云安全网络快照:2022年关键数据,漏洞管理、EASM, Web应用程序安全等等

随着2022年的结束,我们强调重要的数据点,一束光照耀在趋势,挑战和最佳实践,对网络安全领导人急于提高风险管理和减少他们组织的网络风险。

深入六照亮2022年网络安全研究成果。

1 - Log4J Log4Shell: VM复杂性的象征

Log4j危机后一年多,很少有数据说明脆弱性管理的挑战以及站不住脚的发现截至10月,全球72%的组织保持接触Log4Shell,尽管其前所未有的严重程度、普遍性和名声。

另一个照明外卖站得住脚的遥测技术的研究,是基于收集的数据来自5亿多个测试:脆弱的资产的29%的复发Log4Shell完全修复后实现。

简而言之,困难源于Log4危机提醒人们接近脆弱性管理的重要性以正确的方式。

“脆弱性管理,特别是Log4j,搜索并摧毁任务不是一晚安全团队。它必须是一个卫生的过程像刷牙和重复,天天是有效的,”伦站得住脚的首席执行官和董事长在他写道LinkedIn的文章题为“一年后,Log4Shell游戏持续下去。”

更多的想法、见解和建议关于Log4j和脆弱性管理:

• ”你准备好下一个Log4Shell吗?站不住脚的方案和CIO提供他们的建议”(成立)
• 站得住脚的Log4j的资源页面
• 美国政府顾问倾向于利用Log4Shell突破机构(美国网络安全基础设施安全机构——中国钢铁工业协会)
• Log4j指导中钢协
• 中钢协的网络安全审查委员会Log4j事件评论

2 -广泛的标志"袭击威胁大多数组织

一个统计了毫无疑问的pandemic-level发病率毁灭性的身份违反:84%的美国组织经历了标志违反在截至2022年中期的12个月。

发现来自定义的身份安全联盟的“2022获得数字身份的趋势”报告,基于一个在线调查500 - +身份和安全专家。在组织的影响,78%的人说违反直接影响业务,包括恢复成本和品牌的伤害。

其他研究报告,由空间的研究,包括:

• 身份是快速增长的数量和类型在大多数组织(98%)由于采用云等因素,受信任的第三方承包商和机器的身份。

• 违反凭证,多数受访者(96%)认为攻击是可以预防的。

• 高风险用户行为滴当高管组织应力身份安全的重要性。

欲了解更多信息,你可以请求这份报告的副本并检查了总结,博客和信息图表关于它。

深入研究这一主题:

• ”身份和访问管理是什么?指导我”(TechTarget)
• ”身份和访问管理解释道”(方案杂志)
• ”8最佳实践来强化身份和访问管理权限”(安全杂志)
• ”Active Directory中消除攻击路径”(成立)
• ”身份和访问管理报告2022”(身份管理研究所)

3 -为了更好的云安全,CSPM剂量

确保您的云环境和资产可以是一个挑战的数量和种类风险和快速变化,风格变幻的云技术。因此,网络安全工程师负责云安全总是在寻找新的技能,最佳实践和工具,可以帮助他们减少云漏洞的风险。

为我们站在一个非常具体的洞见SANS研究所的“无2022年DevSecOps调查”,根据431年的一项调查安全全球领导人和实践者和由站不住脚:云安全姿势管理(CSPM)产品没有得到充分利用。

具体地说,研究发现,尽管大多数受访者表示,他们正在使用一个CSPM工具,只有少数人使用它为75%或者更多的亚马逊网络服务(AWS),微软Azure和谷歌云平台(GCP)账户。

^{(来源:“无2022年DevSecOps调查”,SANS研究所,2022年9月)}

“CSPM软件可以帮助DevSecOps团队确保云环境,主机应用程序正确配置和安全使用业界最佳实践,但前提是这个软件是一致地使用所有云账户,“读取报告。

更多信息关于CSPM和云安全主题一般来说,看看这些站得住脚的资源:

• ”云安全:5关键外卖SANS DevSecOps调查”(博客)
• ”采用扩展云不牺牲安全标准”(按需网络研讨会)
• ”如何选择一个现代CSPM工具来减少你的云基础设施风险”(博客)
• ”提高软件供应链安全,停止指责”(博客)
• ”CISOs如何停止担心云安全,高枕无忧吗”(图)
• ”云安全成熟的四个阶段”(按需网络研讨会)

4 -保护internet-exposed资产变得更具挑战性

保护组织的外部攻击表面保持坚实的安全状况至关重要,任务越来越复杂,apple资产乘法和地理上分散的。一个站得住脚的研究从10月显示真实世界的挑战参与保护这些公开暴露资产。

检查库存后,英国的外部攻击表面2250个最大的组织,站得住脚的发现,平均而言,他们已经高达76600,apple的资产。一个组织已经超过一百万。平均而言,这些组织资产托管或通过51个国家。

说明是多么困难的组织与大量apple的资产与安全技术,保持目前的研究发现,所有22个组织网络资产仍然支持TLS 1.0,其中一半的实例SSL 2.0 -两个过时的和脆弱的协议。

正确安全的这些资产,网络安全团队需要掌握外部攻击面管理的实践(EASM)。关于EASM的更多信息,看看这些站得住脚的资源:

• ”将外部攻击表面管理群众与发现”(博客)
• ”Nessus专家介绍,现在现代修建的攻击表面”(博客)
• ”是不是时间停止猜想,终于知道整个真相你的外部攻击表面风险?”(按需网络研讨会)
• ”最后找到“未知的未知”攻击你的整个表面”(博客)
• ”正确的方式攻击表面映射”(博客)

5 - OT威胁把关键基础设施风险加剧

2022年,网络世界加强了关注保护操作技术(OT)和IT系统中使用关键的基础设施。一个外卖从微软研究验证这个问题。

在其第三“网络信号”报告发表在43万亿年12月,基于安全信号收集的微软公司确认修改,安全性漏洞在75%最常见的工业控制器的客户网络。

“虽然物联网的患病率和OT漏洞为所有组织提出了挑战,关键基础设施风险增加,“读这份报告,题为“它的收敛性和操作技术:网络关键基础设施的风险在上升。”

此外,在其“数字2022年国防报告,“发表在11月,微软发现民族国家演员明显打了他们针对重要基础设施的网络攻击的目标,现在占40%的民族国家的攻击,高于去年的20%。微软强调威胁来自中国、伊朗、朝鲜和俄罗斯,尤其是后者的使用网络武器对抗乌克兰。

^{(来源:“微软数字2022年国防报告,”微软公司,2022年11月)}

对不安全主题的更多信息,看看这些站得住脚的资源:

• ”它/不收敛:现在是采取行动的时候了”(博客)
• ”不安全的状态,一年殖民管道”(播客)
• ”保护关键基础设施:它是复杂的”(博客)
• ”我们如何加强关键基础设施的网络安全?”(博客)
• ”优先的时间你现在/ OT网络安全”(按需网络研讨会)

6 -不要忽视web应用程序安全性

确保您的web应用程序是至关重要的,因为它们容易访问,如果违反了,攻击者可以访问大量的机密数据和关键的后端系统。然而,web应用程序非常容易攻击。根据“2022年Verizon数据泄露事件报告,“web应用程序排名前向量违反,约占70%的18419事件分析。

前向量事件/违反

^{(来源:“2022 Verizon数据泄露事件的报告”,Verizon, 2022年5月)}

这就是为什么你必须不断地扫描漏洞,配置错误,证书问题和其他安全缺陷和弱点。

更多信息:

• ”排名前十的Web应用程序安全风险”(OWASP基金会)
• ”云安全基础知识:保护你的Web应用程序”(成立)
• ”网站安全”(CISA)
• ”5应用程序安全威胁以及如何阻止他们”(TechTarget)