Bezpečnostní informace: Na oficiální databáze nelze spoléhat
Více než tři čtvrtiny bezpečnostních zranitelností je nejprve veřejně publikována on-line nebo dokonce v podzemních fórech temného webu, než se dostanou do některé z oficiálních centralizovaných databází zranitelností, jako je NIST/National Vulnerability Database.
Takový je alespoň závěr analýzy společnosti Recorded Future. Studie je založena na datech o více než 12 500 chybách od počátku roku 2016. Prodleva mezi zveřejněním informací o zranitelnosti a jejím zveřejněním v rámci databáze NVD byla v průměru 7 dní.
Další mezera existuje mezi publikací zranitelnosti v NVD a oficiální reakcí dodavatele softwaru. Ti někdy zveřejňují informaci prakticky souběžně nebo o den později, někdy ale ale se zdržením mnoha měsíců. Recorded Future uvádí i zpoždění v průměru 172 dní. Obecně lze říci, že např. Microsoft a Adobe, na jejich produkty připadá velký podíl reportovaných bezpečnostních chyb, postupují rychle. Celkem malou prodlevu v řádu pár dní uvádí studie ještě pro Cisco, Mozillu, Oracle, Apple a Google. Pomaleji to funguje např. u jádra Linuxu i dalších součástí tohoto OS a serveru Apache a dalších projektů tohoto dodavatele.
20 % zranitelností je podrobně rozebráno na podzemních fórech před zveřejněním v NVD. Mnohdy publikace příslušné informace zahrnuje i útoky typu proof-of-concept nebo dokonce již i plně funkční metody zneužití. V případě známé zranitelnosti Dirty Cow v jádře Linuxu předcházel kód zneužití proof-of-concept až o 15 dní publikaci chyby v NVD.
Letos v červnu ještě na zveřejnění v NVD čekalo více než 500 zranitelností, o nichž se objevily informace v roce 2016. Z toho všeho vyplývá, že bezpečnostní specialisté ani bezpečnostní firmy nemohou spoléhat na jediné místo („oficiální“/centrální zdroj), odkud by brali informace, ale musejí integrovat data z různých kanálů, sledovat blogy, sociálních sítě, stránky dodavatelů softwaru, případně dokonce své vlastní senzory, honeypoty nebo i „temnou“ část webu.
Zdroj: The Register
