近日，Skybox Security发布《2022年脆弱性和威胁趋势》报告，对2022年的脆弱性和趋势进行了总结和分析。报告指出，网络安全团队正在防御更大、漏洞更多的边界以抵御越来越多的威胁，同时还要应对指数级增长的复杂性和更严格的资源限制。

网络安全企业必须超越现状，采用新一代工具和技术，工作的思路应该从出了问题再救火转变为提前预防，从体力劳动转变为自动化效率，从分散的短期修复系统、全面和持续地降低风险。

这次的报告公布的重点主要有:

一、新增漏洞创历史新高

技术变革步伐的加快在很大程度上助长了漏洞的不断增加。近年来，在数字化转型和云迁移的背景下尤其是新冠大流行期间，由于公司急于支持远程工作人员和全职客户，企业一直在狂热地改造其IT系统。而快速重组引入了新的安全漏洞。

2021年发布了 20,175个新漏洞，高于 2020年的 18,341个。这是有史以来报告的漏洞数量最多的一年，也是自2018年以来的最大同比增幅。安全团队比以往任何时候都更难确定问题的优先级和补救措施。

OT资产越来越多地连接到网络，关键基础设施和其他重要系统面临潜在的破坏性破坏。对OT系统的攻击有所增加突然中断操作，甚至危及健康和安全。

Cryptojacking和勒索软件这类新的恶意软件横行，加密劫持和勒索软件程序分别增长了75% 和42%。而这些程序使威胁行为者更容易发动攻击并快速获利。网络犯罪分子现在正以多快的速度利用新的弱点，缩小安全团队在攻击前检测和解决漏洞的时间。

尽管IT 方面的情况令人担忧，但OT 方面的情况更加不稳定。OT 产品的数量，尤其是物联网(IoT)产品企业使用量猛增，相关漏洞相应攀升。此外，许多以前气隙式OT 系统现在已连接到网络并暴露在没有足够保护措施的外部威胁之下。

过去十年漏洞增长情况

漏洞十年间增长了三倍，这些累积的漏洞年复一年地堆积起来，代表着巨大的总体风险，它们让组织在“网络安全债务”中苦苦挣扎。

二、攻击者和漏洞利用正在迅速发展

除了漏洞飞速的增加，整个安全形势也正在迅速的演变。网络犯罪已成为一个庞大而繁荣的行业，黑产有着庞大的专业商品和服务生态系统支持黑客们进行各种攻击，黑产还拥有可以促进其秘密通信、协作和金融交易的基础设施。

同时，网络犯罪变得越来越多样化。一方面，民族行为者正在使用网络攻击作为一种武器来对抗地缘政治对手。随着俄罗斯入侵乌克兰后国际紧张局势升温，一个由国家支持的攻击愈演愈烈的新时代可能会到来。当前的冲突让专家们考虑了全面网络战的可能性。而CISA更是发布了罕见的“屏蔽”警告，建议所有企业在网络安全和保护其最关键资产方面都采取更高的姿态。

另一方面，网络犯罪正在吸引越来越多受经济利益驱动的草根运营商。他们会利用加密货币劫持和勒索软件等漏洞快速赚钱，尤其是在世界上工资低、合法职业机会少之又少的地区，这种犯罪会更猖獗。

由于一些漏洞利用工具包和恶意软件使用方法简单，因此脚本小子也能轻松入侵并开始获得经济回报。创新工具不仅使网络犯罪更容易获得，还更加的复杂和隐蔽。

三、新增OT 漏洞

OT系统包括关键基础设施（能源、水、交通和环境控制系统）和其他必要设备。

物联网和工业物联网(IIoT)产品正在爆炸式增长，从传感器到智能电器再到环境控制和工业自动化系统，大大加剧安全问题。在Forrester的一项调查中，其组织受到网络攻击的安全决策者表示，物联网设备是最常见的目标之一。

随着 OT和 IT网络的融合，威胁参与者越来越多地利用一个环境中的漏洞来获取另一个环境中的资产。许多OT 攻击始于IT 漏洞，然后横向移动以访问OT 设备。相反，入侵者可能会使用OT 系统作为进入IT网络的踏脚石，他们可以在其中传递恶意有效负载、泄露数据、发起勒索软件攻击以及进行其他攻击。

对重要资产的攻击可能造成严重的经济损失，甚至危及公共健康和安全。威胁行为者可能会破坏或操纵易受攻击的OT 系统造成实际人身伤害或勒索赎金，因为他们知道许多公司愿意支付费用以避免中断或关闭。

2021 年黑客试图用氢氧化钠（碱液）毒害佛罗里达州奥兹马尔的供水系统。与俄罗斯 DarkSide 网络犯罪团伙有关的勒索软件攻击关闭了 Colonial Pipeline，导致暂时的燃料短缺。

2021 年，白宫指出“对控制和运营所依赖的关键基础设施的系统构成的网络安全威胁是我们国家面临的最重要和日益严重的问题之一。”拜登政府宣布了一项新的公私联合倡议，以加强关键基础设施，包括电力部门、天然气管道、供水和废水处理系统以及化学部门。

大多数OT 系统很难或无法扫描，而且修补许多OT系统在技术上是不可能的，或者过于繁琐且成本高昂，无法解决所有漏洞。许多较新的物联网产品通常默认联网，很少或根本没有安全监督。然而大多数组织都意识不到此问题。

四、恶意软件激增，尤其是加密挖矿和勒索软件

恶意软件开发人员在2021年忙于创建各种新软件。加密劫持和勒索软件程序迅速增加。新的加密劫持程序同比增长75%，而勒索软件程序增长了42%。恶意软件行业利用新兴商机，为经验丰富的网络犯罪分子和缺乏经验的新手提供一系列工具和服务。

Cryptojacking恶意软件会劫持毫无戒心的用户的计算资源，以从事有利可图的加密货币挖掘活动。黑客可以使用这样的利用很少的努力和前期投资就能快速获得回报。随着加密货币估值的上升，矿工的利润也在上升。事实上，比特币矿工的收入同比增长206%，达到150亿美元。一旦加密劫持恶意软件感染了企业系统，它也可以重新用于其他类型的攻击，例如勒索软件攻击。近年来，加密货币劫持攻击呈滚雪球式增长，到2021 年翻了两番。

网络犯罪分子正以前所未有的速度使用方便易用的工具发起勒索软件攻击。在IDC 的一项调查中，超过三分之一的全球组织表示在2021 年遇到了勒索软件泄露事件，据Forrester 称，“自2020年以来，勒索软件攻击增加了三倍，攻击者以相同的方式针对不同的部门和垂直领域，并且经常攻击他们知道更愿意支付的组织。”

恶意软件正像病毒一样进化，随着环境的变化，新的变体会随机出现。