量化身份威胁：五分之一的身份验证请求具有恶意

F5 Labs研究发现，19.4%的身份验证请求可能由凭据填充攻击引发；

缓解措施可将此类攻击的发生率降低三分之二以上，但会提高后续攻击的复杂程度；

75%的被盗凭据来源不明。

西雅图：F5 Labs最新研究发现，数字身份已成为网络安全攻防的焦点，五分之一的身份验证请求来自恶意自动化系统。

《2023 年身份威胁报告：无法修补的身份》分析了 2022 年 3 月至 2023 年 4 月期间 159 家组织的系统中发生的 3,200 亿笔数据事务。

在未采取缓解措施时，自动化流量的平均占比为19.4%，这是凭据填充攻击的一个重要指标。主动缓解恶意流量后，该占比下降了三分之二以上，降至6%。

凭据填充攻击是指恶意行为者利用从一个系统窃取的用户名和密码入侵其他系统。自动化工具是此类攻击的核心，可让攻击者尽可能增加尝试次数。

F5 Labs威胁研究推广专家Sander Vinberg表示：“长期以来，数字身份一直是攻击者重点针对的目标。随着非人类身份日益普及，这一威胁也在不断加剧。我们的研究揭示了数字身份遭受攻击的严重程度，也表明有效缓解措施至关重要。值得注意的是，我们发现了一个持续存在的规律：部署防护措施后，恶意自动化活动会立即降至较低水平，攻击者往往会放弃并转而寻找更容易得手的目标。”

缓解措施实施前后对比

该研究的一个重点是探讨缓解措施对凭据填充攻击的影响。这些措施往往会改变攻击者的行为，并减少恶意自动化工具的使用。

F5 Labs发现，在未采取缓解措施的情况下，针对移动端点的攻击比针对Web端点的攻击更为普遍。引入缓解措施后，移动端点遭受的攻击降幅更大，后续攻击更多地通过Web端点发起。

缓解措施也影响了攻击的复杂程度。

在针对未受保护的身份验证端点的恶意流量中，64.5%属于“基础”攻击，即攻击者未尝试模拟人类行为或规避机器人防护。实施缓解措施后，此类攻击的占比显著降至44%。

相比之下，在部署缓解措施后，会尝试干扰反机器人解决方案的“中级”攻击占比从12%升至27%。高级攻击使用的工具可以高度模拟真人用户的浏览行为（包括鼠标移动、按键操作和屏幕尺寸），其占比从20%升至23%。

Vinberg表示：“我们的分析显示，实施防护措施后，许多攻击者会直接转向其他目标。那些在系统已部署缓解措施的情况下仍继续发起攻击的攻击者，显然意图更坚决、手段也更复杂。他们会利用工具高度模拟人类行为，或投入更多精力来掩盖其活动。”

“例如，我们观察到一次攻击，它在516,000个请求中模拟了513,000次独特的用户交互，仅有不到1%的交互重复使用了可识别特征。对于复杂程度较高的攻击，有时需要人工观察才能识别恶意行为并创建新签名。”

防御方面临的挑战日益严峻

F5 Labs还研究了已泄露凭据的供应链。令人担忧的是，防御人员的可见性似乎比他们原以为的低得多。攻击期间提交的凭据中，多达75%此前并未被发现已遭泄露。

此外，防御人员还必须应对专为规避缓解措施而设计的身份威胁。例如，组织可能会通过查找身份验证请求成功率异常偏低的情况，来监控凭据填充攻击。研究发现，攻击者使用“金丝雀”账户来应对这种监控方式。他们可以持续访问这些账户，人为提高整体成功率。在一个案例中，某凭据填充攻击活动为此在同一周内登录同一个金丝雀账户达3,700万次。

网络钓鱼攻击是F5 Labs分析的另一个重点领域。分析再次发现明确证据，表明攻击者正加大力度规避防御措施。值得注意的是，多重身份验证的日益普及正推动反向代理网络钓鱼攻击增多。在此类攻击中，攻击者会设置虚假登录页面，诱导用户输入凭据。

此外，攻击者越来越多地利用AntiRed等规避检测的功能。AntiRed是一款JavaScript工具，旨在绕过Google Safe Browsing等基于浏览器的网络钓鱼分析功能（当用户访问可能不安全的网站时，Google Safe Browsing会显示红色警告消息）。

即将出现的新威胁

在环境持续演变的背景下，F5 Labs还观察到新一代威胁正在涌现。

例如，2022年8月，暗网上出现了一则推广语音网络钓鱼系统的广告。该系统将利用人工智能来自动执行网络钓鱼电话。随着AI日益成熟且成本不断下降，此类手段预计会逐渐变得更加普遍和有效。

Vinberg补充道：“展望未来，身份提供商应采用反机器人解决方案，以缓解凭据填充等恶意自动化行为。即使是简单的反机器人解决方案，也能缓解大多数技术并不复杂的凭据填充攻击。”

“组织可以使用基于密码学的MFA解决方案进一步增强防御能力，例如基于WebAuthn或FIDO2协议的解决方案。归根结底，应对基于身份的攻击并没有一劳永逸的办法。防御人员必须监控并检测攻击，量化检测的错误率，并据此调整防御措施。我们对这些攻击及其不断变化的特征研究得越深入，就越能有效管理各类系统中固有的漏洞风险；用户必须证明自己的身份，才能访问这些系统。”

关于F5

F5是一家多云应用服务和安全公司，致力于打造更美好的数字世界。F5与众多大型先进组织合作，保护并优化位于本地、云端或边缘的每个应用和API。F5助力组织为客户提供卓越且安全的数字体验，并持续领先一步应对威胁。有关更多信息，请访问f5.com。（NASDAQ：FFIV）

还可以在Twitter上关注@F5，或访问F5的LinkedIn和Facebook页面，进一步了解F5、其合作伙伴和相关技术。F5是F5, Inc.在美国及其他国家/地区的商标、服务标志或商号。本文提及的所有其他产品和公司名称可能是其各自所有者的商标。

###

本新闻稿可能包含与未来事件或未来财务业绩相关的前瞻性陈述，此类陈述涉及风险和不确定性。此类陈述通常可通过“可能”“将”“应当”“预期”“计划”“预计”“认为”“估计”“预测”“潜在”或“继续”等词语、这些词语的否定形式或类似表述加以识别。这些陈述仅为预测，实际结果可能与其中的预期存在重大差异，具体取决于多项因素，包括公司向美国证券交易委员会（SEC）提交的文件中所列的因素。