Move from Passive to Proactive with Offensive Security over Cyber Insurance

网络保险市场现状对谈：勒索攻击索赔激增逾 300% 推动保费三位数上涨，承保方收紧承保条件并严查企业安全控制；IBM 数据显示 2021 年数据泄露平均成本达 435 万美元，网络保险已成为安全管理的关键一环。

安全行业长期偏重预防性控制（补丁、配置管理、漏洞测试），但既然组织无法阻止所有攻击，检测性控制同样值得投入；不过现实中 IDS/IPS 易被网络噪声淹没、日志缺乏有效审阅，实际效果常低于宣传。

NetSPI 转述 NSA 老将 Brian Snow 在 NEI 网络安全研讨会上的类比：安全体系应像为恶意环境打造的「坦克」而非「汽车」，但多数团队只能事后改造既有 IT 环境；建议 IT 管理层采取前瞻性、基于风险的控制策略，尤其在医疗、能源等命脉行业。

一次内网渗透全记录：经 Apache NiFi 拿到 root 并提取凭据，从 NIS 服务器恢复口令哈希破解出特权 IT 账户，在 Duo Auth Proxy 配置中捕获解密 MFA 流量，最终将 DA 的 MSSQL 服务账户中继至 xp_cmdshell 创建新域管并执行 DCSync。

Anthropic Mythos 演示了自主串联四个漏洞并发现新型利用的能力，确属拐点；作者建议安全团队自建贴合自身工作负载的基准、利用受限发布窗口追踪前沿能力与普通攻击者的差距，并始终保留人工验证环节。

第一季度应优先处理高影响的渗透测试发现与技术债，而非合规事务；被搁置的发现会滚雪球式演变成更昂贵的架构级修复难题。