2022企業(yè)漏洞管理狀況調(diào)查:7成企業(yè)缺乏有效的漏洞管理計劃

調(diào)研發(fā)現(xiàn),“影子IT限制風險暴露的可見性”是本次受訪者認為的漏洞安全管理最大挑戰(zhàn)。此外,16.2%的受訪者認為“缺乏訓練有素的員工來修復漏洞”也給漏洞管理造成很多困難。13.9%受訪者認為,開展常態(tài)化的漏洞掃描與發(fā)現(xiàn)工作難以得到公司管理層的支持。

本文來自安全牛。

未修復的IT系統(tǒng)漏洞就同敞開的大門,可任由惡意攻擊者暢行。安全團隊必須快速找到并關閉那些敞開的大門,才能確保其企業(yè)的信息化系統(tǒng)應用安全。然而,發(fā)現(xiàn)未知的漏洞是一項挑戰(zhàn),有效管理并快速響應已知的漏洞則是另一項挑戰(zhàn)。做好漏洞管理工作的前提是發(fā)現(xiàn)風險,如果沒有基于風險的漏洞管理方法,企業(yè)將無法面對不斷增長的漏洞威脅。

為了更好地了解當前企業(yè)漏洞管理現(xiàn)狀,安全服務公司NopSec日前針對426名企業(yè)安全管理者進行了專項調(diào)查,報告研究發(fā)現(xiàn),70%的受訪者表示對目前的漏洞管理計劃(VMP)并不滿意,其中34%的受訪者更是認為,他們所在企業(yè)目前還沒有明確的漏洞管理計劃,存在較嚴重的安全威脅隱患。

研究發(fā)現(xiàn)

圍繞可利用性和關鍵性對安全風險進行優(yōu)先級排序是開展漏洞管理的首要目標。其他關鍵目標還包括未知漏洞識別和企業(yè)外部攻擊面管理等;

影子IT將是企業(yè)未來漏洞管理中的主要挑戰(zhàn),這將嚴重降低企業(yè)對所有安全風險的可見性。而缺乏專業(yè)的安全人員修復漏洞是另一個重大挑戰(zhàn);

威脅情報在漏洞管理中的應用不足,有53%的受訪者表示他們的組織還沒有使用第三方威脅情報,例如滲透測試、漏洞披露以及IP或域名聲譽評分;

目前的漏洞修補時間過長。只有18%的受訪者表示漏洞會在發(fā)現(xiàn)后的24小時內(nèi)修復,62%的受訪者表示需要超過48小時或更長時間來修復已知的嚴重漏洞;

利用漏洞發(fā)起的攻擊比以往任何時候都更加復雜。過半數(shù)受訪者表示他們能夠感受到攻擊的復雜性正在增加。

漏洞管理現(xiàn)狀調(diào)查

01

企業(yè)實施漏洞管理計劃(VMP)的目標是什么?

調(diào)查顯示,當被問及“您認為您希望通過漏洞管理計劃(VMP)實現(xiàn)的最高目標是什么?”時,34.9%的受訪者認為首要目標是“根據(jù)對組織構(gòu)成的風險確定其漏洞修復和緩解工作的優(yōu)先級”,而漏洞的可利用性和暴露資產(chǎn)的重要性將是用于確定其優(yōu)先級的標準。

2345截圖20220818151609.png

【希望通過漏洞管理計劃(VMP)實現(xiàn)的最高目標】

02

企業(yè)目前漏洞管理計劃的有效性如何?

而當被問及“對當前漏洞管理計劃的整體有效性的印象”時,70%的受訪者表示他們的VMP只是有些效果或不太有效,其中34%的受訪者認為是無效的。只有不到三分之一(30.1%)的受訪者表示擁有非常有效的VMP。

2345截圖20220818151609.png

【當前漏洞管理計劃的整體有效性】

03

影響漏洞管理計劃有效性的首要因素是什么?

通過調(diào)查那些回答稱“擁有非常有效的VMP”的組織,結(jié)果發(fā)現(xiàn),影響VMP有效性的首要因素(占43%)是其組織內(nèi)部了解漏洞管理的人才。這些組織一般都有吸引和留住頂尖網(wǎng)絡安全人才的戰(zhàn)略,但鑒于安全行業(yè)正在經(jīng)歷的巨大技能缺口,這種回應也表明需要更自動化的漏洞管理解決方案。

2345截圖20220818151609.png

【影響VMP有效性的關鍵因素】

04

漏洞管理面臨哪些挑戰(zhàn)?

調(diào)研發(fā)現(xiàn),“影子IT限制風險暴露的可見性”是本次受訪者認為的漏洞安全管理最大挑戰(zhàn)。此外,16.2%的受訪者認為“缺乏訓練有素的員工來修復漏洞”也給漏洞管理造成很多困難。13.9%受訪者認為,開展常態(tài)化的漏洞掃描與發(fā)現(xiàn)工作難以得到公司管理層的支持。

2345截圖20220818151609.png

【漏洞管理面臨的重大挑戰(zhàn)】

05

企業(yè)最常用的漏洞掃描類型是什么?

那么,安全團隊目前正在執(zhí)行什么類型的漏洞掃描呢?結(jié)果幾乎平分秋色,受訪者表示服務器、應用程序和代碼是他們掃描最多的內(nèi)容(各占34%)。另外33.8%為物聯(lián)網(wǎng)和OT設備;33.5%為云資產(chǎn);33.3%為網(wǎng)絡基礎設施設備(如路由、交換機等);32.1%為臺式機/筆記本電腦。

2345截圖20220818151609.png

【漏洞掃描類型分布】

06

企業(yè)會在漏洞管理中使用第三方威脅情報嗎?

當詢問受訪者“是否利用第三方供應商提供威脅情報數(shù)據(jù)”時,令人驚訝的結(jié)果是,52.8%的企業(yè)表示他們沒有從外部資源中獲取有關漏洞威脅的信息。

2345截圖20220818151609.png

【第三方威脅情報應用調(diào)查】

07

企業(yè)是否對漏洞進行風險優(yōu)先級評估?

57.5%的受訪者表示,他們的公司沒有使用基于風險的評級系統(tǒng)來確定漏洞的優(yōu)先級。因此可以這樣認為,多數(shù)公司仍然是以“先識別、先修復”的方式來進行漏洞修復工作。而對于那些評估漏洞風險等級的企業(yè),他們所依據(jù)的評估工具包括:52.4%為CVSS評分;40.8%為資產(chǎn)重要性;39.2%為補償控制;38.1%為威脅情報源。

2345截圖20220818151609.png

【漏洞風險等級評估工具】

08

企業(yè)是否對漏洞修補時間有明確要求?

單個漏洞在網(wǎng)絡或應用程序中存在的時間量通常取決于漏洞帶來的風險。只有28.2%的受訪者表示他們的組織已經(jīng)標準化了服務水平協(xié)議(SLA),以明確修復漏洞的速度。但需要注意的是,不使用基于風險的優(yōu)先級方案的組織將難以構(gòu)建有意義的SLA。

而在這些明確修復漏洞速度的企業(yè)中,20.4%的企業(yè)表示,他們要求在發(fā)現(xiàn)關鍵漏洞后48小時內(nèi)對其進行修補;15.9%的企業(yè)在72小時內(nèi)修復;16.2%的企業(yè)在1周內(nèi)修復;15.9%的企業(yè)在2周內(nèi)修復。只有17.8%的企業(yè)表示這些CVSS評分9.0及以上的高危漏洞需要在發(fā)現(xiàn)后的24小時內(nèi)進行修復。

2345截圖20220818151609.png

【漏洞修復時間】

09

漏洞數(shù)量的增長趨勢如何?

報告研究發(fā)現(xiàn),在過去12個月中,跟蹤漏洞數(shù)量的公司中有58%的報告稱漏洞數(shù)量翻了一番、三倍或四倍。其中,17.3%報告翻了一番;21.8%報告翻了三倍;19.3%報告翻了四倍。只有22.2%的報告稱漏洞數(shù)量沒有增加,19.6%的報告稱觀察的漏洞數(shù)量減少了。

盡管漏洞在增加并且攻擊的復雜性也在增加,但大多數(shù)組織仍然沒有對漏洞進行風險評估,不依賴外部威脅情報,或者規(guī)定必須以多快的速度修補漏洞。對于正面臨日益嚴峻的威脅形勢的現(xiàn)代組織來說,這些都不利于可持續(xù)性發(fā)展。

2345截圖20220818151609.png

【過去一年中,跟蹤到的漏洞數(shù)量變化狀態(tài)】

10

企業(yè)最關注的漏洞管理事項是什么?

16.9%的受訪者表示,其所在的企業(yè)將會購買新工具或升級他們現(xiàn)有的漏洞評估工具;14.7%的受訪者表示需要提高企業(yè)的安全風險可見性,實現(xiàn)100%的本地和云上資產(chǎn)漏洞掃描覆蓋率;14.5%的受訪者表示要改進漏洞管理制度中的溝通和報告流程;13.6%的受訪者表示要雇用更多受過漏洞管理培訓的員工;13.3%要實施基線安全配置并掃描合規(guī)性;12.4%的受訪者則表示要添加攻擊模擬的功能。

2345截圖20220818151609.png

【未來一年企業(yè)在漏洞管理中的重點工作】

11

企業(yè)用于漏洞管理的預算會如何變化?

當被問及未來12個月他們所在企業(yè)的漏洞管理預算將如何變化時,36.6%參與預算相關決策的人預計預算會增加,34%認為預算會基本持平,而有29.3%的人預計他們的預算會縮減。

2345截圖20220818151609.png

【未來一年漏洞管理預算變化】

24.4%的受訪者預計漏洞管理預算會呈現(xiàn)26%至50%的適度增長,只有21.7%的人預計會低于這個水平(25%及以下)。此外,17.3%的人樂觀地認為預算會增長51%-75%;20.8%的人認為預算會增長76%-100%;甚至15.7%的人期待預算增加100%或更多。

2345截圖20220818151609.png

【未來一年企業(yè)漏洞管理預算增長率】

THEEND

最新評論(評論僅代表用戶觀點)

更多
暫無評論