思想的差距:等待NVD给您的组织带来风险

系列文章(共四篇)的这是第一次检查之间的时间内首次发现漏洞时,当它完全披露在国家漏洞数据库。我们探索这一差距的影响一个组织的网络风险和讨论的如何帮助。

理论与数学美是比一个丑陋的更有可能是正确的,适合一些实验数据

——保罗·狄拉克

组织不只是解决如何最好地管理成千上万的漏洞每年披露。他们也试图安全攻击面不断扩大,包括传统本地资产,基于云计算的资产,复杂的身份和访问管理系统活动目录+各种web应用程序和操作技术(OT)系统。

站得住脚的分析各种弱点和错误配置和评估所需的整个频谱信息地址需要在上述环境中,包括,但不限于:

• 暴露的指标(埃克斯波特学院)。
• 指标的攻击(IoA)。
• 云,Active Directory和不支持。

来源:成立,2023年4月

站得住脚的研究致力于收集广泛的知识基础的脆弱性景观。团队发展广泛的见解和站得住脚的产品报告功能。我们的目标吗?帮助安全人员发现并修复漏洞,最重要的组织和及时。为此,本博客提供了:

• 仔细看看站得住脚的产品背后的数据。
• 见解如何站得住脚的分层的方法研究艾滋病脆弱性优先级。

在这四部分博客系列中,我们探索之间的差距发现漏洞时,当它完全披露在国家漏洞数据库(NVD)。我们还讨论如何优先级的替代方法,如成立的脆弱性优先级评级(冲程体积),可以帮助你。这是许多方面的研究致力于为网络安全专业人士提供他们需要的数据以降低风险。站得住脚的漏洞数据库提供了一个全面的目录确定弱点在安全程序,软件流程和系统的供应商。这个情报支撑站得住脚的产品,包括Nessus插件解决重大缺陷,允许成立客户评估他们的环境和提高他们的安全状况。

的数据

成立研究小组收集了超过190000的数据漏洞,超过45个提要,利用50000人,超过2700网络曝光警报和超过178000插件。

站不住脚的数据的例子包括:

• 经典的脆弱性数据
• 利用
• 站得住脚的研究见解
• 安全响应饲料
• 缺陷优先级评级
• 网络曝光警报
• 研究联盟合作伙伴

站得住脚的研究不断在寻找利用信息,基于公开数据和内部研究。站得住脚的研究提供了对时间敏感的指导至关重要的漏洞。站得住脚的产品为用户提供及时的检测工具,帮助他们保持安全性和降低风险。

后台

在幕后,站得住脚的提供一流的研究、分析,帮助网络安全从业者做出积极的工具和知识,基于风险的优先级决定他们的漏洞修复策略的一部分。

站得住脚的研究经常分析几层分数和指标,从自动化模型experience-derived见解。这个博客的目的,我们检查他们三个:

• 网络曝光警报(cea);
• 脆弱性优先级评级(冲程体积);和
• CVSSv3分数。

CVSS分数为优先提供整合机制漏洞。自2015年6月以来,CVSSv3介绍时,我们注意到超过23000个漏洞,代表11.9%的所有漏洞的披露时间——与一个排名至关重要的CVSSv3得分。这是一个难以控制的数字安全团队优先考虑和纠正。

把清晰和更大的语境指导安全专家,成立在2019年推出的冲程体积。当使用冲程体积相同的漏洞进行了分析,我们看到的只是443 cf的收入至关重要的冲程体积分数,只有不到0.4%的所有漏洞。这是一个更易于管理的漏洞安全团队去解决。配备更好的理解这漏洞代表一个组织的最大风险,网络安全从业人员减少警报疲劳和提高他们的修复优先级的过程。

更深层次的,有针对性的指导网络曝光的形式发布的警报站得住脚的安全响应团队(SRT)。团队提供了详细的那样关键弱点进一步援助网络安全从业人员在评估如何修复。SRT连续监视脆弱性和威胁景观为了发现重大缺陷,通常在NVD他们充分披露之前或分配NVD CVSSv3分数。当补丁可用,这些信息可以直接在我们的产品,使从业者找到并修复缺陷NVD之前他们完全披露。

关于思想的差距系列

这个由四部分组成思想的差距安全专家博客系列是一种宝贵的资源,概述了观察到的脆弱性景观重点漏洞站得住脚的研究发现之前出现在NVD的详细信息。本系列源于我们自己的数据集的分析,其中最广泛和丰富的数据集的行业。这些年来,我们收集了一个广泛的知识漏洞,沉浸与站得住脚的Research-specific见解和报告功能。

在本系列的其他博客:

• 思想的差距:现有的脆弱性框架如何离开一个组织暴露
• 思想的差距:仔细看看漏洞公布2022年
• 思想的差距:仔细看看八从2022年著名的cf

了解更多

• 阅读博客风险管理:7平台方法的好处,你不能解决所有问题:如何以反应为漏洞补救方法和风险管理:降低风险在现代攻击表面
• 下载解决方案简单,站不住脚:7的独特价值统一的风险管理平台的好处
• 查看在线研讨会,找出7一个统一的风险管理平台的好处改善安全状况,降低网络复杂性和帮你省钱和分析师圆桌会议:风险管理如何帮助你获得可见性、防止攻击,和风险沟通更好的决策
• 读白皮书,3现实世界的网络安全组织面临的挑战:如何接触管理平台可以提供帮助
• 下载2022年的威胁环境报告