Un gruppo di ricercatori della Virginia Polytechnic Institute e delle aziende Cyentia e RAND, i risultati dell'analisi dei rischi relativi all'adozione di diverse strategie di mitigazione delle vulnerabilità. Analizzando 76.000 vulnerabilità scoperte dal 2009 al 2018, è emerso che solo 4.183 di esse (il 5,5%) sono state utilizzate per portare a termine attacchi reali. Questo valore è cinque volte superiore alle previsioni precedentemente pubblicate, che stimavano il numero di problemi sfruttati intorno all'1,4%.
Non è stata trovata correlazione tra la pubblicazione di prototipi di exploit in accesso pubblico e i tentativi di sfruttamento delle vulnerabilità. Di tutti i casi noti di sfruttamento delle vulnerabilità, solo nella metà dei casi era stato pubblicato un prototipo di exploit per il problema in fonti aperte. L'assenza di un prototipo di exploit non impedisce agli attaccanti di creare exploit autonomamente, se necessario.
Dai altri risultati si può notare la domanda per l'utilizzo principalmente delle vulnerabilità con un alto livello di pericolosità secondo la classificazione CVSS. In quasi metà degli attacchi sono state utilizzate vulnerabilità con un peso di almeno 9.
Il numero complessivo di prototipi di exploit pubblicati nel periodo considerato è stato stimato in 9726. I dati utilizzati nello studio sugli exploit sono stati ottenuti da
collezioni di Exploit DB, Metasploit, D2 Security’s Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs e Secureworks CTU.
Le informazioni sulle vulnerabilità sono state ottenute dal database (National Vulnerability Database). Le informazioni sugli exploit sono state sintetizzate sulla base delle informazioni di FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, Alienvault’s OSSIM e ReversingLabs.
Lo studio è stato condotto per determinare il giusto equilibrio tra l'applicazione degli aggiornamenti per identificare eventuali vulnerabilità e la risoluzione solo dei problemi più gravi. Nel primo caso, si garantisce un'elevata efficacia della protezione, ma sono richieste ingenti risorse per la gestione dell'infrastruttura, che vengono spese principalmente per risolvere problemi non critici. Nel secondo caso, c'è un alto rischio di perdere una vulnerabilità che potrebbe essere sfruttata per un attacco. La ricerca ha mostrato che, quando si decide di installare un aggiornamento per correggere una vulnerabilità, non si dovrebbe fare affidamento sull'assenza di un prototipo di exploit pubblicato e la possibilità di sfruttamento dipende direttamente dal livello di gravità della vulnerabilità.
Fonte: opennet.ru
