已知漏洞才是遭駭大宗　資安莫再捨薪輿而逐秋毫

安全漏洞遭到利用，至今仍是造成大多數資安缺口的根本原因，絕大多數的資料外洩事件都起源於漏洞遭到駭客利用，其中大部分的攻擊是來自於已知的漏洞，而非零時差攻擊（Zero Day Attack）。

過去10年間，零時差漏洞在所有漏洞佔比中只有約0.4%，因偵測這類漏洞所花費的金錢，和它們真正產生的風險相比實在不成比例。

相較之下，其實有大量的資料外洩與病毒感染事件，都來自少數不斷被重複利用的已知漏洞。

這個道理就像人們總是擔心大白鯊的攻擊，而忽略了身形嬌小的蚊子一樣，蚊子每年都會害死數百萬人，而大白鯊每年殺死的人數卻跟遭受雷擊身亡的數字差不多。零時差攻擊確實存在，但對大多數的組織而言卻不算是最大的威脅。

漏洞管理最大的問題在於，組織未能把修正和彌補被網路威脅來源鎖定的漏洞列為優先工作項目。

組織必須針對最大的安全威脅，調整安全漏洞管理的優先順序。雖然Gartner觀察到安全威脅的手法正不斷進步，但大部分案例中，威脅來源都不會使用過於複雜的工具來進行攻擊，相反地，它們經常都是利用已知漏洞進行攻擊。

提升安全性的方法並不只有投資新技術，正如近日大量出現的全球性資安事件所揭示的，更重要的是要打好基本功。組織只要加強一些基本的安全及風險相關網路使用習慣（hygiene），像是威脅導向漏洞管理、集中式日誌管理、內網隔離（Internal Network Segmentation）、備份與系統強化，就能大幅改善安全狀態。

Gartner認為，在2020年底之前，遭入侵的安全漏洞中仍有99%都是安全及IT專業人員在事件發生時已知的問題。若能先處理好入侵和資料遺失的最主要原因，就能打好基礎來處理更難的問題。同時也不能停下推動改善漏洞管理專案的腳步，但更重要的是藉由阻擋最大的風險，也就是透過已知的公開漏洞來減少攻擊面（Attack Surface）。

過去10年間，儘管資料外洩事件的數量增加而且更多的威脅出現，但遭到入侵的漏洞數量其實呈現逐年持平狀態。就本質上來說，有更多的安全威脅在利用同樣的少部分漏洞。

組織的優先要務，就是把工作重點放在如何修補那些已知的公開漏洞，或具備能勝任相關修補任務的能力。這種方法能有效降低或預防風險，但目前只有極少數組織做到。這樣的工作優先順序，能降低需要處理的漏洞數量，代表企業可以花更多精力處理更少量的安全漏洞，為組織的安全性狀態帶來更大的好處。

<本文作者Craig Lawson為Gartner研究副總裁、Kasey Panetta為Gartner品牌內容經理。>