2023年零日漏洞在野利用情况回顾
内容提要
谷歌发布2023年零日漏洞利用情况的年度回顾报告，发现97个零日漏洞被利用，增加了50%以上，但低于2021年的106个记录。企业领域成为攻击目标的种类更多，个人用户平台供应商采取了措施来减少零日漏洞的利用。报告给出六个建议，包括加强透明度和公开漏洞修复信息，建立强大的安全基础，为高风险用户提供更强的账户安全措施。
延伸解读
零日漏洞利用趋势：数量波动与攻击面转移
2023年零日漏洞利用数量较2022年增长超50%，但低于2021年峰值，表明漏洞利用活动存在波动。攻击者转向第三方组件和库，因其可影响多个产品，扩大攻击范围。企业特定技术漏洞数量增加64%，显示企业成为更频繁的目标。这些变化提示防御需关注供应链安全和第三方依赖。
商业监控供应商：浏览器与移动设备攻击的主要推手
报告指出，商业监控供应商（CSV）主导了浏览器和移动设备的零日利用，在谷歌产品及Android生态中占75%，在全部浏览器和移动设备零日漏洞中占超60%。这些供应商向政府客户出售间谍软件能力，使得高级攻击手段扩散。这凸显了商业监控行业对用户安全的威胁，需加强监管和防御。
国家背景攻击：中国持续领先
2023年，中国政府支持的网络间谍组织利用了12个零日漏洞，较2022年的7个有所增加，继续在政府背景攻击中领先。这一趋势已持续多年，表明国家行为体在零日漏洞利用上保持活跃。组织需针对此类高级持续威胁提升防御，尤其是高风险目标。
防御建议：从基础安全到高风险用户保护
报告提出六项建议：行业应加强透明度和漏洞披露；组织需优先防御最可能造成损害的攻击；构建强大安全基础以迫使攻击者使用零日；供应商应在设计阶段准备响应；高风险用户可启用iPhone锁定模式或Pixel 8的内存标记扩展；Chrome高风险用户可启用HTTPS-First模式并禁用v8优化器。这些措施旨在提升整体安全态势。
Q&A
2023年零日漏洞的数量与前几年相比如何？
2023年发现了97个零日漏洞，比2022年增加了50%以上，但低于2021年的106个记录。
哪些公司在减少零日漏洞利用方面取得了进展？
苹果、谷歌和微软等终端用户平台供应商在减少零日漏洞利用方面取得了显著进展。
2023年攻击者的主要目标是什么？
攻击者开始将重点转向第三方组件和库，零日漏洞成为主要攻击目标。
报告中提出了哪些安全建议？
报告提出六项建议，包括加强透明度、建立强大的安全基础和为高风险用户提供更强的账户安全措施。
中国在零日漏洞利用方面的表现如何？
中国的网络间谍组织在2023年利用了12个零日漏洞，继续在政府支持的网络攻击中处于领先地位。
商业监控供应商在零日漏洞利用中占据什么样的地位？
商业监控供应商在浏览器和移动设备的攻击中占主导地位，75%的已知零日漏洞与他们有关。
