2023 年 Elastic 全球威胁报告：重要网络安全预测与建议

威胁参与者将更加依赖开源社区来获取植入程序、工具和基础架构。

网络攻击者越来越多地使用商业和开源工具来入侵各种平台上的系统。威胁组织通常会使用诸如 Metasploit、Cobalt Strike 和 Sliver 之类的工具对 Windows、Linux 和 macOS 设备发起攻击。此外，使用这些工具发起攻击的恶意软件即服务和勒索软件攻击活动的数量也呈增长态势。攻击者可能会使用开源工具来降低运营成本。

云凭据泄露将成为数据泄露事件的主要原因。

攻击者通常使用凭据访问技术来获取对数据或系统的访问权限。凭据访问是一个广义的术语，其中包括密码、令牌和其他身份验证方法。我们观测到，大约 7% 的终端行为信号与这一攻击手段有关，其中 79% 涉及到使用内置工具或功能从操作系统转储凭据。

对于云服务提供商 (CSP)，凭据访问大约占所有检测信号的 45%。对于 AWS，这些信号主要涉及从 Secrets Manager 访问密钥、从本地 EC2 主机访问环境变量，以及访问凭据文件的异常尝试。如果代码未经适当审查或清理，凭据还可能通过代码存储库（如 GitHub）遭到泄露。

防御规避仍将是攻击者首要的投资领域，篡改的风险将超过伪装。

防御规避方法的广泛流行表明攻击者已熟知监测工具和安全解决方案的存在，并正在制定策略来规避它们。这显然表明攻击者正逐步适应防御严密的环境，并投入时间和资源来确保其恶意活动不被察觉。