SAN JOSE, California, ngày 19 tháng 2022 năm XNUMX / PRNewswire / -
Tóm tắt tin tức:
- Một kỷ lục 20,130 lỗ hổng phần mềm đã được báo cáo vào năm 2021 - trung bình 55 một ngày. Tuy nhiên, chỉ 4% trong số đó gây rủi ro cao cho các tổ chức.
- Một tổ chức có thể giảm đáng kể khả năng vi phạm, hay còn gọi là “điểm khả năng khai thác”, lên tới 29 lần bằng cách lần đầu tiên sửa chữa các lỗ hổng có nguy cơ cao bằng mã khai thác công khai và có khả năng khắc phục cao.
- Việc sử dụng các đề cập trên Twitter để ưu tiên các bản sửa lỗi phần mềm có hiệu quả giảm khai thác gấp đôi so với Hệ thống chấm điểm lỗ hổng chung (CVSS) theo tiêu chuẩn ngành.
Nghiên cứu mới đã định lượng thành công của các chiến lược khác nhau để quản lý lỗ hổng bảo mật và khả năng khai thác của toàn bộ tổ chức, mở rộng quy trình dựa trên rủi ro cho các thực hành an ninh mạng.
Với một trung bình của 55 các lỗ hổng phần mềm mới được công bố hàng ngày vào năm 2021, ngay cả các đội CNTT có nhân lực và nguồn lực tốt nhất cũng không thể sửa chữa tất cả các lỗ hổng trên cơ sở hạ tầng của họ. May mắn thay, có một giải pháp tốt hơn.
Nghiên cứu được thực hiện bởi Bảo mật Kenna, hiện là một phần của Cisco và là công ty dẫn đầu thị trường về quản lý lỗ hổng dựa trên rủi ro và Viện Cyentia, cho thấy rằng việc ưu tiên đúng mức các lỗ hổng để sửa chữa sẽ hiệu quả hơn việc tăng năng lực của một tổ chức để vá chúng, nhưng nếu có cả hai thì khả năng khai thác được đo lường của một tổ chức có thể giảm 29 lần.
Những phát hiện được giải thích trong báo cáo mới nhất của Kenna, Ưu tiên cho dự đoán, Tập 8: Đo lường và giảm thiểu khả năng khai thác.
“Các cuộc thăm dò trong tự nhiên từng là chỉ báo tốt nhất mà các nhóm bảo mật lỗ hổng nên ưu tiên. Giờ đây, chúng tôi có thể cho thấy khả năng một tổ chức cụ thể bị lợi dụng, đó là điều chúng tôi luôn muốn làm ”, Ed Bellis, đồng sáng lập và giám đốc công nghệ của Kenna Security, hiện thuộc Cisco, cho biết. “Điều này mang lại cho các tổ chức cơ hội tốt hơn nhiều để chống lại các mối đe dọa mạng tiềm ẩn một cách hiệu quả và nghiên cứu cho thấy rằng khách hàng của chúng tôi đang quản lý thành công nguy cơ dễ bị tổn thương mỗi ngày.”
Khả năng khai thác được xác định bằng cách sử dụng Hệ thống chấm điểm dự đoán khai thác mở (EPSS); một nỗ lực xuyên ngành bao gồm Kenna Security và Cyentia Institute được duy trì bởi FIRST.org.
Nghiên cứu xác nhận một chỉ thị gần đây của Cơ quan An ninh Cơ sở hạ tầng và An ninh Mạng (CISA) điều đó cho thấy sẽ khôn ngoan hơn nếu không ưu tiên sửa chữa các lỗ hổng dựa trên điểm CVSS và thay vào đó tập trung vào các lỗ hổng có nguy cơ cao. Phân tích cho thấy rằng các yếu tố như mã khai thác và thậm chí cả đề cập trên Twitter là tín hiệu tốt hơn điểm CVSS.
“Rõ ràng rằng việc chuyển đổi sang khả năng khai thác sẽ tạo ra sự khác biệt rất lớn dựa trên dữ liệu và phát hiện trong báo cáo này. Một phân tích về các lỗ hổng được công bố của CISA cho thấy rằng chúng cũng có thể đang rời xa điểm CVSS khi chúng tôi đang thực hiện nghiên cứu này, ”Wade Baker, đối tác và đồng sáng lập của Cyentia Institute cho biết. “Chúng tôi đã tiến thêm một bước nữa để tính đến tốc độ khắc phục khi thực hiện các tính toán của mình, điều này sẽ thông báo tốt hơn cho các nhóm bảo mật”.
Nghiên cứu cũng gợi ý rằng:
- Gần như tất cả (95%) tài sản CNTT có ít nhất một lỗ hổng có thể khai thác cao.
- Ưu tiên các lỗ hổng bằng mã khai thác hiệu quả gấp 11 lần so với CVSS trong việc giảm thiểu khả năng khai thác.
- Hầu hết (87%) tổ chức có lỗ hổng bảo mật mở trong ít nhất một phần tư tài sản đang hoạt động của họ và 41% trong số đó cho thấy lỗ hổng bảo mật ở ba trong số bốn tài sản.
- Phần lớn 62% lỗ hổng bảo mật có ít hơn 1% cơ hội bị khai thác. Chỉ 5% CVE vượt quá xác suất 10%.
Tài Nguyên Bổ Sung
Giới thiệu về Cisco
Cisco (NASDAQ: CSCO) là công ty hàng đầu trên toàn thế giới về công nghệ cung cấp sức mạnh cho Internet. Cisco truyền cảm hứng cho những khả năng mới bằng cách tưởng tượng lại các ứng dụng của bạn, bảo mật dữ liệu của bạn, chuyển đổi cơ sở hạ tầng của bạn và trao quyền cho các nhóm của bạn vì một tương lai toàn cầu và toàn diện. Khám phá thêm trên Mạng và theo dõi chúng tôi trên Twitter.
Cisco và biểu trưng của Cisco là nhãn hiệu hoặc nhãn hiệu đã đăng ký của Cisco và / hoặc các chi nhánh của Cisco ở Hoa Kỳ và các quốc gia khác. Danh sách các nhãn hiệu của Cisco có thể được tìm thấy tại Www.cisco.com/go/trademarks. Các nhãn hiệu của bên thứ ba được đề cập là tài sản của chủ sở hữu tương ứng. Việc sử dụng từ đối tác không ngụ ý mối quan hệ đối tác giữa Cisco và bất kỳ công ty nào khác.
