資訊悅報 Vol.2｜Bitdefender: 2025 網路安全評估報告的主要發現

部落格文章出處：https://www.bitdefender.com/en-us/blog/businessinsights/2025-cybersecurity-assessment-report-bitdefender

數據顯示，人工智慧的現實檢驗、違規行為發生後保持沉默的壓力越來越大，以及對減少攻擊面的關注度不斷提高。

Bitdefender 的 2025 年網路安全評估報告以資料為中心，及時展現了網路安全的現狀。報告基於兩大數據來源：一項針對美國、英國、法國、德國、義大利和新加坡 1,200 多名 IT 和安全專業人士的獨立調查；以及 Bitdefender Labs 對 70 萬起網路事件的分析。今年是第三份年度報告，它揭示了當今不斷演變的風險、內部挑戰和營運盲點背後的關鍵真相。

下載 Bitdefender 2025 年網路安全評估報告：駕馭新現實 或繼續閱讀以了解出現的一些關鍵主題。

越來越多的組織對資料外洩保持沉默

安全漏洞不僅影響系統；它們還會考驗組織回應的完整性。

令人震驚的是，今年的調查顯示，58% 的安全專業人員被指示對違規行為保密，即使他們認為應該報告。

這比我們2023年的調查結果增加了38%，顯示企業正朝著保密的方向發展。保持沉默可能會損害透明度、利害關係人的信任以及監管合規性。

今年的報告數據也按地域細分了這項挑戰，考察了被要求保持沉默最常發生的國家。報告還顯示，首席資訊安全官 (CISO) 和資訊長 (CIO) 比第一線網路安全專業人員更容易感受到這種壓力。

減少攻擊面：從優先考慮到必要

現代的對手不再攜帶工具，而是使用你的工具。

Bitdefender 分析了 70 萬起網路事件，發現 84% 的高嚴重性網路攻擊現在濫用環境中已經存在的合法工具。

這些「離地攻擊」（LOTL）戰術通常能夠繞過傳統防禦系統，不被發現。這可能是報告中另一個關鍵發現背後的驅動力：68% 的受訪者將減少攻擊面視為首要任務，其中美國（75%）和新加坡（71%）在這方面處於領先地位。

簡化環境、停用不必要的應用程式並減少橫向移動途徑的組織能夠更好地預防和遏制入侵，防止其升級為業務中斷事件。

人工智慧的擔憂日益加劇，但現實卻更加微妙

人工智慧持續重塑網路安全的防禦和進攻能力。在所有受訪國家，人工智慧威脅對網路安全專業人士而言都具有重大的擔憂。

  • 67% 的受訪者認為，人工智慧驅動的攻擊增加
  • 58% 的人認為人工智慧驅動的惡意軟體是他們最擔心的問題

該報告對與人工智慧相關的攻擊的其他關注點進行了排名，並研究了各國人工智慧增強攻擊的流行程度，以確定防禦者最常遇到這種威脅的地方。

網路安全領導層與營運部門之間的認知差距

當感知與現實不一致時，風險就會增加。而當高階主管和第一線團隊的優先順序不同時，可能會減緩進度。

我們的研究發現，資訊安全長 (CISO)、資訊長 (CIO) 及其第一線安全團隊之間存在明顯的脫節。例如：

  • 45% 的 C 級主管 表示，他們對管理網路風險“非常有信心”
  • 只有 19% 的中階主管同意

研究發現的另一個脫節領域是：主管（41%）表示採用人工智慧工具是首要任務，而中階管理人員（35%）表示他們最關注雲端安全和身分管理。

該報告審查了其他存在分歧的領域，並強調了存在強烈共識的關鍵領域。

未來之路：從全球視野看可行策略

2025 年網路安全評估報告不僅是當今風險的快照，它也是為未來防禦做準備的策略資源。

它強化了幾個關鍵主題：

  • 必須積極減少攻擊面
  • 必須解決工具蔓延和複雜性問題
  • 對人工智慧風險的擔憂仍在繼續，應根據現實進行檢驗
  • 必須解決團隊倦怠和技能差距
  • 內部協調對成功至關重要

隨著網路攻擊變得更加靈活和持久，保護業務需要對人員、流程和技術有全面的了解。

下載報告

網路安全不僅是阻止威脅，它還關乎降低風險、實現業務連續性，並確保組織即使在面臨不確定性的情況下也能蓬勃發展。今年的報告包含一些重要見解，或許能有所幫助。

Bitdefender 2025 年網路安全評估報告：駕馭新現實

布魯斯·薩斯曼 (Bruce Sussman) 是 Bitdefender 的內容行銷與傳播總監，曾獲獎記者，從電視新聞轉戰資安領域，擅長以多媒體方式傳遞資安趨勢與高階主管觀點。

立即聯絡我們

資訊悅報 Vol.1｜CyberArk: TLS 行動準備期即將結束：準備 47 天 TLS 憑證的 5 個實用步驟

部落格文章出處：https://www.cyberark.com/resources/all-blog-posts/tls-action-lead-time-is-closing-5-practical-steps-to-prepare-for-47-day-tls-certificates

您是否曾經遇到這樣的情況：專案期限緊迫，突然間，組織的核心服務因為TLS 憑證毫無預警地過期而中斷？這是任何團隊都不願面對的惡夢。

現在，想像一下這種情況發生的頻率增加八倍。

自2029年起，所有公共TLS憑證的最長有效期限將僅為47天。與目前398天的有效期限相比，這代表著數位安全實踐的巨大轉變。其連鎖反應將難以忽視。

此舉得到了蘋果和谷歌等主要行業領導者的支持，並於近期由CA/瀏覽器論壇正式宣布，旨在透過降低證書洩露風險來增強安全性。此舉將分階段實施，先從明年縮短至200天，2027年縮短至100天，最後在2029年縮短至47天。

隨著這項變化，TLS 行動前置時間（即憑證政策變更宣佈到生效之間的時間間隔）正在迅速縮短。這意味著在更短的證書有效期成為互聯網強制要求之前，組織機構用於準備、測試和實施自動化的時間將減少。

向更短生命週期的轉變帶來了巨大的營運挑戰。手動證書管理將承受八倍的續約壓力，從而增加中斷、違反合規性以及安全漏洞的風險。

問題很明確：您的團隊準備好應付這波證書續約浪潮了嗎？如果答案不是肯定的“是”，那麼是時候採取行動了。您可能會問，該怎麼做？下面，我概述了五個實用步驟，幫助您在 47 天 TLS 憑證有效期成為常態之前，在憑證管理策略中建立更高的效率、靈活性和信心。

1. 自動化持續證書發現與上下文

在保護 TLS 憑證之前，您需要了解憑證的種類和用途。缺乏足夠的可視性，就會出現盲點，導致關鍵系統容易故障。這就像試圖保衛一座無法完全繪製地圖的城堡；您肯定會錯過一兩處峭壁。

首先，部署自動化盤點工具來掃描您的環境，包括本機伺服器（Server）、多雲系統和 Kubernetes 叢集。這些工具應持續即時更新您的證書清單，清晰地洞察證書位置、所有者、到期日期和合規性狀態。一個動態儀表板可以根據憑證狀態（有效、即將到期、已過期）進行分類，從而避免操作混亂、救火無序。

行動項目

部署證書生命週期管理解決方案，實現證書發現自動化並維護即時資產清冊。這可確保萬無一失，降低意外中斷的風險。

2. 自動化續約流程

手動管理 TLS 憑證續約不僅不切實際，而且在 47 天的有效期限即將到來的情況下，更是不可能完成。想像一下，你只能用一茶匙的力氣從一艘正在下沉的船上舀水——手動續期很快就會變成這樣。

自動化是救生艇，它為續約流程帶來速度、規模和可靠性。透過利用 ACME 協定或 API 驅動的工作流程，您可以確保憑證的準確簽發、續約和部署，並最大限度地減少人工幹預。這降低了人為錯誤的風險，並有助於防止因錯過到期期限而導致的中斷。

行動項目

設定與您的憑證授權中心 (CA) 整合的自動憑證續約工作流程。確保這些工作流程在證書到期前及時續期，確保您始終保持領先地位。

3. 建立集中的政策和工作流程

隨著憑證有效期的縮短，對一致性和可擴展性流程的需求日益增長。否則，您的團隊就像在進行接力賽，但每個人都在設定自己的節奏。

不協調的流程不可避免地會導致混亂，而縮短的有效期需要集中的政策來確保團隊之間的平穩過渡和營運和諧。

建立統一性憑證策略，強制執行有效性標準、定義續約時間表並預先批准工作流程，以消除瓶頸。這些策略的自動執行可確保跨部門和環境的合規性，同時減少手動接觸點。

行動項目

定義集中式、策略驅動的工作流程，以自動化合規性檢查並強制執行最佳實務。這些工作流程應符合 47 天的有效期限要求，同時保持可擴展性。

4. 將憑證管理與 DevOps 工具鏈集成

對 DevOps 團隊來說，時機至關重要。 TLS 證書（主要為私人證書，但有時也適用於以網際網路為導向的服務）廣泛應用於 CI/CD 流程、Kubernetes 叢集和微服務架構。如果沒有精簡的憑證存取機制，團隊可能會採取繞過安全協定的危險捷徑。

但是，您不能讓憑證成為開發週期的瓶頸。透過將憑證管理解決方案與 Jenkins、Kubernetes 和 Ansible 等 DevOps 工具集成，您可以直接在開發工作流程中自動執行憑證設定和續期，確保新應用程式和更新的加密和安全，而不會影響速度。

行動項目

與您的 DevOps 團隊合作，在憑證管理平台和 DevOps 工具之間實現基於擴充模組或 API 驅動的整合。這將在確保憑證安全的同時，保持快速的部署週期。

5. 實施即時監控和報告

證書有效期縮短意味著錯誤升級的間隔也縮短。依賴定期檢查不足以保持合規性和安全性。相反，持續的即時監控可以充當事前預警機制，在潛在問題滾雪球般發展成中斷或違規之前將其標記出來。

部署監控工具，清楚了解您的憑證狀況，包括配置錯誤或未經授權的使用等異常行為。自動報告功能還可以提供詳細的稽核紀錄，證明您遵守了行業標準，從而增強合規性。

行動項目

投資監控系統，即時發出證書過期、政策偏離和潛在安全漏洞的警報。這種主動式策略可確保您始終領先於新興挑戰。

自動化是縮短憑證有效期限的關鍵

TLS 證書有效期延長至 47 天不僅是一項改變，更是一場考驗組織流程、工具和敏捷性的挑戰。依賴手動工作流程是不可持續的。相反，自動化應該成為您策略的核心。

憑證續約自動化如何簡化您的 TLS 管理：

  • 自動發現：即時識別本機和雲端環境中的憑證。
  • 無縫續期：根據組織需求自動發行、續期訂和部署。
  • 整合 DevOps 支援：確保安全配置證書，而不會減慢開發週期
  • 主動監控：透過持續的合規性檢查和異常警報，全面了解證書健康狀況。
  • 加密靈活性：適應加密演進和 CA 信任變化，不會造成中斷或損害。

透過採用全面的 TLS 憑證生命週期管理解決方案，您將掌握向更短憑證壽命的轉變，同時加強組織的整體安全態勢。

立即行動，在 TLS 政策生效期限前保持領先

過渡到 47 天 TLS 憑證對於網路安全來說是一個重大飛躍，但也需要做好準備以防止中斷。

不要等到服務中斷或合規罰款才不得不採取行動。立即開始審核您目前的憑證狀況，做好準備。借助 CyberArk 的免費公共 TLS 證書發現掃描功能，您可以深入了解外部證書狀況，從而識別風險、盲點和即將過期的證書，防止它們成為營運難題。

喬治·帕森斯 (George Parsons) 是 CyberArk 的公鑰基礎設施 (PKI) 策略主管。

立即聯絡我們