是德科技（Keysight Technologies Inc.）Ixia 部門日前發佈了第三份年度安全報告。2019 年的年度報告詳細分析了 Ixia 惡意程式與威脅情報（ATI）研究中心過去一年來發現的重大安全缺失，它們皆源於過往未修補的安全漏洞，以及不斷攀升的網路規模和應用程式複雜度。

Ixia 具有豐富的網路安全測試經驗，並長期關注於網路和雲端可視度，因此能夠提供極其詳盡的安全報告。Ixia ATI 研究中心由網路安全專業研究人員所組成，這個遍布全球的精英團隊持續監控並分析日新月異的安全威脅指標，以免企業 IT 網路遭受威脅。研究過程使用的資料來自多個來源，包括透過 Ixia honeypot 積極搜尋外在威脅、測試和反向工程等獨立研究、國際安全漏洞資料庫、暗網（Dark Web）、安全新聞警報掃描，以及群眾外包（crowdsourcing）、社交媒體和合作夥伴提供的資料等。

是德科技 Ixia 惡意程式與威脅情報資深主管 Steve McGregory 表示：「2018 年，許多企業網路因為未修補的安全漏洞和惡劣的網路健康狀態，成為滋養更多駭客的沃土。此外，配置錯誤的安全防護和權限策略，也是 2018 年資料外洩的主因之一。另一方面，網路和應用程式複雜度，亦構成嚴重的安全威脅，因此每天都會出現新的漏洞。駭客持續利用網路複雜度，以及現有漏洞和錯誤配置，順利攻陷企業網路。企業從未如此迫切需要採取積極行動，徹底找出這些缺失，以快速止損。」

019 年度安全報告提出下列的主要發現：

l 軟體安全瑕疵導致大多數產品產生安全漏洞：Ixia 觀察到，去年一整年新增的網路設備比以往為多，但它們在設計和部署時，未採取適當防禦措施來阻止甚至防堵威脅。惡意份子善用易懂的 SQL 注入（SQL injection）和跨站指令安全漏洞，精準鎖定網路應用程式以進行破壞。儘管開放原始碼社群竭盡所能促進網路開發的控制，並制定標準化安全防護，但程式碼共享仍然存在風險。分段的程式碼使得這個問題更廣泛地延燒而難以解決。

l 人是最弱的一環：在 2018 年，Ixia 偵測到 662,618 個網路釣魚頁面，以及 8,546,295 個遭到病毒常駐或感染的頁面，後者只需要使用者不小心點擊一次電子郵件或連結，便能夠順利攻擊企業的基礎設施。因此即使是精通科技的使用者，也可能遭遇精心設計的網路釣魚攻擊誘導，進而誤擊含有惡意軟體的連結。成功的防禦，有賴於主動的使用者教育、嚴密杜絕網路釣魚攻擊和跨網路邊際的惡意軟體，並偵測和阻擋網路中的橫向移動等措施。

l 網路健康狀態處於歷史新低：IT 供應商在 2018 年開發了許多可能導致安全漏洞的程式碼或配置，但 IT 營運商和安全人員也難辭其咎。知名的攻擊手法和攻擊媒介仍然到處肆虐，因為安全人員並未全面解決並修補漏洞。這源自兩項主因：不懂最新的補救措施，以及在部署補救措施時遭遇挑戰。

l 披露安全漏洞是一把雙面刃：公布安全漏洞，使得駭客和供應商皆受益，特別是零時差（zero-day）攻擊。Mirai、Drupalgeddon 和 D-Link DSL-2750B 等遠端程式碼執行安全漏洞，是駭客能夠搶在供應商和 IT 團隊前採取行動的絕佳範例。

l 挖礦劫持活動將持續增加：這類威脅的肆虐在 2018 年達到新高，駭客結合多種常見攻擊手法來散佈自主惡意軟體（autonomous malware）。Ixia honeypot 成功捕獲多個新的攻擊，它們利用永恆之藍（EternalBlue）掃描網路中的安全漏洞，順利攻入程式後，便在網路上放置一個挖礦程式。