2023 年美国网络犯罪的财务影响

关键要点

• 2023 年，网络犯罪给美国带来了高达 125 亿美元的经济损失，创下新纪录。
• 网络漏洞的数量增长速度加快，国家漏洞数据库（NVD）显示，年增长率达 17%。
• 安全团队面临与网络团队沟通不畅的问题，导致安全态势恶化。
• 风险导向的漏洞管理通过发现、优先级划分、修复和报告来改善网络与安全团队之间的协作。

2023 年，美国因网络犯罪造成的经济损失达到了惊人的 125亿美元，再次凸显了网络犯罪分子威胁的日益严重性。这些犯罪分子愈发复杂化，利用组织日益增加的脆弱性。

同年，国家漏洞数据库（NVD）报告显示，漏洞数量激增，相比去年增长了 17%。自30年前建立以来，NVD共记录了234,579个CVE，其中一半是在过去五年内被发现。漏洞发现的加速度每17分钟就会出现一个新漏洞，每周新增600个漏洞，这无疑加重了安全团队原本就紧张的资源负担。

超越“修补后忘记”策略

在当今复杂的IT环境中，网络团队面临着管理庞大且互联的网络的艰巨任务，这些网络往往是隐形的。同时，安全团队必须在这些广泛的系统中保护关键数据和资产。更加复杂的是，安全团队和网络团队常常属于不同的管理部门，各自有不同的优先级、预算和目标。这种孤立的方法产生了关键的盲点，攻击者可以利用这些盲点，网络攻击的频率、复杂性及成本正不断上升。

SC媒体观点专栏由值得信赖的SC媒体网络安全主题专家共同撰写。
。

在这样的孤立环境中，漏洞管理团队往往难以达成对漏洞的共识。这妨碍了组织有效降低检测平均时间（MTD）和修复平均时间（MTTR）的能力。最近一项研究发现，认为，网络团队与安全团队之间的误沟通对其安全态势产生了负面影响。这一统计数据强调了在这些团队之间进行有效沟通和协作以减轻风险和有效响应威胁的重要性。

风险导向的漏洞管理的价值

那么，风险导向的漏洞管理如何能弥补组织网络团队与安全团队之间的鸿沟呢？这种漏洞管理方法基于四个关键支柱：发现、优先级划分、修复和报告。

许多组织在有效整合这些支柱方面面临挑战，导致安全态势支离破碎。一些阻碍有效漏洞管理的挑战包括：

风险导向的漏洞管理通过利用基于上下文的自动化和可操作的威胁情报，提供了一种全面的网络安全挑战应对方法。有效漏洞管理的基础在于准确的优先级划分，这需要可靠的数据支持。虽然主动扫描是发现漏洞的宝贵工具，但它可能在“不可扫描”区域和动态云环境中留下盲点。

漏洞智能依赖于关于已知漏洞的全面信息数据库，包括：

• 上下文因素 ：操作系统、版本及其他已安装应用程序对漏洞可被利用程度的影响。
• 对CIA值的影响 ：对保密性、完整性和可用性的潜在影响。
• 研究和历史 ：NVD公告、供应商公告以及漏洞随时间的演变情况。
• 修复和缓解措施 ：解决漏洞的可用产品。
• 严重性评分 ：来自多个来源的得分，包括NVD、EPSS、扫描供应商和CVSS。

通过分析收集到的数据，组织能够识别出面临内部和外部威胁的脆弱资产，从而有效优先处理漏洞并相应地分配资源。

标准化、商品化的漏洞风险评分产品往往对网络暴露缺乏理解，从而导致大量漏洞被标记。虽然这些漏洞确实存在，但没有暴露的情况下，组织无法优先处理最重要的漏洞，而团队应优先修复的漏洞。那些传统产品可能将可被攻击者利用的漏洞评为高风险，但这些漏洞对攻击者而言是无法接触的。

采取风险导向的方法，使组织能够实施针对其特定环境的有针对性的修复方案，可能包括修补漏洞、升级软件、配置入侵防御系统或修改系统设置以禁用不必要的服务。

通过多方位审视漏洞，包括资产的重要性、漏洞的严重性、威胁活动和网络暴露，组织能够有效优先处理漏洞，把行动目标放在产生最大影响的地方。这种主动的方式能够帮助组织降低遭受攻击的风险、保护关键资产，并增强整体安全态势。

阿拉斯泰尔·威廉姆斯，天空盒安全公司的全球系统工程副总裁

Sc媒体观点专栏由值得信赖的SC媒体网络安全主题专家共同撰写。每篇文章旨在为重要的网络安全话题带来独特的声音。内容力求保持高质量、客观且非商业性。