SAN JOSE, Californië, 19 januari 2022 /PRNewswire/ —
Nieuwsoverzicht:
- In 20,130 werden een recordaantal van 2021 softwarekwetsbaarheden gemeld, gemiddeld 55 per dag. Slechts 4% daarvan vormt echter een hoog risico voor organisaties.
- Een organisatie kan de kans op een inbreuk, of 'exploitability score', tot wel 29 keer aanzienlijk verkleinen door eerst risicovolle kwetsbaarheden te verhelpen met openbare exploitcode en een hoge herstelcapaciteit te hebben.
- Het gebruik van Twitter-vermeldingen om prioriteit te geven aan softwarefixes is twee keer zo effectief in het verminderen van uitbuiting als het industriestandaard Common Vulnerability Scoring System (CVSS).
Nieuw onderzoek heeft het succes van verschillende strategieën voor kwetsbaarheidsbeheer en de exploiteerbaarheid van hele organisaties gekwantificeerd, waardoor het op risico gebaseerde draaiboek voor cyberbeveiligingspraktijken is uitgebreid.
Met een gemiddelde van 55 nieuwe softwarekwetsbaarheden die in 2021 elke dag worden gepubliceerd, kunnen zelfs de best bemande en goed uitgeruste IT-teams niet alle kwetsbaarheden in hun infrastructuren oplossen. Gelukkig is er een betere oplossing.
Het onderzoek uitgevoerd door Kenna-beveiliging, nu onderdeel van Cisco en marktleider op het gebied van risicogebaseerd kwetsbaarheidsbeheer, en de Cyentia Instituut, toont aan dat het correct prioriteren van kwetsbaarheden die moeten worden opgelost effectiever is dan het vergroten van de capaciteit van een organisatie om ze te patchen, maar als ze beide hebben, kan de gemeten exploiteerbaarheid van een organisatie 29 keer worden verminderd.
De bevindingen worden uitgelegd in Kenna's laatste rapport, Prioritering van voorspelling, deel 8: het meten en minimaliseren van exploitatie.
“Exploitaties in het wild waren vroeger de beste indicator voor kwetsbaarheden die beveiligingsteams zouden moeten prioriteren. Nu kunnen we laten zien hoe waarschijnlijk het is dat een bepaalde organisatie wordt uitgebuit, en dat is wat we altijd al hebben willen doen”, zegt Ed Bellis, medeoprichter en chief technology officer van Kenna Security, nu onderdeel van Cisco. "Dit geeft organisaties een veel betere kans om potentiële cyberdreigingen effectief te bestrijden en het onderzoek toont aan dat onze klanten hun kwetsbaarheidsrisico elke dag met succes beheren."
De exploiteerbaarheid werd bepaald met behulp van het open Exploit Prediction Scoring System (EPSS); een sectoroverschrijdende inspanning, waaronder Kenna Security en het Cyentia Institute, dat wordt onderhouden door: EERSTE.org.
Het onderzoek bevestigt een recente richtlijn van het Agentschap voor cyberbeveiliging en infrastructuurbeveiliging (CISA) dat suggereert dat het verstandiger is om geen prioriteit te geven aan het oplossen van kwetsbaarheden op basis van CVSS-scores en in plaats daarvan te focussen op kwetsbaarheden met een hoog risico. Analyse toont aan dat factoren zoals exploitcode en zelfs Twitter-vermeldingen betere signalen zijn dan CVSS-scores.
“Het is duidelijk dat een verschuiving naar exploiteerbaarheid een enorm verschil gaat maken op basis van de gegevens en bevindingen in dit rapport. Een analyse van de door CISA gepubliceerde kwetsbaarheden suggereert dat ze mogelijk ook afwijken van CVSS-scores terwijl we dit onderzoek uitvoerden”, zegt Wade Baker, partner en mede-oprichter van Cyentia Institute. "We gingen nog een stap verder om rekening te houden met de herstelsnelheid bij het maken van onze berekeningen, wat de beveiligingsteams beter zou moeten informeren."
Het onderzoek suggereert ook dat:
- Bijna alle (95%) IT-assets hebben ten minste één zeer exploiteerbare kwetsbaarheid.
- Prioriteit geven aan kwetsbaarheden met exploitcode is 11 keer effectiever dan CVSS bij het minimaliseren van de exploiteerbaarheid.
- De meeste (87%) organisaties hebben open kwetsbaarheden in ten minste een kwart van hun actieve activa, en 41% van hen vertoont kwetsbaarheden in drie van de vier activa.
- Een grote meerderheid van 62% van de kwetsbaarheden heeft minder dan 1% kans op uitbuiting. Slechts 5% van de CVE's overschrijdt de kans van 10%.
Aanvullende informatiebronnen
Over Cisco
Cisco (NASDAQ: CSCO) is de wereldleider op het gebied van technologie die het internet mogelijk maakt. Cisco inspireert nieuwe mogelijkheden door uw applicaties opnieuw uit te vinden, uw gegevens te beveiligen, uw infrastructuur te transformeren en uw teams in staat te stellen een wereldwijde en inclusieve toekomst te creëren. Ontdek meer op The Network en volg ons op Twitter.
Cisco en het Cisco-logo zijn handelsmerken of geregistreerde handelsmerken van Cisco en / of haar filialen in de VS en andere landen. Een lijst van de handelsmerken van Cisco is te vinden op www.cisco.com/go/trademarks. Genoemde handelsmerken van derden zijn het eigendom van hun respectievelijke eigenaren. Het gebruik van het woord partner impliceert geen partnerschapsrelatie tussen Cisco en een ander bedrijf.
