漏洞利用攻击在网络安全中占比

2023年，漏洞利用某大型制造企业的攻击ERP系统被攻破，攻击者没有用钓鱼邮件，网络也没有暴力破解密码，安全而是中占利用了一个三年前就公布过的Apache Log4j漏洞。从扫描到拿到域控权限，漏洞利用整个过程不到四小时。攻击这件事让我重新审视一个问题：漏洞利用攻击到底在网络安全事件中占多大比重？网络

先说一个反直觉的事实。很多人以为网络攻击主要靠社工、安全钓鱼、中占弱口令，漏洞利用漏洞利用只是攻击少数高手的玩具。但翻一翻近五年的网络重大安全事件报告，情况完全不是安全这样。Verizon的中占DBIR报告连续多年把漏洞利用列为数据泄露的前三大初始入侵手段之一，占比稳定在15%到20%之间。如果只看那些造成大规模影响的勒索软件事件，这个比例还要往上走，能到30%以上。

为什么漏洞利用这么“好用”？因为它绕过了人的因素。钓鱼需要受害者点链接，弱口令需要撞库成功，而漏洞利用只需要一个没打补丁的系统。攻击者最喜欢的不是你员工的安全意识差，而是你运维的补丁管理烂。一个暴露在公网的VPN设备，如果存在未修复的认证绕过漏洞，那它就是一扇没锁的门。扫描器每天在互联网上扫这些门，找到了就进去，不需要跟任何人打交道。

我观察到一个现象：漏洞利用攻击的分布并不均匀。它高度集中在几个特定领域。边界设备——VPN、防火墙、邮件网关——是重灾区。这些设备直接暴露在公网，厂商更新慢，企业又不敢随便重启，结果就是漏洞披露后几个月甚至几年，仍有大量设备带着已知漏洞在运行。另一个集中点是Web应用和中间件。Log4j、Spring4Shell、Struts2，这些名字安全圈的人耳朵都听出茧了，但每次出新的利用工具，照样能扫出一大批没修复的目标。

有个细节值得注意。漏洞利用攻击的“性价比”在变化。以前写一个稳定的利用工具需要相当高的技术门槛，现在Metasploit、Cobalt Strike这些框架把门槛拉低了很多。再加上漏洞披露到利用工具出现的窗口期越来越短，有时候补丁还没推送到所有终端，野外就已经有在用的攻击脚本了。这导致防守方的反应时间被压缩得很厉害。你不可能比攻击者更快，你只能比自己的同行更快。

那漏洞利用在整体攻击中占比到底是多少？没有一个绝对准确的数字，因为很多攻击是混合手段。初始入侵用漏洞，横向移动用凭证窃取，最终目标用勒索软件。但如果只看“第一步怎么进来的”，漏洞利用大概能占到两到三成。在针对性强的APT攻击里，这个比例会更高，因为攻击者会专门研究目标使用的特定系统，找对应的漏洞来打。

我的判断是，漏洞利用攻击的占比不会大幅下降。只要软件还有代码，就有漏洞。只要系统还需要联网，漏洞就有被利用的通道。防守方能做的，不是幻想漏洞消失，而是把补丁管理、资产梳理、边界收敛这些基本功做扎实。那些被漏洞打穿的企业，往往不是输在技术对抗上，而是输在“那台设备没人管”这种低级问题上。