零日漏洞已成新常態？
責編：gltian ｜2019-03-11 13:39:35微軟研究顯示，2017年每個被利用的Windows漏洞都是從零日攻擊開始的。其他研究表明該趨勢橫跨整個IT領域。
IT安全界傳統觀點認為零日漏洞利用很稀少，我們更需關注構成攻擊主體的非零日漏洞。但2月7日的微軟藍帽大會( Blue Hat )上，微軟安全研究員 Matt Miller 以微軟Windows開發及防御演變為主題的精彩報告，挑戰了這一傳統認知。
Miller收集到的數據顯示零日漏洞實際上已成當今IT領域常態，非零日漏洞正隨時間進程變得不那么常見。2017年，每個被利用的微軟漏洞都是從零日攻擊開始的。2012年，這一比例是52%；2008年是更低的21%。
毫無疑問，調查結果引發了廣泛討論。如果錯誤理解了Miller的發現，人們可能會質疑：如果絕大部分漏洞都沒有補丁，修復操作還有什么價值呢？但單一的數據是說明不了問題的，防御的構建不能僅以一個數據點做為基礎。下面我們就來看看為什么不能僅以Miller的數據當做部署防御的依據。
大多數漏洞都沒被利用
盡管現在每年新發現的公開漏洞都在1.5萬個以上，但其中大多數其實是從未被利用過的。Miller的數據也表明，僅僅0.02%（588個 Windows CVE 中的12個）是被活躍利用的。其他風險管理公司也證實了這一點，比如 Kenna Security 就稱，僅0.6%的CVE（不僅僅是 Windows CVE）曾出現過野生的漏洞利用情況。
所以，用戶無需擔心大多數披露出來的漏洞，只需關注少數幾個有野生漏洞利用的即可。也就是說，與其試圖泛泛修復1.5萬個潛在漏洞，不如專注完美修復90個相關漏洞。如果你只關注微軟Windows補丁，這意味著600個已公布Windows漏洞中你只需要重點關注12個就夠了。哪幾個呢？那些有公開漏洞利用代碼的。
這一標準決定了是否需要應用補丁。Computerworld的 Woody Leonhard 甚至認為，就Miller的數據揭示出來的東西而言，大部分微軟補丁都不需要一經推出就立即應用。
不過，在何時應用微軟補丁上，大家見仁見智，越快應用越好的想法也很有市場。數據顯示，大部分風險都不是出現在補丁剛放出的那幾天里。所以，非高風險環境中，是可以稍微等幾天，確保所有漏洞已找出且被其他早期補丁采納者解決之后，再應用補丁。
首次被利用不等于被利用得多
Miller的數據確實表明，大部分被利用的Windows漏洞都是作為零日漏洞被首次應用到目標公司身上，這一點很是令人驚訝。但是，零日攻擊之后該漏洞的被利用頻次如何，就不是能從他的數據“臆測”的了。
Miller的數據僅僅揭示首日和頭30天里被利用的漏洞，并未呈現30天之后發生了什么。而且更重要的是，這幾個時間段里的被利用頻次也未涉及。
比如說，假設零日漏洞在首日被用到了某家公司的35臺設備上，但只要漏洞利用代碼被公開，接下來的幾年內將會有數百萬設備受害。Miller的數據并未顯示各時間段里設備所承受的總體風險程度。但無論新漏洞利用被披露的方式如何(零日或經由相應的補丁發布)，都沒有考慮到漏洞可導致的整體風險。
零日漏洞成本上升
零日漏洞盛行的觀點站不住腳：從最普遍的供需關系看，隨著零日漏洞的普及，漏洞給其發現者所帶來的利潤必然減少。漏洞獎勵項目為零日漏洞設的獎金倒是仍在走高。也就是說，零日漏洞，至少對攻擊者而言好用的零日漏洞，只會越來越少。
漏洞根本不是你的首要問題
事實上，絕大多數成功惡意數據泄露都是因為社會工程的完美運用，而不是源自軟件漏洞利用。每年各家安全或咨詢公司給出的數據都不一樣，但近10年來，社會工程方法，尤其是網絡釣魚，都已經取代軟件漏洞，成為攻擊者突破設備或網絡的首要方式。在比較零日漏洞和非零日漏洞的時候，千萬別忘了我們的最大問題并不是軟件和硬件修復。