Un gruppo di ricercatori della Virginia Polytechnic Institute, insieme alle aziende Cyentia e RAND, ha analizzato i rischi associati all'implementazione di diverse strategie di correzione delle vulnerabilità. Esaminando 76.000 vulnerabilità identificate dal 2009 al 2018, è emerso che solo 4.183 di esse (5,5%) sono state utilizzate per attacchi reali. La percentuale osservata è cinque volte superiore alle precedenti stime pubblicate, che indicavano circa l'1,4% di problematiche sfruttate.
Non è stata trovata correlazione tra la pubblicazione di prototipi di exploit in accesso pubblico e i tentativi di sfruttare le vulnerabilità. Di tutti i casi noti di sfruttamento delle vulnerabilità, solo in metà dei casi era stato pubblicato un prototipo di exploit per il problema in questione in fonti aperte. L'assenza di un prototipo di exploit non ferma gli attaccanti, che creano exploit autonomamente se necessario.
Tra le altre conclusioni, si segnala la predominanza delle vulnerabilità ad alto rischio secondo la classificazione CVSS per quanto riguarda gli sfruttamenti. In quasi la metà degli attacchi sono state utilizzate vulnerabilità con un punteggio di almeno 9.
Il numero totale di prototipi di exploit pubblicati durante il periodo esaminato è stimato in 9.726. I dati sugli exploit utilizzati nello studio sono stati raccolti da
collezioni come Exploit DB, Metasploit, D2 Security’s Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs e Secureworks CTU.
Le informazioni sulle vulnerabilità sono state ottenute dalla base dati (National Vulnerability Database). I dati sui casi di sfruttamento sono stati sintetizzati sulla base delle informazioni fornite da FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, Alienvault’s OSSIM e ReversingLabs.
Lo studio è stato condotto con l'obiettivo di determinare il miglior equilibrio tra l'implementazione degli aggiornamenti in caso di rilevamento di vulnerabilità e la risoluzione solo dei problemi più pericolosi. Nel primo caso, si garantisce un'elevata efficacia della protezione, ma sono richieste ingenti risorse per la manutenzione dell'infrastruttura, che vengono principalmente impiegate per risolvere problemi non rilevanti. Nel secondo caso, c'è un alto rischio di perdere una vulnerabilità che potrebbe essere sfruttata per un attacco. La ricerca ha mostrato che, nel prendere decisioni sull'installazione di aggiornamenti per correggere le vulnerabilità, non ci si dovrebbe affidare all'assenza di un prototipo di exploit pubblicato e la possibilità di sfruttamento dipende direttamente dal livello di pericolosità della vulnerabilità.
Fonte: opennet.ru
