每年，數千個組織都會經歷網路事件。事件可能始於SOC警報、零日漏洞、勒索要求或廣泛的業務中斷。當電話響起時，我們的全球事件回應人員會迅速動員起來，調查、遏制並消除威脅。
!此為分頁標誌前台不顯示!
儘管我們看到速度和自動化，但我們回應的大多數事件並不是從根本上新的東西開始的。它們始於一再出現的漏洞。在許多情況下，攻擊者並未依賴複雜的漏洞利用，而是依賴被忽視的暴露。
- 環境複雜性削弱防禦：我們調查發現，超過九成的資安事件皆起因於設定錯誤或安全防護漏洞。其中一個主要驅動因素是工具蔓延。許多組織運行50種或更多的安全產品，這使得一致地部署控制或清楚地了解其數據所傳達的資訊變得極其困難。
- 能見度差距延遲檢測：在許多情況下，信號是存在的。當我們進行鑑識回溯時，證據都在日誌中。但在攻擊期間，團隊必須將來自多個斷開連接的來源的數據拼湊起來，導致在最關鍵的起初幾分鐘內，拖慢了偵測與應變的時機
- 過度信任擴大影響：一旦攻擊者站穩腳跟，過於寬鬆的訪問權限和未受管理的權杖經常讓他們比預期走得更遠。我們一再看到身份信任關係將單個受損帳戶轉變為廣泛的橫向移動和權限提升。
攻擊者不斷演進其工具與攻擊手法，但在現代企業環境中，他們之所以仍能頻繁得手，往往是利用了環境架構的複雜性、可視性不足，以及內部過度信任所造成的弱點。
在超過750起第一線事件調查中，與資訊安全長（CISO）及資安團隊的討論一再顯示，三項優先事項。
- 減少暴露：我們看到許多攻擊始於團隊未意識到已暴露的地方——第三方整合、未受管理的SaaS連接或日常瀏覽器活動。減少暴露意味著保護整個應用程式生態系統，並以與核心基礎設施相同的審查標準對待受信任的連接。
- 減少影響範圍：一旦攻擊者成功入侵，事件是否能被控制在局部範圍，抑或演變為重大營運中斷，關鍵往往在於身分管理。強化身分與存取管理（IAM），並移除不必要的信任關係，可有效限制攻擊者的橫向移動範圍，並降低其可能造成的損害程度。
- 提高回應速度：攻擊者取得初始存取權後的前幾分鐘，往往決定事件是否升級為資料外洩。資安團隊必須具備跨環境的可視能力，掌握即時狀況，並運用AI技術進行偵測、識別與優先排序關鍵威脅，使SOC能以機器等級的速度進行處置，在攻擊者行動之前即完成威脅控管。
每一次調查都講述一個故事。攻擊者如何進入。他們移動的速度有多快。是什麼讓影響變得更糟。在數百個這樣的案例中，模式浮現。Unit 42每週7天、每天24小時在第一線處理這些事件，每年我們都會將所學到的知識提煉成實用指南。本報告的目標是將這些前線經驗轉化為決策，幫助您彌補攻擊者仍然依賴的漏洞，並在事件演變成洩露之前阻止它們。
＜本文作者：Palo Alto Networks資深副總裁Sam Rubin＞