021 年 106 宗零日漏洞攻擊的數字低。

TAG 和 Mandiant 首個共同發布的零日漏動報告 重點剖析了 2023 年的零日漏洞趨勢,並聚焦兩大漏洞。第一是透過終端用戶平台和產品,例如行動裝置、作業系統 (OS)、瀏覽器和其他應用程式。第二則是以企業為中心的技術,例如網絡安全軟件和設備。

零日漏洞報告發現的5大趨勢包括:

  • 供應商投入資源加強網絡安全防護,阻截漏洞攻擊:  值得注意的網絡安全防護更新包括 Google  推出MiraclePtr ,能夠於Chrome上防範於釋放後使用記憶體(use-after-free)漏洞所發動的攻擊,以及 Apple 為 iOS 加入的Lockdown鎖定模式,成功阻截許多利用野外漏洞鏈所作出的攻擊。
  • 於2023 年,攻擊者將重點轉向第三方元件和函式庫: 由於第三方元件和函式庫的漏洞攻擊可影響多於一個產品,令其成為 2023 年的主要攻擊面。
  • 針對企業產品的攻擊持續增加並愈見多元: 於2023 年,攻擊者利用企業特定技術的情況有所增加,相關漏洞攻擊總數比去年增加了 64%。其實,自2019 年起,以企業供應商為目標的漏洞數量正在增加。
  • 商業監控供應商(Commercial surveillance vendors,CSVs) 帶領瀏覽器和行動裝置漏洞攻擊: 2023 年,在已知的17宗在Google 產品及 Android 系統裝置內發生的零日漏洞事件當中,75% (13宗) 由CSVs引致。此外,在去年出現於瀏覽器和行動裝置中的 37 個零日漏洞中,有超過 60% (22宗)與向各地政府出售間諜軟件的 CSVs有關。
  • 受經濟誘因驅動的漏洞攻擊按比例減少: 出於經濟動機的攻擊者在2023 年發動了10 宗零日漏洞,比我們在2022 年所觀察到的數字低;當中包括三次由威脅組織FIN11個別策動的零日漏洞,以及四次分別由四個不同勒索軟件組織 (即Nokoyawa、Akira、LockBit和Magniber ) 所利用的漏洞。

網絡攻擊者趨向利用零日漏洞,通常因為較易逃脫並可持續運作。我們預計這種活動不會在短時間內減少。即使各方取得進展,零日漏洞仍是主要網絡威脅。

供應商必須繼續投資於網絡安全防護,以降低為用戶和組織機構帶來的風險,所有垂直行業的組織機構必須保持警惕。當零日攻擊突破防禦,組織機構會出現巨大的財務損失、嚴重的聲譽受損及資料被竊等。

雖然零日威脅難以防禦,但深度防禦安全措施仍可減少潛在影響。組織機構應專注建立完善的安全框架,包括漏洞管理、網路分段、權限和減少攻擊面。此外,防禦者應主動進行威脅搜尋,並遵循網絡安全機構所提供的指導和建議。

欲了解更多,請瀏覽Google zero-day landscape in 2023的報告

TechApple

隨機商業新聞

NordVPN