威胁情报公司Recorded Future本周发布了的一项研究表明:在公司企业接到被曝安全漏洞警告的速度方面,美国开始远远落后于中国。

IT安全漏洞报告:美国被中国甩在身后 69

美国政府的国家漏洞数据库(NVD),落后于中国的国家漏洞数据库(CNNVD)——漏洞报告从提交到收录进中心数据库的平均时间,分别是33天和13天。换句话说,在中国,订阅了CNNVD的公司和其他组织,在漏洞细节被提交后,平均13天内即可收到警报,而在美国,订阅了NVD的用户却要等33天才收到。

IT安全漏洞报告:美国被中国甩在身后 220

与美国的NVD不同,中国的CNNVD不涉及管理全球漏洞披露,但其2倍速于北美同行的漏洞平均警报速度,很好地克服了这一潜在弱点。

因为依赖厂商提交和相关组织为漏洞分配唯一ID号(CVE),NVD漏洞公布动作往往会延迟数天乃至数周。相形之下,中国通过结合广泛的在线源,来达成及时披露新发现漏洞的效果。美国政府纠结于官方过程,中国则专注关键目标:检测新漏洞动向,披露关于新漏洞的警告。

IT安全漏洞报告:美国被中国甩在身后 415

Recorded Future的结论是:如果想抢在黑客知悉漏洞细节并加以利用之前,警告IT部门、政府机构和用户新威胁来袭,美国的漏洞索引编撰者们就需要更加积极主动一些。该团队指出:

黑客和安全团队在漏洞利用和漏洞修复上比拼速度,这种时候,掌握最新漏洞信息就成了关键。美国NVD无疑是安全团队应能依赖的最新信息来源。

不幸的是,因为NVD依赖自愿提交,其更新往往落后于漏洞最初披露数周。该差距令NVD无法提供全面的漏洞覆盖。

NVD应扩展其使命,像其中国同行(CNNVD)一样主动收集漏洞信息。

IT安全漏洞报告:美国被中国甩在身后 669

NVD

IT安全漏洞报告:美国被中国甩在身后 676

CNNVD

比尔·拉德,Recorded Future 首席数据科学家。他认为,NVD应纳入中国CNNVD的内容,改善其表现。“目前,有1,746个CVE,是CNNVD中有,而NVD中不见踪影的。”

Recorded Future此前的一项研究还发现,超过3/4的漏洞早在NVD公布之前就在网上曝光了。

一方面,有个中心数据库存放漏洞和补丁信息与警报,是非常有用的。另一方面,这项工作并不容易,且私营信息安全公司也可以为付费企业做相同的工作。

漏洞奖励先锋凯蒂·墨苏利斯称:“NVD由资源有限的小型团队运营。大多数需要实时漏洞信息的人都不依赖它。商业服务填补了这个角色。”

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排 行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2017-12-20 10:09:25
云安全 美国公开宣布WannaCry真凶——就是朝鲜!
2017 年 12 月 18 日,美国特朗普政府晚间也公开发表声明,朝鲜就是此次 WannaCry 事件的幕后黑手——他们利用了泄漏的NSA黑客工具实施行动,在超过 150 个国家传播勒索软 <详情>
2017-12-06 09:57:00
国际资讯 美国近半数的联邦州实现了数据中心的合并目标
非盈利组织美国各州首席信息官协会(NASCIO)日前的调查表明,美国各州政府的数据中心整合计划正在稳步推进。 <详情>
2017-12-04 09:38:00
国际资讯 美国各州数据中心整合10年的结果喜忧参半
美国各州首席信息官协会(NASCIO)日前表示,过去十年来,美国各州政府在数据中心整合方面已经取得了很大的进展,但其中一半以上的州政府在整合工作完成之前还有工作要做。 <详情>
2017-11-09 11:29:53
国际资讯 美国的大片地区又断网了:因技术人员配置失误,BGP路由泄露所致
周一,Level 3粗心大意造成的一个配置失误导致美国和全世界其他地区的互联网连接临时出现大范围中断。 <详情>
2017-10-16 10:11:50
国际资讯 传美国第三第四大运营商即将合并 3年前曾经放弃
据路透社报道,据知情人士透露,美国第三大运营商T-Mobile和第四大运营商Sprint计划在不立即出售资产的情况下宣布一项合并协议,因为他们正寻求在监管机构要求做出让步之前 <详情>