英国数学家Clive Humby曾说：“数据是新的石油”。如果数据是新的石油，那么数据泄露就是新的石油泄漏。就像石油泄漏一样，数据泄露可能造成混乱、高昂的成本，并且数据可能泄露到不应存在的地方，造成长期损害。Verizon的数据泄露调查报告（DBIR）每年都会对泄露的数据量做出现实检视。
随着AI的出现，威胁环境不断变化。AI有助于构建更强的防御系统，但同时也帮助攻击者攻破系统。为了应对由AI驱动的攻击，了解攻击者如何入侵至关重要。最近发布的 2025年数据泄露调查报告 来自Verizon，揭示了主要的访问向量。让我们看看不同的访问向量及减少其影响的方法，重点加强终端安全，终端安全在防止入口点攻击中起着关键作用。
凭证滥用仍然是最主要的初始访问向量，涉及所有被分析泄露的22%。分析显示，大多数被泄露的凭证未满足复杂性要求。多因素认证绕过技术日益普及，如提示轰炸和令牌窃取，使传统的多因素认证方法效果减弱。无人管理的设备和BYOD也导致凭证暴露，发现46%的使用企业登录凭证的被泄露系统属于无人管理，显示缺乏适当安全控制存在风险。
最近几年漏洞利用激增。过去两年漏洞利用增长了180%，仅今年就增长了34%，占所有被分析泄露的20%。此外，边缘设备漏洞增长了8倍，且修复滞后为攻击者利用漏洞提供了大量机会。
这种快速增长可能归因于攻击工具中集成了AI。AI帮助更轻松地识别漏洞，现在可以利用AI开发漏洞利用代码，使攻击者更易利用未修补的漏洞。随着躲避检测和其他攻击传递系统作为服务在互联网上提供，漏洞利用变得更容易。
过去两年中，AI辅助的网络钓鱼邮件比例翻倍，使其更难被识别为欺诈邮件，因为攻击者使用成熟的类人语言和个性化内容，模仿合法通信，使其看起来可信并绕过传统安全过滤。网络钓鱼也是社交工程技术的主角，占所有被分析泄露的16%。
商业电子邮件欺诈（BEC）是一种更具针对性的钓鱼形式，攻击者冒充可信个人或组织，欺骗员工执行可能导致财务损失或数据泄露的行为，已造成63亿美元损失。
有没有好消息？是的，有一些。所有的安全意识培训确实产生了效果；用户报告网络钓鱼尝试的数量增加了四倍，但点击钓鱼链接的人数并未减少。
人为因素涉及60%的泄露事件（不包括恶意内部人员事件）。各种错误占所有泄露的12%，主要包括错误发送、配置错误和发布错误。此外，权限滥用占6%，涉及员工和系统管理员利用权限滥用数据。
现在，我们了解了攻击者如何入侵，但了解还不够。实施正确的安全措施至关重要。鉴于这些攻击趋势，每个组织都需要强大的防御系统。
随着攻击者采用更先进的欺骗技术，识别威胁只是第一步。让我们看看组织如何加强防御。
传统密码使用简单，同时也容易被利用。虽然强密码策略有帮助，但凭证仍可能被盗。因此，组织必须采用无密码认证方法，如Windows Hello，从而消除传统密码的风险。
但仅靠认证还不够。真正限制泄露影响关键在于限制用户入内后的操作权限。这就是终端特权管理（EPM）变得关键的地方。许多攻击成功不仅因为凭证被盗，更因为这些凭证赋予了过多权限。EPM执行最小权限原则，确保无用户拥有不必要的权限或管理员访问，减少泄露影响。
定期扫描系统以识别弱点，有助于提前应对新兴威胁。但许多泄露不是因为漏洞未知，而是因为已知问题修复不及时。挑战在于漏洞数量庞大，大多数组织难以一次性修补所有漏洞。
这时候就需要优先级划分。并非所有漏洞风险相同。有些漏洞被积极利用或暴露在互联网上。必须尽快修补这些高风险漏洞。
自动化修补过程同样重要，它帮助确保更新迅速且一致地应用到所有终端，减少延迟。
AI的出现使网络钓鱼成为攻击者强大工具；同时也推动了防御创新。组织现在拥有多层防御体系来抵御攻击。
用户识别可疑邮件是第一步。后续环节包括集成在浏览器中的钓鱼过滤器、电子邮件安全网关和基于机器学习的检测系统，可以实时分析行为和发件人信誉。内置浏览器过滤器在用户访问恶意网站时发出警告。综合工具减少因错误而导致的安全事故。
采用这些策略后，约60%的访问向量可以被有效缓解。
虽然这些最佳实践有效，但手动管理它们可能很复杂。这时恰好适合采用合适的终端管理解决方案。利用 ManageEngine Endpoint Central，您将获得补丁管理、最小权限执行和浏览器保护的一体化工具。开始您的30天免费试用。 ManageEngine Endpoint Central.