大多数公司都有软件安全漏洞

只有16％的公司调查了ARECLEAR OFSOFTWARE漏洞，外部网络攻击者可以用于访问其IT系统，安全公司Rapid 7的一项研究发现。

根据该公司最新的在连帽衫报告的情况下，这一P滴加仅为内部穿透试验的4％，基于2018年6月的268个渗​​透试验。

该研究旨在发现现代企业中最常见的弱点，以确定最普遍的网络威胁通知网络防御策略。

该研究指出，虽然大多数人希望看到跨站点脚本（XSS），跨站点请求伪造（CSRF）和SQL注入（SQLI）漏洞的优势，因为这些是与面向外部Web应用程序相关的， 此情况并非如此。

报告称，“渗透测试者报告遇到超过32％的时间超过32％的时间，通常（56％）与至少一个其他更具体的漏洞类别组合”。“

这项研究的另一个关键发现是，在80％的病例中，笔测试人员能够滥用至少一种网络错误配置，这增加了内部测试中的96％的病例。

虽然渗透测试仪，如网络攻击者，依靠公司网络的同质性特征，但是使用几乎无处不在的经验和真正的商品利用，报告称，通常有一个额外的自定义组件来渗透到客户的网络。

笔测试人员发现，在53％的调查中，他们能够发现至少一组凭据，这些凭据将使它们能够未被发现访问IT系统。

虽然密码被广泛被认为是无效的安全控制而不使用双因素认证（2FA），但该研究表明，只有15％的所有参与，2FA都存在并有效。

如果笔测试仪能够利用网络或无线网络连接，它们甚至能够在86％的情况下从用户捕​​获登录数据。

在28％的病例中，笔测试人员能够对目标组织的网络进行全面的行政控制，其中P升至内部笔测试的67％。

该报告强调了“实体”网络分段的重要性，注意到，如果攻击者无法在环境之间遍历逻辑边界，则会非常困难地利用任何被盗的工作站凭据升级到域范围的管理权限。

“即使强大的服务帐户已受到损害，如果目标之间没有路线，则笔测试仪[攻击者]必须在网络中的另一个立足点有效地重新开始，”报告称。

参考“强大”服务账户，报告还指出，除了对该服务账户的控制控制造成的损害，最佳特权可能有助于遏制损害。

“IT管理员应审查服务帐户的实际许可要求，并设计一个非root，非管理员帐户权限方案，该方案允许该服务足够的特权来执行其预期函数，”该报告称。

该报告还强调了“强大”漏洞和补丁管理功能的重要性。“今天的许多用户系统都是默认情况下的突出，以便自动检查并应用软件修补程序，但有些组织不愿意为企业关键服务器采用相同的策略。

“虽然修补程序在这些系统中不一定是技术上自动的，但它和安全组织必须共同努力，以确保报告说明，确保修补程序尽快地推出并尽可能快速地推出。”

该报告还建议向安全文化提出开办安全文化，以便网络上的每个用户都有负责保持​​公司系统和数据安全。

报告称，“培训用户以发现网络钓鱼活动，社会工程运营和其他相对低的技术攻击技术即将扩大安全团队的愿景和达到。”