網絡安全領域近日迎來了一份引人關注的報告，由知名安全解決方案提供商BeyondTrust于4月15日正式發布。該報告揭示了2024年微軟產品中的漏洞情況，數量達到了驚人的1360個，相比2022年的1292個，增幅達到了11%。
報告中詳細分析了各類漏洞的分布與特點。其中，權限提升（EoP）漏洞占比高達40%，成為了攻擊者最為偏愛的攻擊手段。這一數據凸顯了攻擊者對于權限的極度渴望，通過提升權限，他們能夠輕松地在網絡中橫向移動，進而訪問并控制關鍵系統。安全功能繞過漏洞的數量也顯著增長，從2023年的56個激增到2024年的90個，漲幅高達60%。
特別微軟Edge瀏覽器在2024年的漏洞總數達到了292個，與上一年度相比增長了17%。更為嚴重的是，這292個漏洞中包含了9個關鍵漏洞，而2022年這一數字還為零。這一變化無疑為使用Edge瀏覽器的用戶帶來了更大的安全風險。
面對這一嚴峻形勢，BeyondTrust在報告中提出了對微軟的建議。報告認為，微軟需要在軟件設計階段就加強安全編碼和威脅建模，從源頭上減少漏洞的產生。這一建議直指微軟產品安全的根本，強調了在設計階段就融入安全理念的重要性。
然而，盡管挑戰重重，微軟生態系統的整體安全狀況仍表現出一定的積極趨勢。報告顯示，2024年微軟關鍵漏洞的數量持續下降，這在一定程度上反映了微軟在安全舉措和現代操作系統安全架構方面的改進成效。同時，微軟Azure和Dynamics 365的漏洞數量也趨于穩定，漏洞增長速度有所放緩。
BeyondTrust的首席技術官James Maude在解讀報告時表示：“今年的數據清晰地告訴我們，威脅形勢并沒有減緩，反而在快速演變。權限提升漏洞的持續主導地位，再次證明了攻擊者對于權限價值的高度重視。他們將繼續瞄準那些擁有高權限的身份，以實現橫向移動并訪問關鍵系統。”
James Maude還強調，單純依賴補丁來應對安全威脅是遠遠不夠的。因為補丁可能會失效，甚至可能帶來穩定性風險。因此，組織需要更加聚焦于權限路徑的安全，構建多層防御體系，減少每個身份和訪問點的攻擊面。只有這樣，才能有效應對攻擊者不斷創新的繞過防御手段。
