2019年披露1.8万个漏洞,仅2.6%遭恶意利用

新研究报告分析出的漏洞实际利用率仅2.6%,给信息安全界盛传的FUD降了降温。

Kenna Security更新反FUD分析报告,缓解安全漏洞焦虑情绪。

信息安全行业盛产关于软件漏洞的FUD(惧、惑、疑),也很是适应软件漏洞FUD满天飞的状态,但近期一份调查研究报告当众打脸FUD,揭示2019年披露的1.8万个CVE中仅不到500个遭到利用。

美国信息安全公司Kenna Security日前发布研究报告称,尽管当年有成千上万个漏洞获得CVE追踪编号,其中却仅有473个遭到可能影响公司企业的恶意利用。

也就是说,2019年报告的漏洞遭到恶意利用的概率仅2.6%,为业界评估联网公司面临的威胁规模提供了新的视角。

Kenna联合创始人兼首席技术官Ed Bellis向媒体透露,这份分析报告专注有可能影响其客户的那些CVE,473这个数字甚至能够进一步削减。即使该公司没有过滤这1.8万个CVE,比如说只分析影响企业软件的那些漏洞,漏洞披露数量与实际遭利用数量之间的对比也十分鲜明了。

Kenna Security的报告断言:“这473个漏洞中仅6%曾经达到过被超1/100的组织广泛利用的程度。漏洞利用程序‘在野’并不意味着就已经肆虐全网了。”

“纳入CVE列表发布之时,>50%(最终遭野生利用)的漏洞都已经存在漏洞利用代码了。但在防御者的不懈努力下,其中80%的CVE在披露之时就发布了补丁。”

漏洞就在那里,但一切都极其不安全,有时只有纯靠运气才能避免数据盗窃、拒绝服务攻击等等危险的观念,可能只是假相。真相令人意外!

CVE、CNA、CVSS,还能再C出几个缩写吗?

尽管并不完美,CVE也是广为接受的公共领域漏洞数量与严重性度量。过去几年,CVE编号机构(CNA)大量冒出,刺激了报告CVE数量的大幅增长。目前,超过150家组织机构有权分配CVE编号,虽然其中大多数不过是只负责自身产品的供应商(如英国当下只有三家CNA:Canonical、Snyk和Sophos,而这三家全部都是软件和信息安全供应商)。

学术界也质疑CVE评分的重复性和一致性,德国一家大学就正在进行关于通用漏洞评分系统(CVSS)的研究,主要分析不同人员分配评分产生迥异结果的原因和方式。

而且,CVE成因大不同。虽然围绕一波波漏洞的大多数FUD总是令人联想起恶人小组无情发现并利用漏洞执行进一步破坏,连信息安全人员都扛不住,但真相有时候没那么戏剧化。

本月早些时候,谷歌就生动演绎了什么叫不过是人为失误。其Project Zero抱怨垃圾安全补丁未能完全修复CVE披露的问题。两天后,谷歌Chromium验证了Project Zero抱怨的问题,是11月时未能恰当修复的一个老旧Chromium零日漏洞。

Kenna Security报告原文:

https://www.kennasecurity.com/resources/prioritization-to-prediction-reports/

数世精评:

漏洞虽多,但绝大部分没被利用意味着什么?好的一面来看,似乎不用再疲于奔命的打补丁。但坏的一面是,漏洞很多,恶意攻击者暂时用不着。也就是说,保留着随时发起攻击的可能性。

声明:本文来自数世咨询,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。

版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/232.html

发表评论

登录后才能评论