تم اختراق الشبكة الخاصة بك: تعتاد على ذلك

في الثلاثاء الثاني من كل شهر ، "Patch Tuesday" ، تطرح Microsoft تصحيحات الأخطاء والثغرات الأمنية في Windows وفي تطبيقات Microsoft. في معظم الأوقات ، تتضمن المشكلات التي يتم تناولها ثغرات أمنية خطيرة أو أخطاء في البرمجة قد تسمح للمتسللين باختراق أمان الشبكة أو سرقة المعلومات أو تشغيل تعليمات برمجية عشوائية. Adobe و Oracle والبائعين الآخرين لديهم جداول التصحيح الخاصة بهم. تشير دراسة جديدة مثيرة للقلق أجرتها مختبرات NSS إلى أن المتسللين لديهم في المتوسط ​​حوالي خمسة أشهر من الوصول غير المقيد إلى هذه الثغرات الأمنية بين الاكتشاف الأولي والعلاج. والأسوأ من ذلك ، وجود أسواق متخصصة لبيع نقاط الضعف المكتشفة حديثًا.

أشرف الدكتور ستيفان فراي ، مدير الأبحاث في مختبرات NSS ، على دراسة امتدت لأكثر من عشر سنوات من البيانات من برنامجين رئيسيين "لشراء نقاط الضعف". يشير تقرير فري إلى أن جميع الأرقام الناتجة هي الحد الأدنى ؛ من الواضح أن هناك الكثير مما يحدث وهم ببساطة لا يعرفون. بناءً على ما يعرفونه ، نما سوق المعلومات حول عمليات الاستغلال بشكل ملحوظ في السنوات القليلة الماضية. قبل عشر سنوات ، كانت لدى الشركتين المدرستين حفنة من الثغرات الأمنية التي لم يكشف عنها في أي يوم من الأيام. في السنوات القليلة الماضية ، ارتفع هذا العدد إلى أكثر من 150 ، أكثر من 50 منهم يتعلقوا بالموردين الخمسة الأوائل: مايكروسوفت ، أبل ، أوراكل ، صن وإدوبي.

مآثر للبيع ، رخيصة

تعتمد Stuxnet والهجمات الأخرى على مستوى الدولة القومية على ثقوب أمنية غير معلنة متعددة لاختراق الأمن. من المفترض أن يدفع منشئو الأرباح أرباحًا ضخمة للحصول على وصول حصري إلى نقاط الضعف في اليوم صفر. خصصت وكالة الأمن القومي 25 مليون دولار لشراء استغلال في عام 2013. كشفت دراسة فري أن الأسعار الآن أقل بكثير. لا تزال مرتفعة ، ولكن في متناول المنظمات الإجرامية الإلكترونية.

يقتبس Frei من مقالة في New York Times درس فيها أربعة من مزودي استغلال البوتيك. تراوح متوسط ​​سعر معرفتهم بوجود ثغرة أمنية لم يتم الكشف عنها بعد بين 40،000 دولار و 160،000 دولار. بناءً على المعلومات التي تم الحصول عليها من هؤلاء مقدمي الخدمات ، يخلص إلى أنه يمكنهم تقديم ما لا يقل عن 100 استغلال حصري سنويًا.

الباعة قتال مرة أخرى

يقدم بعض بائعي البرامج مكافآت الأخطاء ، مما يخلق نوعًا من برنامج البحث الجماعي. يمكن للباحث الذي يكتشف وجود ثغرة أمنية غير معروفة سابقًا الحصول على مكافأة مشروعة مباشرة من البائع. هذا بالتأكيد أكثر أمانًا من التعامل مع المحتالين عبر الإنترنت ، أو مع من يبيعون المحتالين عبر الإنترنت.

تتراوح مكافآت الأخطاء النموذجية من مئات إلى آلاف الدولارات. يدفع Microsoft "Mitigation Bypass Bounty" 100000 دولار ، لكنها ليست مكافأة بسيطة. لتحقيق ذلك ، يجب على الباحث اكتشاف "تقنية استغلال جديدة حقًا" يمكنها تخريب أحدث إصدار من Windows.

لقد تم اختراق

مكافآت الأخطاء لطيفة ، ولكن سيكون هناك دائمًا أولئك الذين يذهبون للحصول على المكافأة الأكبر التي يقدمها مزودي استغلال البوتيك ومجرمي الإنترنت. يخلص التقرير إلى أن أي مؤسسة أو مؤسسة كبيرة يجب أن تفترض أن شبكتها قد تم اختراقها بالفعل. يعد حظر أو حتى اكتشاف أي هجوم ليوم واحد أمرًا صعبًا ، لذلك يجب أن يخطط الفريق الأمني ​​للأسوأ من خلال خطة استجابة محددة جيدًا للحوادث.

ماذا عن الأعمال التجارية الصغيرة والشبكات الشخصية؟ لا يتحدث التقرير عنهم ، لكنني أفترض أن الشخص الذي دفع 40 ألف دولار أو أكثر للوصول إلى استغلال يستهدفه على أكبر هدف ممكن.

يمكنك قراءة التقرير الكامل على موقع NSS Labs.