Całkowita liczba zgłoszonych luk Microsoftu w 2021 roku spadła o 5%, odwracając pięcioletni trend, w którym takie luki gwałtownie wzrosły, wynika z nowego raportu firmy BeyondTrust, dostawcy usług zarządzania tożsamością i bezpieczeństwa.
Łącznie w 2021 roku wykryto 1212 nowych luk w zabezpieczeniach, ale ich dotkliwość, a także umiejscowienie w rodzinie oprogramowania firmy Microsoft znacznie się zmieniało z roku na rok. Luki ocenione przez CVSS jako „krytyczne” spadły w ciągu ostatniego roku o 47%, osiągając najniższy poziom od czasu, gdy BeyondTrust zaczął publikować ten raport dziewięć lat temu.
Luki w systemie Windows, awaria systemu Windows Server
Zarówno Windows, jak i Windows Server odnotowały gwałtowny spadek całkowitej liczby wykrytych luk, odpowiednio o 40% i 50%, podczas gdy luki w przeglądarkach Microsoft Edge i Internet Explorer osiągnęły rekordowy poziom.
Pomocą w najnowszej analizie jest przejście Microsoftu do systemu NIST Common Vulnerability Scoring System, który umożliwia naukowcom bardziej bezpośrednie porównywanie luk w zabezpieczeniach z błędami w zewnętrznym ekosystemie.
Najczęstszy rodzaj luki w zabezpieczeniach zaobserwowany w 2021 r. dotyczył podniesienia uprawnień, gdy osoba atakująca uzyskuje uprawnienia administratora w systemie za pomocą nielegalnych środków. W 2021 roku wykryto łącznie 588 luk tego typu. Badacze BeyondTrust przypisują ten wzrost szerszemu przestrzeganiu najlepszych praktyk w zakresie bezpieczeństwa; Przewrotnie, ogólny spadek liczby użytkowników ze zbędnymi uprawnieniami administratora pomógł skoncentrować wysiłki złych aktorów na próbach zdobycia podwyższonych uprawnień na różne sposoby.
Atakujący wprowadzają innowacje, aby uzyskać uprawnienia administratora
„Bez łatwego dostępu do użytkowników z lokalnymi uprawnieniami administratora osoby atakujące zaczęły wprowadzać innowacje w celu uzyskania podwyższonych uprawnień, które można następnie wykorzystać do włamania do systemów, kradzieży danych uwierzytelniających i przenoszenia się w bok” — mówi relación.
Drugi najczęstszy rodzaj luk polega na zdalnym wykonaniu kodu, co jest szczególnie niebezpieczne, ponieważ ataki ukierunkowane na takie luki mogą być przeprowadzane zdalnie, przy niewielkiej lub żadnej interakcji użytkownika. W 2021 roku wykryto łącznie 326 takich luk, z których 35 uzyskało ocenę 9,0 lub wyższą w skali CVSS.
„Przy tego rodzaju ryzyku exploit, który można wykorzystać, nie jest kwestią„ czy exploit istnieje ”, ale raczej„ kiedy będzie publicznie dostępny ”- czytamy w raporcie BeyondTrust.
Raport ujawnił również luki w kluczowych produktach Microsoft, w tym Azure, Windows i Microsoft Office. Ta ostatnia wykryła tylko jedną krytyczną lukę w zabezpieczeniach, w porównaniu do 66 wykrytych w 2021 r., podczas gdy te same liczby dla Azure i Dynamics 365 wyniosły odpowiednio siedem i 44.
Badacze BeyondTrust pochwalili ciągłe wysiłki Microsoftu w celu zapewnienia bezpieczeństwa platformy Azure i okrzyknęli „stały spadek” luk w zabezpieczeniach pakietu Office. Podobnie, sam system operacyjny Windows odnotował 40% spadek łącznej liczby luk w zabezpieczeniach w 2021 r. w porównaniu z rokiem poprzednim, przy 50% spadku krytycznych luk w zabezpieczeniach.
Prawa autorskie © 2022 IDG Communications, Inc.