Um grupo de pesquisadores da Universidade Politécnica da Virgínia, bem como das empresas Cyentia e RAND, resultados da análise de riscos ao aplicar diferentes estratégias de correção de vulnerabilidades. Ao estudar 76 mil vulnerabilidades identificadas de 2009 a 2018, foi constatado que apenas 4183 delas (5,5%) foram utilizadas para realizar ataques reais. A taxa obtida é cinco vezes superior às previsões publicadas anteriormente, que estimavam que o número de problemas explorados era aproximadamente 1,4%.
Além disso, não foi encontrada correlação entre a publicação de protótipos de exploits em acesso aberto e as tentativas de exploração de vulnerabilidades. De todos os casos conhecidos de exploração de vulnerabilidades, apenas em metade das situações um protótipo de exploit foi publicado anteriormente em fontes abertas. A falta de um protótipo de exploit não impede os atacantes, que, se necessário, criam exploits por conta própria.
Entre outras conclusões, destaca-se a demanda por exploração principalmente de vulnerabilidades com um alto nível de gravidade na classificação CVSS. Em quase metade dos ataques, foram utilizadas vulnerabilidades com uma pontuação de pelo menos 9.
O número total de protótipos de exploits publicados durante o período em questão foi estimado em 9726. Os dados sobre exploits utilizados na pesquisa foram obtidos de
coleções como Exploit DB, Metasploit, D2 Security’s Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs e Secureworks CTU.
As informações sobre vulnerabilidades foram obtidas da base (National Vulnerability Database). As informações sobre os casos de exploração foram compiladas com base em dados da FortiGuard Labs, SANS Internet Storm Center, Secureworks CTU, OSSIM da Alienvault e ReversingLabs.
A pesquisa foi realizada com o objetivo de determinar o equilíbrio ideal entre a aplicação de atualizações ao identificar vulnerabilidades e a correção apenas dos problemas mais perigosos. No primeiro caso, garante-se uma alta eficiência de proteção, mas são necessários grandes recursos para manter a infraestrutura, que são gastos principalmente na correção de problemas insignificantes. No segundo caso, há um grande risco de perder uma vulnerabilidade que pode ser explorada para um ataque. O estudo mostrou que ao tomar decisões sobre a instalação de atualizações visando a correção de vulnerabilidades, não se deve depender da ausência de um protótipo de exploit publicado, e a probabilidade de exploração depende diretamente do nível de gravidade da vulnerabilidade.
Fonte: opennet.ru
