近期大型攻防演练观感及未来攻防趋势判断
💡
原文中文，约3400字，阅读约需8分钟。
📝
内容提要
今年的大型攻防演练总结：国产商业软件供应链厂商的大量商业软件0day被用来攻击，社工+钓鱼也有新花样，开源软件的Nday/0day漏洞及投毒仍然实用。未来几年攻防演练仍以这三种攻击手段为主，治理厂商将有优势。
🎯
关键要点
- 今年大型攻防演练中，国产商业软件供应链厂商的0day漏洞被广泛利用。
- 社工和钓鱼攻击手法出现新花样，红队的策略更加多样化。
- 开源软件的Nday/0day漏洞及投毒仍然有效，尤其是Nday漏洞有成熟的利用工具。
- 未来几年攻防演练将继续以这三种攻击手段为主，治理厂商将占据优势。
- 软件供应链厂商的安全投入不足，导致其产品成为攻击的重灾区。
- 社工和钓鱼攻击利用人性弱点，难以防范，未来仍将持续存在。
- 开源组件的安全性难以管理，攻击者利用其漏洞的成本低，性价比高。
- 未来攻防演练将形成成熟的攻击手法和配套工具，需警惕外部攻击者的关注。
- 企业需加强软件供应链的管理，以应对潜在的安全威胁。
➡️
