98%企业存NDay漏洞超5年，风险高端局得怎样打？

漏洞｜IT资产中能被威胁所利用的弱点

通常指的是计算机系统安全方面的缺陷，使得系统或其应用数据的保密性、完整性、可用性、访问控制等面临威胁。

最知名的“0Day”漏洞，指的是系统在知晓并发布相关补丁前就被掌握或者公开的漏洞信息，可以说是黑客的最爱、安全工程师的阴影、组织的风险“黑洞”……

然而老生常谈的漏洞，却也暗藏安全玄机。

漏洞千千万，曝一个修一个？

曝了又曝，修了又修，无穷尽也！

挑重点精准修复？

可重点一堆先修哪个？

谁才是隐藏的“破坏王”？

攻防一场

为风险生，因漏洞「死」！

在FortiGuard Labs（Fortinet全球威胁情报响应与研究团队）发布的《2023下半年全球威胁态势研究报告》中，关于漏洞利用与相关风险给出了一些新的关键发现。

新漏洞经公开披露后

平均攻击发起时间为4.76天

攻击者针对最新公开披露的漏洞利用速度呈加快趋势，与2023上半年相比，攻击速度提升43%。安全厂商应肩负起在漏洞利用发生前自内部发现漏洞并积极开发针对性修复补丁的责任。同时，安全厂商还应更主动、透明地向用户披露漏洞，确保用户及时获取必要信息，在攻击者成功利用NDay漏洞前，高效保护其资产安全。

一些NDay漏洞

长达15年仍未被修复

首席信息安全官（CISO）和安全团队不应仅关注新披露漏洞。Fortinet数据显示，41%的受访组织基于漏洞签名成功检测出潜藏1个月以内的漏洞，而几乎所有受访组织（98%）均挖掘出潜藏至少5年之久的NDay漏洞。与此同时，FortiGuard Labs观察到，攻击者正持续利用已公开披露超15年的漏洞。

这一趋势再次敲响警钟，警示组织应积极主动安装补丁并升级程序，以快速采取防御措施。

新老漏洞共存，且风险同样不容忽视，安全建设者要如何才能在漏洞风险中实现最大限度的安全？

攻击者视角

看见安

全边界

云科

攻击者的核心目的是快速打倒对手，当防御者引入攻击者视角，就可以实现用最快的时间验证风险的存在，看到敌人看到的一切，看到资产风险的边界。

攻击面管理的核心是以攻击者视角，以制胜为目的，以最短的时间、最有效的手段、最犀利的办法帮助用户感知到信息安全风险的一种验证机制和系统性工程。白泽数字风险资产图鉴系统作为云科安信攻击面管理的拳头产品，以攻击者视角做资产管理平台，帮客户找出网络资产和IT资产的风险，及时给客户提出收敛资产暴露面的数据，帮客户验证暴露在外的资产漏洞和可利用性。

此外，白泽数字风险资产图鉴系统还拥有挖掘目标风险的途径和能力、针对海量目标的长期资产监控和变动提醒、攻击能力建设的应急响应、攻击路径持续挖掘和保持能力以及攻防能力互为驱动等五个功能，可以更加高效地助力企业用户开展攻击面发现工作，赋能企业提升实战攻防能力。

风险优先级

安全

最大化

云科

安全，不光要看见风险，还要高效处置风险。云科全域数字风险解决方案基于外部攻击面管理(EASM)、数字风险保护服务(DRPS)、漏洞评估(VA)、弱点/漏洞优先级技术(VPT)和开源网络情报(OSINT)等关键技术，在检测网络资产安全脆弱性基础上，还以攻击者视角对组织资产进行持续发现、清点、分类、优先级排序和监控，实现自身资产识别及清点的同时，可识别网站、IP、域名、SSL 证书和云服务等未知(影子)数字资产。

在漏洞相关问题上，全域数字风险解决方案可将错误配置、开放端口和未修复漏洞根据紧急程度、严重性来进行风险等级分析以确定优先级，帮助组织进行漏洞修复及暴露面管控。既避免了无限循环的漏洞修复，又多维度评估漏洞风险等级，在提升漏洞风险管理效率的同时，实现最大程度的安全保障。