趨勢科技發表了對2018年的預測報告。在報告中，我們列出了在2018年威脅環境可能會出現的八種演變。雖然這些預測涉及廣泛，從物聯網到網路宣傳戰都有，但是真正的主題是2018年最大的攻擊將來自已知漏洞。
這預測源自2017年所有的重大資安事件（像是WannaCry(想哭)勒索蠕蟲事件）都是基於已知漏洞。只要研究Shadow Brokers所洩漏出的資訊，犯罪份子就可以取得國家級情報機構所使用且成功攻擊的漏洞清單。因為這樣，很容易就可以預見犯罪分子也會利用這些漏洞。
一個未知的漏洞（只有情報組織才知道的漏洞）和已知漏洞間最大的差別就是使用它們的攻擊者數量呈指數增加。所以，一旦有漏洞被公眾所知，時間就開始在倒數，剩下的只是“什麼時候”會攻擊到使用者的問題。
有許多方法可以用已知漏洞來傷害企業和個人。根據攻擊者商業模式的不同，漏洞使用的動機也會不同。情報部門可能會用它來進行駭客入侵，為了賺錢的犯罪分子可能會用它來安裝勒索病毒。
在2017年，我對於利用已知漏洞成功攻擊的數量感到印象深刻。比方說我們看到了Pawn Storm，它採用許多新而不廣為人知的漏洞來進行高度複雜的攻擊。但在數量方面，WannaCry(想哭)勒索蠕蟲則是明顯的贏家，它只利用了Shadow Brokers所流出的一個已知漏洞。這漏洞讓攻擊者可以製造蠕蟲型勒索病毒，在全球範圍內自動的擴散。這一攻擊也進一步暴露出SMBv1的脆弱性，在之後的攻擊繼續被利用。Pawn Storm利用多種漏洞的作法，加上WannaCry和其他攻擊會充分地利用單一漏洞，這正是為什麼虛擬修補技術會如此重要的原因。
想要做好準備，企業主就必須接受這不可逃避的事實 – 如果你的系統存在已知漏洞，那它們就會成為攻擊目標。要認清當企業環境內存在漏洞，就代表遭受攻擊只是時間問題。
公司需要透過兩種方式解決這個問題：
- 積極地減少受攻擊面。盡可能減少企業內的漏洞數量，比方說透過虛擬修補技術。
- 準備好可能被攻擊得逞的一天。落實災難復原計畫，代表該計劃必須經過測試和做過訓練。此外，計劃中也應該包含“付錢還是不付”這根本問題，這會是防禦團隊的重要指導方針。在重大事件發生前先做好決定總是比較好。
@原文出處：2018’s Biggest Attacks Will Stem from Known Vulnerabilities 作者：Martin Roesler（威脅研究總監）