近日，SkyboxSecurity发布了《2022年漏洞和威胁趋势报告》（以下简称“报告”），对当前不断上升的网络安全风险和日益增加的漏洞管理需求进行了分析和研究。报告研究人员认为：在网络威胁态势快速演进的过程中，组织无法再使用传统的工具和过时的漏洞处理方式来应对未来的网络威胁。传统的基于扫描和修补的安全方法不仅速度慢而且随机。、费力、昂贵，而且在面对层出不穷的新安全威胁时往往难以发挥作用。报告研究背景COVID-19大流行在全球肆虐，许多组织已迁移到云计算，IT和OT资产急剧增加，攻击面显着扩大。与此同时，新型威胁层出不穷，攻击频率和规模空前增加。重大泄密事件在安防行业屡见不鲜，甚至涉及社会民生的关键基础设施也遭到攻击。此外，网络安全组织的人手仍然严重不足，大多数接受调查的安全领导者都表示缺乏技能，这使得组织更难以满足安全要求和有效应对事件。近期愈演愈烈的“离职潮”，进一步加剧了人才紧缺的现状。安全团队面临着更加复杂和资源紧张的情况，因为他们要保护更广泛的边界免受越来越多的威胁。在今年的报告中，客观地呈现了现任信息安全官（CISO）及其团队面临的新挑战。该报告指出，当今许多组织仍然依赖于一种缓慢、费力、零碎且主要是被动的漏洞管理方法。另一方面，零日漏洞数量增长迅速，企业发现和应对网络攻击的平均时间已增至280天。调查结果还表明，如今的网络攻击者比安全专业人员更善于使用一系列新技术发起攻击，包括新型恶意软件和漏洞。报告主要发现（一）新漏洞数量快速增长报告数据显示，2021年共公布20175个新漏洞，较2020年的18341个大幅增加，这是历年来报告的漏洞数量最多的一年。迄今为止的一年，并且是自2018年以来最大的同比增幅。新漏洞导致大量累积漏洞总数，使安全团队比以往任何时候都更难确定问题的优先级和解决问题。（2）OT威胁进一步加剧运营技术（OT）漏洞将从2020年的690个激增至2021年的1295个，增幅达88%。与此同时，OT资产越来越多地连接到网络，暴露了关键基础设施和其他关键系统。针对OT系统的攻击显着增加，扰乱了组织的业务运营，甚至危及健康和安全。(3)新型恶意软件层出不穷恶意软件团伙不断推出新型恶意软件，尤其是加密劫持程序和勒索软件程序，分别增长了75%和42%。这些程序使威胁行为者更容易发动攻击并快速获利。它们展示了恶意软件开发人员在应对新的市场机会和经济驱动因素方面的灵活性。(4)攻击者和利用工具正在迅速变化在漏洞激增的同时，我们看到整个网络威胁格局正在迅速变化。网络犯罪已成为一个庞大的新产业，威胁行为者通过大量专业产品和服务以及促进秘密进行的通信、协作和金融交易的庞大基础设施进行各种攻击。(5)威胁参与者正在更快地利用漏洞今天被利用的新漏洞数量跃升了24%，为网络犯罪分子提供了更多利用新漏洞的机会，让安全团队在他们受到威胁之前检测和响应漏洞更短。(6)范式转变：从检测和响应到优先级和预防本报告描述的趋势指向一个不可避免的结论：传统的漏洞管理策略已经完全脱离了当前的现状。基于扫描和补丁的方法太慢、太随意、太费力且太昂贵。他们未能发现许多真正的威胁，同时将宝贵的资源浪费在错误警报上。威胁应对建议组织网络安全人员迫切需要采用新一代工具和技术，从被动火力压制到主动预防，从手动方法到自动化以提高效率，从随意的权宜之计到系统、全面和持续降低风险。新兴的漏洞生命周期管理涉及以下四大支柱：(1)整体发现：聚合来自所有资产（包括IT、OT和云）和网络每个角落的数据。这不仅需要主动扫描，还需要不扫描的检测，从而全面洞察攻击面。(2)精确排序：将漏洞数据集成到网络模型中，然后分析数据以揭示暴露风险。综合分析暴露风险、危险程度、被利用概率和资产重要性，计算出准确的风险评分，准确排序。(3)有针对性的缓解和补救：自动化工具可以识别并推荐有效和实用的措施来解决和减少风险。这些措施不仅仅是打补丁，还包括配置更改、网络隔离等。这使组织能够防止或限制攻击，包括零日攻击，即使补丁不切实际或不可用。(4)长期治理：自动化工具帮助安全人员实施和维护补救措施。工具会自动生成工单、跟踪性能和服务级别协议(SLA)、通知团队需要更新的变更，并确保及时解决问题。参考链接：https://www.skyboxsecurity.com/wp-content/uploads/2022/04/skyboxsecurity-vulnerability-threat-trends-report-2022_041122.pdf
