Rapid7 レポート

2022 Vulnerability Intelligence Report

参照

https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/

Rapid7 レポート

レポートに記載した脆弱性の 56% は、公開から 7 日以内に悪用されました。2021 年より 12% 増加し、2020 年より 87% 増加しています。

56% of the vulnerabilities in this report were exploited within seven days of public disclosure — a 12% rise over 2021 and an 87% rise over 2020.

所感

• 0day(本件は7dayだけど)増加傾向

• リリース前診断ではなく、開発段階の診断やSBOMで洗い出しているツール群のバージョンアップが急務

• 　ちなみにSBOMとは

• 　https://monoist.itmedia.co.jp/mn/articles/2204/26/news049_2.html

基本的にシステムには脆弱性があって、見つかっていない状態。

・log4j
見つかるまでは普通に使ってた。
見つかってから大騒ぎになった。
仕様変更ではなく、昔から脆弱性があったものの、見つかっていなかっただけ。
(もちろん、ソフトウェアのバージョンアップで脆弱性が埋め込まれてしまうケースもありますが。)

既知の脆弱性だと侵入できないシステムが多くてより0dayに近い脆弱性が狙われるようになってきている？

• セキュリティコミュニティの活動においてゼロデイ攻撃の検出、報告する能力の向上

• セキュリティ技術の向上によりゼロデイ攻撃を利用する必要性の増加

• エクスプロイト・ブローカー市場の拡大

https://yamory.io/blog/about-zero-day-attack-and-countermeasures/