• “一带一路”论坛 值得世界期待 2019-05-13
  • 地铁上索座不成 蛮横老汉掌掴大妈 2019-05-13
  • 为祝贺你们!为你们自豪,为你们骄傲——中国核电的创新者!这是“两弹一星”精神的延续,是“两弹一星”精神的发扬!有良心的中国人,更要感谢以毛泽东为首的老一辈无产阶 2019-05-10
  • 新版泰坦尼克2018年首航 杰克肉丝这回要从中国上船了泰坦尼克号首航 2019-05-10
  • 牢记宗旨,不忘初心,奋勇前行,开创中华民族伟大复兴! 2019-04-23
  • 【学习时刻】管清友:归本源、化风险、促改革,让金融成为经济发展的重要动力 2019-04-23
  • (原创首发)看《换了人间》有感——蒋介石和国民党依靠歪门邪道夺取天下;毛泽东和共产党依靠正义正气打天下! 2019-04-14
  • 高考评卷在三所高校进行 确保高质高效完成评卷任务 2019-04-12
  • 一语惊坛(5月31日):“我们不一样”,中国向世界许下一个承诺。 2019-04-08
  • 扎根沙漠的孙晟中创业团队“什么都能省,研发经费不能省” 2019-04-03
  • 这是没文化和懒人的语言。瞎扯淡! 2019-04-03
  • 广州市食药监局:端午粽抽检全部合格 2019-04-01
  • 关于益寿丹 竹林日记(0073) 2019-04-01
  • 央视解读不动产登记体系全面运行 房价会下跌 2019-03-31
  • 出租车司机涉嫌猥亵女乘客 乐山警方:拘留10日 2019-03-31
  • 首页 > 信息安全 > 正文

    零日漏洞已成新常态?

    藏宝阁玄机资料 www.zir1.net 2019-03-11 13:39:02  来源:安全牛

    摘要:微软研究显示,2017年每个被利用的Windows漏洞都是从零日攻击开始的。其他研究表明该趋势横跨整个IT领域。
    关键词: 漏洞
      微软研究显示,2017年每个被利用的Windows漏洞都是从零日攻击开始的。其他研究表明该趋势横跨整个IT领域。
     
      IT安全界传统观点认为零日漏洞利用很稀少,我们更需关注构成攻击主体的非零日漏洞。但2月7日的微软蓝帽大会( Blue Hat )上,微软安全研究员 Matt Miller 以微软Windows开发及防御演变为主题的精彩报告,挑战了这一传统认知。
     
      Miller收集到的数据显示零日漏洞实际上已成当今IT领域常态,非零日漏洞正随时间进程变得不那么常见。2017年,每个被利用的微软漏洞都是从零日攻击开始的。2012年,这一比例是52%;2008年是更低的21%。
     
      毫无疑问,调查结果引发了广泛讨论。如果错误理解了Miller的发现,人们可能会质疑:如果绝大部分漏洞都没有补丁,修复操作还有什么价值呢?但单一的数据是说明不了问题的,防御的构建不能仅以一个数据点做为基础。下面我们就来看看为什么不能仅以Miller的数据当做部署防御的依据。
     
      大多数漏洞都没被利用
     
      尽管现在每年新发现的公开漏洞都在1.5万个以上,但其中大多数其实是从未被利用过的。Miller的数据也表明,仅仅0.02%(588个 Windows CVE 中的12个)是被活跃利用的。其他风险管理公司也证实了这一点,比如 Kenna Security 就称,仅0.6%的CVE(不仅仅是 Windows CVE)曾出现过野生的漏洞利用情况。
     
      所以,用户无需担心大多数披露出来的漏洞,只需关注少数几个有野生漏洞利用的即可。也就是说,与其试图泛泛修复1.5万个潜在漏洞,不如专注完美修复90个相关漏洞。如果你只关注微软Windows补丁,这意味着600个已公布Windows漏洞中你只需要重点关注12个就够了。哪几个呢?那些有公开漏洞利用代码的。
     
      这一标准决定了是否需要应用补丁。Computerworld的 Woody Leonhard 甚至认为,就Miller的数据揭示出来的东西而言,大部分微软补丁都不需要一经推出就立即应用。
     
      不过,在何时应用微软补丁上,大家见仁见智,越快应用越好的想法也很有市场。数据显示,大部分风险都不是出现在补丁刚放出的那几天里。所以,非高风险环境中,是可以稍微等几天,确保所有漏洞已找出且被其他早期补丁采纳者解决之后,再应用补丁。
     
      首次被利用不等于被利用得多
     
      Miller的数据确实表明,大部分被利用的Windows漏洞都是作为零日漏洞被首次应用到目标公司身上,这一点很是令人惊讶。但是,零日攻击之后该漏洞的被利用频次如何,就不是能从他的数据“臆测”的了。
     
      Miller的数据仅仅揭示首日和头30天里被利用的漏洞,并未呈现30天之后发生了什么。而且更重要的是,这几个时间段里的被利用频次也未涉及。
     
      比如说,假设零日漏洞在首日被用到了某家公司的35台设备上,但只要漏洞利用代码被公开,接下来的几年内将会有数百万设备受害。Miller的数据并未显示各时间段里设备所承受的总体风险程度。但无论新漏洞利用被披露的方式如何(零日或经由相应的补丁发布),都没有考虑到漏洞可导致的整体风险。
     
      零日漏洞成本上升
     
      零日漏洞盛行的观点站不住脚:从最普遍的供需关系看,随着零日漏洞的普及,漏洞给其发现者所带来的利润必然减少。漏洞奖励项目为零日漏洞设的奖金倒是仍在走高。也就是说,零日漏洞,至少对攻击者而言好用的零日漏洞,只会越来越少。
     
      漏洞根本不是你的首要问题
     
      事实上,绝大多数成功恶意数据泄露都是因为社会工程的完美运用,而不是源自软件漏洞利用。每年各家安全或咨询公司给出的数据都不一样,但近10年来,社会工程方法,尤其是网络钓鱼,都已经取代软件漏洞,成为攻击者突破设备或网络的首要方式。在比较零日漏洞和非零日漏洞的时候,千万别忘了我们的最大问题并不是软件和硬件修复。

    第二十八届CIO班招生
    法国布雷斯特商学院MBA班招生
    法国布雷斯特商学院硕士班招生
    法国布雷斯特商学院DBA班招生
    责编:kongwen
  • “一带一路”论坛 值得世界期待 2019-05-13
  • 地铁上索座不成 蛮横老汉掌掴大妈 2019-05-13
  • 为祝贺你们!为你们自豪,为你们骄傲——中国核电的创新者!这是“两弹一星”精神的延续,是“两弹一星”精神的发扬!有良心的中国人,更要感谢以毛泽东为首的老一辈无产阶 2019-05-10
  • 新版泰坦尼克2018年首航 杰克肉丝这回要从中国上船了泰坦尼克号首航 2019-05-10
  • 牢记宗旨,不忘初心,奋勇前行,开创中华民族伟大复兴! 2019-04-23
  • 【学习时刻】管清友:归本源、化风险、促改革,让金融成为经济发展的重要动力 2019-04-23
  • (原创首发)看《换了人间》有感——蒋介石和国民党依靠歪门邪道夺取天下;毛泽东和共产党依靠正义正气打天下! 2019-04-14
  • 高考评卷在三所高校进行 确保高质高效完成评卷任务 2019-04-12
  • 一语惊坛(5月31日):“我们不一样”,中国向世界许下一个承诺。 2019-04-08
  • 扎根沙漠的孙晟中创业团队“什么都能省,研发经费不能省” 2019-04-03
  • 这是没文化和懒人的语言。瞎扯淡! 2019-04-03
  • 广州市食药监局:端午粽抽检全部合格 2019-04-01
  • 关于益寿丹 竹林日记(0073) 2019-04-01
  • 央视解读不动产登记体系全面运行 房价会下跌 2019-03-31
  • 出租车司机涉嫌猥亵女乘客 乐山警方:拘留10日 2019-03-31
  • 北京赛车pk10改单软件 江苏省体育彩票走势图 北京赛车pk拾预测软件 牛牛金服 新时时彩老时时彩 篮彩胜分差复式 亚洲秒速时时彩开奖 中了彩票大奖干什么 管家婆中特网王中王开 时时彩缩水网页 怎么查看福彩中奖号码 新疆时时彩三星开奖走势图 七乐彩走势图浙江 河南22选5走势图 新时时彩豹子号遗漏 秒速时时彩规律大全