最近，根據(jù)一項(xiàng)針對(duì)應(yīng)用程序漏洞的調(diào)查研究顯示，軟件中高危漏洞的涌現(xiàn)速度，要比企業(yè)安全團(tuán)隊(duì)所能對(duì)其進(jìn)行響應(yīng)的速度更快，這項(xiàng)研究提醒我們，網(wǎng)絡(luò)犯罪分子的目標(biāo)仍然是過(guò)時(shí)軟件，而這些軟件一般不太可能在軟件修復(fù)過(guò)程中被優(yōu)先考慮。

作為T(mén)enable最新《漏洞情報(bào)報(bào)告》(VIR)的一部分，對(duì)常見(jiàn)漏洞和CVE數(shù)據(jù)庫(kù)的審查結(jié)果發(fā)現(xiàn)，2017年全年共報(bào)告了15,038個(gè)新漏洞，此外，與去年同期相比，今年上半年的漏洞新增率增長(zhǎng)了27%。

這一增長(zhǎng)率意味著，今年一整年可能會(huì)發(fā)現(xiàn)超過(guò)18,000個(gè)新漏洞——并且大約61%的已發(fā)現(xiàn)漏洞已被評(píng)級(jí)為“高危漏洞”，企業(yè)應(yīng)用程序管理者必須優(yōu)先考慮在960個(gè)資產(chǎn)上平均每天修補(bǔ)870個(gè)CVE。

該報(bào)告指出，管理漏洞是一項(xiàng)規(guī)模、速度和數(shù)量等多重挑戰(zhàn)并存的任務(wù)。它不僅僅是一項(xiàng)工程挑戰(zhàn)，還需要一種“以風(fēng)險(xiǎn)為中心”的觀點(diǎn)來(lái)優(yōu)先考慮表面上看似相同的數(shù)千個(gè)漏洞。

Tenable公司的分析報(bào)告警告稱(chēng)，即便企業(yè)只能解決嚴(yán)重風(fēng)險(xiǎn)評(píng)級(jí)的漏洞——嚴(yán)重程度為9.0-10.0的漏洞——他們?nèi)匀徊坏貌辉谀甑浊疤幚?00多個(gè)此類(lèi)漏洞(高危漏洞占據(jù)全年發(fā)現(xiàn)新漏洞總數(shù)的60%以上)。

此外，Tenable還發(fā)布了Top20漏洞排行，凸顯了在實(shí)際網(wǎng)絡(luò)掃描中最常見(jiàn)的漏洞類(lèi)型。其中一些是專(zhuān)門(mén)針對(duì)應(yīng)用程序的，而另一些則是繼續(xù)使用過(guò)時(shí)的協(xié)議：例如，27%的企業(yè)仍在使用舊的和不安全的SSLv2和SSLv3版本運(yùn)行服務(wù)。

報(bào)告顯示，紅帽企業(yè)版Linux(Red Hat Enterprise Linux，簡(jiǎn)稱(chēng)RHEL)具有最高風(fēng)險(xiǎn)等級(jí)的漏洞，Orace Linux 和Novell SUSE Linux風(fēng)險(xiǎn)水平差不多，CentOS Linux幾乎與微軟操作系統(tǒng)風(fēng)險(xiǎn)水平相當(dāng)。

Mozilla的Firefox瀏覽器在高危CVE中的比例最高，而Adobe和Google的曝光率也是受到了高危問(wèn)題的影響。

令人擔(dān)憂(yōu)的現(xiàn)實(shí)是，猖獗而持續(xù)存在的漏洞問(wèn)題，不僅會(huì)對(duì)企業(yè)本身構(gòu)成嚴(yán)重威脅——網(wǎng)絡(luò)犯罪分子針對(duì)制造業(yè)和媒體組織等部門(mén)的攻擊行為越來(lái)越具有破壞性，且未修復(fù)的漏洞也可能會(huì)使企業(yè)腹背受敵——還可以被攻擊者用于向附屬企業(yè)發(fā)起“跳板攻擊”，進(jìn)一步擴(kuò)大受災(zāi)面。

根據(jù)Carbon Black(一家事件響應(yīng)和威脅狩獵公司)最近發(fā)布的《季度事件響應(yīng)威脅報(bào)告》(QIRTR)指出，在分析的所有攻擊事件中，有一半涉及上述的“跳板攻擊”(island hopping)，此外，30%的受訪者認(rèn)為受害者網(wǎng)站被轉(zhuǎn)變?yōu)椤八印?，其中受到攻擊的網(wǎng)絡(luò)被用于攻擊網(wǎng)絡(luò)中的關(guān)聯(lián)企業(yè)。

這就意味著，不僅貴公司的數(shù)據(jù)會(huì)面臨風(fēng)險(xiǎn)，您的客戶(hù)、合作伙伴以及供應(yīng)鏈中其他任何一方的數(shù)據(jù)都會(huì)面臨同樣的威脅。

Carbon Black公司還發(fā)現(xiàn)，一些使用率和安裝率較高的工具通常都能為攻擊者提供橫向移動(dòng)的能力。其中89%的受訪黑客稱(chēng)PowerShell在該方面十分好用，65%的受訪者則習(xí)慣利用WMI工具。

如今，無(wú)處不在的此類(lèi)工具正在通過(guò)常用的應(yīng)用程序進(jìn)一步推動(dòng)外部攻擊。根據(jù)Tenable Top 20漏洞榜單揭示，最常見(jiàn)的漏洞是CVE-2018-8202，這是一個(gè)影響Microsoft應(yīng)用程序的.NET Framework特權(quán)提升漏洞 – 在接受掃描的32%的企業(yè)環(huán)境中都可以找到此類(lèi)漏洞。

此外，在接受掃描的至少28%的企業(yè)環(huán)境中，還發(fā)現(xiàn)了Google Chrome基于堆棧的緩沖區(qū)溢出漏洞，Microsoft Internet Explorer VBScript漏洞，可用于獲取提升權(quán)限的Oracle Java DB漏洞;以及Microsoft .NET Framework漏洞，該漏洞可被用于繞過(guò)該平臺(tái)的Device Guard框架。

Tenable《漏洞情報(bào)報(bào)告》（VIR）報(bào)告全文：

https://www.tenable.com/cyber-exposure/vulnerability-intelligence