AI應用帶來新型安全風險

根據(jù)Orca Security最新研究，目前84%的企業(yè)已在云端部署AI技術，但技術創(chuàng)新伴隨著新的安全隱患：62%的企業(yè)至少存在一個存在漏洞的AI軟件包，其中部分最常見AI相關CVE漏洞甚至允許遠程代碼執(zhí)行。

Orca Security首席執(zhí)行官Gil Geron指出："多云架構雖然提供了卓越的靈活性和擴展性，但也使得跨環(huán)境保持一致的可見性和覆蓋范圍變得更加困難。再加上企業(yè)急于在云端運行存在漏洞的軟件包，這為安全專業(yè)人員創(chuàng)造了極其復雜的工作環(huán)境。"

隨著企業(yè)在云端存儲更多敏感數(shù)據(jù)，數(shù)據(jù)暴露問題日益嚴重：38%在數(shù)據(jù)庫中存有敏感數(shù)據(jù)的企業(yè)，其數(shù)據(jù)庫同時暴露在公網(wǎng)中。13%的企業(yè)存在單個云資產(chǎn)支撐超過1000條攻擊路徑的情況。

云資產(chǎn)普遍存在管理疏漏

隨著云計算和云原生技術的普及，云風險的數(shù)量和嚴重性同步攀升。近三分之一的云資產(chǎn)處于無人維護狀態(tài)，每個資產(chǎn)平均存在115個漏洞。虛擬機器是最常被忽視的資產(chǎn)類型（95%企業(yè)至少存在一臺），而Ubuntu則是最常被忽略的操作系統(tǒng)（88%企業(yè)至少存在一個實例）。數(shù)據(jù)顯示，超過五分之一的企業(yè)對其40%以上的云資產(chǎn)缺乏有效管理。

89%的企業(yè)至少有一個暴露在互聯(lián)網(wǎng)的閑置云資產(chǎn)，同比增長7%。面臨此類風險最高的行業(yè)包括：

• 消費與制造業(yè)——97%
• 科技行業(yè)——94%
• 公共部門——92%

攻擊面持續(xù)擴大

76%的企業(yè)至少存在一個面向公網(wǎng)的資產(chǎn)可被用于橫向移動，使單一風險演變?yōu)槿嫒肭值奶濉＞唧w而言，36%的企業(yè)擁有至少一個支撐超過100條攻擊路徑的云資產(chǎn)，為攻擊者危害高價值資產(chǎn)提供了直接通道。

醫(yī)療健康行業(yè)是最易發(fā)生數(shù)據(jù)庫敏感數(shù)據(jù)泄露的領域，這對受《健康保險可攜性和責任法案》（HIPAA）監(jiān)管的美國醫(yī)療機構尤為嚴峻——違規(guī)行為最高可面臨150萬美元罰款。但數(shù)據(jù)暴露風險實際上影響著各行業(yè)的眾多企業(yè)。

云安全風險不僅存在于運行時環(huán)境，85%企業(yè)的源代碼倉庫中嵌入了明文密鑰。一旦倉庫暴露，攻擊者即可竊取密鑰訪問系統(tǒng)、外泄數(shù)據(jù)。

Kubernetes應用與風險并存

70%的企業(yè)在云環(huán)境中使用Kubernetes，年增長率達15%。其中30%的企業(yè)至少有一個Kubernetes資產(chǎn)（如工作負載、身份憑證、配置）公開暴露。與其他云資產(chǎn)類似，公開暴露會顯著增加未授權訪問及相關安全事件的風險。

半數(shù)使用K8s的企業(yè)至少存在一個運行不受支持版本的集群，使其暴露于已知漏洞威脅。更嚴重的是，93%的K8s企業(yè)存在權限過高的服務賬戶，攻擊者可借此提升權限、訪問敏感數(shù)據(jù)或破壞集群。

Enterprise Strategy Group網(wǎng)絡安全實踐總監(jiān)Melinda Marks總結道："傳統(tǒng)風險如閑置云資產(chǎn)和敏感數(shù)據(jù)暴露持續(xù)增長，同時新挑戰(zhàn)不斷涌現(xiàn)——從非人類身份的激增到AI相關漏洞的增多，安全形勢日趨復雜。"