网络安全领域近日迎来了一份引人关注的报告，由知名安全解决方案提供商BeyondTrust于4月15日正式发布。该报告揭示了2024年微软产品中的漏洞情况，数量达到了惊人的1360个，相比2022年的1292个，增幅达到了11%。
报告中详细分析了各类漏洞的分布与特点。其中，权限提升（EoP）漏洞占比高达40%，成为了攻击者最为偏爱的攻击手段。这一数据凸显了攻击者对于权限的极度渴望，通过提升权限，他们能够轻松地在网络中横向移动，进而访问并控制关键系统。安全功能绕过漏洞的数量也显著增长，从2023年的56个激增到2024年的90个，涨幅高达60%。
特别微软Edge浏览器在2024年的漏洞总数达到了292个，与上一年度相比增长了17%。更为严重的是，这292个漏洞中包含了9个关键漏洞，而2022年这一数字还为零。这一变化无疑为使用Edge浏览器的用户带来了更大的安全风险。
面对这一严峻形势，BeyondTrust在报告中提出了对微软的建议。报告认为，微软需要在软件设计阶段就加强安全编码和威胁建模，从源头上减少漏洞的产生。这一建议直指微软产品安全的根本，强调了在设计阶段就融入安全理念的重要性。
然而，尽管挑战重重，微软生态系统的整体安全状况仍表现出一定的积极趋势。报告显示，2024年微软关键漏洞的数量持续下降，这在一定程度上反映了微软在安全举措和现代操作系统安全架构方面的改进成效。同时，微软Azure和Dynamics 365的漏洞数量也趋于稳定，漏洞增长速度有所放缓。
BeyondTrust的首席技术官James Maude在解读报告时表示：“今年的数据清晰地告诉我们，威胁形势并没有减缓，反而在快速演变。权限提升漏洞的持续主导地位，再次证明了攻击者对于权限价值的高度重视。他们将继续瞄准那些拥有高权限的身份，以实现横向移动并访问关键系统。”
James Maude还强调，单纯依赖补丁来应对安全威胁是远远不够的。因为补丁可能会失效，甚至可能带来稳定性风险。因此，组织需要更加聚焦于权限路径的安全，构建多层防御体系，减少每个身份和访问点的攻击面。只有这样，才能有效应对攻击者不断创新的绕过防御手段。
