调查|零日漏洞风险的现状与趋势
作者: 日期:2017年02月06日 阅:4,428

零日漏洞一直让安全从业者头疼。阴魂不散的零日问题的根源之一,是开源代码的不断扩散。这也是很多人想要知道零日漏洞当前趋势,以及缓解开源代码风险最佳实践的原因所在。

zero_fan-100705713-large

网络安全风投公司最近发布了一份新的《零日漏洞报告》,为CISO和IT安全团队提供零日漏洞趋势、统计数据、最佳实践和资源。

该报告凸显了一些预警性统计数据,包括:

  • 应用攻击界面每年增加1110亿行软件代码
  • 任务关键App中的开源代码将占99%

麦克·卡顿,Digital Defense 研发副总裁,称:“从安全角度看,开源代码的大量使用是有问题的。越来越多的公司不断投入开源代码怀抱,作为削减营销周期,尽快将产品推向市场的一种手段。”

由于一块代码可作为软件组件应用到多种设备中,这种组件中发现的零日漏洞复现率就可能倍增。你通常会在各种各样的设备和平台上发现一连串的漏洞。

推向市场的压力,催生了在企业产品中集成进更多库的新趋势,但这每一个库,都代表着潜在的漏洞风险。

卡顿称:“在以前,原生代码开发所占比重还要更大些。但使用开源代码的好处,在于代码质量更高;坏处,则显现于有人找到漏洞之时。如今,16个产品都出现了漏洞。”

开源组件和企业产品中常会发生的事情是,开发人员将库集成进产品,却没有对它进行加固。但凡集成时有个坚实的配置,情况都会好很多。

那么,企业到底需要做点什么来解决这些漏洞呢?”每一行代码都是一个攻击系统。某个库能干25件事,但我们只需要其中2件。那就要确保只有用到的那些确实暴露给执行代码。”

造成零日漏洞增多的另一个问题,是公司在同一个产品中使用2或3个解决方案。“他们可能会使用2到3个数据库或SML解析器,但仅使用能搞定所有需求的一个平台或一个组件,才是更好的选择。”

强防护,来自于选择正确的工具。“SQL轻量级组件,更少代码,更少功能,但有的都是与你任务相关的那些。”

虚拟化趋势,也降低了攻击者进入系统查看某些此类产品后台的门槛。“你可以下载一个虚拟机。企业应用空间里触手可及的目标很多。”

这个问题真心在厂商自身身上。“他们得注意到攻击者真的能这么做,确保他们自己先来一遍严格的安全评估。”

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章