思科發(fā)表《思科2014年度安全報告》，指出網(wǎng)絡(luò )上，利用使用者對系統、應用程式與個(gè)人網(wǎng)絡(luò )的信任而產(chǎn)生的攻擊威脅已經(jīng)到了驚人的地步。根據報告，全球有將近100萬(wàn)的資訊安全專(zhuān)業(yè)人才短缺，直接影響機構監控防護網(wǎng)絡(luò )的能力，整體漏洞和威脅達到自2000年以來(lái)的高峰。
此報告清晰呈現了企業(yè)、IT部門(mén)和個(gè)人正面臨急速演進(jìn)的資安挑戰。駭客（attacker）使用的方法包括利用社交工程（socially engineered）竊取密碼與憑證、藏身于不起眼處滲透入侵、以及利用經(jīng)濟交易、政府服務(wù)、社交互動(dòng)取得所需的身分認證。
報告重點(diǎn)摘要
威脅層面的日益復雜化及擴散：之前僅造成有限傷害的簡(jiǎn)單攻擊轉變成了有組織的網(wǎng)絡(luò )犯罪，他們不僅手法細膩、有充裕資金作為后盾，更有能力使受攻擊的公部門(mén)或私部門(mén)遭受?chē)乐氐慕?jīng)濟與名譽(yù)的損害。
智慧型移動(dòng)裝置及云端運算快速成長(cháng)，讓網(wǎng)絡(luò )攻擊的層面達到前有未見(jiàn)的龐大程度，導致日趨復雜的犯罪手法與解決方案：新款的裝置類(lèi)型與基礎架構都為駭客提供了更多機會(huì )，那些未被發(fā)現的漏洞及缺乏防御能力的資產(chǎn)，都讓他們有機可乘。
網(wǎng)絡(luò )犯罪者了解到與單純入侵個(gè)人電腦或裝置比較，利用網(wǎng)絡(luò )基礎設備的力量可獲取更大的利益：這些鎖定基礎設施的攻擊行為，目的在于入侵并策略性的鎖定網(wǎng)頁(yè)主機伺服器、網(wǎng)域名稱(chēng)伺服器以及資料中心，進(jìn)一步擴散攻擊，對利用這些資源建構的眾多個(gè)人資產(chǎn)造成損害。駭客鎖定網(wǎng)際網(wǎng)絡(luò )基礎設施，讓所有連結或仰賴(lài)這些設施的裝置都受到嚴重影響，其可靠性毀于一旦。
重要發(fā)現
整體漏洞與威脅達到自2000年首次追蹤報告以來(lái)的新高。至2013年10月為止，累積的年度警示數量相較去年同期有14%的增幅。
報告指出在2014年全球安全專(zhuān)業(yè)人才短缺人數已超過(guò)100萬(wàn)。網(wǎng)絡(luò )罪犯利用精密的技術(shù)與策略，不斷地試圖入侵網(wǎng)絡(luò )與竊取資料，這些威脅已超越了IT與安全專(zhuān)業(yè)人員所能抵御的范圍。大多數機構并沒(méi)有足夠的人力或系統持續監視如此大規格的網(wǎng)絡(luò )與偵測滲透攻擊，并及時(shí)有效地實(shí)施防護。
取樣30家全球最大的跨國企業(yè)網(wǎng)絡(luò )后，發(fā)現當中100%的網(wǎng)絡(luò )內容會(huì )引導訪(fǎng)客前往含有惡意程式碼的網(wǎng)站。另96%的網(wǎng)絡(luò )瀏覽會(huì )透過(guò)核閱\通訊傳輸進(jìn)而入侵伺服器系統。92%發(fā)送到這些網(wǎng)頁(yè)的傳輸沒(méi)有實(shí)際內容，為典型的惡意攻擊行為。
分散式阻斷服務(wù)（DDoS）攻擊：阻絕來(lái)往目標網(wǎng)站的傳輸，可癱瘓所有的ISP，而且在數量與嚴重性均有上升趨勢。有些DDoS攻擊的目的在于掩護其他不法活動(dòng)，像是在電信詐騙中，前期、中期、后期所產(chǎn)生的擾亂、干擾DDoS的活動(dòng)。
多目標木馬是最常見(jiàn)經(jīng)由網(wǎng)頁(yè)散布的惡意程式，在2013年的總數更增加27%，利用防御漏洞（exploit）與內置框架（iframe）的惡意程式碼，是排行第二的常見(jiàn)類(lèi)型，比例達到23%。另外像是密碼竊取與后門(mén)程式這類(lèi)盜取資料的木馬，在網(wǎng)頁(yè)惡意程式碼總數中占了22%。另類(lèi)惡意程式碼主機與IP網(wǎng)址的數量持續下滑，從2013年1月至2013年9月之間就減少了30%，代表惡意程式碼逐漸集中在更少的主機以及更少的IP網(wǎng)址。
Java 依舊是最常被駭客使用的程式語(yǔ)言。現已納入思科旗下的Sourcefire所公布的資料指出，Java漏洞攻擊在Indicators of Compromise（OCs）指標中占了絕大多數（91%）的比重。
99%針對移動(dòng)裝置的惡意程式都鎖定Android裝置，有43.8%裝置都遇過(guò)的Andr/Qdplugin-A是最常見(jiàn)的移動(dòng)裝置惡意程式，通常是透過(guò)重新包裝的合法應用程式，并透過(guò)非官方的網(wǎng)絡(luò )市集來(lái)散布。
特定行業(yè)，像是制藥、化學(xué)、以及電子制造業(yè)，遇到惡意程式碼的比例一直都居高不下。在2012與2013年，農業(yè)與采礦業(yè)遭遇惡意程式碼的比例出現可觀(guān)的成長(cháng)，而這些行業(yè)以往都是風(fēng)險相對較低的產(chǎn)業(yè)。另外能源/石油/天然氣行業(yè)遭遇惡意程式碼的次數也持續攀升。
支援引述
思科資深副總裁暨威脅回應情資及發(fā)展部門(mén)首席安全長(cháng)John N. Stewart指出：「雖然思科年度安全報告描繪出當前網(wǎng)絡(luò )安全的嚴峻局勢，然而我們仍有希望扭轉對人、機構及科技的信任感。第一步要做的就是為防御人員提供實(shí)務(wù)上的知識，讓他們了解目前持續擴張的攻擊層面。為真正有效保護這些所有可能發(fā)生的攻擊，防御者必須從事前、過(guò)程中、以及攻擊之后了解駭客與其動(dòng)機，以及其采用的方法。
