Video: FIFA FOOTBALL GIBLETS KICKER (Decembris 2024)
Katra mēneša otrajā otrdienā, “Patch Saturday”, Microsoft izspiež kļūdu labojumus un drošības caurumus sistēmā Windows un Microsoft lietojumprogrammās. Lielākoties risinātās problēmas ietver nopietnus drošības trūkumus, programmēšanas kļūdas, kas var ļaut hakeriem iekļūt tīkla drošībā, nozagt informāciju vai palaist patvaļīgu kodu. Adobe, Oracle un citiem pārdevējiem ir savi ielāpu grafiki. NSS Labs satraucošais jaunais pētījums liecina, ka vidēji hakeriem ir aptuveni pieci mēneši brīvas piekļuves šiem drošības caurumiem starp sākotnējo atklāšanu un atveseļošanu. Sliktāk, ka pastāv specializētas tirgus vietas, lai pārdotu jaunatklātās nepilnības.
Dr Stefan Frei, NSS Labs pētniecības direktors, pārraudzīja pētījumu, kurā desmit gadu laikā tika apkopoti dati no divām galvenajām "ievainojamības iegādes programmām". Frei ziņojumā norādīts, ka visi iegūtie skaitļi ir minimāli; Ir acīmredzami daudz vairāk, par ko viņi vienkārši nezina. Balstoties uz to, ko viņi zina, pēdējos gados informācijas tirgus par ekspluatāciju ir ievērojami pieaudzis. Pirms desmit gadiem diviem pētītajiem uzņēmumiem katrā dienā bija tikai neliela daļa neizpaužamu ievainojamību. Dažos pēdējos gados šis skaits ir pieaudzis līdz vairāk nekā 150, no kuriem vairāk nekā 50 attiecas uz pieciem galvenajiem pārdevējiem: Microsoft, Apple, Oracle, Sun un Adobe.
Ekspluatācija lēti
Stuxnet un citi uzbrukumi nacionālās valsts līmenī, lai iekļūtu drošībā, ir balstīti uz vairākiem neatklātiem drošības caurumiem. Tiek pieņemts, ka viņu veidotāji maksā milzīgas dividendes, lai iegūtu ekskluzīvu piekļuvi šīm nulles dienas ievainojamībām. NVD budžetā 2013. gadā budžetā bija paredzēti 25 miljoni ASV dolāru. Frei pētījums atklāja, ka cenas tagad ir daudz zemākas; joprojām ir augsts, bet kibernoziedzīgu organizāciju sasniedzamībā.
Frei citē New York Times rakstu, kurā apskatīti četri boutique izmantotāju pakalpojumu sniedzēji. Viņu vidējā cena par zināšanām par pagaidām neizpaužamo ievainojamību svārstījās no 40 000 līdz 160 000 USD. Balstoties uz informāciju, kas iegūta no šiem pakalpojumu sniedzējiem, viņš secina, ka tie gadā var piegādāt vismaz 100 ekskluzīvus izmantošanas veidus.
Pārdevēji cīnās atpakaļ
Daži programmatūras pārdevēji piedāvā kļūdu krājumus, izveidojot sava veida sabiedrības piekļuves pētījumu programmu. Pētnieks, kurš atklāj iepriekš nezināmu drošības caurumu, var saņemt likumīgu atlīdzību tieši no pārdevēja. Tas noteikti ir drošāk nekā darīšana ar kibernoziedzniekiem vai ar tiem, kas pārdod kibernoziedzniekiem.
Tipiski kļūdu apjomi ir no simtiem līdz tūkstošiem dolāru. Microsoft “Riska samazināšanas apvedceļš” izmaksā 100 000 ASV dolāru, taču tā nav vienkārša kļūdu apmaksa. Lai to nopelnītu, pētniekam ir jāatrod "patiesi jauns izmantošanas paņēmiens", kas var iznīcināt jaunāko Windows versiju.
Jūs esat ielauzts
Kļūdu krājumi ir jauki, taču vienmēr atradīsies tie, kas gūst lielāku atlīdzību, ko piedāvā boutique izmantotāji un kibernoziedznieki. Ziņojumā secināts, ka jebkuram uzņēmumam vai lielai organizācijai vajadzētu uzskatīt, ka tās tīkls jau ir uzlauzts. Nulles dienas uzbrukuma bloķēšana vai pat noteikšana ir sarežģīta, tāpēc drošības komandai ir jāplāno vissliktākais, izmantojot precīzi definētu reaģēšanas plānu.
Kā ir ar mazo biznesu un personīgajiem tīkliem? Ziņojumā par tiem nerunā, bet es pieņemu, ka kāds, kurš samaksāja 40 000 USD vai vairāk par piekļuvi eksplozijai, to virzīs uz iespējami lielāko mērķi.
Pilnu ziņojumu varat izlasīt NSS Labs vietnē.
