继零日漏洞之后又现攻击手段，黑客利用特权用户进行网络攻击

我们都喜欢描写或者讨论零日漏洞。然而，一份新的威胁报告警告企业不要自以为是，因为大多数的罪犯并不使用有价值的零日漏洞攻击公司网络：他们网络钓鱼攻击来自高管或员工网络的特权用户，或者仅仅是依靠对自动化服务账户和密码的猜测.

我们都喜欢描写或者讨论零日漏洞。然而，一份新的威胁报告警告企业不要自以为是，因为大多数的罪犯并不使用有价值的零日漏洞攻击公司网络：他们网络钓鱼攻击来自高管或员工网络的特权用户，或者仅仅是依靠对自动化服务账户和密码的猜测，反过来，攻击者利用访问到的收集的有价值信息

“每个人都在思考零日漏洞，但是他们很少利用一个普遍的模式。它们是非常有价值的，攻击只能以非常有限的方式应用，”Craig Williams说道，他是思科塔洛斯安全情报和研究小组的高级技术主管和安全推广经理。“对于你听到的关于零日漏洞的消息，有成千上万的漏洞有可能攻击你。”

网络安全公司CyberArk根据采访来自思科，德勒，曼迪昂特，RSA安全公司，威瑞森的各种各样的行业专家，受他们委托撰写了一份报告。报告声称利用特权账户的攻击，比那些主要依赖于恶意软件或漏洞的攻击进程更快，更难于检测。专家回应，大约有80%的攻击，涉及到在某种程度上特权账户的攻击。

这个报告中的受访者，通常攻击在发现之前已经持续了几个月或几年了。普通攻击在有人发现之前已经持续了六到八个月。由Mandiant发现并公布的数字证实了，约平均229天会有一次攻击。

“特权账户甚至使攻击者毁掉攻击活动的证据，建立多余的访问点和网络后门，使它们不能与内部网络隔离。”CyberArk在报告中说道。问题的一个重要部分涉及到详细目录。CyberArk的数据显示，通常公司至少有员工数三四倍的特权账号。许多公司甚至不知道有多少特权账户。虽然看起来很容易弄清楚账户的数量，但事实远比这复杂。特别是公司还必须计算在云客端，移动通信，应用程序中的企业数据。

很多特权账户是为机器提供的，而不是为人提供的。IT部门声称将会建立“服务账户”使机器对机器可以访问到软件应用程序，数据和计算机设备。这些服务账户经常获得广泛的网络访问，有时能够连接到网络上的任何机器。一些公司有很多的服务账户，但许多都已经被遗忘，或者几乎不可能进行有效的监视。

有趣的是，Christopher Novak，一个管理全球Verizon 风险小组主要调查工作的负责人，指出钓鱼是经常在攻击用户账户中使用的手段，较弱的密码也许并不是攻击发生的原因。然而，他说，IT小组经常设定服务账户只能在内部网络使用，很多最终都受到了攻击，轻易被攻击者猜到验证。

“我们看到的最近的25次或者30次的攻击，攻击者使用的都是默认密码，”Novak 说道，“账户锁定通常都关闭了服务账户，以防止有依赖关系的系统出现故障。因为它假定个人不能使用这些账户，分析师强调了警报的敏感性。服务账户是看不见，摸不着的。所以，如果威胁源进入威胁载体，例举出服务账户，攻击就很容易产生，攻击者就可以以较低的风险取得更多的攻击进展。”

此外，当攻击者利用访问到特权账户的时候，显示出日益成熟的攻击水平。他们使用这些账户渗透到各种系统作为一种访问保障，以防止他们进入网络的其中一个途径被封锁。安全调查员在报告中声称，越来越多的攻击者攻击嵌入式设备，在物联网上的Microsoft活动目录建立多个特权身份，来确保有多余节点可以对网络进行访问。

最后， CyberArk声称，公司需要知道他们存在什么样的特权账户，限制他们管理能力的最大数量，或者是硬编码的凭证，他们的应用后门和维护的SSH密钥。他们也需要让特权账户访问到多个系统，更改默认密码，并使用每个系统上不同的管理密码。特权账户确实存在需要进行主动监控，以确保他们以正常的方式与数据资产交互。公司还应定期审计他们的信息资产，以及这些资产是如何访问，监控和限制特权级别的账户，并且尽早给应用程序打补丁的。除此之外，报告还建议公司练习经典的深度防御，因为存在的安全重叠层越多，公司的风险就越低。