企業(yè)安全運營有個公開的秘密：防御者已經(jīng)制度性地"選擇不看"。這不是個別現(xiàn)象，而是基于一份最新報告的真實數(shù)據(jù)——該報告調查了超過2500萬條安全告警，涵蓋信息性和低嚴重性類別，全部來自真實的企業(yè)生產(chǎn)環(huán)境。

這份報告的數(shù)據(jù)集規(guī)模驚人：1000萬個受監(jiān)控的終端和身份、8.2萬次取證終端調查（包括實時內存掃描）、1.8億個文件分析，以及來自700萬個IP地址、300萬個域名和URL的遙測數(shù)據(jù)，還有超過55萬封釣魚郵件。

數(shù)據(jù)揭示的模式高度一致。威脅行為者正在系統(tǒng)性地利用基于嚴重性分級的安全運營所產(chǎn)生的可預測缺口。要理解這些缺口究竟在哪里，必須審視完整的告警圖景，從大多數(shù)團隊被訓練忽略的那一類開始。

在這2500萬條告警的分析中，近1%的確認事件最初被歸類為低嚴重性或信息性告警。在終端層面，這一比例攀升至近2%。

在企業(yè)規(guī)模下，這樣的百分比絕非噪音。平均每家機構每年產(chǎn)生約45萬條告警。其中的1%意味著每年約有54個真實威脅——大約每周一個——在傳統(tǒng)SOC或MDR模式下從未被調查。檢測沒有失效，是分類的經(jīng)濟性讓調查變得不可能。

這些不是攻擊者愿望清單邊緣的理論風險，而是真實存在的入侵，隱藏在運營團隊被訓練為低優(yōu)先級的告警類別中。

報告中的終端發(fā)現(xiàn)尤其值得關注，因為它挑戰(zhàn)了大多數(shù)安全項目的一個基礎假設：EDR（終端檢測與響應）的修復結果可以無條件信任。

在8.2萬條經(jīng)過實時取證內存掃描的告警中，2600條存在活躍感染。在這些確認受損的終端中，51%已被源EDR廠商標記為"已緩解"。

超過半數(shù)經(jīng)取證分析確認的終端入侵，EDR已經(jīng)結案并宣告威脅解除。沒有內存級取證，這些感染將持續(xù)隱匿。大多數(shù)機構作為終端安全網(wǎng)依賴的工具，正在向并未干凈的機器報告"干凈"。

實時掃描中發(fā)現(xiàn)的內存駐留惡意軟件家族包括Mimikatz、Cobalt Strike、Meterpreter和StrelaStealer——不是 obscure 的概念驗證工具，而是活躍犯罪組織和國家級行動的主力武器。

報告中的釣魚數(shù)據(jù)反映了攻擊者方法論的根本轉變，而大多數(shù)郵件安全架構并未為此設計。

確認惡意的釣魚郵件中，不到6%包含附件。大多數(shù)依賴鏈接和話術。