Prioritization to Prediction Volume 8: Measuring and Minimizing Exploitability – nowe badanie Cisco, Kenna Security i Cyentia Institute określa skuteczność różnych strategii zarządzania podatnościami oraz możliwości wykorzystania ich przez całe organizacje, rozszerzając tym samym procedury postępowania w zakresie cyberbezpieczeństwa oparte na analizie ryzyka.
Przy średnio 55 nowych lukach odkrywanych w oprogramowaniu każdego dnia w 2021 roku, nawet najlepiej wyposażone i dysponujące odpowiednimi zasobami zespoły IT nie są w stanie usunąć wszystkich podatności w infrastrukturze. Na szczęście, istnieje lepsze rozwiązanie.
Najnowsze badanie przeprowadzone przez Kenna Security, obecnie część Cisco, lidera na rynku zarządzania podatnościami opartego na analizie ryzyka, oraz Cyentia Institute, pokazują, że prawidłowe nadanie priorytetu jest bardziej efektywne niż zwiększenie zdolności organizacji do łatania luk. Zastosowanie obu tych metod jednocześnie może 29-krotne zmniejszyć ryzyko wykorzystania luk do przeprowadzenia skutecznego ataku.
„Exploity w cyberprzestrzeni były kiedyś najlepszym wskaźnikiem tego, które luki w zabezpieczeniach powinny być traktowane priorytetowo. Teraz możemy dodatkowo określić prawdopodobieństwo, czy dana organizacja zostanie zaatakowana, co od dawna było w naszych planach i dążeniach” – mówi Ed Bellis, współzałożyciel i dyrektor ds. technologii w firmie Kenna Security, będącej obecnie częścią Cisco. „Dzięki temu organizacje mają znacznie większe szanse na skuteczną walkę z potencjalnymi cyberzagrożeniami, a badania pokazują, że nasi klienci każdego dnia z powodzeniem zarządzają ryzykiem związanym z podatnościami”.
Możliwości wykorzystania podatności do ataku na organizacje zostały określone przy użyciu otwartego systemu EPSS (Exploit Prediction Scoring System). Jest to międzybranżowy projekt, w którego skład wchodzą Kenna Security i Cyentia Institute, zarządzany przez FIRST.org.
Wnioski z badania są zgodne z ostatnią dyrektywą Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA – Cybersecurity and Infrastructure Security Agency), która sugeruje, że lepiej jest odejść od ustalania priorytetów w usuwaniu luk w oparciu o wyniki CVSS i zamiast tego skupić się na podatnościach wysokiego ryzyka. Analiza pokazuje, że czynniki takie jak kod danego exploita, a nawet wzmianki o nim na Twitterze są lepszymi sygnałami ostrzegawczymi niż wyniki CVSS.
Badania wskazują
- Prawie wszystkie (95%) zasoby IT posiadają co najmniej jedną podatność, którą można łatwo wykorzystać.
- Nadawanie priorytetów podatnościom za pomocą kodu exploita jest 11 razy bardziej efektywne niż CVSS w minimalizowaniu możliwości ich wykorzystania.
- Większość (87%) organizacji posiada otwarte podatności w co najmniej jednej czwartej swoich aktywnych zasobów, a 41% z nich wykazuje podatności w trzech na cztery zasoby.
- W przypadku zdecydowanej większości (62%) podatności istnieje mniej niż 1% szans, że zostaną one wykorzystane przez cyberprzestępców. Tylko dla 5% znanych podatności prawdopodobieństwo to przekracza 10%.
Źródło i prawa
