CVE不受控制地扩散的原因是什么？

常见漏洞和暴露 (CVE)的数量已达到惊人的水平，给组织的网络防御带来巨大压力。根据SecurityScorecard的数据，2023 年记录了 29,000 个漏洞，到 2024 年中期，已发现近 27,500 个漏洞。

与此同时，Coalition 的 2024 年网络威胁指数预测，2024 年 CVE 总数将达到 34,888 个，比上一年增加 25%。这种上升趋势对试图管理漏洞和减轻潜在攻击的组织来说是一个重大挑战。

CVE 数量急剧上升的原因是什么？安全团队可以采取哪些措施来最大程度地降低风险？让我们来一探究竟。

CVE 扩散背后的驱动因素

CVE 数量的增加可以归因于几个因素。每个因素都增加了新的复杂性，最终为漏洞的出现提供了更多机会。CVE 激增的一些主要原因包括：

1. IT系统复杂性增加

现代企业网络是一个庞大的生态系统，由本地基础设施、远程端点、云应用程序和第三方服务组成。每一款新硬件或软件都会引入网络犯罪分子可以利用的潜在漏洞。随着企业采用更多工具来保持竞争力，其攻击面也随之扩大。单个 CVE 可能会影响多个软件版本或嵌入不同的软件包中。

例如，MOVEit、Log4Shell和 Citrix Bleed 等软件漏洞近年来都引起了媒体的广泛关注。然而，它们只是造成广泛损害的 CVE 总数的一小部分。这些备受关注的案例凸显了一个日益严重的问题：组织使用的软件越多，发现的漏洞就越多，安全管理所有这些漏洞就越困难。

2. 开源软件的爆炸式增长

开源软件已成为许多技术堆栈中必不可少的组成部分，但它也带来了独特的挑战。依赖社区驱动的解决方案意味着并非所有软件都会得到定期维护或及时修补。开源软件为漏洞敞开了大门，而漏洞并不总是能及时发现。

此外，一个 CVE 可能会影响多个版本的软件或软件包，尤其是当该 CVE 嵌入到普遍代码中时。即使是看似很小的漏洞也可能在各种环境中扩散，从而增加了保护它们的难度。

3. 代码开发速度快

每编写一行新代码都会引入新的潜在漏洞。使用敏捷开发实践（注重快速迭代和部署）会加剧这种情况。虽然这些方法可能会提高生产力，但也增加了出现安全疏忽的可能性。

CVE 列表远非静态的。因此，CVE 评分对于堆叠排名（根据 CVSS 分数组织 CVE）和了解哪些 CVE 在您的网络上至关重要。代码开发的动态性质意味着漏洞总数继续快速增长。组织必须竞相修补新出现的问题。

漏洞管理在应对 CVE 增长中的作用

漏洞管理已成为 IT 风险管理的关键部分，尤其是在 CVE 增长不受控制的情况下。未能实施有效漏洞管理计划的组织更容易遭受网络攻击和数据泄露。管理这种漏洞泛滥的关键在于采用主动、持续的方法来发现、确定优先级并解决问题。

1. 持续发现漏洞

漏洞可能随时出现，无论是由于新软件安装、配置更改还是现有系统中新发现的弱点。自动化漏洞扫描工具对于现代网络安全至关重要，可以定期监控组织整个攻击面的漏洞。

一些组织已经实施了先进的扫描技术，利用蜜罐在 CVE 成为头条新闻之前识别它们。例如，在发现 MOVEit 漏洞之前的几周内，蜜罐活动激增了 1,000%，让公司有机会先发制人。持续监控和实时扫描对于保持领先于快速发现漏洞的速度至关重要。

2. 有效确定漏洞的优先级

每年都会有数千个漏洞被标记，因此组织不可能解决所有漏洞。相反，确定优先级至关重要。通用漏洞评分系统 (CVSS)等工具以及来自MITRE 的 CVE 列表和国家漏洞数据库 (NVD)等资源的威胁情报可帮助安全团队确定漏洞的严重性。

然而，这些通用评分系统需要补充特定于组织的数据，才能真正优先考虑最重要的漏洞。基于风险的漏洞管理 (RBVM) 已成为一种有效的解决方案。这种方法将利益相关者特定数据与人工智能和机器学习相结合，根据组织的特定风险状况提供更精确的漏洞优先级。漏洞不仅按严重程度排序，还按其对特定组织的影响程度排序。这使得优先级排序更具战略性和可管理性。

3. 漏洞解决：补救、缓解或接受

一旦确定了漏洞的优先次序，组织必须通过补救、缓解或接受来解决它们：

• 补救是彻底消除漏洞，例如修补软件缺陷或重新配置网络设置。

• 缓解措施可以降低漏洞被利用的风险，但并不能完全消除漏洞。这可能涉及将易受攻击的设备与网络隔离，或安装防火墙。

• 接受是指当某个漏洞被视为低风险时，组织认为解决该漏洞的成本或努力大于其带来的潜在风险。

组织需要根据漏洞的严重程度以及漏洞被利用后可能造成的潜在损害来调整其方法。

4. 报告和持续改进

漏洞管理生命周期以报告和持续改进结束。报告工具跟踪关键指标，例如平均检测时间 (MTTD) 和平均响应时间 (MTTR)，以帮助组织评估其漏洞管理工作的有效性。通过定期审查和审计这些流程，组织可以调整其策略以更有效地应对未来的 CVE 扩散。

有效管理 CVE 扩散的关键

随着 CVE 数量不断增长，组织应采取关键方法来提高其漏洞管理能力。这些方法包括：

1. 关联漏洞：通过了解漏洞如何相互作用，安全团队可以确定问题的优先级，尽管这些问题本身并不严重，但与其他漏洞结合时可能会带来严重风险。

2. 整理漏洞信息：安全团队不应向 IT 团队提供大量原始扫描结果，而应提供优先排序的、经过整理的报告，提供可操作的见解，了解哪些漏洞构成了最大的风险。

3. 战略性地安排扫描：组织应该定期扫描其最重要的资产，同时平衡频繁扫描对不太重要的系统的性能影响。

4. 自动化：鉴于漏洞数量庞大，手动流程不可行。自动化工作流程（例如漏洞发现、优先级排序和补丁管理）将使组织能够扩展其漏洞管理工作。

控制 CVE

CVE 的无节制增长对全球组织构成了重大挑战。随着漏洞不断增加，组织必须采用持续的、基于风险的漏洞管理策略，以领先于潜在威胁。

通过自动化发现、关注情境驱动的优先级排序和实施强有力的补救措施，组织可以减轻当今复杂的网络安全环境中不断增加的 CVE 数量所带来的风险。

原文始发于微信公众号（河南等级保护测评）：CVE不受控制地扩散的原因是什么？