Etwa 5,5 % der festgestellten Schwachstellen werden für Angriffe genutzt.

Eine Forschungsgruppe der Virginia Polytechnic Institute sowie der Unternehmen Cyentia und RAND, die untersuchten die Risiken verschiedener Strategien zur Behebung von Sicherheitsanfälligkeiten. Bei der Analyse von 76.000 Sicherheitsanfälligkeiten, die zwischen 2009 und 2018 gefunden wurden, stellte sich heraus, dass nur 4.183 davon (5,5 %) tatsächlich für Angriffe genutzt wurden. Dieser Wert liegt fünfmal über früher veröffentlichten Prognosen, die die Zahl der ausgenutzten Probleme auf etwa 1,4 % schätzten.

Dabei wurde keine Korrelation zwischen der Veröffentlichung von Exploit-Prototypen in offenen Quellen und den Versuchen zur Ausnutzung von Schwachstellen gefunden. Von allen den Forschern bekannten Fällen der Ausnutzung von Schwachstellen wurde in nur der Hälfte der Fälle zuvor ein Prototyp des Exploits in offenen Quellen veröffentlicht. Das Fehlen eines Exploit-Prototyps hält Angreifer nicht davon ab, bei Bedarf ihre eigenen Exploits zu erstellen.

Aus anderen Ergebnissen lässt sich die Nachfrage nach der Nutzung von Schwachstellen mit hohem Gefährdungsgrad nach der CVSS-Klassifizierung hervorheben. Bei fast der Hälfte der Angriffe wurden Schwachstellen mit einem Score von mindestens 9 eingesetzt.

Die Gesamtzahl der in dem betrachteten Zeitraum veröffentlichten Exploit-Prototypen wird auf 9726 geschätzt. Die für die Studie verwendeten Daten zu Exploits stammen aus
Sammlungen wie Exploit DB, Metasploit, D2 Security’s Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs und Secureworks CTU.
Die Informationen zu Schwachstellen stammen aus der Datenbank NIST NVD (National Vulnerability Database). Die Informationen über die Ausnutzung wurden auf Grundlage von Daten von FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, Alienvault’s OSSIM und ReversingLabs zusammengefasst.

Die Untersuchung wurde durchgeführt, um das optimale Gleichgewicht zwischen der Anwendung von Updates zur Identifizierung von Schwachstellen und der Beseitigung lediglich der kritischsten Probleme zu bestimmen. Im ersten Fall wird ein hoher Schutzgrad gewährleistet, jedoch sind erhebliche Ressourcen für die Wartung der Infrastruktur erforderlich, die hauptsächlich für die Behebung von weniger bedeutenden Problemen aufgewendet werden. Im zweiten Fall besteht ein hohes Risiko, eine Schwachstelle zu übersehen, die für Angriffe ausgenutzt werden könnte. Die Untersuchung hat gezeigt, dass man bei der Entscheidung über die Installation eines Updates zur Beseitigung von Schwachstellen nicht auf das Fehlen eines veröffentlichten Exploit-Prototyps vertrauen sollte; die Wahrscheinlichkeit einer Ausnutzung hängt direkt vom Gefährlichkeitsgrad der Schwachstelle ab.

Quelle: opennet.ru