Kibernetinio saugumo statistika:
metodika ir šaltiniai
Šio puslapio paskirtis
Šiame puslapyje paaiškinama, kaip renkama, apdorojama ir interpretuojama kibernetinio saugumo statistika bei užtikrinamas skaidrumas dėl duomenų šaltinių. Pagrindiniame kibernetinio saugumo statistikos puslapyje pateikiamos apibendrintos išvados ir „NordVPN“ tyrimų įžvalgos.
Duomenų šaltiniai ir autorystės nurodymas
Šaltinių paieška atliekama per „Google“ tinkintos paieškos API (GCS), naudojant kelias tinkintas paieškos sistemas (CSE), sukonfigūruotas šioms kategorijoms:
žiniasklaidos priemonėms: 44 pagrindinės ir technologijų žiniasklaidos šaltiniai (pvz., BBC, CNN, „The New York Times“, WSJ, FT, „Reuters“, „Bloomberg“, „TechCrunch“, „Wired“, „Ars Technica“, „Time“, „Forbes“);
autoritetingiems ir informaciniams šaltiniams: 25 pramonės ir ekspertiniai šaltiniai (pvz., CISA, „KrebsOnSecurity“, „The Hacker News“, „Dark Reading“, „BleepingComputer“, „SecurityWeek“, „Infosecurity Magazine“);
vietinei žiniasklaidai: daugiau nei 100 regioninių ir nacionalinių šaltinių Azijos ir Ramiojo vandenyno regione, Europoje, Artimuosiuose Rytuose, Afrikoje bei Amerikos regionuose (pvz., „Channel NewsAsia“, CSA.gov.sg, „Zaobao“; HK01, unwire.hk; „Japan Times“, NISC, JPCERT, „ITMedia“);
neribotai ir bendrajai paieškai.
Užklausos formuojamos naudojant raktažodžius iš tvarkomo raktažodžių sąrašo, kuriame terminai sugrupuoti pagal kategorijas.
Visuose įrašuose yra aiškiai nurodyta autorystė:
nuoroda į pirminį straipsnį,
žiniasklaidos priemonė (domenas, išgautas iš URL adreso),
paskelbimo ir duomenų surinkimo data.
Rengdami statistikas ir įvykių suvestines, mes apibendriname informaciją iš daugelio šaltinių; kiekviena statistika grindžiama straipsnių lygmens duomenimis, saugomais kartu su nuorodomis.
Turinio gavimo ir rinkimo dažnumas
Viso teksto turinys iš atrastų nuorodų gaunamas naudojant:
pagrindinį metodą: „NewsPlease“;
atsarginį metodą: tiesioginį HTML dokumento atsisiuntimą, naudojant sustiprintos konfigūracijos užklausų sesiją ir „trafilatura“ išgavimo priemonę.
Siekiant sumažinti laikinų trikdžių skaičių, naudojami užklausų laiko limitai, pakartotiniai bandymai, atsarginiai TLS ryšio sprendimai ir „referer“ antraštės.
Straipsnio pavadinimas ir paskelbimo data gaunami iš išgavimo priemonės, kai ši informacija prieinama; data konvertuojama į standartinį formatą be laiko.
Kasdien atliekamos užklausos apima pastarosios dienos turinį.
Savybių išskyrimas
Išskiriami šie laukai:
žiniasklaidos priemonė (iš URL adreso);
pirmoji pastraipa (pirmi 3–5 sakiniai);
raktažodžių savybės: bendras raktažodžių skaičius tekste, raktažodžio buvimas pavadinime, sakiniai, kuriuose yra pradinis raktažodis („seed keyword“), ir bet kurių raktažodžių iš tvarkomo sąrašo buvimas;
žodžių skaičius.
LLM atliekamas aktualumo vertinimas
Kiekvienas straipsnis vertinamas naudojant didįjį kalbos modelį (LLM) su deterministiniais nustatymais (temperatūros parametras lygus 0) ir ribotos struktūros užklausą, kuria siekiama gauti aiškius ir struktūrizuotus rezultatus:
1. ar straipsnis susijęs su kibernetiniais įvykiais.
2. Jei susijęs, priskiriama aukštesnio lygmens įvykio kategorija:
incidentas: patvirtinta kibernetinė ataka ar pažeidimas jau įvyko (pvz., išpirkos reikalaujančios programos įdiegimas, duomenų nutekinimas, DDoS ataka, sistemos pažeidimas);
pažeidžiamumas: nustatyta arba paskelbta programinės įrangos, aparatinės įrangos ar sistemos saugumo spraga, kuria gali pasinaudoti (tai potenciali rizika, o ne patvirtintas pasinaudojimo atvejis);
grėsmių analizė: pranešimai apie grėsmių vykdytojus, naudojamus įrankius, taktikas, technikas ir procedūras bei kampanijas; dėmesys skiriamas „kas ir kaip“, o ne konkrečiam nukentėjusiojo incidentui;
reguliavimo ir teisiniai aspektai: įstatymai, reglamentai, vykdymo užtikrinimo priemonės, teismų sprendimai ar reikšmingi politikos pakeitimai, turintys įtakos kibernetinio saugumo įsipareigojimams.
Straipsnio tipas ir kategorizavimas
Aktualūs straipsniai skirstomi į kategorijas naudojant struktūrizuotos taksonomijos užklausas (pirminės: atakos būsena, įvykio tipas, reguliavimo ir teisiniai aspektai; antrinės: poveikio masto rodikliai ar klasė, techniniai ypatumai, sektoriai, geografinė padėtis, dydis, apytikslė žala).
Įvykių grupavimas (straipsnių priskyrimas įvykiams)
Tikslas: sugrupuoti straipsnius, kuriuose aprašomas tas pats pagrindinis incidentas, į vieną „įvykį“.
Metodas:
iš duomenų bazės gauti esamus įvykius, kad būtų pateiktas kontekstas (pavadinimai, žinomos paveiktos organizacijos, grėsmių vykdytojai, nuorodos);
kiekvienam kandidatiniam straipsniui (kai straipsnio tipas lygus vienam incidentui) LLM palygina straipsnio informaciją su esamų įvykių grupėmis ir:
1. priskiria esamo įvykio ID, kai nustatomas labai tikslus atitikimas, arba
2. sukuria naują įvykį, jei atitikimo nėra.
Užklausose akcentuojamas didelis tikslumas: straipsnis siejamas su esamu įvykiu tik tada, kai modelis užtikrintai nustato atitikimą. Paveikta (-os) organizacija (-os) ir grėsmių vykdytojų požymiai laikomi svarbiais indikatoriais.
Kiekvienam įvykiui kaupiami šie laukai: pirmos ir pastarosios peržiūrų datos, straipsnių skaičius, paveiktos organizacijos, grėsmių vykdytojai, pavadinimai ir nuorodos.
Tikslumas ir kokybės užtikrinimas
Determinizmas ir apribojimai:
LLM temperatūros parametras nustatytas į nulį, siekiant maksimaliai padidinti determinizmą ir sumažinti klaidingus atsakymus;
ribotos struktūros užklausos reikalauja aiškiai apibrėžtų laukų ir JSON išvesčių; apdorojimo metu užtikrinama atitiktis nustatytai schemai;
straipsniai be turinio (neturintys pavadinimo ar teksto) atmetami ankstyvajame apdorojimo etape.
LLM valdomi ir pagal schemą tvirtinami rodikliai:
visi rodiklių laukai generuojami naudojant deterministinius LLM rezultatus (temperatūros parametras lygus 0), taikant griežtas, dokumentuotas gaires ir JSON schemas; į statistiką įtraukiami tik schemą atitinkantys rezultatai, o periodinė žmogaus atliekama kokybės kontrolė padeda užtikrinti nuoseklumą ir išvengti modelio nuokrypių.
Įvykių ir straipsnių klasifikavimas tiksliam filtravimui:
įvykių tipų ir straipsnių klasifikavimas naudojamas kaip griežtas aktualumo filtras, atmetantis su tema nesusijusį, mažai reikšmingos informacijos turintį ar apžvalginio pobūdžio turinį. Dėmesys pranešimams apie pavienius įvykius mažina informacinį triukšmą ir reikšmingai padidina duomenų rinkinio tikslumą bei patikimumą.
Patvirtinimas iš kelių šaltinių:
įvykių grupavimo metu naudojamas anksčiau išsaugotų įvykių kontekstas; neatitikimai mažina neteisingo sujungimo tikimybę;
agreguotuose duomenyse pateikiamas kiekvieno įvykio susietų šaltinių nuorodų sąrašas, skirtas rankiniam patikrinimui.
Žmogaus įtraukimas į procesą:
didelį poveikį turintys ar dviprasmiški atvejai gali būti pažymėti redakcinei peržiūrai ir faktų patikrinimui;
reguliarios kokybės kontrolės peržiūros: kas mėnesį atliekamas atrinktų straipsnių ir įvykių auditas bei tikslumo vertinimas; nustačius nuokrypius, koreguojamos užklausos, modelis ar raktažodžiai.
Atsekamumas:
kiekvieną statistinį duomenį galima atsekti iki duomenų bazėje esančių straipsnių ir nuorodų, kad būtų galima atlikti auditą.
Apribojimai
Aprėpties ribos:
GCS pagrindu vykdomas turinio aptikimas priklauso nuo raktažodžių ir CSE konfigūracijos; ne visi incidentai yra aptinkami, ypač kalbomis, kurios neįtrauktos į konfigūraciją, arba mokamo turinio šaltiniuose;
kai kurios svetainės blokuoja automatinį turinio gavimą; tokių straipsnių turinys gali būti iš dalies ar visiškai praleistas.
Su LLM susijusios rizikos:
nepaisant deterministinių nustatymų ir struktūrizuotų užklausų, gali pasitaikyti klasifikavimo klaidų, ypač kai tekstai yra neinformatyvūs ar dviprasmiški;
įvykių grupavimas gali padalyti tą patį incidentą į kelis įvykius arba kraštutiniais atvejais sujungti panašius, bet skirtingus incidentus.
Kaip apskaičiuojama statistika
Straipsnių lygmens laukai gaunami tiesioginio išgavimo būdu ir iš LLM sugeneruotų išvesčių (saugomų kiekvienam įrašui).
Įvykių lygmens rodikliai sujungia su įvykiu susijusius straipsnius pagal „event_id“:
straipsnių skaičius, pirmos ir pastarosios peržiūrų datos;
paveiktos organizacijos ir grėsmių vykdytojai, pašalinus pasikartojimus;
reprezentatyvūs pavadinimai ir kanoninių nuorodų sąrašai.
Ataskaitų statistika generuojama iš šių saugomų lentelių; kiekvienas rodiklis gali būti atsekamas iki įvykių eilučių ir pagrindinių straipsnių įrašų.
Duomenų apimtis
Mūsų kibernetinio saugumo turinyje pateikiama statistika ir įžvalgos yra gautos iš šių šaltinių:
viešai prieinamų pranešimų apie kibernetinio saugumo incidentus,
žiniasklaidos pranešimų apie patvirtintus kibernetinius incidentus,
pramonės ataskaitų ir apklausų,
vyriausybės ir reguliavimo institucijų atskleidžiamos informacijos.
Duomenys atspindi viešai stebimą ir praneštą veiklą, o ne visą pasaulyje įvykstančių kibernetinių incidentų visumą. Daugelis kibernetinių įvykių niekada neatskleidžiami, apie juos nepranešama ir žiniasklaida jų neaprašo.
Duomenų šaltiniai ir atradimas
Šaltinių tipai
Su kibernetiniu saugumu susiję straipsniai ir ataskaitos renkami iš kelių šaltinių kategorijų, įskaitant:
pagrindinę ir technologijų žiniasklaidą.
Į šią kategoriją įeina pagrindinės tarptautinės naujienų organizacijos ir technologijų leidiniai;autoritetingus ir ekspertinius kibernetinio saugumo šaltinius.
Įskaitant vyriausybės institucijas, kibernetinio saugumo tyrimų organizacijas ir pripažintus šios srities leidinius;regioninę ir vietinę žiniasklaidą.
Tai apima kibernetinio saugumo incidentus Šiaurės Amerikoje, Europoje, Azijos ir Ramiojo vandenyno regione bei kituose regionuose;pramonės ir mokslinių tyrimų ataskaitas.
Įskaitant metines ataskaitas apie pažeidimus, ataskaitas apie naujausias grėsmes, apklausas ir ekonomines analizes.
Kiekvienam šaltiniui priskiriama informacija straipsnio ar ataskaitos lygmeniu, išsaugant paskelbimo datą, paskelbimo vietą ir pirminį URL adresą.
Atradimo procesas
Turinys aptinkamas naudojant automatines paieškos užklausas, paremtas nuolat atnaujinamu kibernetinio saugumo raktažodžių sąrašu. Raktažodžiai sugrupuoti pagal temas (pvz., duomenų saugumo pažeidimai, išpirkos reikalaujančios programos, duomenų viliojimas, pažeidžiamumai, reglamentai).
Paieškos atliekamos kasdien, kad būtų aptiktas naujai paskelbtas turinys. Kiekvienos užklausos metu ieškoma tik naujausio turinio, siekiant, kad duomenų rinkinys apimtų naujausius pranešimus ir būtų aktualus.
Turinio rinkimas ir apdorojimas
Straipsnio gavimas
Aptikus šaltinį, visas straipsnio tekstas gaunamas naudojant automatinius išgavimo įrankius. Jei pirminis išgavimas nepavyksta, naudojami atsarginiai metodai, kad būtų užtikrinta patikima aprėptis.
Pasikartojančių įrašų šalinimas
Siekiant išvengti dvigubo skaičiavimo:
vienodi URL adresai apdorojami tik kartą;
pakartotinai paskelbtas arba sindikuotas turinys identifikuojamas ir pašalinamas straipsnio lygmeniu;
įvykių lygmens agregavimas (aprašytas toliau) papildomai sumažina turinio dubliavimąsi tarp skirtingų paskelbimo vietų.
Filtravimas pagal aktualumą ir klasifikavimas
Kibernetinio saugumo aktualumo vertinimas
Kiekvienas straipsnis įvertinamas siekiant nustatyti, ar jis yra aktualus kibernetinio saugumo statistikai. Straipsniuose turi būti išsamiai aprašomas arba analizuojamas kibernetinio saugumo įvykis, grėsmė, pažeidžiamumas ar reguliavimo veiksmas.
Klasifikavimas pagal įvykių tipus
Aktualūs straipsniai skirstomi į šias pagrindines kategorijas:
incidentus – patvirtintos kibernetinės atakos arba pažeidimai, kurie jau įvyko;
pažeidžiamumus – saugumo spragų, kuriomis galima pasinaudoti, atskleidimas;
grėsmių analizes – ataskaitos apie grėsmių vykdytojus, įrankius, kampanijas ar metodus;
reguliavimo ir teisinius aspektus – įstatymai, vykdymo užtikrinimo priemonės, politikos pakeitimai arba teisminiai procesai, susiję su kibernetiniu saugumu.
Šis klasifikavimas užtikrina, kad statistika, susijusi su „incidentais“, „saugumo pažeidimais“ ar „atakomis“, nebūtų painiojama su informacijos apie pažeidžiamumą atskleidimu ar bendrais komentarais.
Įvykių grupavimas (straipsnių priskyrimas įvykiams)
Dažnai apie tą patį kibernetinį incidentą pranešama keliuose straipsniuose. Siekiant išvengti dvigubo skaičiavimo:
straipsniai, kuriuose aprašomas tas pats incidentas, sugrupuojami į vieną įvykį;
įvykiams priskiriami pastovūs vidiniai identifikatoriai;
straipsniai susiejami su esamais įvykiais tik tada, kai yra didelė tikimybė, kad juose aprašomas tas pats įvykis.
Grupuojant naudojami tokie indikatoriai: paveiktos organizacijos, grėsmių vykdytojai, laiko juostos ir incidentų aprašymai.
Įvykių lygmens įrašuose saugomi šie duomenys:
pirmos ir pastarosios peržiūrų datos,
susijusių straipsnių skaičius,
paveiktos organizacijos,
minimi grėsmės vykdytojai,
šaltinio nuorodos patikrinimui.
Automatinės analizės ir kokybės kontrolės naudojimas
Automatinis klasifikavimas
Struktūrizuota, deterministinė kalbos modelio analizė naudojama norint klasifikuoti, išgauti ir agreguoti. Visi automatiškai generuojami rezultatai formuojami pagal iš anksto apibrėžtas schemas, siekiant užtikrinti nuoseklumą.
Modeliai veikia taikant deterministinius nustatymus, siekiant sumažinti rezultatų variaciją ir klaidų riziką.
Kokybės užtikrinimas
Siekiant užtikrinti tikslumą:
schemos patvirtinimas užtikrina, kad būtų įtraukiami tik tinkamai struktūrizuoti rezultatai;
siekiant nustatyti klasifikavimo nuokrypius, kas mėnesį reguliariai atliekamos imčių atrankos ir peržiūros procedūros, įskaitant tikslumo patikrinimą. Peržiūros metu nustatyti klasifikavimo pokyčiai naudojami modeliui koreguoti;
dviprasmiški arba didelį poveikį turintys atvejai pažymimi, kad juos peržiūrėtų žmogus;
agreguotus statistinius duomenis galima atsekti iki atskirų straipsnių ir įvykių.
Kaip apskaičiuojama statistika
Straipsnių lygmens ir įvykių lygmens rodiklių palyginimas
Kai kurie statistiniai duomenys grindžiami:
straipsnių lygmens skaičiavimais (pvz., žiniasklaidos pranešimų apimtimi),
įvykių lygmens skaičiavimais (pvz., skirtingų pažeidimų ar incidentų skaičiumi).
Kai įmanoma, pirmenybė teikiama įvykių lygmens rodikliams, siekiant sumažinti dubliavimąsi.
Skaičiavimų ir dažnių interpretavimas
Statistiniai duomenys, tokie kaip „incidentai per dieną“ arba „pažeidimai per metus“, atspindi praneštą arba žiniasklaidoje paskelbtą veiklą, o ne bendrą veiklą visame pasaulyje.
Tiekėjų telemetrijos duomenys, vyriausybės institucijų pranešimų sistemos ir ekonominės prognozės dažnai pateikia gerokai didesnius skaičius dėl taikomos aprėpties ir metodikos skirtumų. Kai tai aktualu, šie skirtumai yra nurodomi.
Ribotumai ir svarstytini dalykai
Nors dedamos pastangos užtikrinti duomenų tikslumą ir nuoseklumą, jiems būdingi tam tikri ribotumai:
ne apie visus incidentus viešai skelbiama ar pranešama;
žiniasklaidos dėmesys skiriasi priklausomai nuo regiono, sektoriaus ir incidento masto;
kai kurie šaltiniai riboja prieigą;
kraštutiniais atvejais gali pasitaikyti klasifikavimo klaidų;
ekonominių nuostolių sumos gali keistis vykstant tyrimams.
Todėl statistika turėtų būti interpretuojama kaip krypties rodikliai, o ne išsamūs matavimai.
Šaltinių rodyklė
Kiekvienas toliau pateiktas sunumeruotas šaltinis susietas su viršutiniu indeksu pažymėta nuoroda, naudojama kibernetinio saugumo statistikos puslapyje. Viršutiniai indeksai tiesiogiai nukreipia į atitinkamą šaltinio įrašą šiame puslapyje.
Šaltinis 1 Statista – |
|---|
Šaltinis 2 Identity Theft |
Šaltinis 3 Identity Theft |
Šaltinis 4 Verizon – |
Šaltinis 5 IBM – |
Šaltinis 6 South Korean |
Šaltinis 7 Aflac – June |
Šaltinis 8 HIPAA Journal – |
Šaltinis 9 California Attorney |
Šaltinis 10 Iowa Attorney |
Šaltinis 11 Rhode Island |
Šaltinis 12 Rhode Island |
Šaltinis 13 Aflac Newsroom – |
Šaltinis 14 HIPAA Journal – |
Šaltinis 15 Office of the |
Šaltinis 16 Qantas – Information |
Šaltinis 17 Qantas Newsroom – |
Šaltinis 18 Michigan Attorney |
Šaltinis 19 Maine Attorney |
Šaltinis 20 California Attorney |
Šaltinis 21 University of |
Šaltinis 22 Microsoft Digital |
Šaltinis 23 WIRED – NotPetya |
Šaltinis 24 Reuters – UnitedHealth |
Šaltinis 25 The Guardian – Jaguar |
Šaltinis 26 NBC News – |
Šaltinis 27 Delaware Department |
Šaltinis 28 Cybersecurity |
Šaltinis 29 JumpCloud – Phishing |
Šaltinis 30 Hornetsecurity – Email |
Šaltinis 31 Spearshield – |
Šaltinis 32 APWG – Phishing |
Šaltinis 33 arXiv – Academic |
Šaltinis 34 DeepStrike – Password |
Šaltinis 35 NordPass – Top 200 |
Šaltinis 36 Financial Times – |
Šaltinis 37 SecurityScorecard – |
Šaltinis 38 National Technology & |
Šaltinis 39 Palo Alto Networks – |
Šaltinis 40 IBM – Threat |
Šaltinis 41 Tenable – |
Šaltinis 42 Cybersecurity |
Šaltinis 43 Statista Market |
Šaltinis 44 Statista – Cost of |
Šaltinis 45 FTC – Consumer |
Šaltinis 46 FBI IC3 – 2024 Internet |
Šaltinis 47 Kroll – Data Breach |
Šaltinis 48 IBM – Cost of a Data |
Šaltinis 49 SailPoint – 2024 |
Šaltinis 50 DeepStrike – |
Šaltinis 51 Proofpoint & |
Šaltinis 52 Check Point – |
Šaltinis 53 Thales – 2024 |
Šaltinis 54 Cyfirma – Energy & |
Šaltinis 55 World Economic |
Šaltinis 56 DeepStrike – Cyber |
Šaltinis 57 Devolutions – State of |
Šaltinis 58 TotalAssure – |
Šaltinis 59 Cisco – Cybersecurity |
Šaltinis 60 IANS Research – |
Šaltinis 61 Munich Re – |
Šaltinis 62 Gartner – 2025 |
Šaltinis 63 Forrester – 2024 |
Šaltinis 64 Ivanti – State of |
Šaltinis 65 U.S. Department of |
Šaltinis 66 U.S. Department of |
Šaltinis 67 Google Cloud – |
Šaltinis 68 Gartner – Generative AI |
Šaltinis 69 Splashtop – Top |
Šaltinis 70 ENISA – Threat |