暴露和不知情：2025年企业安全状况

Edgescan 2025漏洞统计报告从2024年进行的数千次评估和渗透测试中提供了全球网络安全格局的丰富数据快照。

现在已经进入第10个年了，该报告分析了各行业的全栈安全趋势，强调了常见的漏洞、修补延迟和风险热点。凭借对漏洞利用可用性、攻击表面暴露和补救时间表的洞察力，它为组织提供了做出更智能、基于风险的决策所需的数据。

该报告强调了网络安全方面的一个持续挑战：并非所有漏洞都是平等的。有些很少发生，但具有很高的漏洞潜力——Edgescan将其描述为“密集”风险。尽管EPSS、CISA KEV、CVSS和SSVC等优先级模型可用，但它们的不一致性使得很难依赖任何单一框架进行决策。

修补仍然是一个重大障碍，特别是在生产环境中，这反映在缓慢的平均补救时间（MTTR）指标中。许多组织仍然在为可见性而挣扎，而可见性是降低风险的重要因素。令人震惊的是，可以追溯到2015年的漏洞仍在活跃的勒索软件和恶意软件活动中被利用。

内部系统仍然特别脆弱，攻击者经常在技术堆栈中串连着弱点来放大影响。这使得攻击表面管理（ASM）比以往任何时候都更加重要。Edgescan的持续资产分析显示，敏感系统经常暴露在公共互联网上，通常在组织本身不知情的情况下。

最终，数据描绘了一幅清晰的画面：有效的风险管理取决于提高可见性，整合多个风险模型，并在遗留漏洞被用来对付之前解决它们。

2025年报告的主要发现包括：

• 在整个堆栈中，超过33%的发现的漏洞是关键或高度严重的。
• SQL注入（CWE-89）仍然是最常见的关键Web应用程序漏洞，自2022年以来一直延续这一趋势。
• MTTR严重Web应用程序漏洞需要35天，而面向互联网的主机/云漏洞平均需要61天。
• 2024年，发布了创纪录的40,009个CVE。
• 到2024年底，CISA KEV目录包含1238个漏洞，年内增加了185个漏洞。
• 768个CVE在2024年首次在野外被公开报道，占所有发现的漏洞的2%，比2023年增加了20%。

下载：Edgescan 2025漏洞统计报告第10版。

消息来源：helpnetsecurity, 编译：安全114； 

本文由 anquan114.com 翻译整理，封面来源于网络；  

转载请注明“转自 anquan114.com”并附上原文