windows - sikkerhedsopdateringer

Indlæg af Hanne Mølgaard Plasc

Problem



Jeg har triplet WIN/MAC/Ubuntu maskiner i mit firma.


Jeg får konstant sikkerhedsopdateringsbeskeder for dem alle.


Mine spørgsmål er:



  • Hvordan finder Microsoft og de andre virksomheder så mange sikkerhedshuller?

  • Nogle gange finder jeg ud af, at jeg har glemt at opdatere en maskine i lang tid, hvor meget er jeg sårbar i løbet af denne tid?

  • Ikke hackere kan bare studere sikkerhedsopdateringerne dagligt og forsøge at udnytte
    de maskiner, der ikke har nogen opdateringer endnu?



Tak

Bedste reference



  hvordan finder Microsoft og de andre virksomheder så mange sikkerhedshuller?



Normalt gør de ikke. Fra min erfaring bruger sælgerne sig ofte ikke meget til aktivt at finde og fastsætte deres egne sårbarheder.


Der er dog mange sikkerhedsforskere, der forsøger at finde sårbarheder ved hjælp af en kombination af reverse engineering (statisk binær analyse og dynamisk run-time analyse) og fuzz-test for at provokere misbrug, og derefter vurdere udnyttelsen af ​​de observerede sammenbrud.]]


Zero Day Initiative er et eksempel på et firma, der betaler forskere og forlader forhandlerne tid til at rette op på sårbarheder, inden de frigives detaljer om dem til offentligheden (denne proces kaldes ansvarlig offentliggørelse). [2]



  Nogle gange finder jeg ud af, at jeg har glemt at opdatere en maskine i lang tid
  tid, hvor meget sårbar er jeg i løbet af denne tid?



Det afhænger af typen af ​​sårbarhed, men svaret er som regel 'Meget, meget'.



  Ikke hackere kan bare studere sikkerhedsopdateringerne dagligt og
  prøv at udnytte de maskiner, der ikke har nogen opdateringer endnu?



Det er det, de gør. Det er ofte meget nemt, da der er bevis for konceptudnyttelse for de patched sårbarheder, der er offentligt tilgængelige. Hvis det ikke er tilfældet, er det i det mindste muligt at omdanne maskinerne til at få en idé om, hvad den faste sårbarhed er. Der er et BitBlaze-underprojekt, der præsenterer et bevis på, hvordan denne proces kan automatiseres. [3]