传统攻击路径通常包括扫描网络、寻找未修补的漏洞，获取初始访问权限后横向渗透，最终达到攻击目标。这类攻击方式的成本逐渐增高，尤其是随着防御措施的逐步加强，漏洞利用变得越来越困难。相比之下，现代攻击者采用的是通过窃取或伪造身份凭证进行攻击。这些攻击方式通常通过以下几个原因得以实现：
1、防御层级的提升使得漏洞利用成本增高
漏洞数量减少：随着DevSecOps的推广、内存安全语言的普及以及自动漏洞扫描工具的成熟，远程代码执行等高危漏洞的数量大幅减少。
网络防护加强：现代企业普遍采用多层次的防御措施（如WAF、EDR、网络防火墙等），使得传统的“网络轰炸式”攻击成功率显著下降。
根据Forrester Research的报告，随着DevSecOps的广泛应用，应用程序的漏洞修复时间平均缩短了50%，而传统攻击方式的成功率下降了约30%。
2、云环境和混合办公模式导致身份成为新边界
传统边界消失：随着“云优先”和“随时随地办公”的模式兴起，网络边界不再明确，身份成为了新的“边界”。例如，VPN后面不再是可信网络，每个访问请求都需要进行身份验证。
身份爆炸式增长：员工需要管理多个云服务账户、API密钥和企业内部应用的账户。每个账户都是一个潜在的攻击点。
根据Gartner的数据显示，到2025年，80%的企业将面临“身份滥用”引发的安全事件，相比之下，传统的漏洞利用所导致的攻击将减少至30%。
3. 人为因素与流程缺陷导致身份安全漏洞
钓鱼与社交工程学：这是现代攻击者最常见的攻击手段，逼真的钓鱼邮件和社交工程学手段使得即使是技术过硬的员工也可能受骗。
弱密码和密码复用：尽管MFA（多因素认证）得到普及，很多老旧系统依然没有强制要求，弱密码和密码复用使得“凭证填充攻击”依然有效。
根据Verizon的《2023年数据泄露调查报告》，**32%的数据泄露事件都与凭证滥用有关，而75%**的成功攻击都通过社会工程学手段获取了初始凭证。
天磊卫士如何应对：从“漏洞利用”到“身份滥用”
在现代网络攻击环境下，专业渗透测试服务商如何应对，天磊卫士将渗透测试的重点从传统的“漏洞利用”转移到了“身份滥用”，通过“身份为中心”的渗透测试帮助企业识别和修复新的安全风险。
1、重点转移：模拟“身份滥用”攻击场景
天磊卫士的渗透测试在以下几个方面进行了全面升级：
初始访问模拟：天磊卫士通过模拟钓鱼邮件、短信等攻击手段，测试员工的安全意识和凭证窃取的成功率。根据内部测试数据，钓鱼邮件的点击率在部分行业中仍高达15%，而成功获取凭证的比例大约为7%-8%。
凭证安全测试：天磊卫士利用自动化工具对外暴露的登录界面（如VPN、OA、云门户）进行低频率、慢速的密码喷洒攻击，验证弱密码和密码复用的风险。通过这种方式，天磊卫士帮助客户发现了**20%-30%**的潜在密码风险。
MFA绕过测试：模拟攻击者如何通过社会工程学手段绕过MFA（如通过伪装成员工向服务台请求密码重置），天磊卫士的团队发现了多个客户MFA实施中的漏洞。
2、测试方法论升级：模拟“内部横向移动”
天磊卫士的渗透测试方法论不仅仅停留在模拟外部攻击，还进一步深入到模拟攻击者如何通过身份获取内部资源。具体包括：
权限提升路径发现：在获得低权限身份后，测试团队会继续模拟如何通过权限配置错误、过时的本地管理员账户或不当访问控制，提升至更高权限。通过此类测试，天磊卫士成功发现了25%以上的权限配置问题。
云身份与配置审计：在云环境中，天磊卫士特别关注IAM角色、策略和服务账户的权限。通过审计，团队发现了30%以上的云账户存在权限过高或配置错误的风险，这些问题若不修复可能导致严重的安全事件。
滥用合法工具：模拟攻击者如何利用合法工具（如PsExec、PowerShell、RDP等）进行横向移动和数据窃取。这类行为往往能绕过传统安全软件的检测。
3、针对关键流程的评估：测试“信任链”的脆弱点
现代攻击往往通过绕过信任链中的薄弱环节进行渗透，天磊卫士特别关注以下几方面：
服务台模拟攻击：通过模拟社会工程学攻击，测试服务台是否能有效识别并验证请求的合法性，防止攻击者伪装成合法员工重置凭证。根据测试数据，约**10%-15%**的企业服务台未能严格验证请求，导致潜在安全隐患。
供应链身份测试：测试第三方合作伙伴的接入账户是否存在过度权限或管理不当的问题，确保外部合作方的身份安全。
4、从“漏洞列表”到“攻击故事”：帮助客户提升检测与响应能力
天磊卫士的渗透测试报告不仅仅列出漏洞，而是呈现完整的攻击叙事，展示攻击者如何通过滥用身份从普通用户身份扩展到更高权限，最终实现攻击目标。这种完整的攻击故事帮助客户清晰了解从身份窃取到数据泄露的全过程，同时提升安全运营中心的检测和响应能力。
根据MITRE ATT&CK的框架，天磊卫士的测试涵盖了90%以上的攻击路径，帮助客户填补安全运营中心的检测盲区。
结语：保护身份，守护网络安全的核心
到2026年，身份将成为攻击者最可靠、最经济的“漏洞”，因此，保护身份安全将成为网络安全防护的核心任务。天磊卫士通过全面升级的“身份为中心”渗透测试，帮助企业在现代网络安全环境中识别和防范身份滥用威胁，确保企业的身份和访问管理在防御体系中占据核心地位