【绿盟科技】2025网络安全趋势

绿盟科技集团股份有限公司（以下简称绿盟科技），成立于2000趋势1:【大模型治理】2025年大模型安全治理将面向产业界推进可落地的风险管控举措，企业提供大模型系统的服务或发布基于大趋势2:【大模型安全应用】2024年，AIAgent技术迅猛发展，安2025年，基于LLM的Agent将提升自主决策能力，推动安全领域趋势3:【安全运营】2024年，安全运营成为安全大模型的主要应用领域，通过量化指标提升运营效率，结合大小模型精准识别潜在威胁，助力复杂攻击调查与深度溯源。2025年，安全大模型将更趋势4:【AI红队】DeepSeek-R1促使更多企业部署私有大模型系统及应用，私有化部署将催生企业采取AI红队技术系统性发现、趋势5:【威胁情报】开源大模型DeepSeek将加速情报与大模型的结合，“本地智能”将重塑威胁情报体系和生态。云服务商漏洞引发的云安全事件将依然频发，其中供应链安全成为趋势7:【勒索】勒索组织攻击目标将聚焦关键基础设施单位，勒索生态显现虹吸效应，大型勒索组织规模不断扩大，国家治理难度升趋势9:【数据安全】以往跟数据安全相关的新技术分别应用于不同的细分领域，例如，隐私计算的主要赛道是金融行业，机密计算的主要需求来自安全性较高的特殊行业，可信计算、区块链常见于科研项目。2025年，这些新技术都将围绕着可信数据空间开展应用趋势10:【低空经济】安全将成为低空经济发展中的关键命题，业界各方的共同参与将加速低空经济安全体系的建设。专为低空智能网联场景量身打造的检测防护产品以及态势感知系统，将陆续推出序对于网络安全行业而言，洞察安全趋势并顺势而为，不仅有探究网络安全行业趋势的发端，离不开对合规和攻防实践等关键要素的分析。绿盟科技依托扎实的网络安全保障实践，立足重大需求深入理解国新密切跟踪攻防异动，立足专业视角全方位分析要素影响，研判提出“2025年网络安总体来看，2025年度网络安全行业发展趋势将重点围绕技术、场景、威胁三条主要引擎；场景方面，低空经济、可信数据空间等将“跻身”2025年3月趋势1：【大模型治理】2025年大模型安全治理将面向产业界推进可落地的风险管控举措，企业提供大模型系统的服务或发布基于大模型的应2李NSFOCU512025网络安全趋势报告随着人工智能技术和应用的井喷式出现，人工智能技术释放红利的同时，也显露出安全风险。国内的儿童智能手表不当回复引发民族认同与自信问题、国外首例大模型引导青少年在这样的背景下，全球范围内的政府、科研机构、企业和社会各界都在积极探讨如何制定有效的政策和法规，以规范人工智能的发展。在国际层面，联合国通过《人工智能伦理建我国实施了《新一代人工智能发展规划》，强化了立法与监管，如《数据安全法》和《个人信息保护法》。同时，我国还举办了“人工智能与社会发展”国际论坛，促进了全球对话。各国政府在立法与监管方面，如欧盟的《人工智能法案》和美国的《2022年算法问责法案》，均旨在规范AI技术的应用。2023年7月，我国率先出台实施了全球首部生成式工智能法草案”。2024年全国信息安全标准化技术委员会发布《生成式人工智能服务安全安全措施等，并给出了安全评估要求。各地方政府也相继出台支持政策，推动大模型产业的持续发展。当前，北京、深圳、上海等地均发布了关于人工智能大模型相因此，未来大模型应用将更加注重合规性，同时内置的隐私保护功能也会得到进一步的强化，这些保护措施包括但不限于数据加密、数据脱敏、权限控制、匿名化以及用户数据的旨在规范生成式人工智能服务提供者在处理敏感信息时的行为，保障用户的隐私和个人信息安全，促进生成式人工智能服务的健康发展。因而，AI服务商可通过提升安全性来获得竞争优势，安全厂商也可推出相关安全产品以满足出现的人工智能安全需求，最终减小大模型及其数据成为攻击目标的风险，保障安全大模型系3我们相信，在2025年，人工智能安全治理将围绕具体行动方案进行讨论，评查如何落目前，人工智能的风险分类分级政策逐渐完善，以几个代表性的政策标准为例。《生成式人工智能服务安全基本要求》明确将生成式AI服务的安全风险分为五大类，包括违反社会主义核心价值观内容、歧视性内容、商业违法违规、侵犯他人合法权益和无法满足特定服务类型的安全需求，为服务提供者在开展安全评估时提供了清晰的风险分类与指导。与此同时，欧盟的《人工智能法案》将AI系统的风险划分为不可接受、高风险、有限风险和低风此外，中关村信息安全测评联盟发布的《大模型系统安全保护要求》涵盖了大模型在设计、开发、测试、部署及退役等全生命周期的安全保护要求，强调对大模型的全面风险管理。这些政策和标准旨在通过系统化的风险管理框架，提升人工智能服务的安全性与合规性，确保李NSFOCU512025网络安全趋势报告4甚至以评估工具的形式高度自动化地检验安全性，才能应对AI模型正处于快速迭代中的安全挑战。其中，微软的PyRIT（Python风险识别工具包）作为一个开源框架，旨在自动生成对抗性提示，帮助开发者发现AI模型中的潜在风险，如幻觉、偏见和恶意输出；英伟达的Garak则专注于大型语言模型（LLM）的漏洞扫描，利用“探针”模块模拟不同输入场景来评估模型表现，并提供灵活的插件化架构，支持多模态输入分析。与此同时，绿盟科技推出的AI-Scan工具为企业提供全面的AI大模型风险评估，能够快速识别内容安全和对抗安思考模式处理多任务时可能存在处理不当的情况。由此可见，DeepSeek-R1需要加强对于DeepSeek-R1安全策略的泛化可能导致过度防御，即为了防止潜在风险而过度拒答。5建议在本地部署或私有化部署时，应考虑本地的内容审核与过滤机制，并优化拒2025年，面向产业界将推出具备可落地性的生成式人工智能治理险类型与等级，对应的测试评估benchmark或以评估服务或工具的形式，让企业能更好的7了的安全编排引擎，灵活调度不同行为分析策略检测异常行为并采取隔离措施，以防止潜在检测的编写时间从几小时缩短至几秒钟，通过大幅提高调查速度、自动监控和响应来协助安全运营。尽管市场对AIAgent的热情高涨细观察这些所谓的“Agent”产品，会发现它们在输出精确性、任务理解和执行可靠性等方能够在有限甚至无人工干预的情况下自主行动，以实现特定目标。这种高度自主性意味着AI同时丰富的工具生态为Agent提供了广泛的操作能力。绿盟科技在2024年发布的智能渗透多智能体系统中，一方面提升了自研安全行业大模型SecLLM对渗透任务的理解分析和推理决策能力，另一方面自主研发了EZ（绿盟渗透测试自动化工具）、Firebox（绿盟自动化漏洞利用平台）、OvO（绿盟外部攻击面自动化情报收集系统）等多种安全攻防工具执行特定的渗透子任务。通过多智能体协同工作和并行处理，分钟级别完成渗透目标攻击面画像、渗透路径推荐和漏洞自动化探测和利用等。在实际应用中，单个目标站点的渗透耗时天级别缩短至分钟级，替代了超过83%的人工操作，且漏洞覆盖率超过96%，进一步提升了渗透测8李NSFOCU512025网络安全趋势报告用AI增强现有工具上，根据具体业务场景开发Agent以完成特定任务，而非提供全自主独趋势3:【安全运营】2024年，安全运营成为安全大模型的主要应用结合大小模型精准识别潜在威胁，助力复杂攻击调查与深度溯源。2025年，安全大模型将更加专注于行业定制化和垂直领域应用，提供李NSFOCU512025网络安全趋势报告走向实际应用，成为推动安全运营业务智能化升级的重要力量。根据IDC的定义基于通用大模型进行微调和优化，提升了安全领域的知识深度和专业性。主流安全企业如绿盟科技、深信服、奇安信和360安全等，纷纷推出了各自的基于安全大首先，安全大模型产品作为“安全副驾”，为安全运营提供辅助决策支持，能够增强威胁检测、风险评估和响应能力，减少重复性工作，提高整体安全运营效率。绿盟科技充分运用安全大模型助力安全运营由被动防御转向主动防护，全面解决传统安全运营中心所面临警其次，大模型和小模型在安全运营中的协同工作，小模型专注于实时监控特定威胁的精准识别，而大模型挖掘和整合多维度的威胁关联特征，显著提升威胁检测的有效性和可解释性，两者协同工作，实现了对海量告警的深度分析和实时监控。绿盟科技的风云卫大模型作为企业安全防护体系的“大脑”，通过自然语言智能联动各类威胁检测引擎、AI小模型、传统规则及安全工具，分析海量的网络流量、业务日志和告警数据，从而精准识别和预警潜在的安全威胁，并结合资产信息高效响应处置，有效降低因安全事件导致的业务中断和数据泄此外，安全大模型还被用于复杂攻击的调查分析和威胁深度溯源，帮助安全团队更好地应对日益复杂的网络安全威胁。绿盟科技的安全大模型在自动化溯源攻击路径和目标方面，依赖其强大的数据处理与分析能力，以及对复杂网络环境的深入理解。风云卫能够从多个维度整合信息，包括网络路径、数据流和用户行为等。通过综合分析这些信息，大模型可以快速定位数据泄露或攻击途径，并识别攻击者的行为模式与趋势。此外，结合历史2025年，大模型将更加注重行业定制化与垂直领域平衡本地部署的算力与能耗，解决模型持续优化等难题。未来，大模型在安全运营领域的发使更多企业部署私有大模型系统及应用，私有化部署将催生企业采取AI红队技术系统性发现、评估大模型安槛，企业级市场涌现出私有化部署的浪潮。通过将大模型系统部署于私有服务器（包含私有云企业可有效规避敏感数据在云端传输、处理过程中可能面临的泄露风险，同时摆脱对私有化部署虽然强化了数据物理边界防护，但是也无法使用大模型SaaS服务提供商的安全识别与防御能力，需要自行构建AI攻击面管理。根据美国斯坦福大学《2024年人工智能指数报告》统计，2023年全球共发生123起与人工智能滥用相关的重大事件，比2013年增长了近20倍，并呈现持续增长态势。与此同时，人工智能风险的波及范围和影响程度也显著加大。国际货币基金组织《生成式人工智能：人工智能与未来就业》报告指出，全球由于大模型安全涉及安全知识广，包括模型算法、网络安全、数据安全、云环境安全、安全开发等多种安全知识，且需要兼具安全攻防专家的实战经验，从攻击者、破坏者视角发随着大模型安全防护技术的进步，安全围栏和模型安全对齐技术的发展，对抗性模型越狱攻击也在不断升级。不同的越狱攻击方法会产生不同的效果，如何使用和评价目标大模型AI红队技术，意味着安全专家需要从模型系统及应用程序在面对真实世界攻击时的脆弱性角度出发，针对性的构建虚拟情境、设定角色等，结合不同的模型越狱攻击技术，设计出李NSFOCU512025网络安全趋势报告随着应用的深入，潜在的安全漏洞和攻击面也在增加。例如，在金融领域，攻击者通过指令注入和数据投毒等手段实施攻击，可能导致严重的决策失误或信息泄露。如，在市场投资预测场景中，若恶意用户通过数据投毒手段干扰大模型的训练过程，可能导致大模型预测结果能体应用所在的具体业务场景出发，深入理解目标系统所具备的技术与业务智能体功能，针对性地利用角色逃逸、目标劫持等对抗技术手段，以提示词作为攻击载体对目标智能体应用开展评估检测，能够让其偏离预先功能以及系统设定，从而识别潜在智能体安全漏洞与滥用风险。同时，需结合动态环境模拟和真实场景测试，验证智能体在复杂多变的应用环境中的这些模型的广泛应用也带来了供应链安全风险的增加。近期的案例，如利用HuggingFace以及HuggingFace平台上的恶意模型后门仓库事件，均揭示了大模型方向开源及供应链安这些事件表明，攻击者能够通过在开源模型中植入恶意后门，在开发和运行阶段加载并Face平台上发现的恶意模型后门仓库事件中，攻击者通过在模型中植1.模型来源审查：对所有使用的开源模型进行严格的来源审查，确保模型的来源可靠，3.动态行为分析：对模型执行过程中的行为进行动态监控，检测任何异常行为，如不寻4.安全沙箱环境：在安全沙箱环境中测试和运行模型，以隔离潜在的恶意行为，防止对5.供应链风险评估：定期进行供应链风险评估，识别潜在的安全漏洞，并制定相应的缓2025年，更多大型企业在建设与业务相关的大模型系统和应用程序时，将通过组建AI趋势5:【威胁情报】开源大模型合，“本地智能”将重塑威胁情报DeepSeek开源大模型为企业本地化低成本部署提供了可能，利用其自然语言处理、数据理解与推理、内容生成等能力优势，将重构威胁情报生产、消费与应用模式，催生半成品情报加工”、“行业定制情报”、“人机交换变革等新场景，最终推动威胁情报采集、分析与应用从“云端集中式”向“云-地协同式”转型。本地化威胁情报平台联动本地化（一）生态重构：企业从单向情报消费到参与情报加工在传统模式下，企业多为情报的单向消费者，依赖情报厂商在云端利用丰富算力进行情报挖掘与加工，获取成品情报用于安全防护。然而，DeepSeek本地化部署可能会打破这一格局。企业有机会参与威胁情报生成，从单纯的情报使用者转变为共建者。借助DeepSeek的能力，企业可在本地对情报进行二次加工，融入自身安全业务理解和特定需求，实现情报开源特性与低硬件门槛的成本优势使得更多企业用户能够参与到大模型的情报处理中。企业可以不再依赖厂商云端的大算力与大规模语料支持限制，即可基于本地业务进行二次加工，为情报生态的多元化发展注入了新的活力。（二）场景进化：从被动防御到提前防御、主动防御、智能预防DeepSeek出色的自然语言理解和推理能力将促使本地化情报应用场景发生变革。传统本地情报应用主要依赖IOC的机读接入进行自动封堵，属于典型的被动防御模式。随着DeepSeek的引入，企业人员有机会将防御体系向主动防御、事先预警以及智能预防等方向推进。企业能够借助DeepSeek对情报进行括漏洞预警、暗网数据泄露、热点事件分析、行业攻击参考、攻击者技战术分析、战略分析情报等提前发现潜在威胁，主动采取防御措施，从而将安全防护从“亡羊补牢”转变为“未雨绸缪”，有效降低安全事件的发生概率与损失程度。（三）数据价值更新：情报数据种类升级，从标准“成品”到可塑性强“半成品”传统情报数据多为成熟、标准化的情报，便于机读与消费。然而，随着DeepSeek的本索情报”等情报价值将被充分挖掘与应用。例如，专业的技战法分析报告、详细的恶意软件李NSFOCU512025网络安全趋势报告这就好比在本地企业拥有了一口智能炒锅，企业不再局限于点成品外卖（标准化情报而是可以对超市预先清洗和搭配好的“半成品菜肴”（半成品情报）进行二次加工，做出外卖标品没有的菜品。DeepSeek的智能化能力使得企业能够灵活处理各种情报数据，充分发挥其潜在价值，从而构建一个更具可塑性的情报数据生态。这样催生了威胁情报平台的进一例如暗网监测情报、勒索组织预警情报、黑客组织动态情报、行业重要攻击事件情报、重点DeepSeek的快速本地化将推动情报从通用化向精准化转变。企业能够根据自身行业特点与业务需求，量体裁衣地定制行业专属甚至企业专属的情报，大幅提升情报的易用性与实这不仅提高了企业对威胁情报的利用效率，还为企业提供了更具针对性的安全防护方案，有效应对复杂多变的网络安全威胁。企业可以通过升级新一代的威胁情报平台联动DeepSeek（五）理解力升级：情报解读将“难理解”情报数据变成“易理解”情报除了是否恶意外，包括多维度的丰富数据，尤其在分析未知攻击时，用户需要对情报的多维属性进行复杂解读，从而分析出资产的画像和可能面临的威胁。但是情报的多维属性往往存在隐含冲突，理解难度较大，只有经验丰富的情报分析人员才能理解。例如，一个能作为知名公共域名服务的提供者，也可能作为DD安全厂商云端门户提供，而新一代威胁情报平台则引入DeepSeek进行情报解读，这不仅能在保障查询隐私性的前提下融入本地的行业特色的理解能力，还能降低情报使用人员的专（六）交互革命：本地情报平台人机接口升级情报使用效率的提升离不开人机接口的优化。DeepSeek的出现为情报平台的人机接口升级带来了新的契机。借助DeepSeek，情报平台能够在本地实现情报聊天机器人，摆脱传统聊天机器人对云端资源的依赖以及SaaS模式下可能存在的信息安全问题。用户可以通过自然语言与情报聊天机器人进行交互，快速获取所需情报信息，极大地提升了情报使用的便总结以上，开源大模型DeepSeek的出现，为威胁情报领域带来了新的变革机遇。其低成本本地化部署能力，推动了威胁情报采集、处理、分析与应用从“云端集中式”向“云-地协同式”转型。客户可以通过升级新一代威胁情报平台联动本地部署的DeepSeek，重构企业客户的本地情报生态，实现“丰富新的情报使用场景、智能提前防御、应用可塑性强的最终大幅度提升情报的使用效率和体验，进一步增强企业威胁防御体系。泄露、云配置错误，软件供应链，云服务商漏洞引发的云安全事件将依然频发，其中供应链安全成为保212025年，云安全领域将面临多维度脆弱性引发的连锁数据泄露与攻击风险。这些风险主要源于云凭证泄露、云配置错误、云服务商漏洞以及日益严峻的软件供应链问题。这些威胁不仅直接或间接导致用户数据泄露，还可能被攻击者利用进行数据加密勒索。云凭证泄露导致数据泄露事件频发：随着企业对云服务的依赖日益加深，开发者对凭证的不安全管理（如硬编码明文密钥）已成为数据泄露的主要原因之一。例如，2024年3月18日，独立研究员发现由于开发者在应用中硬编码GoogleFirebase凭证，配置不当导致约1.25亿条用户信息泄露，其中包括明文密码和账单等敏感信息。类似事件频发表明，对云凭证的安全管理（如加密存储、合理权限控制）将是未来云安全的首要任务之一。云配置错误与服务暴露导致数据泄露：云配置错误持续成为引发数据泄露的主要原因了约2.2TB的敏感数据，导致1亿美国公民的信息泄露。这些事件表明，未来云安全防护的焦点将从工作负载安全转向至面向租户的安全。供应链问题引发数据泄露、挖矿等行为：近年敏捷开发模式流行，但开发者安全意识缺失，造成大量供应链组件服务暴露在互联网上，不同程度带有NDay漏洞。这些漏洞可特别是数据泄露的风险。例如，2024年3月XZUtils因代码贡献者插入恶意后门引发混淆代码攻击，造成重要数据被窃取；同年12月，针对开源社区的伪装包@0xengine/xmlrpc事件导致WordPress账户及多个邮箱地址被攻击者窃取，并引发了进一步的Monero挖矿活动。此类事件表明，企业需针对供应链安全加强端到端的验证与监控措施。云服务商漏洞引发未授权访问和数据泄露风险：云服务的便利性为用户带来了诸多好处，但与此同时，云服务商的漏洞也引发了一系列未授权访问和数据泄露事件。这些事件每年都在不断发生，预计到2025年，这类风险将持续存在。近年来的案例有力地支持了这Microsoft的Bing服务。该攻击向量基于常见的A22李NSFOCU512025网络安全趋势报告2023年4月，Wiz研究团队在官方博客中披露了一系列被命名为BrokenSesame的阿里云数据库服务漏洞。该漏洞会导致未授权访问阿里云租户的PostgreSQL数据库，并且可以通过在阿里云的数据库服务上执行供应链攻击，从而完成RCE。2024年1月，谷歌云的Kubernetes托管云服务GKE因存在权限类漏洞导致攻击者可使用任意有效的谷歌账号接管配置错误的Kubernetes集群并进行加密挖矿，拒绝服务及敏感信息窃取等恶意行为。趋势7:【勒索】勒索组织攻击目标将聚焦关键基础设施单位，勒索生态显现虹吸效应，大型勒索组织规模不断扩大，国家治理难度升级，李NSFOCU512025网络安全趋势报告24取企业员工办公凭据的窃密器，在全球收割大量凭据权限，从中筛选出具备商业价值的攻击融机构的攻击源自网络钓鱼。近2年我们观测到越来越多的新型窃密器通过网络钓鱼等手法流程，最后释放Python信息窃密器获取浏览器密码、Cookie、钱包、桌面文件等回传特殊邮箱地址。UAC-0050勒索组织发起大规模的网络钓鱼攻击，其所投递的法院与债务有关的窃密器已经成为不可轻视的新的木马类型，通过获取各种受害者浏览器中的密码、Cookie，邮箱口令等认证、登录凭据，从其中的有效数据寻找攻击突破口。我们分析采用窃密器的原因，可能是因为开发成本低廉、攻击目的能迅速达成，能有效对抗杀软，尤其是窃密器获得的密码、凭据中，最值得关注的是VPN登录凭据。Blacksuit勒索组织通过从勒索生态圈的访问经纪人组织批量购买虚拟专用网络（VPN）凭证来获取初始访问权限。Qilin勒索组织通过寻找未使用多因素身份认证的VPN门户所泄露的凭据渗透目标网络，实从FortiClient内存中获取VPN凭证。同时，窃密器获取的邮箱口令还会再次被用作启动漏勒索组织攻破企业边界的另一主要手段是批量利用漏洞，其中又以网络设备的漏洞占比最高。一些网络设备中配置了域内高权限账号，一旦这些设备存在漏洞并被勒索组织利用，会进一步加速内部重要资产与数据的沦陷。我们观察到2024年勒索组织常用的网络设备漏252025年企业应对勒索攻击，需重点关注网国际勒索组织针对关键基础设施单位，如大型制造业、金融机构的攻击仍将增多。根据金融服务信息共享与分析中心（FS-ISAC）的数据，20处理过与勒索软件相关的事宜，与去年相比新增4374家受害机构。勒索软件是少数真正能由于金融机构掌握着大量重要数据与管理资金，这些资产在高度数字化环境中运营，使大型制造企业也是国际勒索组织的目标之一。根据BlackKite发布的研究显示，制造业在已被曝光常见攻击的高危安全漏洞。这使得制造业2025年将有更多高风险行业所属企业，通过贴合国际勒索攻击方勒索生态显现虹吸效应，大型勒索组织规模不断扩大。对国家来说治理勒索组织的难度加大，对企业来说防御难度也会增大很多。近几年美FBI联合国际执法机构打击、治理了多个勒索组织，但是收效甚微，大型勒索组织很难被彻底清除。实际可以观测到不断有中小型勒索组织被打击或难以为继，相关资源不断向大型勒索组织集中，形成更具规模的上游勒索组织。部分勒索组织被打击后也会改头换面，以全新的勒索品牌名称再次出现。上游的大型勒索组织，通过其知名度以平台形式提供了勒索攻击主要使用的勒索软件、远控工具，以及对应的免杀、对抗类技术方案，而下游勒索组织使用平台所提供的武器，结合自己的武器工李NSFOCU512025网络安全趋势报告262024年2月19日，英国国家犯罪局与欧洲刑警组织和其他国际执法机构合作，在帮助受害者解密系统的密钥。在捣毁该组织后的第5天，一个自称由LockBit运营的新网站Dispossessor是今年新出现的勒索集团，值得注意的是它与臭名昭著的LockBit组织有许多相似之处。在全球执法机构进行大规模打击并查封LockBit的主要域名之后，出现了Dispossessor。Dispossessor的网站与原始LockBit网站有着惊人的相似之处。布局、配色方案和字体几乎完全相同，这表明要么是同一运营商的品牌重塑，要么是利用LockBit基础设施的新团体。内容分析显示，原始LockBit网站上的许多帖子在发布第一天就被镜像到索软件即服务（RaaS）模式运作，其技术和运营策略与Hive类似，因此有人猜测该组织可能是已解散组织的演变或分支。然而，针对这些指控，该组织表示，他们不仅仅是Hive的红队的先进技术，开展攻击活动。一些高对抗样本通过勒索集团的PaaS平台向附属组织或下游成员提供自动化且灵活的生成方案。集团使用的武器中也不乏新兴C2，如Brc4。我们1.利用新兴C2（Brc4、Havoc）、Icedid复杂银行木马、还使用未知的定制C2框架27索组织的下游生态能够很好为之提供便捷的免杀服务，使企业终端检测成本提高。并且这些4.在地下交易平台中购买0day、1day，其中漏洞会有应用设备漏洞、Windows提权9.利用多种窃密器实施初始攻击活动，其中某些窃密器更是包含了Chrome0day，同面对大型勒索组织所采用的复杂的网络攻击手段，被攻击者已经很难从攻击过程理清其2025年，实际处理过勒索的企业，在勒索演练选择上，相较件加密阶段演练，将更倾向于采用从边界突破到内网渗透、数据渗出、实施勒索等全攻击阶段的勒索演练，全面检验自身的攻击防御能力，同时验证各阶段的应急响应与恢复流程能否29伏影实验室在本年度捕获了4起使用“假旗”战术的APT活动，APT攻击者在PDB路径、标的敏感性，Actor240315在攻击活动中刻意制造了一些巴基斯坦黑客组织特征以及中文字符串特征，希望凭借这些假旗信息误导受害者和防御方，隐藏自身的真实来源。从攻击技战术来看，除“假旗”战术外，APT攻击者借鉴融合其他组织技战术的情况也明显增多。例如在既有作战方略完成迭代的基础上，APT组织正着力重构进攻轴线，其攻击重心从赛博组织逐步走向功利和激进，他们开始选择牺牲部分攻击隐蔽度来换取更高的攻击达成率。同时，伏影实验室监测发现2024年针对我国公网在攻击隐匿性和资源利用方面，APT组织不再执着于保护高价值攻击资源，更注重于这些资源带来的价值。APT组织DarkCasino（鬼轮盘）使用了一个后来被确认为CVE-2024-21412的零日漏洞，该漏洞允许攻击由此可见，APT攻击者已经将零日漏洞的使用时机从横向移动等后期阶段扩展到初始30李NSFOCU512025网络安全趋势报告伏影实验室在本年度捕获针对国内监控系统、报警系统、安全系统、海文系统、大屏等组织包括北美方向的NSA（方程式）、东亚方向的DarkHotel（暗店）、Lazarus（拉撒路）、GreenSpot（绿斑）、伪猎者，南亚方向的Donot（肚脑虫）、Bitter（蔓灵花）、Patchwork（白象），东南亚方向的OceanLotus（海莲花）、Actor240820，东欧方向的高校、酒店等单位。攻击者通过对国内公网设备进行探测，找到存在漏洞或是存在安全风险的设备，针对性地进行攻击，利用方式主要包括0day、1day漏洞和弱口令。攻击者在成功控制公网设备后，进一步安装后门程序，以持续监控和收集敏感数据，并积极探测内网网络拓扑，寻找高价值内网主机。此外，攻击者还利用已攻陷公网设备作为跳板，对其他关基单位发起攻击，扩大战果，对我国网络安全构成严重威胁。国内公网设备的高价值已经被境外liblzma开源库后门事件揭示了APT攻击者通过开源生态进行长时间的投毒布局。攻击者通过向开源项目提交恶意代码，在几乎合并时巧妙地植入后门，这一事件被认为是史上最严重的开源项目投毒案例，提醒开发者和用户重视开源项目的安全性。5月，俄罗斯攻击者成功破坏了乌克兰境内的卫星通信系统——星链服务。通过未知的技术手段，攻击者使得星链服务长时间出现故障，导致乌克兰军队不得不依赖短信等低效的通信方式。这也是首次针对现趋势9:【数据安全】以往跟数据安全相关的新技术分别应用于不同的细分领域，例如，隐私计算的主要赛道是金融行业，机密计算的主要需求来自安全性较高的特殊行业，2025年，这些新技术都将围绕着可李NSFOCU512025网络安全趋势报告32的通知。根据该《计划》，到2028年，我国将建成100个以上可信数据空间，形成据空间解决方案和最佳实践。国家数据局将分类施策推进企业、