如今的网络犯罪分子早已不是业余的脚本小子，他们大多是受国家支持的对手或职业罪犯，目标明确——窃取信息，牟取暴利。尽管破坏行为依然存在，但间谍活动已取代黑客行动主义，成为继经济利益之后的第二大网络攻击驱动力。面对动机各异且日益精明的攻击者，许多企业的安全团队正疲于应付。
根据威胁情报提供商 Check Point Research 的数据，2023年，全球平均每个组织每周遭受 1,158 次攻击。与此同时，全年公开披露的攻击事件共泄露了约 82 亿条记录。网络犯罪造成的损失巨大，据预测将在2024年达到 9.5 万亿美元。
攻击者与防御者之间存在着天然的不对称性：防御者必须堵住所有可能的入口，而攻击者只需找到一个弱点。这种局面使得任何联网的组织都面临风险，不仅是大企业，部署了不完善安全措施的中小企业同样是理想目标。
为了有效防御，安全管理者必须了解可能遭遇的各种攻击。下面，我们将详细拆解 16 种最具破坏性的网络攻击类型及其运作原理，并提供预防思路。
1. 恶意软件攻击
“恶意软件”（Malware）是一个统称，涵盖所有旨在损害用户利益、使攻击者受益的恶意或侵入性程序或文件。它们形式多样，但都使用规避和混淆技术，不仅欺骗用户，还能绕过安全控制，悄无声息地安装在系统上。
目前，最令人担忧的形式是“勒索软件”，我们会在下一节单独介绍。除此之外，还有几种常见的恶意软件类型：
- Rootkit。 与其他恶意软件不同，Rootkit 是一套用于在受害者设备上开后门的软件工具。攻击者借此安装勒索软件、键盘记录器，或远程控制网络上的其他设备。为了避免被发现，Rootkit 通常会禁用安全软件。一旦控制设备，它就可以用来发送垃圾邮件、加入僵尸网络，或窃取敏感数据。
- 特洛伊木马。 这种程序看似无害，实则包藏祸心。它通常隐藏在看似正常的电子邮件附件或免费下载中。一旦用户点击，恶意代码就会潜入设备，执行攻击者设定的任务，可能是立即攻击，也可能是为后续攻击预留后门。
- 间谍软件。 间谍软件一旦安装，就会在用户不知情的情况下监控其互联网活动、追踪登录凭证、窃取敏感信息。网络罪犯常用它来获取银行账号和密码。值得注意的是，一些政府机构也被发现使用间谍软件（如著名的 Pegasus）来监视特定人群。
2. 勒索软件攻击
勒索软件通常在用户访问恶意网站或打开被篡改的邮件附件时安装。传统上，它会利用设备漏洞加密重要文件（如文档、数据库），然后索要赎金以换取解密密钥。攻击可能针对关键服务器，或在加密前试图感染网络上的其他设备，以实现同时攻击。
为了施压，攻击者还常威胁会出售或泄露窃取的数据。事实上，一些攻击者现在完全依赖数据盗窃和公开披露来勒索，甚至懒得加密文件。这可能是2023年勒索软件攻击数量创新高的原因之一。Check Point Research 报告称，全球 10% 的组织曾遭受未遂攻击。
从个人到政府机构，任何人都可能成为目标。2017 年的 WannaCry 攻击影响了 150 多个国家，给英国 NHS 造成约 1.11 亿美元损失。2023年，英国皇家邮政遭攻击导致国际货运中断六周，虽然拒绝支付赎金，但已花费近 1300 万美元进行补救。同年，米高梅集团因此损失约 1 亿美元，凯撒娱乐则被报道支付了 1500 万美元赎金。
3. 密码攻击
尽管密码存在诸多缺陷，它仍是最常用的身份验证方法。因此，获取目标密码就成了绕过安全控制的捷径。攻击者使用多种方法窃取密码：
- 暴力攻击。 尝试常见密码（如
password123），或使用自动工具穷举所有字符组合。
- 字典攻击。 与暴力攻击类似，但使用根据目标地理位置定制的常用单词和短语库。
- 社会工程学。 通过伪造来自熟人或权威机构的邮件/短信，诱骗用户主动交出密码。
- 键盘记录器。 秘密记录用户的每一次击键，从而获取密码、PIN 码等信息。
- 密码嗅探。 在网络中安装小程序，抓取以明文传输的用户名和密码。随着网络加密的普及，此方法威胁已减小。
- 窃取或购买密码数据库。 直接攻破组织防御，窃取凭证库自用或出售。
根据一项 2023 年的调查，45% 的受访者知晓其组织在一年内发生过凭证泄露，其中 59% 导致了成功的网络攻击。Verizon 的报告也显示，在 4,291 起入侵事件中，49% 涉及使用被盗凭证，这是攻击者进入系统的主要方式。
4. DDoS攻击
分布式拒绝服务 (DDoS) 攻击利用大量受感染的设备（僵尸网络）同时冲击服务器、网站等网络资源。目的是通过海量的请求耗尽目标资源，使其减速或完全瘫痪，从而拒绝为合法用户服务。
2023 年上半年，DDoS 攻击次数同比增长了 31%，达到近 790 万次。这些攻击背后可能有政治动机，也可能纯粹是为了勒索赎金。更令人担忧的是，攻击者正利用 AI 工具来改进攻击技术和指挥僵尸网络。
5. 网络钓鱼
在网络钓鱼攻击中，攻击者伪装成可信实体，诱骗受害者交出密码、信用卡信息等有价值数据。它基于社会工程学，通过电子邮件、短信（短信钓鱼）或电话（语音钓鱼）分发恶意链接或附件。
“鱼叉式网络钓鱼”针对特定个人或公司，而针对高管的则被称为“鲸钓攻击”。与此相关的“商业电子邮件入侵 (BEC)”中，攻击者冒充高管，指令员工进行转账等操作。根据 FBI 数据，2022 年 BEC 攻击造成了超过 27 亿美元损失。
6. SQL注入攻击
任何数据库驱动的网站都可能受到 SQL 注入攻击。攻击者通过构造恶意的 SQL 查询，可以读取、修改甚至删除数据库中的数据，从而窃取知识产权、客户信息、管理凭证等。
它至今仍是主流攻击媒介，在 2023 年 CWE 最危险软件漏洞榜单中高居第三。同年，公开的 SQL 注入相关漏洞超过 2100 个。一个著名案例是，攻击者利用 Progress Software 的 MOVEit Transfer 漏洞，导致了波及数千家组织的大规模数据泄露。
7. 跨站脚本
跨站脚本 (XSS) 是另一种注入攻击。攻击者将恶意脚本植入合法网站，当用户浏览该页面时，脚本会在其浏览器中执行。这使得攻击者可以盗取会话 Cookie（从而冒充用户）、传播恶意软件或破坏网站。
XSS 常与网络钓鱼等技术结合使用，在 2023 年 CWE Top 25 榜单中排名第二，是一种非常普遍的威胁。
8. 中间人攻击
在中间人 (MitM) 攻击中，攻击者秘密拦截并可能篡改双方（如用户与网站）之间的通信。双方以为在直接对话，实则所有消息都经过攻击者之手。
成功的 MitM 攻击可以让攻击者获取登录凭证、交易详情等敏感信息。此类攻击常以网银和电商用户为目标，并通过钓鱼邮件诱使用户安装恶意软件来发起。
9. URL 解释/URL 中毒
攻击者通过修改 URL 参数来尝试访问未授权的信息或资源。例如，如果用户查看自己账户的 URL 是 https://example.com/account?user=2748，攻击者可能会尝试将 user 参数改为 1733，看看能否访问他人账户。
如果网站服务器没有对每次请求进行严格的权限校验（尤其当输入来自用户时），攻击者就可能越权查看或操作数据。这种攻击常被用来收集机密信息或访问管理后台，其根源通常在于“不安全的直接对象引用”漏洞。
10. DNS欺骗
DNS 负责将域名转换为 IP 地址。DNS 欺骗攻击中，攻击者用虚假记录污染 DNS 服务器或解析器，将用户引导至假冒的网站。这些仿冒站做得足以乱真，当用户输入登录信息时，凭证便落入攻击者手中。
11. DNS隧道
由于 DNS 是受信任的基础服务，其流量通常能自由穿越防火墙且很少被深度检查。攻击者利用这一点，将恶意数据（如命令与控制指令）隐藏在 DNS 查询和响应中，从而绕过安全控制。
攻击者会在受控服务器上部署隧道程序，一旦组织内计算机被感染，恶意软件就会通过 DNS 请求联系该服务器，建立一条隐蔽的通信通道。虽然 DNS 隧道也有合法用途（如杀毒软件更新），但必须严格监控，只放行可信流量。
12. 僵尸网络攻击
僵尸网络是由被恶意软件感染并受控的计算机、设备组成的网络。攻击者还越来越多地利用脆弱的物联网设备来扩充僵尸网络的规模。它们常被用于发送垃圾邮件、进行点击欺诈，以及发动DDoS攻击。
例如，2021年发现的 Meris 僵尸网络，据估计由约 25 万台设备组成，曾发起过一些有记录以来最大规模的 DDoS 攻击。僵尸网络的目标就是感染尽可能多的设备，集合其计算资源来自动化、放大恶意活动。
13. 水坑攻击
在这种“路过式攻击”中，攻击者先入侵目标群体（如某公司员工或整个行业）常访问的网站，植入恶意代码。当用户访问该网站时，代码会自动执行并感染其设备。
由于用户信任该网站，攻击很难被察觉。恶意软件通常是一种远程访问木马，让攻击者能完全控制被感染的系统。
14. 内部威胁
员工和承包商拥有系统的合法访问权，其中一些人甚至深知安全防御的细节。这可能被恶意利用来访问受限资源、破坏系统或安装恶意软件。当然，内部人员也可能因疏忽或缺乏安全意识而无意中造成问题。
虽然普遍认为内部威胁事件多于外部攻击，但 Verizon 2023 年的报告显示，超过 80% 的泄露由外部行为者造成，内部人员参与了其中的 19%。一些最著名的数据泄露事件（如斯诺登事件）正是由拥有特权访问权的内部人员实施的。
15. 窃听攻击
窃听攻击，也称网络嗅探或数据包嗅探，利用不安全的网络通信，在数据传输过程中进行实时截获和记录。攻击者通过硬件、软件或两者结合，“窃听”网络数据包中的未加密信息。
攻击者可能通过钓鱼邮件安装嗅探软件，或直接物理接入网络。由于现代网络复杂、设备众多，这种攻击很难被察觉，因为它通常不影响网络正常运行。
16. 生日攻击
这是一种针对哈希函数的密码学攻击，基于“生日悖论”的原理。它通过尝试大量不同的输入，寻找与目标哈希值（如代表数字签名或密码的哈希）发生碰撞的输入。
哈希函数本应具备抗碰撞性，但若函数较弱或输入空间（如密码）太小，攻击者仍可能通过海量计算找到匹配项，从而伪造签名或破解凭证。因此，必须使用能抵御此类攻击的强加密算法和技术。
如何预防常见类型的网络攻击
连接设备越多，网络价值越大，但攻击面也越广。安全团队必须接受网络将持续受攻的现实。然而，了解攻击方式有助于制定有效的缓解策略。以下是一些关键防御要点：
- 堵住入口：漏洞管理是关键。 攻击者需要利用漏洞才能站稳脚跟。因此，建立一个勤勉的漏洞管理程序，及时识别和修复系统弱点，能显著降低被攻破的风险。
- 人是关键：持续的安全意识培训。 Verizon 报告指出，74% 的数据泄露涉及人为因素。错误下载、弱密码、落入社会工程陷阱都可能引狼入室。因此，持续更新、具有针对性的安全意识培训至关重要。通过模拟攻击测试员工反应，能发现不足并推动改进。
- 纵深防御：定期测试与加密。 除了培训，还需要技术层面的纵深防御。定期进行漏洞评估和渗透测试，检查系统短板。在网络中实施端到端加密，即使攻击者突破了外围或截获流量，也难以提取明文数据。
- 应对未知：内容解除与重建。 对于未知的零日漏洞，可以考虑采用“内容解除和重建”技术。它不试图检测恶意功能，而是假定所有内容都可疑，只重构出符合安全规范的文件部分。
- 主动监控与快速响应。 安全团队需要主动监控整个 IT 环境，及时发现异常。网络分段有助于隔离和阻止攻击蔓延。最重要的是，必须制定并定期演练事件响应计划，确保在攻击发生时能快速、有效地处置。
最终，网络安全是一场持久战。企业的安全战略和预算必须具备弹性，能够适应不断变化的威胁，并勇于部署新的安全控制措施。同时，也要善用人工智能等新工具来赋能安全团队，在云栈社区这样的技术交流平台保持学习，共同构建更安全的数字世界。
发表于 2 小时前
|
查看: 2|
回复: 0
