Etwa 5,5 % der entdeckten Schwachstellen werden für Angriffe genutzt.

Eine Gruppe von Forschern der Virginia Polytechnic Institute und State University sowie der Unternehmen Cyentia und RAND, veröffentlicht die Ergebnisse der Risikoanalyse bei der Anwendung verschiedener Strategien zur Behebung von Schwachstellen. Bei einer Untersuchung von 76.000 Schwachstellen, die zwischen 2009 und 2018 entdeckt wurden, stellte sich heraus, dass nur 4.183 davon (5,5 %) für tatsächliche Angriffe genutzt wurden. Der ermittelte Wert übersteigt die zuvor veröffentlichten Prognosen um das Fünffache, in denen die Zahl der ausgenutzten Probleme auf etwa 1,4 % geschätzt wurde.

Dabei wurde keine Korrelation zwischen der Veröffentlichung von Exploit-Prototypen in öffentlichem Zugriff und den Versuchen zur Ausnutzung von Schwachstellen gefunden. Von allen bekannten Ereignissen zur Ausnutzung von Schwachstellen haben nur in der Hälfte der Fälle zuvor Prototypen von Exploits in offenen Quellen veröffentlicht. Das Fehlen eines Exploit-Prototyps hält Angreifer nicht davon ab, bei Bedarf ihre eigenen Exploits zu erstellen.

Aus weiteren Erkenntnissen lässt sich feststellen, dass hauptsächlich Schwachstellen mit einem hohen Gefährdungspotenzial gemäß der CVSS-Klassifizierung für Ausnutzungen in Frage kommen. In fast der Hälfte der Angriffe wurden Schwachstellen mit einem Gewicht von mindestens 9 angewandt.

Die Gesamtzahl der in dem betrachteten Zeitraum veröffentlichten Exploit-Prototypen wird auf 9.726 geschätzt. Die im Rahmen der Studie verwendeten Daten zu Exploits stammen aus
Sammlungen wie Exploit DB, Metasploit, D2 Security's Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs und Secureworks CTU.
Die Informationen über die Schwachstellen wurden aus der Datenbank NIST NVD (National Vulnerability Database) gewonnen. Die Daten über die Ausnutzung wurden auf Basis von Informationen von FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, Alienvault’s OSSIM und ReversingLabs zusammengefasst.

Die Studie wurde durchgeführt, um das optimale Gleichgewicht zwischen der Anwendung von Updates zur Erkennung von Schwachstellen und der Beseitigung nur der gefährlichsten Probleme zu bestimmen. Im ersten Fall wird ein hoher Schutzgrad gewährleistet, jedoch sind umfangreiche Ressourcen für die Wartung der Infrastruktur erforderlich, die hauptsächlich für die Behebung unwesentlicher Probleme verwendet werden. Im zweiten Fall besteht ein hohes Risiko, eine Schwachstelle zu übersehen, die für Angriffe genutzt werden könnte. Die Studie hat gezeigt, dass man beim Entscheidungsprozess zur Installation eines Updates zur Behebung von Schwachstellen nicht allein auf das Fehlen eines veröffentlichten Exploit-Prototyps vertrauen sollte, da die Wahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird, direkt vom Gefahreniveau abhängt.

Quelle: opennet.ru