2026全球事件响应报告

核心观点与关键数据

• 四大趋势塑造 2026 年威胁格局：

  • AI 成为攻击者的加速器： AI 压缩了攻击周期，提高了攻击速度和规模，并引入了新的攻击向量。2025 年，最快的攻击数据外泄速度提高了四倍。AI 改善了攻击者的成果，包括更个性化的社会工程、合成身份和恶意软件开发。
  • 身份成为攻击者最可靠的路径： 身份弱点在近 90% 的 Unit 42 调查中发挥了重要作用。攻击者越来越多地使用被盗凭证和令牌，利用分散的身份组合来提升权限和横向移动。
  • 软件供应链攻击日益导致下游中断： 软件供应链风险已从易受攻击的代码扩展到对可信连接的滥用。攻击者利用 SaaS 集成、供应商工具和应用程序依赖关系来大规模绕过 perimeter，造成广泛的运营中断。
  • 国家行为者调整策略以适应现代环境： 国家行为者越来越多地采用隐蔽和持久策略，例如利用虚假雇佣和合成身份进行渗透，并更深地侵犯核心基础设施和虚拟化平台。

• 入侵分析：

  • 攻击表面： 87% 的入侵涉及两个或多个攻击表面，包括端点、网络、云、身份、应用程序、电子邮件和用户驱动的活动。身份是许多入侵中最常涉及的攻击表面，占近 90%。
  • 入口点： 网络钓鱼和漏洞利用是入侵最常见的初始访问向量，各占 22%。漏洞利用是由机会而非新颖性驱动的，大企业比小企业更容易受到漏洞利用的影响。
  • 速度： 最快的攻击在 2025 年加速，最快的 25% 的入侵在 72 分钟内达到数据外泄，而 2024 年则需要 285 分钟。
  • 影响： 78% 的勒索软件案件涉及加密，但加密不再是勒索软件的必要条件。数据盗窃仍然是勒索软件中持续存在的杠杆，勒索软件的中间需求从 2024 年的 125 万美元上升到 2025 年的 150 万美元。

• 防御建议：

  • 提高可见性： 通过统一平台整合端点、网络、云和 SaaS 的遥测数据，以观察早期阶段的攻击行为。
  • 采用零信任： 消除用户、设备和应用程序之间的隐式信任关系，并持续验证每个数字交互阶段。
  • 加强身份和访问管理： 将身份管理为中心目录，并进行持续的生命周期管理，以消除攻击者利用的间隙。
  • 保护应用程序生命周期： 从代码到云，在整个开发生命周期中实施安全措施，包括 DevOps 和 CI/CD 管道。
  • 保护攻击表面和人类界面： 通过主动暴露管理减少攻击面，并保护浏览器作为主要工作空间。
  • 自动化云检测和响应： 使用原生云控制来快速包含云威胁。
  • 建立安全的 AI 和开发文化： 将安全纳入开发和工作流程，以防止 AI 系统被滥用。

• 国家行为者活动：

  • 中国： 将重点从用户级活动转向基础设施和虚拟化平台。
  • 朝鲜： 使用招聘诱饵、合成身份和量身定制的恶意软件建立访问权限。
  • 伊朗： 使用就业主题诱饵针对航空航天和卫星通信提供商。
  • 国家行为者采用人工智能： 利用 AI 增强持久性和建立更持久的立足点，例如使用深度伪造身份和自动生成 C2。

研究结论

• 攻击速度持续加快，AI 正在改变攻击的经济学，身份是攻击者最可靠的路径，软件供应链风险正在扩大，国家行为者正在适应现代企业环境。
• 攻击者成功的原因在于防御者存在的系统性漏洞，包括可见性差距、环境复杂性、过度信任身份和未管理的第三方连接。
• 为了防御现代威胁，组织必须采取主动方法，通过提高可见性、采用零信任、加强身份和访问管理、保护应用程序生命周期、保护攻击表面和人类界面以及自动化云检测和响应来缩小攻击者利用的间隙。
• 安全团队需要将身份视为一个动态的操作系统，而不是一个静态的目录，并确保 AI 系统得到适当的管理和保护。