当前位置 主页 > 行业资讯 >

研究结果显示漏洞的修复速度远比新漏洞出现的速度慢

栏目:行业资讯 时间:2018-12-07 09:53

  最近,根据一项针对应用程序漏洞的调查研究显示,软件中高危漏洞的涌现速度,要比企业安全团队所能对其进行响应的速度更快,这项研究提醒我们,网络犯罪分子的目标仍然是过时软件,而这些软件一般不太可能在软件修复过程中被优先考虑。
  作为Tenable最新《漏洞情报报告》(VIR)的一部分,对常见漏洞和CVE数据库的审查结果发现,2017年全年共报告了15,038个新漏洞,此外,与去年同期相比,今年上半年的漏洞新增率增长了27%。
 
  这一增长率意味着,今年一整年可能会发现超过18,000个新漏洞——并且大约61%的已发现漏洞已被评级为“高危漏洞”,企业应用程序管理者必须优先考虑在960个资产上平均每天修补870个CVE。
 
  该报告指出,管理漏洞是一项规模、速度和数量等多重挑战并存的任务。它不仅仅是一项工程挑战,还需要一种“以风险为中心”的观点来优先考虑表面上看似相同的数千个漏洞。
 
  Tenable公司的分析报告警告称,即便企业只能解决严重风险评级的漏洞——严重程度为9.0-10.0的漏洞——他们仍然不得不在年底前处理900多个此类漏洞(高危漏洞占据全年发现新漏洞总数的60%以上)。
 
  此外,Tenable还发布了Top20漏洞排行,凸显了在实际网络扫描中最常见的漏洞类型。其中一些是专门针对应用程序的,而另一些则是继续使用过时的协议:例如,27%的企业仍在使用旧的和不安全的SSLv2和SSLv3版本运行服务。
 
  报告显示,红帽企业版Linux(RedHatEnterpriseLinux,简称RHEL)具有最高风险等级的漏洞,OraceLinux和NovellSUSELinux风险水平差不多,CentOSLinux几乎与微软操作系统风险水平相当。
 
  Mozilla的Firefox浏览器在高危CVE中的比例最高,而Adobe和Google的曝光率也是受到了高危问题的影响。
 
  令人担忧的现实是,猖獗而持续存在的漏洞问题,不仅会对企业本身构成严重威胁——网络犯罪分子针对制造业和媒体组织等部门的攻击行为越来越具有破坏性,且未修复的漏洞也可能会使企业腹背受敌——还可以被攻击者用于向附属企业发起“跳板攻击”,进一步扩大受灾面。
 
  根据CarbonBlack(一家事件响应和威胁狩猎公司)最近发布的《季度事件响应威胁报告》(QIRTR)指出,在分析的所有攻击事件中,有一半涉及上述的“跳板攻击”(islandhopping),此外,30%的受访者认为受害者网站被转变为“水坑”,其中受到攻击的网络被用于攻击网络中的关联企业。
 
  这就意味着,不仅贵公司的数据会面临风险,您的客户、合作伙伴以及供应链中其他任何一方的数据都会面临同样的威胁。
 
  CarbonBlack公司还发现,一些使用率和安装率较高的工具通常都能为攻击者提供横向移动的能力。其中89%的受访黑客称PowerShell在该方面十分好用,65%的受访者则习惯利用WMI工具。
 
  如今,无处不在的此类工具正在通过常用的应用程序进一步推动外部攻击。根据TenableTop20漏洞榜单揭示,最常见的漏洞是CVE-2018-8202,这是一个影响Microsoft应用程序的.NETFramework特权提升漏洞–在接受扫描的32%的企业环境中都可以找到此类漏洞。
 
  此外,在接受扫描的至少28%的企业环境中,还发现了GoogleChrome基于堆栈的缓冲区溢出漏洞,MicrosoftInternetExplorerVBScript漏洞,可用于获取提升权限的OracleJavaDB漏洞;以及Microsoft.NETFramework漏洞,该漏洞可被用于绕过该平台的DeviceGuard框架。
原文链接:https://new.qq.com/omn/20181206/20181206A0R8IA.html
缩小 缩小 缩小 缩小
IIS7整站下载工具 IIS7批量查询排名 IIS7远程桌面连接工具 iis7-iis网站批量管理 iis7批量替换工具 IIS7服务器专用下载工具 IIS7日志分析工具 IIS7批量PING,服务器批量添加网卡IP小工具 IIS7远程同步备份工具
IIS7网站监控 站群批量SEO查询 批量获取排名域名 批量关键词排名查询 模拟各种蜘蛛 批量友情链接监测 批量检测死链 搜索引擎大全 批量查询外链
批量查询网站标题 批量查询KeyWords 批量查询描述 批量查询网站IP 批量百度收录查询 批量查询百度日收录 批量查询百度周收录 批量查询百度月收录 批量查询360总收录 批量查询360日收录 批量查询网站年龄 批量查询360PC权重 批量查询爱站移动权重 批量查询站长移动权重 批量查询360移动权重 批量查询神马权重 批量查询谷歌PR 批量查询搜狗PR 批量查询百度反链 批量查询爱站首页反链 批量查询爱站内页反链 批量查询百度快照 批量查询搜狗快照 批量icp备案查询 批量网站ip地址查询 批量查询导出链接 批量查询百度V认证 批量查询百度安全 批量查询站长PC权重 批量查询爱站PC权重 批量查询搜狗总收录 站长资源大全 IIS7-cms大全 IIS7站群大全 IIS7虚拟空间大全 IIS7服务器大全 IIS7-VPS大全