調查：新漏洞的出現速度比安全團隊的修復速度更快
最近，根據一項針對應用程式漏洞的調查研究顯示，軟體中高危漏洞的湧現速度，要比企業安全團隊所能對其進行響應的速度更快，這項研究提醒我們， 網路犯罪分子的目標仍然是過時軟體，而這些軟體一般不太可能在軟體修復過程中被優先考慮。
作為Tenable最新《漏洞情報報告》（VIR）的一部分，對常見漏洞和CVE資料庫的審查結果發現，2017年全年共報告了15,038個新漏洞，此外，與去年同期相比，今年上半年的漏洞新增率增長了27％。
這一增長率意味著，今年一整年可能會發現超過 18,000 個新漏洞——並且大約 61% 的已發現漏洞已被評級為“高危漏洞”，企業應用程式管理者必須優先考慮在960個資產上平均每天修補870個CVE。
該報告指出，管理漏洞是一項規模、速度和數量等多重挑戰並存的任務。它不僅僅是一項工程挑戰，還需要一種“以風險為中心”的觀點來優先考慮表面上看似相同的數千個漏洞。
Tenable公司的分析報告警告稱，即便企業只能解決嚴重風險評級的漏洞——嚴重程度為9.0-10.0的漏洞——他們仍然不得不在年底前處理900多個此類漏洞（高危漏洞佔據全年發現新漏洞總數的60%以上）。
此外，Tenable還發布了Top20漏洞排行，凸顯了在實際網路掃描中最常見的漏洞型別。其中一些是專門針對應用程式的，而另一些則是繼續使用過時的協議：例如，27%的企業仍在使用舊的和不安全的SSLv2和SSLv3版本執行服務。
報告顯示，紅帽企業版Linux（Red Hat Enterprise Linux，簡稱RHEL）具有最高風險等級的漏洞，Orace Linux 和Novell SUSE Linux風險水平差不多，CentOS Linux幾乎與微軟作業系統風險水平相當。
Mozilla的Firefox瀏覽器在高危CVE中的比例最高，而Adobe和Google的曝光率也是受到了高危問題的影響。
令人擔憂的現實是，猖獗而持續存在的漏洞問題，不僅會對企業本身構成嚴重威脅——網路犯罪分子針對製造業和媒體組織等部門的攻擊行為越來越具有破壞性，且未修復的漏洞也可能會使企業腹背受敵——還可以被攻擊者用於向附屬企業發起“跳板攻擊”，進一步擴大受災面。
根據Carbon Black（一家事件響應和威脅狩獵公司）最近釋出的《季度事件響應威脅報告》（QIRTR）指出，在分析的所有攻擊事件中，有一半涉及上述的“跳板攻擊”（island hopping），此外，30%的受訪者認為受害者網站被轉變為“水坑”，其中受到攻擊的網路被用於攻擊網路中的關聯企業。
這就意味著，不僅貴公司的資料會面臨風險，您的客戶、合作伙伴以及供應鏈中其他任何一方的資料都會面臨同樣的威脅。
Carbon Black公司還發現，一些使用率和安裝率較高的工具通常都能為攻擊者提供橫向移動的能力。其中89%的受訪黑客稱PowerShell在該方面十分好用，65%的受訪者則習慣利用WMI工具。
如今，無處不在的此類工具正在通過常用的應用程式進一步推動外部攻擊。根據Tenable Top 20漏洞榜單揭示，最常見的漏洞是CVE-2018-8202，這是一個影響Microsoft應用程式的.NET Framework特權提升漏洞 – 在接受掃描的32％的企業環境中都可以找到此類漏洞。
此外，在接受掃描的至少28%的企業環境中，還發現了Google Chrome基於堆疊的緩衝區溢位漏洞，Microsoft Internet Explorer VBScript漏洞，可用於獲取提升許可權的Oracle Java DB漏洞；以及Microsoft .NET Framework漏洞，該漏洞可被用於繞過該平臺的Device Guard框架。
Tenable《漏洞情報報告》（VIR）報告全文：
https://www.tenable.com/cyber-exposure/vulnerability-intelligence