調查：新漏洞的出現速度比安全團隊的修復速度更快
責編：gltian ｜2018-12-06 13:27:13最近，根據一項針對應用程序漏洞的調查研究顯示，軟件中高危漏洞的涌現速度，要比企業安全團隊所能對其進行響應的速度更快，這項研究提醒我們，網絡犯罪分子的目標仍然是過時軟件，而這些軟件一般不太可能在軟件修復過程中被優先考慮。
作為Tenable最新《漏洞情報報告》（VIR）的一部分，對常見漏洞和CVE數據庫的審查結果發現，2017年全年共報告了15,038個新漏洞，此外，與去年同期相比，今年上半年的漏洞新增率增長了27％。
這一增長率意味著，今年一整年可能會發現超過18,000個新漏洞——并且大約61%的已發現漏洞已被評級為“高危漏洞”，企業應用程序管理者必須優先考慮在960個資產上平均每天修補870個CVE。
該報告指出，管理漏洞是一項規模、速度和數量等多重挑戰并存的任務。它不僅僅是一項工程挑戰，還需要一種“以風險為中心”的觀點來優先考慮表面上看似相同的數千個漏洞。
Tenable公司的分析報告警告稱，即便企業只能解決嚴重風險評級的漏洞——嚴重程度為9.0-10.0的漏洞——他們仍然不得不在年底前處理900多個此類漏洞（高危漏洞占據全年發現新漏洞總數的60%以上）。
此外，Tenable還發布了Top20漏洞排行，凸顯了在實際網絡掃描中最常見的漏洞類型。其中一些是專門針對應用程序的，而另一些則是繼續使用過時的協議：例如，27%的企業仍在使用舊的和不安全的SSLv2和SSLv3版本運行服務。
報告顯示，紅帽企業版Linux（Red Hat Enterprise Linux，簡稱RHEL）具有最高風險等級的漏洞，Orace Linux 和Novell SUSE Linux風險水平差不多，CentOS Linux幾乎與微軟操作系統風險水平相當。
Mozilla的Firefox瀏覽器在高危CVE中的比例最高，而Adobe和Google的曝光率也是受到了高危問題的影響。
令人擔憂的現實是，猖獗而持續存在的漏洞問題，不僅會對企業本身構成嚴重威脅——網絡犯罪分子針對制造業和媒體組織等部門的攻擊行為越來越具有破壞性，且未修復的漏洞也可能會使企業腹背受敵——還可以被攻擊者用于向附屬企業發起“跳板攻擊”，進一步擴大受災面。
根據Carbon Black（一家事件響應和威脅狩獵公司）最近發布的《季度事件響應威脅報告》（QIRTR）指出，在分析的所有攻擊事件中，有一半涉及上述的“跳板攻擊”（island hopping），此外，30%的受訪者認為受害者網站被轉變為“水坑”，其中受到攻擊的網絡被用于攻擊網絡中的關聯企業。
這就意味著，不僅貴公司的數據會面臨風險，您的客戶、合作伙伴以及供應鏈中其他任何一方的數據都會面臨同樣的威脅。
Carbon Black公司還發現，一些使用率和安裝率較高的工具通常都能為攻擊者提供橫向移動的能力。其中89%的受訪黑客稱PowerShell在該方面十分好用，65%的受訪者則習慣利用WMI工具。
如今，無處不在的此類工具正在通過常用的應用程序進一步推動外部攻擊。根據Tenable Top 20漏洞榜單揭示，最常見的漏洞是CVE-2018-8202，這是一個影響Microsoft應用程序的.NET Framework特權提升漏洞 – 在接受掃描的32％的企業環境中都可以找到此類漏洞。
此外，在接受掃描的至少28%的企業環境中，還發現了Google Chrome基于堆棧的緩沖區溢出漏洞，Microsoft Internet Explorer VBScript漏洞，可用于獲取提升權限的Oracle Java DB漏洞；以及Microsoft .NET Framework漏洞，該漏洞可被用于繞過該平臺的Device Guard框架。
Tenable《漏洞情報報告》（VIR）報告全文：
https://www.tenable.com/cyber-exposure/vulnerability-intelligence