ITPub博客

Ransomware as a Service是一个英语术语,指的是一种商业模型，其中勒索软件开发者向感兴趣的恶意行为者提供工具，以便他们可以发起勒索软件攻击。使用者通过签约创建恶意软件即服务或加入联盟计划，并分发一系列勒索软件以换取一定比例的利润。 这种围绕勒索软件的商业模式并不是新的，也不是这种类型的网络威胁独有的，还有恶意软件即服务。但在过去两年中，RaaS已经发展壮大，目前有许多勒

开源软件的普遍存在带来了重大的安全风险，因为它为使用者(有意或无意地)引入漏洞打开了大门。广泛使用的Log4j代码库中的严重漏洞为大家做了提醒。开源代码对网络犯罪分子的吸引使用广泛而便于被利用的开源软件对网络犯罪分子很有吸引力，攻击者可以使用各种方法来混淆对开源项目做出的恶意更改，并且，通过审查代码来了解安全隐患的严格与否可能会根据项目而不同，因此，如果没有严格的安全控制措施来检测这些恶意更改，那

根据NTT Application Security研究人员基于大约1500万次扫描，其中大部分是截至2021年客户面向互联网的web应用程序。得出数据显示，去年，组织平均花费6个月(193.1天)来修复一个关键的安全漏洞，几乎与2020年(194.8天)花费的时间相同。在同一时期，组织修复的漏洞占总漏洞的百分比平均也更少。数据显示，关键漏洞的平均修复率从从2020年的54%下降到2021年的

根据《财富商业观察》(Fortune Business Insights)发布的一份题为《全球物联网市场持续增长》的报告，全球物联网市场持续增长。其规模在2020年为3089.7亿美元，到2028年将达到18547.6亿美元。物联网 (IoT) 设备的广泛采用扩大了对组织和个人的攻击面。具有有限计算能力和多连接功能的廉价智能产品的大量生产使得评估其硬件和固件变得至关重要。在智能电表或智能电

包括飞利浦和通用电气医疗保健在内的许多大型医疗保健制造商都面临着供应链挑战。

研究人员披露了Apache Cassandra一个现已修补的高严重性安全漏洞的细节，如果这个漏洞得不到解决，可能会被滥用来获取受影响安装的远程代码执行(RCE)。

有这些安全实践的组织可能为Log4Shell做好了准备或做出了有效的响应。

让我们来看看提高应用程序安全性的行业方法。

软件安全问题带来的影响日益突出，“安全左移”已经成广泛认知。在软件开发周期中进行安全漏洞检测不但能及时发现问题降低修复难度，而且节省经济花费。

黑客攻击可以定义为危害数字设备(例如智能手机、计算机甚至整个公司网络)的网络入侵。黑客攻击的影响可能是毁灭性的，不仅对目标企业本身，对员工也是如此。它可能给公司带来巨大的经济损失，还可能导致员工敏感信息被泄露。企业如何行动以保护自身业务免受网络犯罪分子的威胁?使用可靠的ISP首先，选择提供安全并且信誉良好的互联网服务提供商 (ISP)。不要只选择给你最便宜或最快的服务的供应商——安全应该是一个重点

开源改变了软件世界，通过实现跨产品和行业的广泛重用，极大地降低了引入新技术的成本。但是，从开源中提取代码就会发现，它们来源非常分散。

过去两年，移动设备的使用迅速增长，移动应用市场也随之迅速发展。据预测，到2023年，移动应用的营收将超过9350亿美元。然而，具有增长潜力的领域往往会吸引威胁行为者的注意，他们希望利用漏洞获取经济利益。这就是为什么移动应用程序安全已经成为跨行业关注的一个关键领域——特别是如果组织有一个应用程序包含有价值的知识产权(IP)或存储有敏感数据。在整个应用开发过程中实施安全措施，并在应用发布后继续监控应用

通常，应用程序开发需要花费大量的时间来规划、设计、测试和优化编写的代码。为了满足日益增长的快速应用程序开发需求，公司现在意识到DevOps可以扩大开发人员和IT运营商之间的协作。其中一种方法是低代码、无代码技术。随着低代码开发市场的快速发展，预计到2021年将增加138亿美元。近年来，低代码平台已经出现在技术领域，通过可视化工具取代代码编写，实现更快的应用程序开发。没有代码属于“低代码”这一术语，

主要的云服务提供商很容易受到攻击，因为使用受信任的核心服务可以将单个漏洞转化为全局攻击。云安全公司Orca Security在1月13日发布的一份分析报告中表示，亚马逊网络服务已修复其核心服务中的两个漏洞，其中一个漏洞可能允许任何用户访问和控制任何公司的基础设施。虽然漏洞现已修复，但涉及破坏核心服务、提升权限以及使用该权限攻击其他用户的攻击链并不限于亚马逊。Orca Security的首席技术

随着当前加快对云技术的转移和利用，未修补漏洞引起的安全事件将继续增加，进而本来就很复杂的修补冲虚管理只会变得更加困难。

对于所有的零日，定制的恶意软件和其他完全未知的安全漏洞，它们已经存在多年并被广泛利用。为了更好地表明这一点，美国联邦调查局(FBI)、美国网络安全与基础设施安全局(CISA)、澳大利亚网络安全中心(ACSC)和英国国家网络安全中心(NCSC)发布了联合网络安全咨询。在这份报告中，他们列出了2020年和2021年使用的30大漏洞。尽管软件供应商和开发人员尽了最大努力，但其中许多漏洞已经存在多年。如M

在KCodes NetUSB内核模块中发现了一个被跟踪为 CVE-2021-45388 的高严重性远程代码执行漏洞，数百万流行的最终用户路由器面临远程代码执行 (RCE) 的风险。

IDC最近的一份报告显示，它们也增加了被攻击的可能性，该报告强调，98%的组织在过去的18个月里至少遭受过一次云安全漏洞。

研究人员披露了一个影响H2数据库控制台的安全漏洞，该漏洞可能导致远程代码执行，其方式与上个月发现的Log4j“Log4Shell”漏洞类似。

通过动态的移动应用程序安全测试、对移动开发人员进行更好的培训以及更认真地对待移动应用程序安全的意愿，就可以避免大多数问题。