报告：56%企业攻击归咎于VPN漏洞

如今，分布式和以云为中心的工作环境已经引发了访问方法的巨大转变——从传统的虚拟专用网络（VPN）转向更强大的安全框架（如零信任）。传统上，VPN提供必要的远程访问功能来连接用户或整个办公站点。然而，网络威胁的日益复杂，以及远程劳动力和云技术的扩张，暴露了VPN的重大漏洞。由于其遗留架构，一旦验证了凭据，VPN就会授予过于广泛的网络访问权限，如果这些凭据被泄露，则会大大增加网络攻击的风险。

最近对VPN设备关键漏洞（特别是CVE-2023-46805、CVE-2024-21887和CVE-2024-21893）的利用，已经影响到了包括美国国防在内的重要部门。这些漏洞使攻击者能够通过身份验证，以提升的权限执行命令，并在设备重置后保持持久性。

为此，美国网络安全和基础设施安全局（CISA）向联邦机构发布了一项紧急指令，要求立即断开受影响的VPN设备的连接，同时强制要求采用零信任架构来增强网络安全。这些指令和建议反映了网络安全社区的共识，即零信任提供了更强大的防御能力来应对复杂且不断发展的网络威胁。

《2024年VPN风险报告》基于对647名IT专业人士和网络安全专家的调查，深入探讨了VPN的多方面安全和用户体验挑战，揭示了当今访问管理的复杂性，及其损害组织更广泛安全态势的潜力。该报告还概述了更先进的安全模型，特别是零信任，作为一个强大的和面向未来的框架，它能够确保和加速数字化转型。

【图1：在过去12个月里，您的组织经历过多少次与VPN相关的攻击？】

最近的趋势证实，对VPN的攻击不仅日益频繁，而且日趋复杂。例如，越来越多的勒索软件利用VPN漏洞——特别是在公开披露漏洞之后——凸显了传统VPN固有的关键弱点。这些漏洞为攻击者提供了渗透网络和促进横向移动的入口点，导致了大量数据泄露和运营中断。

调查显示，绝大多数受访者（91%，高于2023年的88%）表示担心VPN会危及他们的IT安全，这突显了企业对VPN相关风险的高度认识。

最近针对Ivanti VPN的攻击证明了这种担忧是合理的，攻击者利用严重漏洞渗透网络并泄露敏感数据。这些事件涉及CVE-2024-21888和CVE-2024-21893等漏洞，突出了维护和保护过时或未打补丁的VPN基础设施的风险。此外，在当今无边界的数字环境中，VPN的固有架构带来了重大的安全风险。随着企业越来越多地采用云服务和远程工作模式的发展，VPN面临着新的安全挑战，包括管理广泛的访问权限和保护不断扩大的攻击面。

【图3：您有多担心VPN可能会危及您保持环境安全的能力？】

有远见的组织已经开始向更动态、更有弹性的零信任架构过渡，以获得更细粒度的控制，并通过“从不信任”原则（无论是在网络内部还是外部）来显著减少攻击面。采用这种策略可以解决传统VPN的直接漏洞，并与主动的网络安全方法保持一致，这对于适应不断变化的威胁环境至关重要。

了解组织使用VPN的原因至关重要，因为它突出了他们如何在各种业务场景中优先考虑安全访问。它还揭示了哪些网络用例最容易暴露于安全风险，指出了需要更强大和创新的访问安全策略的领域。

70%的组织使用VPN主要是为了确保远程员工的访问安全。这种广泛使用使得远程访问成为网络攻击的主要目标。33%的组织使用VPN连接多个站点，这带来了巨大的风险，因为如果不适当保护这些连接，这些连接可能成为网络攻击的载体。26%的组织使用VPN进行第三方访问，由于不同外部利益相关者的不同安全态势以及缺乏对安全策略的控制，这进一步使安全复杂化。此外，20%的组织使用VPN进行校园访问，19%的组织使用VPN进行物联网/OT设备连接。

【图4：您的组织使用VPN的主要目的是什么？】

在当今不断发展的网络威胁环境中，VPN无法再为关键访问用例提供足够的安全性，因为它们基于过时的信任模型，只需简单的用户身份验证即可授予广泛的网络访问权限。这种广泛的访问允许潜在的攻击者利用单个入口点在网络中横向移动并提取敏感数据，从而使组织面临重大风险。

除了固有的安全风险，管理VPN基础设施也给IT团队带来了巨大的挑战，因为在分散的、以云为中心的工作环境中，对强大的访问解决方案的要求越来越高。IT专业人员面临的主要管理挑战是在VPN性能和用户体验之间取得平衡（19%）。这个问题至关重要，因为它直接影响到工作效率：如果VPN减慢了网络速度，或者使用起来太麻烦，就可能会导致员工满意度降低，业务流程变慢、效率低下。

17%的受访者表示，另一个最常见的担忧是VPN连接和稳定性问题的持续故障排除。这些问题不仅耗费IT人员的时间，而且还会对用户造成干扰。其他值得注意的挑战包括VPN与各种设备、操作系统和应用程序缺乏兼容性（16%）。此外，13%的受访者正在努力解决扩展VPN基础设施的复杂性和劳动密集型问题，这是组织发展的关键问题。

【图5：在管理VPN基础设施时，最让人头疼的担忧是什么？】

这些见解强调了组织需要探索更灵活、用户友好且非资源密集型替代方案，例如零信任网络访问（ZTNA）模型。ZTNA提供更细粒度的控制、增强的可扩展性和更少的管理开销，使其成为当今动态网络安全环境中替代传统VPN的最佳选择。

26%的受访者指出，用户对VPN使用最常见的抱怨是“连接速度慢”。这突出了一个关键的用户生产力和满意度问题，因为慢速会显著降低日常任务和访问基于云的资源的效率，尤其是在居家办公环境中。

“VPN连接中断”是第二大常见问题，19%的受访者提到了这一点。此问题可能会中断正在进行的任务和通信，严重影响用户体验和操作连续性。12%的用户表示，不同设备和平台的用户体验不一致，这表明需要更统一的访问性能。

【图6：当您的用户通过VPN访问应用程序时，最常见的抱怨是什么？】

为了解决这些问题，组织应该考虑采用跨各种平台提供更多稳定性和一致性的网络访问解决方案。实现零信任架构可能特别有效，因为它在不引入性能瓶颈的情况下增强了安全性。零信任网络确保连接问题不会危及安全性，并且访问控制既严格又可适应不同的用户环境。

该调查强调了组织对第三方VPN访问作为网络安全漏洞的重大担忧。值得注意的是，92%的受访者对这一风险表示理解，比2023年的90%略有上升。这种日益增长的认识凸显了第三方访问作为网络威胁入口的潜力。

对VPN漏洞和破坏的新见解进一步证实了这些担忧。传统的VPN通常提供广泛的网络访问后凭据验证，如果第三方供应商的安全措施受到损害，就会带来风险。

【图8：您有多担心第三方VPN访问成为攻击者进入组织网络的潜在后门？】

组织应该加快从传统VPN到零信任架构的过渡。这种转变包括实现基于身份和上下文严格验证访问请求的系统，限制第三方供应商使用其任务所需的特定资源。

【图9：您对组织检测和缓解暴露于网络安全攻击的VPN漏洞的能力有多大信心？】

组织必须通过整合严格的漏洞评估、频繁的更新和全面的安全意识培训来重新校准他们的安全立场。建议采用分层的安全方法，不过分依赖VPN进行全面保护。该方法应包括高级监控、异常检测和零信任原则的集成。

33%的受访者指出，“外部暴露资产中的漏洞”是最令人担忧的勒索软件潜在攻击向量。这表明人们普遍认识到与暴露的网络服务或web应用程序相关的风险，这些服务或web应用程序通常是勒索软件攻击的第一入口点。

“被盗的身份”紧随其后，占26%，这突显了受损凭据在帮助攻击者绕过安全措施并获得访问权限以传递勒索软件有效载荷方面所起的作用。对“虚拟桌面基础设施（VDI）漏洞”和“民族国家攻击”的担忧，分别占14%和12%，突出了组织必须防御的勒索软件威胁的多种来源。另有11%的受访者表示担心Scattered Spider，一个使用复杂的社会工程策略的网络犯罪组织。

调查显示，52%的受访者“非常或极度担心”由于未修补漏洞而造成的勒索软件威胁。这是合理的，因为未打补丁的漏洞仍然是勒索软件的主要攻击媒介。最近的分析表明，相当一部分勒索软件攻击利用了这些漏洞，与其他类型的网络攻击相比，其影响尤为严重。

勒索软件组织正变得越来越复杂，能够在组织修补漏洞之前迅速利用新发现的漏洞。这种快速的利用周期大大缩短了响应关键漏洞的窗口，突出了对减少攻击面的高级安全措施的迫切需要。

大多数受访者（53%）报告称，超过25%的VPN相关攻击涉及横向移动，这表明在入侵的初始点存在严重的遏制故障。近三分之一（32%）的企业在超过一半的攻击中经历了横向移动，这表明一旦攻击者突破网络防御，控制威胁传播将面临重大挑战。

横向移动是VPN的一个重大风险，因为攻击者可以获得与经过身份验证的用户类似的广泛网络访问权限。这使它们能够跨越网络和敏感区域隐蔽地移动，并将攻击范围扩展到初始入口点之外。解决这个问题需要严格的分段，理想情况下是通过零信任架构对用户到应用程序的流量进行分段，并进行持续监控。这大大减少了横向移动的爆炸半径，为每个用户提供了更小范围的应用，而其余部分则是不可见的。

调查反映了采用零信任安全框架的强烈趋势，强调了越来越多的人认识到它们在增强组织网络安全方面的重要性。31%的受访者已经实施了零信任（高于2023年的27%），这表明他们越来越积极主动地保护网络资源。

此外，27%的组织计划在未来6个月内实施零信任战略（高于2023年的18%），另有20%的组织计划在未来12个月内实现这一转变，这表明在不久的将来向零信任过渡的广泛承诺。

然而，17%的受访者仍在考虑在没有具体时间表的情况下实施零信任战略（低于2023年的23%），这突显出在规划或启动转型方面存在一些犹豫或潜在挑战。只有一小部分（5%）受访者表示不打算采用零信任（低于2023年的8%），这可能是缺乏资源导致的。

根据公司规模进行的分析表明，规模较大的组织——特别是那些员工超过2万人的组织——更有可能、也更快地采用零信任战略，其中33%的组织已经实施了零信任战略。相比之下，拥有1000-5000名员工的小型公司的采用率略低，为29%，这表明规模和资源可用性可能会影响零信任整合的速度和范围。

【图14：您认为零信任与VPN是否兼容？】

虽然这种观点可能源于VPN供应商声称他们基于云的解决方案符合零信任原则，但重要的是要仔细审查这些承诺。例如，仅仅在云中托管VPN服务并不会自动授予零信任属性。零信任安全需要的不仅仅是一个安全的托管环境；它要求从基于边界的防御向安全是动态的、粒度的和基于上下文的模型的根本转变。

真正的零信任安全包括持续验证所有用户和设备，应用最低权限访问，并对流量进行分段以防止横向移动，这些都是传统VPN（甚至基于云的VPN）无法提供的功能。因此，组织必须确认任何声称的“零信任”VPN实际上包含了这些核心原则，而不是仅仅依赖于营销承诺。

【图15：您是否计划在不久的将来从VPN转移至ZTNA解决方案？】

对于53%转向ZTNA的组织来说，通过规划全面的风险评估、更新访问策略和向用户介绍新协议来确保顺利过渡至关重要。与此同时，47%尚未计划转换的人应该评估他们当前的安全挑战，并考虑ZTNA是否可以比VPN更有效地解决这些问题。