비디오: Hì i í i i í i i ì (12 월 2024)
매월 둘째 주 화요일 "패치 화요일"에 Microsoft는 Windows 및 Microsoft 응용 프로그램의 버그 및 보안 취약점에 대한 패치를 제공합니다. 대부분의 문제는 심각한 보안 허점, 해커가 네트워크 보안에 침투하거나 정보를 훔치거나 임의의 코드를 실행할 수있는 프로그래밍 오류를 포함합니다. Adobe, Oracle 및 기타 공급 업체에는 자체 패치 일정이 있습니다. NSS Labs의 놀라운 새 연구에 따르면 해커는 평균적으로 초기 발견과 치료 사이에 약 5 개월 동안 이러한 보안 허점에 액세스 할 수 있습니다. 게다가 새로 발견 된 취약점을 판매하기위한 전문화 된 마켓 플레이스가 존재합니다.
NSS Labs의 연구 책임자 인 Stefan Frei 박사는 두 가지 주요 "취약성 구매 프로그램"에서 10 년 이상의 데이터를 수집 한 연구를 감독했습니다. Frei의 보고서에 따르면 모든 결과 수치는 최소값입니다. 그들이 단순히 알지 못하는 일이 분명히 더 많습니다. 그들이 아는 바에 따르면, 악용에 대한 정보 시장은 지난 몇 년 동안 크게 성장했습니다. 10 년 전, 조사한 두 회사는 하루 종일 소수의 공개되지 않은 취약점을 가지고있었습니다. 지난 몇 년 동안이 숫자는 150 명 이상으로 증가했으며 그 중 50 명 이상이 Microsoft, Apple, Oracle, Sun 및 Adobe의 상위 5 개 공급 업체와 관련이 있습니다.
저렴한 악용 판매
Stuxnet 및 국가-국가 수준의 기타 공격은 공개되지 않은 여러 보안 허점에 의존하여 보안에 침투합니다. 그들의 제작자들은 이러한 제로 데이 취약점에 독점적으로 액세스하기 위해 막대한 배당금을 지불한다고 가정합니다. NSA는 2013 년 익스플로잇 구매를 위해 2, 500 만 달러의 예산을 책정했습니다. Frei의 연구에 따르면 가격은 훨씬 저렴합니다. 여전히 높지만 사이버 범죄 조직의 손이 닿는 범위 내에 있습니다.
Frei는 4 개의 부티크 익스플로잇 제공 업체를 조사한 New York Times 기사를 인용합니다. 아직 공개되지 않은 취약점에 대한 평균 지식 가격은 $ 40, 000에서 $ 160, 000 사이였습니다. 그는 해당 제공자로부터 얻은 정보를 바탕으로 연간 100 건 이상의 독점 익스플로잇을 제공 할 수 있다고 결론지었습니다.
공급 업체 반격
일부 소프트웨어 공급 업체는 버그 현상금을 제공하여 일종의 크라우드 소싱 연구 프로그램을 만듭니다. 이전에 알려지지 않은 보안 허점을 발견 한 연구원은 공급 업체로부터 직접 정당한 보상을받을 수 있습니다. 사이버 사기꾼이나 사이버 사기꾼에게 파는 사람들보다 더 안전합니다.
일반적인 버그 바운티는 수백에서 수천 달러에 이릅니다. Microsoft의 "Mitigation Bypass Bounty"는 $ 100, 000를 지불하지만 단순한 버그 현상금은 아닙니다. 이를 얻으려면 연구원은 최신 버전의 Windows를 파괴 할 수있는 "완전히 새로운 악용 기술"을 발견해야합니다.
해킹당했습니다
버그 바운티는 훌륭하지만, 부티크 익스플로잇 제공 업체와 사이버 범죄자들이 제공하는 더 큰 보상을 원하는 사람들이 항상있을 것입니다. 이 보고서는 모든 기업이나 대기업이 네트워크가 이미 해킹되었다고 가정해야한다는 결론을 내 렸습니다. 제로 데이 공격을 차단하거나 탐지하기도 어렵 기 때문에 보안 팀은 잘 정의 된 사고 대응 계획으로 최악의 상황을 계획해야합니다.
소기업 및 개인 네트워크는 어떻습니까? 이 보고서는 그들에 대해 이야기하지는 않지만 익스플로잇에 액세스하기 위해 4 만 달러 이상을 지불 한 사람은 가능한 가장 큰 목표를 목표로 삼고 있다고 가정합니다.
NSS Labs 웹 사이트에서 전체 보고서를 읽을 수 있습니다.
