未打补丁的旧漏洞更易被攻击!地下论坛中22%的漏洞利用已超过3年

未打补丁的旧漏洞更易被攻击!地下论坛中22%的漏洞利用已超过3年 – 作者:中科天齐软件安全中心

网络安全公司最近发布了一项研究，敦促各组织集中精力修补那些对其组织构成最大风险的漏洞，即使这些漏洞已经存在多年了。

较旧的漏洞利用更受犯罪分子欢迎

研究发现，地下论坛中22%的漏洞利用已超过三年。

安全研究员表示：“犯罪分子知道企业正在努力确定优先级并及时更新补丁，我们的研究表明，补丁延迟经常被利用。”

“漏洞或漏洞利用的生命周期并不取决于补丁何时可用以阻止它。事实上，较旧的漏洞利用更便宜，因此可能更受在地下论坛购物的犯罪分子的欢迎。虚拟修补仍然是减轻企业已知和未知威胁风险的最佳方式。”

该报告揭示了遗留漏洞利用和漏洞的几个风险，包括：

在地下出售的最古老的漏洞利用是针对CVE-2012-0158的，这是一种Microsoft RCE。

CVE-2016-5195被称为Dirty Cow漏洞，五年后仍在进行中。

到2020年，WannaCry仍然是检测到最多的恶意软件家族，截至2021年3月，全球有超过700,000台设备易受攻击。

在过去两年中，47%的网络犯罪分子瞄准了微软的产品。

0day和N日漏洞市场下滑

该报告还揭示了过去两年0day和Nday漏洞市场的下滑。这部分是由于漏洞赏金计划的流行和访问即服务的兴起——漏洞利用市场的新生力量。

Access-as-a-Service具有漏洞利用的优势，所有的艰苦工作已经为买方完成，地下价格从1000美元起。

这些趋势结合在一起，给企业带来了更大的风险。随着2020年每天发布近50个新的 CVE，安全团队面临的优先级和及时部署补丁的压力从未如此之大。

今天，企业修补一个新漏洞平均需要51天的时间。因此为了弥补安全保护方面的差距，软件在开发过程中减少不必要的漏洞十分关键。通过静态代码安全检测工具及开源组件检测可以帮助开发人员在保证开发效率的同时，检测漏洞并及时定位代码缺陷加以修正，动态应用安全测试发现系统脆弱性，互相结合使用通过减少系统安全漏洞无限期地保护易受攻击或即将终止生命的系统免受已知和未知威胁。