כ-5.5% מהחולשות שזוהו משמשות לביצוע התקפות

צוות חוקרים מווירג'יניה טק, סינטיה ו-RAND, опубликовала תוצאות של ניתוח סיכונים בעת יישום אסטרטגיות שונות לתיקון פגיעות. לאחר מחקר של 76 אלף פרצות שנמצאו מ-2009 עד 2018, התברר שרק 4183 מהן (5.5%) שימשו לביצוע התקפות אמיתיות. הנתון המתקבל גבוה פי חמישה מהתחזיות שפורסמו בעבר, אשר העריכו את מספר הבעיות הניתנות לניצול בכ-1.4%.

עם זאת, לא נמצאה מתאם בין פרסום אבות טיפוס של ניצול ברשות הציבור לבין ניסיונות לנצל את הפגיעות. מכל העובדות של ניצול נקודות תורפה המוכרות לחוקרים, רק במחצית מהמקרים של הבעיה פורסם אב טיפוס של הניצול בעבר במקורות פתוחים. היעדר אב טיפוס ניצול אינו עוצר תוקפים, שבמידת הצורך יוצרים ניצולים בכוחות עצמם.

מסקנות נוספות כוללות את הדרישה לניצול בעיקר של נקודות תורפה שיש להן רמת סכנה גבוהה לפי סיווג CVSS. כמעט מחצית מהמתקפות השתמשו בנקודות תורפה במשקל של לפחות 9.

המספר הכולל של אבות-טיפוס של ניצול שפורסם במהלך התקופה הנסקרת נאמד ב-9726
אוספים Exploit DB, Metasploit, Elliot Kit של D2 Security, Canvas Exploitation Framework, Contagio, Reversing Labs ו-Secureworks CTU.
מידע על נקודות תורפה התקבל ממסד הנתונים NIST NVD (מאגר הפגיעות הלאומי). נתונים תפעוליים נאספו באמצעות מידע ממעבדות FortiGuard, SANS Internet Storm Center, Secureworks CTU, OSSIM ו-ReversingLabs של Alienvault.

המחקר נערך כדי לקבוע את האיזון האופטימלי בין החלת עדכונים לזיהוי כל פגיעות וביטול רק הבעיות המסוכנות ביותר. במקרה הראשון מובטחת יעילות הגנה גבוהה, אך נדרשים משאבים גדולים לתחזוקת התשתית המושקעים בעיקר בתיקון בעיות לא חשובות. במקרה השני, קיים סיכון גבוה להחמצת פגיעות שניתן להשתמש בה להתקפה. המחקר הראה שכאשר מחליטים להתקין עדכון שמבטל פגיעות, אין להסתמך על היעדר אב טיפוס ניצול שפורסם והסיכוי לניצול תלוי ישירות ברמת חומרת הפגיעות.

מקור: OpenNet.ru