來自維吉尼亞理工大學、Cyentia 和蘭德公司的研究人員團隊， 應用各種漏洞修復策略時的風險分析結果。 透過研究 76 年至 2009 年發現的 2018 個漏洞，發現其中只有 4183 個（5.5%）被用來進行真正的攻擊。 得出的數字比先前發布的預測高出五倍，先前發布的預測估計可利用問題的數量約為 1.4%。
然而，在公共領域發布漏洞利用原型與利用漏洞的嘗試之間沒有發現任何關聯。 在研究人員已知的所有利用漏洞的事實中，只有一半的問題案例是先前在開源中發布的利用原型。 缺乏漏洞利用原型並不能阻止攻擊者，如有必要，他們會自己創建漏洞利用程式。
其他結論包括主要針對根據 CVSS 分類具有高危險等級的漏洞進行利用的需求。 幾乎一半的攻擊使用了權重至少 9 的漏洞。
審查期間發布的漏洞利用原型總數估計為 9726 個。研究中使用的漏洞利用資料來自
集合 Exploit DB、Metasploit、D2 Security 的 Elliot Kit、Canvas Exploitation Framework、Contagio、Reversing Labs 和 Secureworks CTU。
從資料庫中獲取有關漏洞的信息 （國家漏洞資料庫）。 操作資料是使用 FortiGuard 實驗室、SANS 網路風暴中心、Secureworks CTU、Alienault 的 OSSIM 和 ReversingLabs 的資訊進行編譯的。
研究的目的是確定應用更新來識別任何漏洞和僅消除最危險的問題之間的最佳平衡。 第一種情況，保證了較高的防護效率，但需要大量的資源來維護基礎設施，這些資源主要花在糾正不重要的問題上。 在第二種情況下，錯過可用於攻擊的漏洞的風險很高。 研究表明，在決定安裝消除漏洞的更新時，不應依賴缺乏已發布的漏洞原型，利用的機會直接取決於漏洞的嚴重程度。
來源： opennet.ru