1. 震驚業(yè)界的 Log4j 漏洞

2021年12月初， Log4j 日志框架中一個嚴重的遠程代碼執(zhí)行漏洞震驚了整個行業(yè)，可以說，近年來很少有其他漏洞具備如此震懾力。這種擔(dān)憂源于這樣一個事實，即該工具在企業(yè)運營（ OT ）、軟件即服務(wù)（ SaaS ）和云服務(wù)提供商（ CSP ）環(huán)境中普遍存在，且相對容易利用。該漏洞為攻擊者提供了一種遠程控制服務(wù)器、 PC 和任何其他設(shè)備的方法，包括存在日志工具的關(guān)鍵運營（ OT）和工業(yè)控制系統(tǒng)（ ICS ）環(huán)境中的設(shè)備。

該漏洞（ CVE-2021-44228 ）存在于從 Log4j 2.0-beta9 到 Log4j 2.14.1 版本中，可以通過多種方式利用。Apache 基金會最初發(fā)布了該工具的新版本（ Apache Log4j 2.15.0 ）試圖解決問題，但此后不久又不得不發(fā)布另一個更新，因為第一個更新沒能完全防止拒絕服務(wù)（ DoS ）攻擊和數(shù)據(jù)盜竊。

截至 2021 年 12 月 17 日，暫未出現(xiàn)與此漏洞相關(guān)的重大數(shù)據(jù)泄露事件。然而，安全專家堅信攻擊者一定會利用該漏洞，并在可預(yù)見的未來繼續(xù)這樣做，因為企業(yè)很難找到易受攻擊系統(tǒng)的每一個實例并有效防范該漏洞。許多安全廠商報告了針對各種 IT 和 OT 系統(tǒng)（包括服務(wù)器、虛擬機、移動設(shè)備、人機界面系統(tǒng)和 SCADA 設(shè)備等）的廣泛掃描活動，其中許多都涉及嘗試投幣挖掘工具、遠程訪問木馬、勒索軟件和 Web shell ；涉及的惡意行為者則包括已知的出于經(jīng)濟動機的威脅組織，以及來自伊朗和土耳其等國家支持的 APT 組織。

2. Colonial Pipeline 攻擊將勒索軟件提升至國家安全

2021 年 5 月，針對美國管道運營商 Colonial Pipeline 的勒索軟件攻擊占據(jù)了新聞頭條，此舉對美國廣大民眾造成了廣泛影響：中斷了數(shù)百萬加侖燃料的運輸，并引發(fā)了美國東海岸大部分地區(qū)的短暫性天然氣短缺。這起事件也成功將勒索軟件提升為國家安全級別的問題，并引起了白宮的關(guān)注。事件發(fā)生幾天后，拜登總統(tǒng)發(fā)布了一項行政命令，要求聯(lián)邦機構(gòu)實施新的控制措施以加強網(wǎng)絡(luò)安全。

據(jù)悉，此次事件的原因是黑客組織使用了被盜的舊 VPN 憑據(jù)獲得了對 Colonial Pipeline 網(wǎng)絡(luò)的訪問權(quán)限。這種攻擊方法本身并非特別值得注意，但破壞本身卻是可見的、有意義的，而且許多政府官員都能親身感受到。這也促使美國兩黨和政府提高了使用可重用密碼等問題的門檻。雖說高度關(guān)注可能不會產(chǎn)生立竿見影的進展，但它已經(jīng)推動了國家層面對網(wǎng)絡(luò)安全的關(guān)注。

3.  Kaseya 事件將人們的注意力集中在供應(yīng)鏈風(fēng)險上

2021 年 7 月初， IT 管理軟件供應(yīng)商 Kaseya 發(fā)生的安全事件，再次凸顯了企業(yè)面臨來自 IT 供應(yīng)鏈中供應(yīng)商的威脅正日益加劇。

該事件后來歸因于 REvil/Sodinokibi 勒索軟件組織的一個附屬機構(gòu)，其中涉及威脅行為者利用 Kaseya 虛擬系統(tǒng)管理員（ VSA ）技術(shù)中的三個漏洞，而許多托管服務(wù)提供商（ MSP ）使用該技術(shù)來管理其客戶的網(wǎng)絡(luò)。攻擊者利用這些漏洞，使用 Kaseya VSA 在屬于 MSP 下游客戶的數(shù)千個系統(tǒng)上分發(fā)勒索軟件。

Kaseya 攻擊凸顯了威脅行為者對一次性破壞多個目標(biāo)（如軟件供應(yīng)商和服務(wù)提供商）的興趣日益濃厚。雖然這不是典型的供應(yīng)鏈攻擊——因為它利用了已部署的 Kaseya VSA 服務(wù)器漏洞，但 MSP 向其客戶分發(fā)軟件的 Kaseya 機制是擴大攻擊范圍和速度的關(guān)鍵。該事件促使美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（ CISA ）發(fā)出多個威脅警報，并為 MSP 及其客戶提供指導(dǎo)。

4.  Exchange Server 攻擊引發(fā)修補狂潮

2021年3月初，當(dāng)微軟針對其 Exchange Server 技術(shù)中的四個漏洞（統(tǒng)稱為“ ProxyLogon ”）發(fā)布緊急修復(fù)程序時，引發(fā)了一場前所未有的修補狂潮。

ProxyLogon 漏洞為威脅行為者提供了一種未經(jīng)身份驗證的遠程訪問 Exchange 服務(wù)器的方法。它本質(zhì)上是一個電子版本，從企業(yè)的主要入口上移除所有訪問控制、警衛(wèi)和鎖，這樣任何人都可以進入。一些安全廠商的調(diào)查表明，幾個威脅組織在補丁發(fā)布之前就已經(jīng)瞄準(zhǔn)了這些漏洞，并且在微軟披露漏洞后，許多其他組織也加入了這一行動。攻擊數(shù)量如此之多，以至于 F-Secure 稱“ Exchange Server 被黑客入侵的速度比我們想象的要快”。

與許多其他供應(yīng)商一樣，微軟當(dāng)時也建議企業(yè)假設(shè)自己已被破壞并做出響應(yīng)。在漏洞披露后不到三周，微軟報告稱，全球約 92% 的 Exchange 服務(wù) IP 已被修補或緩解。但是，企業(yè)對攻擊者在修補之前安裝在 Exchange Server 上的 Web shell 的擔(dān)憂仍然揮之不去，促使美國司法部采取了前所未有的措施，命令 FBI 主動從后門 Exchange Server 中刪除 Web shell 。

5.  PrintNightmare 強調(diào) Windows Print Spooler 技術(shù)的持續(xù)風(fēng)險

很少有漏洞能比 PrintNightmare （ CVE-2021-34527 ）更能反映微軟的 Windows Print Spooler 技術(shù)給企業(yè)帶來的持續(xù)風(fēng)險。該漏洞于 2021 年 7 月披露，與 Spooler 服務(wù)中用于安裝打印機驅(qū)動程序系統(tǒng)的特定功能有關(guān)。該問題影響了所有 Windows 版本，并為經(jīng)過身份驗證的攻擊者提供了一種在任何存在漏洞的系統(tǒng)上遠程執(zhí)行惡意代碼的方法。這包括關(guān)鍵的 Active Directory 管理系統(tǒng)和核心域控制器。微軟警告稱，對該漏洞的利用會導(dǎo)致環(huán)境的機密性、完整性和可用性受損。

微軟對 PrintNightmare 的披露促使 CISA 、 CERT 協(xié)調(diào)中心（ CC ）和其他機構(gòu)發(fā)布緊急建議，敦促企業(yè)迅速禁用關(guān)鍵系統(tǒng)上的 Print Spooler 服務(wù)。PrintNightmare 是微軟長期存在缺陷的 Print Spooler 技術(shù)中、幾個必須修補的缺陷中較嚴重的一個。PrintNightmare 之所以非常重要，是因為該漏洞存在于幾乎每個 Windows 系統(tǒng)上都會安裝的“ Print Spoole ”服務(wù)中。這意味著攻擊者有一個巨大的攻擊面作為目標(biāo)，而且禁用這些服務(wù)并不總是可行的，因為需要它來方便打印。

6.  Accellion 入侵是多次破壞攻擊趨勢的例子

美國、加拿大、新加坡、荷蘭和其他國家/地區(qū)多個組織在 2021 年 2 月遭遇了嚴重的數(shù)據(jù)泄露事件，因為他們使用的 Accellion 文件傳輸服務(wù)存在漏洞。零售企業(yè) Kroger 是最大的受害者之一，其藥房和診所員工和數(shù)百萬客戶的數(shù)據(jù)慘遭泄露。其他著名的受害者還包括眾達律師事務(wù)所、新加坡電信、華盛頓州和新西蘭儲備銀行。

Accellion 將該問題描述為“與其近乎過時的文件傳輸設(shè)備技術(shù)中的零日漏洞有關(guān)”，當(dāng)時許多組織正在使用該技術(shù)在其內(nèi)部和外部傳輸大型文件。安全廠商 Mandiant 的調(diào)查顯示，攻擊者使用 Accellion 技術(shù)中 4 個零日漏洞作為攻擊鏈的一部分。Mandiant 后來將這次攻擊歸因于與 Clop 勒索軟件家族和 FIN11 （一個出于經(jīng)濟動機的 APT 組織）有關(guān)聯(lián)的威脅行為者。

Digital Shadows 網(wǎng)絡(luò)威脅情報分析師 Ivan Righi 表示， Accellion 攻擊是 2021 年初的重大安全事件，因為它展示了勒索軟件供應(yīng)鏈攻擊的危險性。Clop 勒索軟件團伙能夠利用 Accellion 文件傳輸設(shè)備（ FTP ）軟件中的零日漏洞一次鎖定眾多企業(yè)，這大大減少了攻擊者實現(xiàn)初始訪問所需的工作和精力。

7. 佛羅里達水務(wù)公司攻擊事件提醒人們注意關(guān)鍵基礎(chǔ)設(shè)施

2021 年 2 月，一名攻擊者入侵佛羅里達州奧茲馬市一家水處理廠的系統(tǒng)，并試圖改變一種名為堿液的化學(xué)物質(zhì)濃度，該化學(xué)物質(zhì)用于控制水的酸度。當(dāng)入侵者試圖將堿液水平提高 111 倍時被發(fā)現(xiàn)，在其造成損壞之前，很快得到了恢復(fù)。隨后對該事件的分析顯示，入侵者獲得了屬于水處理設(shè)施操作員的系統(tǒng)訪問權(quán)限，可能使用被盜的 TeamViewer 憑據(jù)遠程登錄了該系統(tǒng)。

此次入侵使美國關(guān)鍵基礎(chǔ)設(shè)施在網(wǎng)絡(luò)攻擊面前的持續(xù)脆弱性暴露無遺，再次展現(xiàn)了入侵飲用水處理設(shè)施的監(jiān)控和數(shù)據(jù)采集（ SCADA ）系統(tǒng)是多么簡單的事情。該事件還促使 CISA 警告關(guān)鍵基礎(chǔ)設(shè)施運營商，在環(huán)境中使用桌面共享軟件和過時或接近報廢軟件（如 Windows 7）的危險性。