本文5185字阅读约需15分钟

    缝隙一向是网络攻防的焦点地点，，，，，，，由于缝隙直接或间接影响安全性的主题方面——权限。。。。。。。攻击者挖掘和利用缝隙，，，，，，，获取非授权的权限；；；；；；防御方定位和解除缝隙，，，，，，，监测和阻断缝隙的利用，，，，，，，使攻击者无法利用缝隙达到其主张。。。。。。。缝隙信息性质上是一类威胁谍报，，，，，，，能够被用来结合组织自身的资产驱动持续的检测与响应，，，，，，，预防缝隙导致现实的风险。。。。。。。

    近年来，，，，，，，陆续有一些厂商起头做缝隙谍报，，，，，，，宣称基于缝隙优先级排序技术（VPT，，，，，，，VulnerabilityPriorityTechnology）提供更有价值的缝隙信息服务。。。。。。。为什么会有VPT这么个提法？？？？？？大的缝隙库不能满足用户的需要吗？？？？？？是的，，，，，，，不满足，，，，，，，并且是极度的不满足。。。。。。。

    要理解这个问题，，，，，，，我们必要对缝隙的近况有一个基于统计数据的具体分析，，，，，，，而这个事件其实好多所谓的专业安全厂商都没有当真做过。。。。。。。

    （一）一些根基的统计数据

    ca88登陆平台CERT网络了2020年整年加上2021年上半年的缝隙信息，，，，，，，以下是一些根基的缝隙及占比统计：

    缝隙总数：37478个

    0day缝隙数：106个，，，，，，，占比0.28%；；；；；；其中40+国产软件

    ZDI缝隙数：450个，，，，，，，占比1.2%；；；；；；其中200+目前无CVE

    无CVE缝隙数：10887个，，，，，，，占比29%

    CNVD缝隙数：17593个，，，，，，，占比47%

    有公开Exploit/POC的缝隙数：1973个，，，，，，，占比5%；；；；；；Exploit-DB起源414；；；；；；PacketStorm起源633；；；；；；Github起源1338；；；；；；MetaSploit起源24

    有野表利用的缝隙数：667个，，，，，，，1.8%；；；；；；其中319有公开Exploit，，，，，，，348无公开Exploit

    APT有关的缝隙数：30个，，，，，，，占比0.08%

    （二）基于数据的分析结论

    真正造成现实风险的缝隙只占少数

    存在Exploit/PoC的缝隙占比超过5%，，，，，，，但只有1.8%比例的缝隙有公开起源信息显示存在野表利用，，，，，，，所以，，，，，，，现实导致安全风险的缝隙在已知缝隙集中只占很幼一部门。。。。。。。

    IBMX-Force对近10年来的缝隙利用情况做过一个统计（下图）：

    这里的数据跟ca88登陆平台统计了局有些差距，，，，，，，但数量级是一样的千级。。。。。。。近年来每年的缝隙数量都在创新高，，，，，，，但被利用的缝隙数却相当不变：只有10%不到。。。。。。。

    关注缝隙的现实野表利用状态极度沉要

    有Exploit的缝隙数量达1973个，，，，，，，有在野利用的缝隙数667个，，，，，，，只有其中319个有公开Exploit。。。。。。。

    大量的在野利用缝隙并没有公开的Exploit，，，，，，，处于私有状态，，，，，，，占比15%，，，，，，，所以只通过象征缝隙是否存在公开Exploit来判定缝隙的现实威胁还是不够的。。。。。。。但是调研了一圈国内的所谓缝隙谍报，，，，，，，根基上看不到把缝隙是否存在野表攻击这个属性进行象征，，，，，，，并进行持续跟踪的，，，，，，，这也是挺搞笑的事。。。。。。。

    CVE约有覆盖绝大无数已知缝隙

    无CVE的缝隙占比靠近三分之一，，，，，，，因而，，，，，，，有大量的缝隙在CVE的视野之表，，，，，，，齐全依附NVD的数据是不成行的。。。。。。。这类非CVE缝隙国产软件起源的占了很大比例，，，，，，，已知的0day缝隙中国产软件有关的也占了差不多一半，，，，，，，因而极度有必要守护一个CVE超集类型的缝隙库。。。。。。。

    （三）用户的缝隙处置痛点

    通过以上的数据分析，，，，，，，结合现实的用户反馈，，，，，，，我们发现用户在缝隙措置过程中存在如下痛点：

    每天数以百计的新缝隙披露，，，，，，，若何能力鉴别出哪些缝隙是真正有威胁的部门；；；；；；

    通常情况下，，，，，，，攻击者会比防御方更早地知路缝隙的存在，，，，，，，若何能尽早得到齐全正确的信息，，，，，，，不落后于攻击者太多；；；；；；

    通常颁布缝隙补丁必要一按功夫，，，，，，，而即便颁布了相应的缝隙补丁，，，，，，，好多场景下，，，，，，，用户也无法得心应手地装置。。。。。。。是否有急剧靠得住的一时解决规划，，，，，，，能够躲避缝隙导致的风险；；；；；；

    在措置资源有限的情况下，，，，，，，应该优先处置哪些缝隙，，，，，，，以最大水平减幼缝隙风险的敞口；；；；；；

    若何把缝隙谍报无缝集成到组织自身的日常缝隙处置流程和机造中。。。。。。。

    好的缝隙谍报必要能回应上面这些痛点，，，，，，，解决或缓解用户的焦虑。。。。。。。

    （四）缝隙谍报应该怎么做？？？？？？

    基于缝隙谍报运营实际，，，，，，，ca88登陆平台CERT以为缝隙谍报的运营必要起到网络器、过滤器和富化器的作用。。。。。。。

    具体而言重要蕴含如下环节：

    通过对一手数据源的挖掘和信息实时采集，，，，，，，结合威胁谍报对缝隙进行多维度的属性标定，，，，，，，保障缝隙信息的全面性和实时性；；；；；；

    分析团队凭据美满的流程和专业经验对缝隙的影响面和技术细节进行研判，，，，，，，把真正沉要的缝隙过滤出来，，，，，，，保障信息的正确性和处置优先级的靠得住性；；；；；；

    对于确认的沉要缝隙，，，，，，，我们必要富化缝隙信息的高低文，，，，，，，跟踪缝隙的现时威胁状态，，，，，，，关联相应的安全事务，，，，，，，给出切实可行的处置步骤，，，，，，，提供除补丁链接以表的其他威胁缓解措施建议。。。。。。。

    1、全面的多维缝隙信息整合及属性标定

    缝隙谍报相对传统缝隙库区别最大的处地点于对缝隙自身技术层面以表维度的持续动态跟踪，，，，，，，通常的缝隙库的主题信息只会涉及软硬件影响面（厂商、利用及版本）和缝隙自身技术层面的评估（威胁类型、利用场景、风险大幼等），，，，，，，这些信息还远远不够，，，，，，，是为了有效管控缝隙导致的风险，，，，，，，通常必要知路得更多：

    缝隙是否在默认配置下存在，，，，，，，配置情况对缝隙可利用性影响极大，，，，，，，非默认配置下的缝隙其现实威胁往往远不如技术层面的定性看起来那么大；；；；；；

    缝隙有关的利用系统部署量有多大，，，，，，，这直接影响缝隙整体的威胁评估；；；；；；

    缝隙是否已经有了公开的技术细节、Exploit工具、概想验证代码（PoC），，，，，，，这会直接影响缝隙转变为现实的攻击；；；；；；

    缝隙是否已经有了野表的利用，，，，，，，这体现了缝隙是否已经从潜在威胁转化为了现实威胁；；；；；；

    缝隙是否已经被已知的缝隙利用攻击包或大型的僵尸网络集成作为获取对系统节造的蹊径，，，，，，，这标志取缝隙现实威胁的提升；；；；；；

    缝隙是否为0day或APT活动有关，，，，，，，意味着缝隙可能被用于攻击高价值的指标。。。。。。。

    所有上面这些属性都应该通过运营被象征出来，，，，，，，以方便用户实现有效的处置优先级排序。。。。。。。

    下图是ca88登陆平台CERT对2021年底核弹级缝隙ApacheLog4j肆意代码执行缝隙(CVE-2021-44228)的标签事俘，，，，，，，随着新近利用此缝隙的攻击事务的发现，，，，，，，这些标签会随时新增和更新。。。。。。。

    ca88登陆平台CERT的缝隙谍报还会支持基于标签的搜索，，，，，，，让用户极度方便地获取匹配特定属性的缝隙集中。。。。。。。这些标签将来还会有对应的分类和描述，，，，，，，让用户能更深刻地相识缝隙导致的威胁。。。。。。。

    当然，，，，，，，上面所有的所有都是成立在全面网络缝隙信息的基础上，，，，，，，ca88登陆平台监测了多个主流缝隙数据库以及数百安全厂商,跟踪了2000+推特账号和80+安全有关新闻源，，，，，，，开源信息采集结合贸易数据采购，，，，，，，并通过各类伎俩挖掘新的数据源。。。。。。。

    2、正确的缝隙所导致现实安全风险判定

    据统计，，，，，，，每年增长几万个缝隙，，，，，，，均匀到每天百级的缝隙被公开出来，，，，，，，若是全数对其分析验证必要巨量的资源投入，，，，，，，这对任何厂商和组织都是不成能实现的工作，，，，，，，操作层面上既无可能也无必要。。。。。。。事实上每年新公开的缝隙只有极少数会被当真钻研。。。。。。。处置流程上，，，，，，，ca88登陆平台CERT会凭据缝隙的影响面和验证前提，，，，，，，筛选出值得深刻分析的缝隙，，，，，，，在利用多种渠路网络或自研PoC进行技术验证，，，，，，，这是缝隙谍报运营过程中专业度要求最高的环节。。。。。。。

    2021年，，，，，，，MicrosoftWindowsActiveDirectory域服务特权提升缝隙(CVE-2021-42287)14、ApacheAPISIXDashboard未授权接见缝隙（CVE-2021-45232）、Grafana未授权肆意文件读取缝隙（CVE-2021-43798）等缝隙经过ca88登陆平台CERT复现并被打上“ca88登陆平台CERT验证”的标签，，，，，，，象征我们对于此类严沉缝隙的存在性和可利用性的专业验证。。。。。。。

    缝隙运营的指标也不仅仅通知用户哪些缝隙沉要，，，，，，，同样沉要的，，，，，，，必要通知用户哪些看起来高危的缝隙所对应风险名存实亡。。。。。。。一个典型的例子是2021年12月Log4j缝隙发作以来，，，，，，，聚光灯效应下一些衍生缝隙随之出现，，，，，，，团队对那些缝隙钻研分析之后确认其中绝大部门并没有现实场景下的威胁，，，，，，，随即颁布了有关的风险公告做了技术上的澄清。。。。。。。

    图：ca88登陆平台CERT颁布的澄清汇报

    3、靠得住的综合性缝隙处置的优先级排序

    在筛选出的沉要缝隙中，，，，，，，大量的缝隙拥有一样的CVSS评分，，，，，，，仅基于这些评分根基上很难对缝隙的现实风险做出有效的评估，，，，，，，其他诸如缝隙是否默认配置受影响、利用的易用性不变性、攻击者所能接触到的存在缝隙的资产量级和缝隙利用的其他前置前提，，，，，，，都对缝隙的现实风险有极大影响，，，，，，，而这些维度的评价在CVSS评分系统中极度难以正确量化。。。。。。。

    因而产生了一个疑难，，，，，，，目前普遍基于CVSS评分的凹凸来评估缝隙的危险水平，，，，，，，这样真的能正确地反映缝隙的现实风险吗？？？？？？

    以两个CVSS评分靠近缝隙的对比为例：Log4j远程代码执行缝隙（CVE-2021-44228）（CVSS10）vsSamba远程代码执行缝隙（CVE-2021-44142）（CVSS9.8）。。。。。。。

    通过以上对比，，，，，，，能够看到固然两个缝隙的CVSS评分看起来相差无几，，，，，，，但由于一系列非CVSS调查维度属性的差距，，，，，，，导致缝隙的现实威胁天壤之别，，，，，，，Log4j的是真正的核弹级，，，，，，，而Samba的这个根基能够归到鸡肋级。。。。。。。

    目前CVSS评分高于9.0的缝隙数量有13000多个，，，，，，，其中有3300（25%）多个缝隙存在对应的Exploit，，，，，，，这个比例不算低，，，，，，，但只有580多个缝隙被象征存在野表利用，，，，，，，占比这类高危缝隙不到5%的比例。。。。。。。所以，，，，，，，即就是技术层面风险度极度高的缝隙，，，，，，，真正被用于网络攻击的概率也不高。。。。。。。这个难题必要通过结合威胁谍报来缓解，，，，，，，ca88登陆平台CERT的缝隙谍报多维度标签为用户提供了基于缝隙现时状态进行优先级排序的可能。。。。。。。

    NOX安全监测平台现已收录关键缝隙27042个，，，，，，，并将缝隙依照更新功夫先后进行排序，，，，，，，例如：ApacheLog4j肆意代码执行缝隙(CVE-2021-44228)、GoogleChrome远程代码执行缝隙(CVE-2021-37973)、致远OA代码执行缝隙(CNVD-2021-51370)等缝隙已经被标注为“发此刻野利用”并且缝隙威胁等级为“高危”或“极危”，，，，，，，此类缝隙建议用户参考缝隙建补步骤尽快进行建补。。。。。。。美国网络安全与基础设施安全局（CISA，，，，，，，Cybersecurity&InfrastructureSecurityAgency）颁布了一个蕴含500多个已知存在野表利用的缝隙列表，，，，，，，ca88登陆平台CERT目前已经象征了超过4000个在野利用缝隙，，，，，，，这个列表也已经对表颁布，，，，，，，这是个每个组织都要必建的缝隙列表。。。。。。。

    4、实时的与组织自身有关缝隙风险通知

    目前从缝隙信息公开到野阐发实利用的距离期越来越短，，，，，，，大无数时辰防御方是在跟攻击者抢功夫，，，，，，，哪方预言家路缝隙的存在及相应的细节，，，，，，，决定了谁在匹敌中获胜。。。。。。。为了实时输露马脚风险通知，，，，，，，缝隙谍报的运营梦想前提下必要选取7*24的监测处置机造，，，，，，，直接的厂商源头信息采集，，，，，，，实时研判并实时推送缝隙状态更新。。。。。。。我们以为如下5类缝隙有关的状态更新必要尽快传递，，，，，，，由于这些更新会渐次影响缝隙的现实风险水平：

    第一，，，，，，，新的关键缝隙公开；；；；；；

    第二，，，，，，，发现关键缝隙的技术细节；；；；；；

    第三，，，，，，，发现关键缝隙的Exploit或PoC公开；；；；；；

    第四，，，，，，，发现关键缝隙的在野利用案例；；；；；；

    第五，，，，，，，发现关键缝隙的新建补缓和解规划。。。。。。。

    2021年，，，，，，，ca88登陆平台CERT颁布了涉及40多个沉点厂商、300余条缝隙的147篇实时安全风险公告。。。。。。。其中CVE-2021-21224GoogleChrome远程代码执行缝隙（发现时缝隙为0day状态）、WebLogicT3反序列化0day缝隙、CVE-2021-28474MicrosoftSharePoint远程代码执行缝隙等缝隙的风险公告，，，，，，，均为ca88登陆平台CERT使用自研PoC初次验证并第一功夫颁布。。。。。。。

    同样沉要的，，，，，，，为了能让组织全面地获取自身网络环境有关的缝隙信息，，，，，，，我们引入了全面的CPE信息集成，，，，，，，非CVE缝隙（重要为国产软件缝隙）的扩大CPE支持，，，，，，，使用归一化的厂商及产品列表，，，，，，，蕴含1000+软件厂商、10000+产品，，，，，，，结合自动的资产测绘精准评估缝隙影响面，，，，，，，第一功夫提供高危缝隙定向风险公告。。。。。。。

    对表的输出大局，，，，，，，不仅提供基于多维属性筛选的Web接见界面，，，，，，，还提供在线数据获取的API接口及离线数据包，，，，，，，用户能够凭据自己必要集成到自有缝隙处置流程。。。。。。。

    5、可行的蕴含具体操作步骤的措置措施

    除了全面性、实时性、有效性，，，，，，，提供有效的缓解措施和可落地解决规划也是缝隙谍报实显熹价值的沉要一环。。。。。。。好多时辰，，，，，，，装置补丁并不是缝隙威胁措置的第一选择，，，，，，，由于打补丁受各类现实前提的限度。。。。。。。好比在沉大活动中主题服务器出于机能和不变性的思考，，，，，，，一旦装置补丁导致宕机后果不胜设想，，，，，，，有些补丁打完以来必要沉启机械的操作是不允许的，，，，，，，更不用提0day缝隙临时无补丁可打的情况。。。。。。。

    因而对于好多沉要缝隙，，，，，，，ca88登陆平台CERT团队还会组织有关部门开发主机或网络虚构补丁，，，，，，，寻找通过调整机械配置临时躲避缝隙利用的一时解决规划，，，，，，，输出经过验证的step-by-step的操作步骤，，，，，，，援手客户迅速上手进行躲避风险，，，，，，，以来在相宜的机遇进行彻底建复。。。。。。。

    例如：对于ProxyLogon缝隙，，，，，，，NOX安全监测平台持续更新6次安全风险公告，，，，，，，不休对缓解措施进行美满，，，，，，，最终提供了两千余字具体描述的可行操作步骤；；；；；；对于Log4Shell缝隙，，，，，，，NOX安全监测平台给出的齐全措置建议涵盖了缝隙排查、攻击排查、建复版本、产品解决规划以及多种分歧场景下经过验证的有效缓解措施，，，，，，，该齐全的措置建议在ca88登陆平台多家客户单元的一线应急响应中起到了沉要作用。。。。。。。

    （五）分歧类型用户的缝隙谍报选择

    当前网络安全正处在转型升级的上升期，，，，，，，网络安整个系架构已经由基础架构安全、被动防御向自动防御、反造进攻阶段进化。。。。。。。传统的安全思想模式和安全技术已经无法有效满足政企客户对安全防护的必要，，，，，，，新的安全理想、新的安全技术不休涌现。。。。。。。要实现有效的积极防御，，，，，，，很关键的一点是要具备安全谍报的网络与使用能力。。。。。。。

    对于幼我用户、企业用户以及安全监管单元而言若何遴选到满足自身业务需要的优质缝隙谍报，，，，，，，能够单一概括为一句话：“C端用户挑产品、B端用户挑服务、监管机构挑供给商”。。。。。。。

    幼我用户只必要确保自身的隐衷安全和资产安全，，，，，，，不必要关注缝隙自身的技术细节，，，，，，，因而，，，，，，，在缝隙谍报的使用上越发依赖于其部署的终端安全产品对缝隙谍报的敏感水平。。。。。。。

    企业用户基于其信息系统的复杂水平，，，，，，，单一的安全产品无法满足其成立企业自身缝隙检测与响应能力的需要，，，，，，，企业必要越发精准和定造化的缝隙谍报服务，，，，，，，来援手治理者迅速判断缝隙对企业业务的影响，，，，，，，并第一功夫进行有效的缝隙措置；；；；；；安全监管单元关注全网的网络安全态势，，，，，，，必要重大的缝隙谍报数据库支持，，，，，，，越发考验缝隙谍报供给商在模式化的安全产品和谍报服务之上，，，，，，，所占有的矫捷、可变通的业务适应能力。。。。。。。

    关于作者

    汪列军虎符智库专家关注恶意代码分析、APT攻击事务与团伙的跟踪与挖掘，，，，，，，实现安全威胁谍报的运营与产品化。。。。。。。