【国际视野】美国网络安全和基础设施安全局、美国联邦调查局、澳大利亚网络安全中心等多机构联合发布《2023年最常被利用的漏洞》公告

• 实施以安全为中心的产品开发生命周期。软件开发人员部署修补程序来修复软件漏洞往往是一个漫长而昂贵的过程，对于零日漏洞来说尤其如此。在整个产品开发生命周期中使用更强大的测试环境并实施威胁建模，可能会减少产品的整体漏洞。

• 加强对负责任的漏洞披露的激励。全球努力减少漏洞披露的障碍，可以限制恶意网络行为者利用零时差漏洞。例如，制定漏洞报告漏洞赏金计划，允许研究人员因其对漏洞研究的贡献而获得补偿和认可，这可能会促进漏洞的披露。

• 使用先进的端点检测和响应（EDR）工具。终端用户利用EDR 解决方案可提高零日漏洞利用的检测率。大多数零日漏洞（包括去年排名前15 位的漏洞中的至少三个）都是在终端用户或EDR 系统报告可疑活动或异常设备故障时被发现的。

表1 列出了编写机构观察到的恶意网络行为者在2023 年经常利用的前15 个漏洞，下文还将讨论这些漏洞的详细信息。

编写机构建议供应商和开发人员采取以下步骤，帮助确保其产品在设计和默认情况下是安全的：

• 识别重复被利用的漏洞类别。

  ○ 对 CVE和已知被利用漏洞 (KEV)进行分析，以了解哪些漏洞类别比其他漏洞类别更容易被识别。

  ○ 实施适当的缓解措施，消除这些类别的漏洞。

  ○ 如果产品存在多个SQL 注入漏洞实例，确保产品中的所有数据库查询都使用参数化查询，并禁止其他形式的查询。

• 确保业务领导对安全负责。

  ○ 业务领导应确保其团队采取积极措施消除整类安全漏洞，而不是在发现新漏洞时才进行一次性修补。

• 遵循 SP 800-218 SSDF，在 SDLC的每个阶段实施安全设计实践；特别是要执行以下SSDF 建议：

  ○ 尽可能优先使用内存安全语言[SSDF PW 6.1]。

  ○ 在选择软件组件（如软件库、模块、中间件、框架）时要尽职尽责，以确保消费软件产品的稳健安全性[SSDF PW 4.1]。

  ○ 建立安全的软件开发团队实践，这包括开展同行代码审查、按照共同的组织安全编码标准工作，以及保持对特定语言安全问题的认识[SSDF PW.5.1、PW.7.1、PW.7.2]。

• ○建立漏洞披露计划，以验证和解决由组织内部或外部人员披露的安全漏洞[SSDF RV.1.3] 并建立流程，以确定已发现漏洞的根本原因。

• ○使用静态和动态应用程序安全测试(SAST/DAST) 工具分析产品源代码和应用程序行为，以检测容易出错的做法[SSDF PW.7.2, PW.8.2]。

• 配置可投入生产的产品，使其具有最安全的默认设置，并就更改每个设置的风险提供指导[SSDF PW.9.1, PW9.2]。

  ○ 优先考虑默认安全配置，如取消默认密码、通过现代开放标准实施单点登录(SSO) 技术，以及向客户提供无需额外配置且不收取额外费用的高质量审计日志。

• 确保发布的 CVE包括适当的 CWE字段，以识别漏洞的根本原因，从而在全行业范围内对软件安全和设计缺陷进行分析。

• 及时更新 IT 网络资产上的软件、操作系统、应用程序和固件 [CPG 1.E]。

  ○ 优先修补KEV，尤其是本公告中确定的CVE，然后是可在面向互联网的设备上执行远程代码或拒绝服务的关键和高危漏洞。

• 有关本公告中确定的 CVE 的补丁信息，请参阅附录：顶级漏洞的补丁信息和其他资源。

  ○ 如果无法快速应用KEV 或关键漏洞的修补程序，请实施供应商批准的变通方法。

  ○ 更换报废软件（即供应商不再支持的软件）

• 例行对整个系统进行自动资产发现，以识别所有系统、服务、硬件和软件并编制目录。

• 实施强大的补丁管理流程和集中式补丁管理系统，确定补丁应用程序的优先级 [CPG 1.A]。

  ○ 无法对面向互联网的系统进行快速扫描和修补的组织应考虑将这些服务转移到成熟、信誉良好的云服务提供商(CSP) 或其他托管服务提供商(MSP)。

  ○ 信誉良好的MSP可以为客户的应用程序（如网络邮件、文件存储、文件共享、聊天和其他员工协作工具）打补丁。注：MSP和CSP可能会扩大客户的攻击面，并可能带来意想不到的风险，因此组织应积极与其MSP 和CSP 合作，共同降低风险[CPG1.F]。

• 记录所有 IT/OT 组件（包括云基础设施）的安全基线配置。

  ○ 监控、检查并记录任何偏离初始安全基线的情况[CPG 2.O]。

• 定期执行安全系统备份，并创建所有设备配置的已知良好副本，以便进行修复和/或恢复。

  ○ 将副本存储在物理安全的非网络位置，并定期进行测试[CPG 2.R]。

• 维护最新的网络安全事件响应计划，该计划至少每年测试一次，并在风险知情的时限内更新，以确保其有效性[CPG 2.S]。

• 正确配置面向互联网的网络设备并确保其安全，禁用未使用或不必要的网络端口和协议，加密网络流量，禁用未使用的网络服务和设备[CPG 2.V、2.W、2.X]。

  ○ 加固常用的企业网络服务，包括链路本地组播名称解析(LLMNR) 协议、远程桌面协议(RDP)、通用互联网文件系统(CIFS)、活动目录和OpenLDAP。

  ○管理Windows 密钥分发中心(KDC) 账户（如KRBTGT），最大限度地减少勒索攻击和Kerberoasting攻击。

  ○严格控制本地脚本应用程序的使用，如命令行、PowerShell、WinRM、Windows Management Instrumentation (WMI) 和分布式组件对象模型(DCOM)。

• 实施零信任网络架构（ZTNA），通过控制对应用程序、设备和数据库的访问，限制或阻止横向移动。使用专用虚拟局域网[CPG 2.F, 2.X]。

• 持续监控攻击面，调查可能表明网络行为者或恶意软件横向移动的异常活动[CPG 2.T]。

  ○使用安全工具，如端点检测和响应(EDR) 以及安全信息和事件管理(SIEM) 工具。

• 考虑使用信息技术资产管理(ITAM) 解决方案，确保EDR、SIEM、漏洞扫描仪和其他类似工具报告相同数量的资产[CPG 2.T、2.V]。

  ○使用网络应用防火墙监控和过滤网络流量。

• 这些工具可通过硬件、软件和基于云的解决方案在市场上买到，并可检测和减少网络行为者向未打补丁设备发送恶意网络请求的利用企图[CPG 2.B、2.F]。

  ○实施管理策略和/或自动流程，根据指定的、已批准版本的允许列表监控不需要的硬件、软件或程序[CPG 2.Q]。

• 减少第三方应用程序和独特的系统/应用程序构建，仅在需要支持关键业务功能时才提供例外[CPG 2.Q]。

• 确保合同规定供应商和/或第三方服务提供商必须：

  ○在风险知情的时限内通知安全事件和漏洞[CPG 1.G、1.H、1.I]。

  ○为所有产品提供软件物料清单(SBOM)，以加强漏洞监控，并帮助缩短对发现的漏洞做出反应的时间[CPG 4.B]。

• 要求软件供应商讨论其安全设计计划，提供链接，介绍他们如何努力消除各类漏洞，并设置安全的默认设置。