Microsoft-Analyse: 0-day-Schwachstellen größtes Risiko

[English]Die größten Risiken für Computersysteme stellen 0-day-Schwachstellen dar, weniger zurückgestellte Updates. Und 0-day-Schwachstellen werden gezielt angegriffen.

Einige Zahlen und Fakten

Es sind interessante Einblicke, die Matt Miller vom Microsoft Security Response Center (MSRC) auf der Blue Hat-Konferenz 2019 in Israel gerade gegeben hat. Miller hat seine Vortragsfolien auf GitHub veröffentlicht, wie er auf Twitter bekannt gab.

Posted the slides from my #bluehatil talk covering trends, challenges, and strategic shifts in the software vulnerability landscape. Questions, comments, and alternative perspectives welcome https://t.co/6IAzb2AaR8

— Matt Miller (@epakskape) 7. Februar 2019

Die Zahlen, die Matte Miller in seinem Vortrag präsentiert hat, sind ganz interessant.

• 2018 wurden gut 54% der berichteten Schwachstellen durch Software-Updates behoben.
• Ca. 85 % der Schwachstellen lagen im Bereich Remote Code Execution (RCE), Elevation of Privilege (EOP) oder Information Disclosure (ID).

(Quelle: Microsoft, Zum Vergrößern klicken)

In obiger Folie zeigt die linke Grafik, dass die Zahl der Patches, die Sicherheitslücken mit CVE schließen, Jahr für Jahr ansteigt. Die rechte Grafik zeigt aber, dass das Risiko, dass Schwachstellen binnen 30 Tagen nach Veröffentlichung eines Updates ausgenutzt werden, kontinuierlich sinkt. Die Zahl der bekannten Exploits sinkt also und lag in den letzten Jahren bei 2-3%.

(Quelle: Microsoft, Zum Vergrößern klicken)

Interessant sind auch die beiden Grafiken in obiger Folie, die die Ausnutzung von 0-day-Exploits behandeln. Falls eine Schwachstelle per Exploit ausgenutzt wird, handelt es sich um eine 0-day-Schwachstelle, für die es noch keinen Patch gibt. Für die durch Updates geschlossenen Schwachstellen werden in den ersten 30 Tagen nach Verfügbarkeit des Patches eigentlich keine Exploits mehr entdeckt – es lohnt sich für die Exploit-Entwickler nicht. Exploits werden eher für ältere Software entwickelt, für die es keine Updates zum Schließen von Schwachstellen mehr gibt.

Bei angegriffenen Schwachstellen handelt es sich immer um 0-day-Schwachstellen, für die es noch keinen Patch gibt. Und Angriffe, die solche 0-day-Exploits verwenden, adressieren spezifische Ziele (z.B. Regierungen oder einzelne Personen). Es erfolgen also keine breit angelegten Kampagnen.

Schlussfolgerungen aus diesen Erkenntnissen

Das lässt natürlich einige interessante Schlüsse zu. So ist es schon wichtig, Software aktuell zu halten. Bleibt man aber im Microsoft-Universum, lässt sich eine wichtige Erkenntnis ableiten. Der erste Reflex wäre also: Sobald ein Update von den Herstellern freigegeben wurde, sollte dieses sofort installiert werden.

Bereitgestellt Sicherheitsupdates bergen bei Microsoft aber latent die Gefahr, dass deren Installation zu Kollateralschäden führt. Daher stellen Administratoren die Installation von Updates in Windows gerne einige Tage (bis zu 30 Tage) zurück. Treten gravierende Probleme auf, zieht Microsoft die Updates meist nach einigen Tagen zurück und gibt später revidierte Updates wieder frei. Verzögert ein Administrator die Update-Installation, erhöht sich das Risiko für einen Angriff also in praktischer Hinsicht nicht oder kaum.

Das Ganze ist sicher ein Thema, was zu Diskussionen Anlass gibt. Woody Leonhard hat sich hier ebenfalls einige Gedanken zum Thema gemacht. Wie seht ihr das Thema denn?