0 
0 A Agência de Segurança cibernética e segurança de infraestrutura (CISA) emitiu recentemente a Diretiva de Operações Vinculantes 22-01 com o objetivo de reduzir o risco associado a vulnerabilidades ativamente exploradas. A diretiva foi acompanhada por um catálogo de vulnerabilidades exploradas conhecidas mantidas pela CISA que inclui prazos de remediação obrigatórios. Essencialmente, significa “corrigir isso rápido ou então” para agências e organizações aplicáveis.
Acho que é uma jogada inteligente na direção certa da CISA. Explicarei por que com algumas estatísticas e gráficos da recente pesquisa do Instituto Cyentia.
O gráfico da nossa pesquisa conjunta “Priorização à Previsão” com a Kenna Security demonstra por que a CISA achou que tal diretiva era necessária. O número de vulnerabilidades relatadas publicamente e coletadas na Lista CVE aumentou drasticamente ao longo dos anos. 2021 ainda não foi feito quando criamos este gráfico, então não mostra que o ano passado foi o primeiro que superou 20.000 vulnerabilidades publicadas!
Parte dessa maré crescente de vulnerabilidades está ligada à tendência popularizada como software comendo o mundo. Parte decorre da luta de escrever código seguro para todo esse software. Mas a principal causa do surto de abutres por volta de 2017 é melhor reportar através de uma lista crescente de Autoridades Numeradas da CVE. Independentemente das razões, o resultado prático é que os programas de segurança são sobrecarregados por uma constante enxurrada de vulnerabilidades para avaliar e remediar.
Infelizmente, muitos estão se afogando naquela inundação. De acordo com o número abaixo, novamente de “Priorização à Previsão Vol 8”, a maioria das organizações remedia menos de um quarto das vulnerabilidades em todo o seu ambiente mensalmente. Se nenhuma nova vulnerabilidade surgisse, elas acabariam por recuperar o papo. Mas um olhar para a Figura 1 nos lembra que não há descanso para os cansados na gestão de vulnerabilidades.
A única pausa oferecida nos dados analisados ao longo dos anos é que as organizações não precisam remediar todas as suas vulnerabilidades. Eles só precisam consertar aqueles que representam risco real. Mas quantos são?
Você deve ter notado os diferentes segmentos coloridos na Figura 1. A altura de cada barra corresponde ao número de vulnerabilidades publicadas. O azul claro representa a proporção de CVEs publicados observados em ativos de produção gerenciados pelas centenas de organizações que estudamos. A porção vermelha marca vulnerabilidades com código de exploração conhecido ou explorações ativas na natureza (também conhecida como “alto risco”). Uma vez que a capacidade de remediação é limitada por Figura 2, não faz sentido corrigir os vermelhos (explorados) primeiro?
Eu também acho. E é precisamente por isso que eu disse anteriormente que cisa fez uma jogada inteligente com BD 22-01. O catálogo de vulnerabilidades imperdíveis da CISA não afirma (ou precisa) ser exaustivo. Seu foco está naqueles “que carregam risco significativo”. A partir deste texto, o catálogo contém 377 vulnerabilidades exploradas. Isso representa uma pequena fração (0,22%) das ~170.000 vulnerabilidades publicadas na Lista CVE. São muito poucos? Muitos? Local? Bem, vamos começar com uma pergunta mais simples: ela representa todas as vulnerabilidades exploradas?
Isso é um não difícil. O volume anterior de “Priorização à Previsão” encontrou atividade de exploração visando 2,5% de todos os CVEs publicados. Com base nessa proporção, o catálogo deve ser mais de 10x seu tamanho atual. Antes de condenar o catálogo, no entanto, tenha em mente que a exploração “na natureza” não equivale a ataques generalizados direcionados a um grande número de organizações. Um último gráfico deve ajudar a esclarecer isso e fornecer algumas estatísticas úteis sobre a prevalência da atividade de exploração.
Por uma questão de argumento, digamos que qualquer vulnerabilidade que registre tentativas de exploração contra pelo menos 1% das organizações representa um risco significativo para sua empresa. Cerca de 6% dos CVEs explorados cruzam esse limite, de acordo com a Figura 3.
Agora, alguns cálculos de back-of-the-guardanapos: Se 2,5% dos CVEs são explorados na natureza e 6% desses tropeçam nosso limite de risco, então 0,15% (2,5% x 6%) representam um risco significativo para nossa organização. Isso é notavelmente próximo (e abaixo) do percentual (0,22%) dos CVEs no catálogo do CISA. E o mais importante — e encorajador — é muito menos do que a capacidade típica de remediação (~15%) da maioria das organizações.
Assim, tudo se resume à capacidade da organização de identificar e priorizar as vulnerabilidades mais arriscadas. O catálogo da CISA é o fim de tudo para evitar a exploração? Não. Mas é um ótimo ponto de partida para organizações que querem surfar na onda de gerenciamento de vulnerabilidades baseada em riscos em vez de se afogarem abaixo dela.
FONTE: DARK READING