Bezpečnostní informace: Na oficiální databáze nelze spoléhat

Pavel Houser , 01. září 2017 13:45 0 komentářů
Bezpečnostní informace: Na oficiální databáze nelze spoléhat

Více než tři čtvrtiny bezpečnostních zranitelností je nejprve veřejně publikována on-line nebo dokonce v podzemních fórech temného webu, než se dostanou do některé z oficiálních centralizovaných databází zranitelností, jako je NIST/National Vulnerability Database.

Takový je alespoň závěr analýzy společnosti Recorded Future. Studie je založena na datech o více než 12 500 chybách od počátku roku 2016. Prodleva mezi zveřejněním informací o zranitelnosti a jejím zveřejněním v rámci databáze NVD byla v průměru 7 dní.

Další mezera existuje mezi publikací zranitelnosti v NVD a oficiální reakcí dodavatele softwaru. Ti někdy zveřejňují informaci prakticky souběžně nebo o den později, někdy ale ale se zdržením mnoha měsíců. Recorded Future uvádí i zpoždění v průměru 172 dní. Obecně lze říci, že např. Microsoft a Adobe, na jejich produkty připadá velký podíl reportovaných bezpečnostních chyb, postupují rychle. Celkem malou prodlevu v řádu pár dní uvádí studie ještě pro Cisco, Mozillu, Oracle, Apple a Google. Pomaleji to funguje např. u jádra Linuxu i dalších součástí tohoto OS a serveru Apache a dalších projektů tohoto dodavatele.

20 % zranitelností je podrobně rozebráno na podzemních fórech před zveřejněním v NVD. Mnohdy publikace příslušné informace zahrnuje i útoky typu proof-of-concept nebo dokonce již i plně funkční metody zneužití. V případě známé zranitelnosti Dirty Cow v jádře Linuxu předcházel kód zneužití proof-of-concept až o 15 dní publikaci chyby v NVD.

Letos v červnu ještě na zveřejnění v NVD čekalo více než 500 zranitelností, o nichž se objevily informace v roce 2016. Z toho všeho vyplývá, že bezpečnostní specialisté ani bezpečnostní firmy nemohou spoléhat na jediné místo („oficiální“/centrální zdroj), odkud by brali informace, ale musejí integrovat data z různých kanálů, sledovat blogy, sociálních sítě, stránky dodavatelů softwaru, případně dokonce své vlastní senzory, honeypoty nebo i „temnou“ část webu.

Zdroj: The Register


Komentáře

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Foxconn otevře severoamerické ústředí ve Wisconsinu

ČTK , 18. červen 2018 00:00

Foxconn již loni oznámil, že ve Wisconsinu investuje 10 miliard dolarů do výstavby továrny na LCD....

Více 0 komentářů

Češi obměňují počítač za šest let, dvakrát déle než vyspělý svět

ČTK , 16. červen 2018 08:00

Výpočetní techniku si na leasing v tuzemsku pořizuje 23 % firem, ve vyspělých zemích jsou to až 3/4 ...

Více 2 komentářů

Dell představuje úložiště PowerMax

Pavel Houser , 15. červen 2018 16:14

Dell oznámil uvedení několika nových úložných a serverových produktů s podporou uceleného portfolia ...

Více 0 komentářů

Kalendář

17. 06.

21. 06.
Cyber Week 2018
19. 06.

22. 06.
Automatica 2018
23. 06.

24. 06.
Maker Faire Prague 2018

Starší zprávičky

AT&T dokončila převzetí mediální firmy Time Warner

ČTK , 15. červen 2018 13:22

Očekává se, že spojení AT&T a Time Warner vyvolá vlnu fúzí. Comcast chce převzít Twenty-First Centur...

Více 0 komentářů

Po dohodě s USA čínská ZTE ztratila 3 miliardy dolarů tržní hodnoty

ČTK , 15. červen 2018 08:00

Americký zákaz před dohodou paralyzoval klíčové aktivity ZTE a firmě hrozil bankrot....

Více 0 komentářů

Vláda schválila nižší platby za kmitočty, firmy ušetří 145 mil. Kč

ČTK , 14. červen 2018 13:16

Výběr poplatků by se ale měl do 2-3 let vrátit nad úroveň roku 2016, protože operátoři budou využíva...

Více 0 komentářů

Internet Intelligence Map: Co udělá s Internetem přírodní katastrofa?

Pavel Houser , 14. červen 2018 13:09

Oracle poskytuje zdarma mapu narušení internetového provozu, sleduje traceroute, BGP i dotazy DNS....

Více 0 komentářů