ゼロデイエクスプロイトに関するいくつかの醜い真実

サイバーセキュリティについて読んだことがある場合、「ゼロデイ」という用語は、ハッカーによって悪用された脆弱性を表すために時々登場する可能性があります。また、これらが最も致命的である傾向があることもすぐにわかります。それらが何であるか、そしてそれらがどのように機能するかは、私の同僚のサイモン・バットによってすでに簡潔に議論されています。

しかし、主題を深く掘り下げると、デバイスで実行するすべてのことについて2回考え始めると、おそらく知らなかったかもしれないいくつかのことがわかります（これは必ずしも悪いことではありません）。 RAND Corporation（米軍のシンクタンク）の人々によるこの調査などのサイバーセキュリティ調査は、ゼロデイエクスプロイトが私たちのデジタル世界がいかに脆弱であるかを示す多くの方法を持っていることを示しています。

ゼロデイエクスプロイトはそれほど難しくありません

RANDの調査では、概念実証ハッキングに手を出した多くのプログラマーが疑っていたことが確認されています。脆弱性が見つかったら、それを悪用するプロセスを簡素化するツールを開発するのにそれほど時間はかかりません。研究から直接引用する

エクスプロイト可能な脆弱性が発見されると、完全に機能するエクスプロイトを開発するまでの時間は比較的速く、中央値は22日です。

これは平均であることに注意してください 。多くのエクスプロイトは、ソフトウェアの作成に伴う複雑さやマルウェアの効果をどの程度まで伸ばすかによって、実際には数日で終了します。

何百万ものエンドユーザー向けのソフトウェアを開発するのとは対照的に、マルウェアの作成は、利便性に関する限り、その作成者という1人の人物だけを念頭に置いています。コードとソフトウェアを「知っている」ので、使いやすさに集中するインセンティブはありません。消費者向けソフトウェアの開発では、インターフェイスの設計とコードのフールプルーフのために多くのハードルが発生するため、時間がかかります。あなたはあなたのために書いているので、すべての手を握る必要はありません。それはプログラミングプロセスを非常に流動的にします。

彼らは衝撃的な時間生きています

ハッカーが行ったエクスプロイトが非常に長い間機能していることを知っていることは、ハッカーにとっての誇りです。したがって、これが一般的な出来事であることを彼らが知っているのは少しがっかりするかもしれません。 RANDによると、平均的な脆弱性は6.9年間存続し、測定した最短の脆弱性は1年半存続します。ハッカーにとって、これは残念なことです。なぜなら、これを通じて、何年にもわたってWebを介して暴れ回るエクスプロイトを行うときはいつでも、必ずしも特別なものではないことがわかるからです。しかし、犠牲者にとって、これは恐ろしいことです。

平均的な「長寿命」の脆弱性は、発見されるまでに9。53年かかります。それは、世界中のすべてのハッカーがそれを見つけて、彼らの利益のためにそれを使用しなければならないほぼ10年です。開発プロセスでセキュリティが後部座席に残されている間、利便性がしばしばショットガンを乗車中に呼び出すので、この厄介な統計は当然のことです。この現象が存在するもう1つの理由は、「知らないことはわからない」という古い格言によるものです。 10人のプログラマーのチームがソフトウェアに脆弱性があることを理解できない場合、それを積極的に探している数千人のハッカーの1人があなたに手を差し伸べ、困難な方法を示します。次に、パッチを適用する必要があります。これは、別の脆弱性を導入する可能性があるため、それ自体がワームの別の缶です。そうしないと、ハッカーが実装したものを回避する方法をすばやく見つける可能性があります。

利他主義は十分に供給されていません

Finifter、Akhawe、およびWagnerは、2013年に発見されたすべての脆弱性のうち、脆弱性報酬プログラムの一環として朝の散歩で出くわした善良なサマリア人によって実際に報告されたのは2〜2.5％にすぎないことを発見しました。私たちのソフトウェアをハッキングする方法を教えていただければ幸いです」）。それらの残りは、開発者自身によって、またはすべての人にその存在を痛々しく「啓発」したハッカーによって発見されました。この調査ではクローズドソースとオープンソースを区別していませんが、オープンソースソフトウェアがより利他的なレポートを取得しているのではないかと疑っています（ソースコードをオープンにすると、人々が正確にどこにレポートできるかが簡単になるためです。 脆弱性が発生します。

お持ち帰り

ここでの私の希望は、これがエクスプロイトの犠牲になるのがいかに簡単であり、ゼロデイエクスプロイトが見た目ほど珍しくないかについての見通しを提供することです。それらについてはまだ多くの未回答の質問があり、おそらくより綿密な調査は、私たちがそれらと戦うために必要なツールを身につけるのに役立つでしょう。ここでの考え方は、私たちがつま先にとどまる必要があるということです。

これらの発見に驚きましたか？コメントでそれについてすべて教えてください！