20160917-思科-2016年中网络安全报告_87页_8mb

思科2016年度安全报告总结

核心内容

思科2016年度安全报告分析了网络攻击者和防御者在技术上的不断演进，指出攻击者正在利用更复杂的工具和策略，使攻击更高效、更隐蔽。同时，报告强调了防御者需要调整策略，以应对日益增长的威胁，尤其是在加密、僵尸网络、勒索软件和浏览器感染等方面。

主要观点

• 攻击者的目标：现代网络犯罪分子的主要目标是盈利，他们利用各种手段，如勒索软件和DDoS攻击，来获取经济利益。
• 勒索软件的增长：勒索软件的使用显著增加，攻击者通过加密用户数据并索要赎金获利。
• 加密带来的挑战：虽然加密提升了数据保护，但同时也为安全防御带来了挑战，使得威胁检测和追踪变得更加复杂。
• 僵尸网络的演变：僵尸网络活动持续增长，攻击者利用合法资源（如WordPress网站）作为中继和命令与控制（C2）节点。
• 基础设施老化：许多组织仍在使用过时的软件和硬件，导致安全漏洞和风险增加。
• 中小企业安全风险：中小企业在威胁检测和响应方面存在明显不足，成为攻击者的潜在目标。

关键信息

威胁情报

• Angler漏洞攻击包：该攻击包每天影响约90,000名用户，每年为攻击者带来数千万美元收入。思科与Level 3 Threat Research Labs和Limestone Networks合作，成功削弱了该攻击包。
• SSHPsychos僵尸网络：该僵尸网络利用SSH暴力破解攻击，其流量占全球互联网SSH流量的35%以上，且在中美两国广泛存在。
• 浏览器感染：恶意浏览器扩展程序是数据泄露的主要原因之一，约85%的组织受到其影响。
• DNS攻击：大多数恶意软件使用DNS进行命令和控制、数据窃取和流量重定向，但仅有68%的组织监控DNS威胁。
• Web攻击媒介：Adobe Flash仍然是漏洞攻击的常见媒介，尽管其使用量有所下降，但仍占重要地位。

行业见解

• 加密趋势：HTTPS流量已成为互联网的主要形式，占总流量的57%。加密增加了数据保护，但也对威胁检测提出了更高要求。
• WordPress被利用：攻击者越来越多地使用WordPress网站作为中继和C2节点，因为这些网站通常未受良好维护。
• 基础设施老化：超过92%的思科设备运行存在已知漏洞的软件，且31%的设备已达到支持终止时间（LDoS）。

安全功能基准研究

• 防御信心下降：安全高管对安全工具和流程的信心较2014年有所下降，仅有59%的组织认为其基础设施“达到了最新水平”。
• 中小企业防御不足：中小企业在威胁防御工具和流程的使用上明显少于大型企业，且更少使用事件响应团队。
• 预算限制：中小企业在采用高级安全流程和技术时，预算限制是最主要的障碍之一。

展望

• 检测时间缩短：思科将网络中已知威胁的检测时间（TTD）平均降至17小时。
• 地缘政治影响：网络安全问题在高管中引起广泛关注，且信任度研究显示行业对安全风险的认知在提升。
• 集成威胁防御：思科建议采用集成式威胁防御架构，以提高对加密流量和复杂攻击的可见性。

详细分析

勒索软件与攻击策略

• 勒索软件的使用激增，攻击者通过加密用户数据并索要赎金获利。
• Angler漏洞攻击包与勒索软件密切相关，利用Adobe Flash漏洞进行攻击。
• 攻击者使用受感染的WordPress网站作为中继和C2节点，以躲避检测。

DNS与攻击检测

• 大多数恶意软件使用DNS进行活动，但DNS监控在企业中并不普遍。
• 通过DNS追溯分析，思科能够识别恶意活动和受感染设备。
• 企业需要加强DNS监控，以发现和控制潜在威胁。

加密与安全挑战

• HTTPS流量迅速增长，成为主要的互联网流量形式。
• 加密流量增加了数据保护，但也降低了传统安全工具的检测能力。
• 安全团队需要采用新的方法，如元数据分析和网络流量监控，以应对加密威胁。

僵尸网络与攻击手段

• SSHPsychos僵尸网络利用SSH协议进行暴力破解攻击，创建大规模僵尸网络。
• Angler和相关恶意软件使用大量代理服务器进行活动，且攻击者会滚动IP地址以规避检测。
• 僵尸网络活动在不同行业中有所差异，如政府、医疗保健和零售行业成为主要目标。

中小企业安全现状

• 中小企业使用的威胁防御工具和流程较少，且较少使用事件响应团队。
• 仅约29%的中小企业使用修补和配置工具，而2014年为39%。
• 由于预算限制，中小企业难以采用高级安全措施。

结论

思科2016年度安全报告强调了网络攻击的复杂性和多样性，指出防御者必须采用更全面、集成化的安全策略，以应对不断演变的威胁。报告还指出，中小企业在安全防御方面存在明显短板，成为攻击者的潜在目标。随着加密和僵尸网络的普及，安全团队需要加强监控和响应能力，以有效防止数据泄露和网络攻击。