随着云计算市场的快速发展，云安全已成为实施云战略的重要保障。如何在加强企业自身安全基础设施建设的同时，实现数字化转型和业务的持续创新，成为企业当前云安全建设的新挑战。
近日，为帮助企业了解并应对云安全的现状和威胁，腾讯安全和腾讯研究院联合撰写发布《2023上半年云安全态势报告》(以下简称“报告”)，报告对云上攻击态势进行了多维度分析，总结了五大安全态势，并针对企业面临的云安全挑战，提出了普遍适用的安全建设思路。
01 互联网、金融、工业云是遭受攻击最多的三大行业
报告显示，由于各行业用户群体和业务需求不同，行业遭受攻击的次数呈现出明显差异，其中互联网(通用工具、技术服务、通用SaaS)、工业云、金融面临着更大的公有云安全挑战和风险，在行业被攻击总次数统计中位列TOP3，分别占53.97%、8.17%、7.1%.
其中，互联网行业由于其庞大的用户群体和业务需求，依赖于云计算技术来支持服务。攻击者往往试图利用云上的漏洞获取用户数据或破坏服务，使其成为遭受攻击次数最多的行业。而工业云作为制造业数字化转型的关键支撑，在云上同样面临着较高的攻击风险，攻击者可能试图窃取商业机密或破坏生产过程，对企业造成严重损失。
值得注意的是，金融行业由于涉及大量敏感数据和资金交易，一直是黑客攻击的重点目标。相较其他行业，金融行业在云上遭受的攻击次数不仅频繁，攻击手段也更加高级和隐蔽。
(2023年上半年各行业用户平均被攻击次数)
02 96%以上的攻击来自于外部，边界安全防护仍是网络安全防护的重中之重
报告显示，公有云在面临攻击时，攻击来源可能多种多样，其中96.1%的云上攻击主要来源于外网，3.9%的攻击来自内网横移、跨网段攻击、负载均衡等其它来源。
外网攻击通常由网络犯罪团伙等组织发起，通过漏洞利用、恶意软件和拒绝服务攻击等不同方式，来达到窃取数据和破坏服务等非法目的。因此，为有效应对外网攻击，加强边缘安全防护仍是企业网络安全防护的核心任务。
(2023上半年云上被攻击次数来源占比图)
03 企业业务容器化加速，容器被攻击次数占比攀升至45%
在公有云环境中，负载资产包括主机负载和容器负载。在对这两大类资产的被攻击情况统计中，容器负载的被攻击占比达到45.06%，主机负载达54.94%，占比基本达到1:1，说明企业在云安全防护上应兼顾主机安全和容器安全，以确保资产可以得到全面的安全防护。
(2023上半年云上资产被攻击次数占比图)
04 数据窃取、建立僵尸网络和恶意挖矿是攻击者的主要攻击目的
报告显示，控制受害云主机资源获取企业敏感数据、下载运行挖矿木马牟利、建立僵尸网络的攻击目的最为常见，其次漏洞利用准备、勒索等安全事件也时有发生。在攻击者云上攻击目的占比统计中，攻击者主要以数据窃取(49%)、建立僵尸网络(22%)、恶意挖矿(20%)为攻击目的。
报告指出，了解攻击者的攻击目的占比有助于企业更好地制定安全策略，并采取相应的防护措施，有助于企业提高整体安全防护水平，确保数据和应用程序的安全。
(2023上半年黑客云上攻击目的占比图)
05 暴力破解、DDoS和漏洞利用仍是黑客最常用的攻击手段
为了达成目的，攻击者往往会针对目标采用多种攻击行为，据上半年各类攻击次数占比统计，暴力破解(47.24%)、DDOS(30.93%)、漏洞利用(15.6%)成为黑产最常用的三大攻击手段，企业需对这些路径提高警惕并采取相应措施提升安全防护水平。
在三大主要的攻击路径之外，随着越来越多的应用开发 依赖API之间的相互调用，API作为系统间的通信桥梁逐渐成为攻击者重点攻击的目标，API滥用已成为导致企业Web应用程序数据泄露的最常见的攻击媒介。据统计，攻击者利用API Key、敏感文件执行、敏感信息读取等手段发起的攻击次数呈明显上升趋势，占总攻击事件的1.69%。
(2023上半年各类攻击次数占比)
最后，报告研究发现，虽然大部分的企业都已建立安全防御体系，但由于安全人员匮乏、安全预算不足、安全理念滞后等原因，绝大多数行业的安全水位普遍低于预期。
据相关统计，在人员投入上，60.49%的企业安全部分人员不足10人，即使是千人以上的大型企业，安全人员数量中位数也不足20;在安全预算投入上，低于5%下限的企业比例超过70%，远低于安全建设需求。当前大部分企业安全建设仍处于被动防御状态，企业决策层、其他部门与安全部门对安全价值认知存在较长期的错位。
(网络安全预算占IT预算比例统计图)
腾讯安全基于对云安全态势的分析及企业现状的总结，建议企业应从技术、人员、投入三个维度全面关注自身的安全建设。
在安全建设上，腾讯安全专家建议，企业可以部署腾讯云安全“3+1”一体化解决方案，快速搭建云防火墙、web应用防火墙和主机安全三道安全防线，并通过云安全中心实现云安全的一站式联防联控，筑牢数字化转型的安全底座。
（免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）
