AG公司云
《误差生长趋势报告》宣布
2020-05-21
克日，AG公司科技宣布《误差生长趋势报告》，以NVD为数据源，对1999-2019年的误差数据举行回首剖析，团结AG公司威胁情报中心监测到的误差使用攻击事务，从通用系统、软件的误差泛起情形，总结了20年来误差研究及使用的趋势，并对近几年新兴的移动、物联网装备等领域的误差生长举行回首和展望 。
三张图，解读误差生长趋势
历年误差数目统计
阻止2019年底，NVD数据库共收录误差信息138909条 。2019年的误差数目同比1999年，增添了9.62倍 。
误差的 CVSS V2.0 漫衍
阻止 2019 年底共有 130937 条误差分派了 CVSS V2.0 品级，中危误差占 56.06%，高危误差占有 35.22% 。
TOP20 CWE 误差类型
跨站剧本 (CWE-79) 类型的误差数目以 12911 条占有第一 。
攻击者眼中，十年以上“高龄”误差依旧“好使”
攻击事务使用到的误差按年漫衍
攻击者关注稳固、高效的误差使用手艺，在误差的选择上追求易用性、时效性以及是否能获取目的控制权限的攻击能力 �？梢钥吹�，纵然是在 2019 年，十年以上的高龄误差仍然占有了相当大的比例，说明互联网上依然保存着大宗恒久未更新的软件和系统 。
小心！使用文件名堂误差的鱼叉式垂纶攻击
文档类型误差漫衍
通过对APT攻击的研究发明，使用文件名堂误差的鱼叉式垂纶攻击已成为网络清静的主要威胁之一 。PDF、doc(x)、xls(x)、ppt(x) 等文件名堂具有跨平台、应用规模广、用户基数大的特点，受到了攻击者的一连关注，目的主机上的响应程序一旦保存清静误差就会被容易攻破 。
开源软件面临误差使用和软件供应链的双重攻击
常见开源软件的误差数目
开源软件具有开放、免费、功效无邪等特点，获得了越来越普遍的应用，可是清静问题仍然普遍保存 。果真的使用代码在短时间内被集成到成熟的攻击框架或木马程序中，进一步降低了误差使用的门槛，而从误差宣布到被攻击者大规模使用的时间窗口也在进一步缩短，给清静厂商防护能力带来了更大的挑战 。
针对软件供应链的攻击，成为面向软件开发职员和供应商的一种新兴威胁 。针对软件供应链的攻击在撒播速率上更快、影响规模更广、危害更大，同时也更隐藏 。软件开发商应该制订软件供应链标准、规范，遵照清静的开发流程，按期组织软件供应链攻防演练竞赛，按期对自身网站、软件等举行检测与加固，以镌汰受到此类攻击的危害 。
物联网清静的价值不应只在受到威胁时才被重视
据市场研究公司 Gartner 称， 2016 年全球物联网装备数目为 64 亿，2020 年将抵达 204 亿 ，增添 218.75%，可是现在物联网建设历程中思量到信息清静的产品少少，绝大部分是“裸奔”状态 。
2019年 TOP10 物联网误差使用数目
面临物联网的威胁，装备制造商应当重视装备的清静，指定清静的开发流程，对装备举行周全的清静测试 。关于默认密码的问题，应当在用户第一次使用的时间，强制让用户修改密码，并检查用户密码的清静性，榨取设置弱密码 。对使用周期较长的装备，按期提供可更新的固件，以确保装备的清静性 。
总结：“清静左移”，从源头上镌汰误差的爆发
清静是一个攻与防的历程，未知攻焉知防，只有在相识种种攻击手艺和手段后才华接纳越发有用的防御战略，从而阻止清静事务的爆发 。软件开发职员不但需要熟练的编程技巧，还需要重视“清静左移”，即在开发阶段举行清静加固、代码审计，将清静属性融入到软件的开发历程中，从源头上镌汰误差的爆发 。
清静研究职员需要增强系统误差及防护手艺等方面的学习，一直深入研究新的误差挖掘和使用手艺，挑战种种误差的缓解步伐，先攻击者一步掌握最新的攻击手艺，才华与清静厂商携手，进一步提高系统和应用的清静防护水平 。
下载链接：
http://blog.nsfocus.net/wp-content/uploads/2020/05/Vulnerability-Development-Trend.pdf
