整体情况
2024年12月，国资国企网络安全运营中心（以下简称"安全运营中心"）共监测到中央企业网络安全告警20.3亿条，环比上月减少8.1%，其中高危及以上告警1.8亿条，占比8.9%。
中央企业排名前三的告警类型分别为漏洞利用、网络扫描、暴力破解，告警占比如下图所示。
安全态势
一、安全漏洞态势
2024年12月，安全运营中心依托国资国企网络信息安全在线监管平台，监测到漏洞利用告警7.5亿条，涉及852家中央企业单位，告警数量排名前三的行业为军工行业、电力行业、交通运输，告警数量分行业统计情况如下。本月，漏洞利用告警数量前三的行业保持不变。
2024年12月，安全运营中心共收集安全漏洞133个，其中涉及面较广且较为严重的安全漏洞5个，如下表所示。
安全漏洞名称 | 所属公司 或组织 | 漏洞编号 |
Apache Struts 远程代码执行漏洞 | Apache 基金会 | CVE-2024-53677 |
Craft CMS 模板注入漏洞 | Pixel & Tonic | CVE-2024-56145 |
Apache Tomcat 远程代码执行漏洞 | Apache 基金会 | CVE-2024-50379 |
Mitel MiCollab 身份验证绕过漏洞 | Mitel | CVE-2024-41713 |
Adobe ColdFusion 路径遍历漏洞 | Adobe | CVE-2024-53961 |
2024年12月，用于攻击中央企业的主要安全漏洞及攻击次数如下表。
安全漏洞名称 | 攻击次数 | 涉及 企业数 |
宏景eHR任意文件读取漏洞 | 8.6万 | 66 |
瑞友天翼应用虚拟化系统 远程命令执行漏洞 | 7.9万 | 99 |
通达OA v2017 video_file.php任意文件下载漏洞 | 7.6万 | 138 |
上述系统一旦被攻破，可能造成企业重要业务系统数据失窃、内部网络被攻破等严重后果。安全运营中心已将漏洞情况通告各中央企业，建议使用相关系统的企业及时修复漏洞，避免漏洞被攻击者利用。
二、钓鱼攻击态势
2024年12月，安全运营中心依托国资国企网络信息安全在线监管平台，共监测到网络钓鱼告警203.6万条，涉及77家中央企业单位。告警数量前三的行业为军工行业、冶金化工、交通运输，告警数量分行业统计情况如下。本月，军工行业网络钓鱼告警数量增加较多，总体告警数量环比上月小幅增加。
为更好防范网络钓鱼攻击，安全运营中心提出以下建议：
加强员工网络安全意识培养，形成良好的网络使用习惯，不轻信来历不明的信息，不随意点击可疑的链接或下载附件，不泄露个人信息或敏感数据；
使用多因素身份验证来提高账户的安全性，设置复杂口令并定期更换，不在不同的网站或平台使用相同口令；
保持各软件和系统实时更新，使用正规的杀毒软件和防火墙，定期扫描系统以查找可能受威胁的主机。
三、弱口令态势
口令破解是攻击者突破中央企业边界网络防护的主要手段之一，安全运营中心持续对中央企业弱口令使用情况进行监测并及时反馈。2024年12月共监测到弱口令告警589万余条，涉及697家中央企业单位，告警数量前三的行业为通信电子、军工行业、工程建筑，告警数量分行业统计情况如下。本月弱口令告警总数量环比上月小幅下降，通信电子行业弱口令告警数量相比上月增加较多，建议相关企业引起重视加强管控。
本月，安全运营中心针对6类弱口令类型开展监测，告警数占比前三的类型分别为个人信息相关口令（如生日、姓名、电话号码，例如姓名首字母+生日组合：wxm199507等）、字典包含口令（容易被口令字典攻击破解的口令，如：“P@ssw0rd”等）、简单口令（口令长度低、最多仅有两种字符）。各类弱口令告警比例如下图所示。
为降低弱口令造成的安全风险，安全运营中心建议中央企业采取以下措施降低弱口令风险，保障系统安全。
使用复杂密码：设置密码长度至少为8位，宜同时包含大小写字母、数字、特殊字符，提高密码的复杂度，不使用设备或账户初始密码及常见的弱口令密码。
定期更改密码：设置复杂密码后，并非一劳永逸，随着时间的推移，密码仍存在被破译的可能性。重要网络信息系统应定期（至少3个月内）进行密码更改，同时要避免数套密码轮换修改。
避免密码串用：在不同平台及系统避免使用相同的密码，防止一个密码泄露后其他系统被“撞库”攻击连带攻破，导致泄密面进一步扩大。
定期检查账户状态:计算机系统及网络账户通常具备安全审计功能，可查询历史异常记录，定期检查日志，及时发现账户异常行为，防止因密码泄露导致内部数据、信息被持续窃取。
四、数据安全态势
12月，安全运营中心在常规网络流量监测之外，从可能发生数据泄露的场景出发，利用敏感系统特征、域名前缀特征、流量传输特征等信息，对包括数据存储类、ETL工具、数据管理类、查询应用类、分析计算类、数据监控类等6大类共112种应用开展监测分析。本月共监测到数据泄露告警220万条，涉及284个应用、195家中央企业单位，告警数量前三的行业为通信电子、军工行业、冶金化工。
