近日，網絡安全領域的知名公司BeyondTrust公布了一份針對微軟產品的安全漏洞年度報告，揭示了2024年微軟產品安全形勢的嚴峻性。據報告顯示，去年微軟產品共被發現了1360個安全漏洞，相比2022年的最高紀錄1292個，有了11%的增長。
在這些漏洞中，權限提升（EoP）漏洞占據了主導地位，占總漏洞數量的40%，成為黑客攻擊的主要目標。這意味著攻擊者通過利用這些漏洞，可以提升自己的權限，進而訪問和操作關鍵系統。同時，報告還指出，安全功能繞過漏洞的數量也呈現顯著增長，從2023年的56個增加到2024年的90個，增幅高達60%。
特別值得關注的是，微軟Edge瀏覽器在2024年的漏洞數量也大幅增加，總數達到292個，相比前一年增長了17%。更令人擔憂的是，這些漏洞中包含了9個關鍵級別的漏洞，而2022年這一數字還為零。這意味著Edge瀏覽器的安全性正面臨嚴峻挑戰，用戶需要更加警惕。
針對這些安全漏洞，BeyondTrust在報告中提出了建議。他們認為，微軟應該加強軟件開發階段的安全編碼和威脅建模能力，從根本上減少潛在漏洞的產生。盡管形勢嚴峻，但報告也指出了一些積極的跡象。比如，2024年微軟生態系統中的關鍵漏洞數量持續下降，這反映出微軟在安全措施和現代操作系統架構方面的改進取得了一定成效。同時，Azure和Dynamics 365等核心產品的漏洞數量也趨于穩定，增長速度放緩。
BeyondTrust的首席技術官James Maude對此表示，2024年的數據再次證明了網絡安全威脅的復雜性和多樣性。權限提升漏洞的主導地位凸顯了攻擊者對高權限賬戶的強烈興趣，他們試圖通過橫向滲透來獲取關鍵系統的訪問權。Maude還強調，單純依賴補丁修復已經無法滿足當前的安全需求，因為補丁可能失效或帶來穩定性風險。
因此，組織需要采取更加全面和深入的防御策略。Maude建議，組織應該更加關注權限路徑的安全性，通過構建多層次防御體系來降低每個身份和訪問點的潛在風險。只有這樣，才能有效應對攻擊者日益復雜的防御繞過手段，確保系統的安全性和穩定性。
