先发制人的安全：应对AI网络威胁的预判与防御指南

什么是先发制人的安全？这里有一个快速的FAQ。

Q1. “先发制人的安全”是什么意思？ A：先发制人的安全指的是那些能够预测、消除或破坏威胁的安全能力，这些能力在威胁成功执行或造成损害之前就发挥作用，而非主要依赖事后检测和响应。这些技术包括预测性威胁情报、机器学习(ML)、欺骗、自动化移动目标防御以及持续的基础设施适应性调整。

Q2. 为什么现在要强调先发制人的安全？ A：曾经是前AI世界。现在是后AI世界，威胁行为者越来越多地使用AI进行攻击，迫切产生了对先发制人安全的需求。威胁格局正在迅速演变，尤其是随着生成式AI和更复杂对手的兴起。钓鱼攻击正变得针对目标组织进行定制，而单次使用的恶意软件和域名现正被用于攻击。传统的被动检测/响应越来越不足，因为你不能依赖“零号病人”被感染来创建保护所有人的签名。全球攻击面也在迅速扩大，这源于多云采用、物联网/OT设备的增长、分布式远程用户以及分支/边缘部署的增加。一旦攻击成功侵入网络，对手只需48分钟就能在网络内横向移动，这迫切要求采取先发制人的措施。

Q3：网络攻击格局中有哪些关键趋势，以及威胁行为者使用AI的证据点？ A：

78%接受调查的首席信息安全官报告称，AI驱动的威胁正在对其组织产生重大影响。1
与2024年第四季度相比，2025年第一季度勒索软件攻击激增了132%，这得益于基于AI欺骗的社会工程学手段获取网络的初始访问权限。2
由于AI驱动的威胁，漏洞利用增加了34%。3

Q4：威胁行为者如何使用AI？ A：

一个日益增长的威胁来自AI驱动的社会工程学，攻击者使用人工智能制作极具说服力的钓鱼邮件和语音钓鱼(vishing)电话。这些信息通常模仿受信任的个人或组织，使得诱骗受害者披露敏感信息或授予对安全系统的未经授权访问变得容易得多。
AI也正在改变恶意软件的开发方式。通过自动化和加速复杂代码的创建，攻击者现在可以在短时间内生成高级勒索软件。这些AI增强的威胁通常能够绕过传统的安全防御，有效降低了发起成功攻击所需的技术专长。
最后，AI正在使网络犯罪民主化。借助AI驱动的工具自动化钓鱼工具包创建、漏洞利用生成和恶意软件交付等任务，即使是缺乏经验的攻击者也能策划复杂的攻击活动。这种转变推动了“网络犯罪即服务”的增长，使得攻击在所有行业中变得更加频繁、多样化和不可预测。

Q5. 传统的检测与响应解决方案使用的“零号病人感染”策略是什么？ A：旧的“零号病人感染”策略涉及另一个组织成为初始目标（称为“零号病人”），然后研究该攻击/恶意软件的运作方式，并利用这些见解来加强自身的防御。然而，这种方法已不再有效。现代威胁行为者正在开发专门针对你的行业、你的组织甚至你的个别员工的单次使用恶意软件——这大大增加了你成为零号病人的可能性。

Q6. 先发制人安全的关键组成部分或特征是什么？ A：

预测与预判： 使用AI/ML和预测性威胁情报来预见攻击向量并及早采取行动。
欺骗/移动目标防御： 误导对手，改变攻击面，并拒绝他们静态的易攻击目标。
架构与暴露面管理： 认识到“全球攻击面网络”正在扩展（云、物联网、API）并相应地调整安全设计。
战略对齐： 安全成为与创新、数字信任和运营卓越性相联系的业务赋能器（根据2026年趋势）。

Q7. 什么是预测性威胁情报？ A：预测性威胁情报解决方案通过结合AI、分析和预测模型来预测未来网络攻击的可能性。与传统威胁情报不同，预测性情报关注接下来可能发生什么，而不是已经发生了什么。

Q8. 组织应如何从传统的“检测与响应”转向先发制人模式？ A：一些建议的行动：

评估当前对反应性工具（SIEM、EDR、MDR）的依赖程度，并衡量你的预算/架构中有多少是真正具有预见性的。
投资于AI/ML驱动的能力，如预测分析、欺骗工具、移动目标防御和高级威胁狩猎。
重新设计架构以减少攻击面：进行网络分段、限制静态暴露、隔离关键资产、在设计阶段就嵌入安全，而不是事后补救。
将安全战略与创新、数字化和信任等业务层面的驱动因素对齐（根据2026年趋势），使安全不仅仅是一个成本中心，而是一个赋能器。
认识到先发制人的能力，而非检测和响应，是生成式AI时代网络安全的明确未来。4

Q9. 防护性DNS如何实现先发制人的安全？ A：防护性DNS(PDNS)使用域名系统(DNS)作为一个通用的主动防护层。它识别、分析并阻止与高风险和恶意域名的连接，从而在设备与之通信之前就将其阻断。这是通过以下方式实现的：

使用基于DNS的预测性威胁情报来检测和阻止威胁行为者的基础设施在其激活之前就被阻断，而不是追逐单个的恶意软件变种和域名。
利用ML和DNS遥测来识别高风险/可疑域名，并阻止用户和设备解析这些域名。
检测并中和流量分发系统(TDS)，这些系统会将用户重定向到钓鱼或恶意软件站点。

Q10. 为什么DNS是一个强大的控制点？ A：每一个数字连接都始于一个DNS查询。通过监控和控制DNS请求，组织可以获得以下可见性：

所有出站通信，包括来自最终用户设备、物联网/OT设备、云工作负载和远程用户的通信。
威胁活动在其显现之前的情况，例如试图访问钓鱼/语音钓鱼域名、命令与控制连接或数据外泄企图。这种可见性允许早期检测和先发制人的阻断，甚至早于端点或防火墙解决方案能够做出反应。

Q11. 有哪些证据点表明政府和行业采用了防护性DNS？ A：

在美国，CISA/NSA于2022年推出了PDNS，以加强联邦机构和关键基础设施的网络态势。
在英国，PDNS于2017年正式启动，此后已成为英国公共服务业安全的关键基石。
澳大利亚信号局于2021年推出了澳大利亚PDNS，以保护联邦、州和地区政府机构。
乌克兰于2023年实施了国家PDNS，用于过滤钓鱼网站，据其公民报告，这导致金融钓鱼欺诈减少了30-40%。
Google Cloud发布了由Infoblox提供支持的Google Cloud DNS Armor的公开预览版，以原生地保护Google Cloud工作负载，使用基于DNS的威胁检测。
Microsoft发布了零信任DNS(ZTDNS)的公开预览版，该功能锁定Windows 11机器，只允许它们访问PDNS批准的域名，从而增强整体网络安全性。

Q12. 采用先发制人安全方法有哪些好处和风险？ A： 好处：

可能缩短对手的驻留时间并减少成功入侵的次数。
安全变得更加前瞻性，并与业务创新对齐，而不是总是被动追赶。
在攻击面和攻击工具（例如，AI使能的威胁）迅速增长的环境中具有更强的弹性。

风险或挑战：

先发制人的能力可能前期需要更多投资（高级分析、欺骗技术、架构改革）。
组织可能面临成熟度和人员配置的限制：从“检测/响应”文化转向“预判/破坏”文化并非易事。
过度依赖自动化或AI而缺乏适当的治理和人工监督可能带来新的风险。
“已阻止的攻击”的指标和投资回报率比“已响应的事件”更难量化。确保你采用的先发制人解决方案能够提供关于已阻止威胁的仪表板，以便轻松地向董事会展示。

Q13. 如何开始衡量向先发制人安全成熟度迈进的进展？ A：一些可能的指标包括：

分配给先发制人/预见性工具与遗留检测/响应的安全预算百分比。
实施欺骗/移动目标防御工具前后的安全事件数量或对手驻留时间指标。
检测时间与预防（阻断或先发制人阻断）攻击向量尝试的时间。
对齐指标，例如直接与业务创新项目挂钩的安全举措数量，以及安全赋能（而非延迟）新数字能力推出的次数。

来源：

CrowdStrike 2025年全球威胁报告：警惕进取的对手，Myers, Adam，CrowdStrike博客，2025年2月27日。
勒索软件攻击激增——AI和双因素认证绕过成为焦点，Winder, Davey，福布斯，2025年3月25日。
2025年数据泄露调查报告，Verizon，2025年。
Gartner表示，在GenAI时代，先发制人能力，而非检测与响应，是网络安全的未来，Business Wire，2025年9月19日。