Grupa badaczy z Politechniki Wirginii oraz firm Cyentia i RAND, wyniki analizy ryzyka związanego z zastosowaniem różnych strategii naprawy luk w zabezpieczeniach. Badanie 76 tysięcy luk wykrytych w latach 2009-2018 ujawniło, że tylko 4183 z nich (5,5%) zostały wykorzystane do przeprowadzenia rzeczywistych ataków. Uzyskany wskaźnik pięciokrotnie przewyższa wcześniej publikowane prognozy, w których liczbę wykorzystywanych problemów szacowano na około 1,4%.
Jednocześnie nie znaleziono korelacji między publikacją prototypów exploitów w ogólnym dostępie a próbami wykorzystania luk w zabezpieczeniach. Spośród wszystkich znanych badaczom przypadków wykorzystania luk, tylko w połowie przypadków dla problemu wcześniej publikowano prototyp exploitu w źródłach otwartych. Brak prototypu exploitu nie powstrzymuje atakujących, którzy w razie potrzeby tworzą exploity samodzielnie.
Inne wnioski wskazują na popyt na exploitację głównie luk, które mają wysoki poziom niebezpieczeństwa w klasyfikacji CVSS. W prawie połowie ataków wykorzystano luki o wadze co najmniej 9.
Łączna liczba opublikowanych w omawianym okresie prototypów exploitów oszacowana została na 9726. Dane wykorzystane w badaniu dotyczące exploitów pochodziły z
kolekcji Exploit DB, Metasploit, D2 Security’s Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs i Secureworks CTU.
Informacje o lukach w zabezpieczeniach uzyskano z bazy (National Vulnerability Database). Informacje o przypadkach wykorzystania zostały podsumowane na podstawie danych od FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, Alienvault’s OSSIM i ReversingLabs.
Badanie zostało przeprowadzone w celu określenia optymalnej równowagi między stosowaniem aktualizacji w przypadku wykrywania jakichkolwiek luk a eliminowaniem tylko najbardziej niebezpiecznych problemów. W pierwszym przypadku zapewniana jest wysoka skuteczność ochrony, ale wymaga to dużych zasobów na utrzymanie infrastruktury, które są wydawane głównie na naprawę nieistotnych problemów. W drugim przypadku istnieje duże ryzyko, że przegapimy lukę, która może zostać wykorzystana do ataku. Badanie wykazało, że podejmując decyzję o zainstalowaniu aktualizacji naprawiającej lukę, nie należy polegać na braku opublikowanego prototypu exploitów, a szansa na wykorzystanie bezpośrednio zależy od poziomu zagrożenia luki.
Źródło: opennet.ru
