Global Threat Landscape 2025 od ExtraHop: najważniejsze wnioski

Według raportu ExtraHop, powierzchnia ataku rośnie szybciej niż zdolność organizacji do jej kontrolowania. Największe ryzyko koncentruje się dziś wokół:

• chmury publicznej (53,8%),
• łańcucha dostaw (43,7%),
• aplikacji wykorzystujących generatywną AI (41,9%).

Źródło: ExtraHop 2025 Global Threat Landscape Report

Najczęstsze wektory ataków

Raport ExtraHop wykazał, że scenariusz ataku wciąż zaczyna się w znajomy sposób. Na liście najczęstszych wektorów ataków dominują:

• phishing i socjotechnika – odpowiadające za 33,7% incydentów,
• podatności w oprogramowaniu – 19,4% incydentów,
• kompromitacja łańcucha dostaw – 13,4% incydentów,
• wykorzystanie skradzionych poświadczeń – 12,2% incydentów.

Źródło: ExtraHop 2025 Global Threat Landscape Report

Nie brakuje więc wiedzy o źródłach ataków – problemem pozostaje tempo reakcji. Średnio mija około dwa tygodnie, zanim organizacja w ogóle wykryje obecność napastnika, i kolejne dwa tygodnie, zanim zdoła w pełni opanować sytuację. Oznacza to, że przestępcy mają około miesiąca swobody działania w sieci ofiary – to wystarczająco długo, by spokojnie przemieszczać się między systemami, eskalować uprawnienia i przygotowywać kolejne etapy ataku. W tym czasie firmy ponoszą wymierne koszty – według danych z raportu, średni przestój po incydencie bezpieczeństwa wynosi 37 godzin. Dla wielu organizacji oznacza to realne straty finansowe i utratę zaufania klientów.

Ataki ransomware

Choć częstotliwość ataków ransomware spadła – z około ośmiu incydentów na organizację do 5–6 rocznie – to średnia wartość okupu wzrosła o ponad milion dolarów (z 2,5 mln do 3,6 mln USD).

Źródło: ExtraHop 2025 Global Threat Landscape Report

Ta rozbieżność między spadkiem liczby ataków a wzrostem kosztów wynika z ewolucji technik stosowanych przez cyberprzestępców, którzy coraz skuteczniej potrafią pozostać niewykryci w środowisku ofiary. Z danych ExtraHop wynika, że adwersarze mieli średnio niemal dwa tygodnie dostępu do sieci organizacji, zanim przeprowadzili właściwy atak. Co więcej, blisko jedna trzecia firm odkryła incydent ransomware dopiero w momencie rozpoczęcia eksfiltracji danych – czyli wtedy, gdy szkody były już nieuniknione.

1. Zrozum swoją powierzchnię ataku

Wraz ze wzrostem złożoności środowisk IT rośnie też powierzchnia ataku – a więc liczba potencjalnych punktów wejścia dla cyberprzestępców. Kluczem jest pełne zrozumienie, co dokładnie znajduje się w Twojej sieci i gdzie mogą występować podatności. Kompleksowa widoczność pozwala inwentaryzować zasoby i ocenić poziom ryzyka, a następnie skalować zabezpieczenia wraz z rozwojem środowiska – obejmując nowe kontenery, usługi chmurowe, urządzenia końcowe i IoT.

2. Monitoruj ruch wewnętrzny

Współczesne ataki często omijają klasyczne zabezpieczenia EDR i po uzyskaniu dostępu poruszają się lateralnie (east-west), szukając celu ataków. Stały monitoring ruchu wewnętrznego pozwala szybko wykryć podejrzane zachowania i zareagować zanim atak eskaluje, skutecznie skracając czas obecności napastnika i minimalizując potencjalne szkody.

3. Wyprzedzaj napastników dzięki analityce i AI

Krajobraz zagrożeń zmienia się nieustannie – dziś kluczowe jest nie tylko rozumienie tego, co robią napastnicy teraz, ale też przewidywanie, co zrobią jutro. Dotyczy to również nowych wyzwań, jakie niesie generatywna sztuczna inteligencja, wykorzystywana do tworzenia bardziej przekonujących kampanii phishingowych czy zaawansowanego złośliwego oprogramowania. Współpraca z dostawcą rozwiązań dysponującym Threat Intelligence i zaawansowaną analityką pozwala budować proaktywną strategię bezpieczeństwa, która nie tylko reaguje na zagrożenia, ale także je wyprzedza i neutralizuje przyszłe ataki.

Raport ExtraHop można potraktować jako praktyczną mapę działań dla CISO i zespołów SOC, wskazującą, które obszary należy wzmocnić, by skrócić czas wykrycia i reakcji. Wśród kluczowych priorytetów znajdują się:

• pełna inwentaryzacja zasobów i zależności aplikacyjnych,
• monitorowanie ruchu wewnętrznego w poszukiwaniu anomalii,
• regularne testy wykrywalności ruchu lateralnego,
• automatyzacja reakcji z wykorzystaniem platform klasy SOAR,
• monitoring łańcucha dostaw i kont serwisowych,
• wzmocnienie mechanizmów uwierzytelniania i ochrony przed atakami MFA fatigue.

Wdrażanie takich praktyk jest znacznie skuteczniejsze, gdy opiera się na widoczności w czasie rzeczywistym i kontekście całego środowiska – od chmury po infrastrukturę lokalną i OT. Jako oficjalny dystrybutor ExtraHop w Polsce i krajach bałtyckich, wspieramy organizacje w budowie takiej właśnie odporności poprzez wdrażanie ExtraHop RevealX – rozwiązania klasy Network Detection and Response (NDR), które umożliwia:

• pełną widoczność ruchu sieciowego w środowiskach chmurowych, lokalnych i hybrydowych,
• detekcję zagrożeń w czasie rzeczywistym,
• korelację danych NDR, IDS i NPM w jednym widoku,
• automatyzację reakcji, skracającą czas detekcji z dni do minut.

Jeśli chcesz sprawdzić, jak wygląda poziom widoczności i bezpieczeństwa w Twoim środowisku, zapraszamy do kontaktu ➡️ Kontakt

Pełny raport Global Threat Landscape 2025 znajdziesz tutaj ➡️ https://www.extrahop.com/global-threat-landscape-2025