什麼是安全性弱點？定義與類型

安全性弱點是可被攻擊者利用來危害系統與資料的弱點。我們的指南將探討不同類型的弱點、其對組織的潛在影響，以及弱點管理的重要性。

了解弱點的常見來源，包括軟體錯誤與錯誤設定，並探索識別、評估及降低這些風險的最佳實務。隨時掌握弱點管理的最新趨勢，以及如何強化組織的安全態勢。

企業如何防範軟體弱點

為了防範安全性弱點，企業應遵循網路安全最佳實務。這可能包括以下措施：

1. 定期執行安全稽核與評估，以識別弱點並排定其優先順序。
2. 實施健全的修補程式管理計畫，以確保所有軟體與系統都已更新至最新的安全性修補程式與修正。
3. 使用弱點掃描器及其他安全工具，快速識別並修補弱點。
4. 訓練員工識別並回報潛在弱點，並建立回應已回報弱點的流程。
5. 與值得信賴的安全合作夥伴或受管安全服務供應商合作，協助識別並降低您環境中的弱點。
6. 定期執行滲透測試，以模擬真實世界攻擊，並識別及修補您環境中的弱點。
7. 實施健全的存取控制與驗證機制，以防止未經授權存取您的系統與資料。

哪些類型的弱點會被用來攻擊企業？

一些最知名、被用於安全性入侵的弱點包括：

1. SQL 注入：此弱點允許攻擊者將惡意 SQL 程式碼注入資料庫，以取得敏感資料的存取權或操控資料庫。
2. 跨網站指令碼（XSS）：此弱點允許攻擊者將惡意 JavaScript 程式碼注入網站，以竊取使用者資料或執行其他惡意行為。
3. 遠端程式碼執行（RCE）：此弱點允許攻擊者在遠端系統上執行任意程式碼、取得未經授權的存取權，或執行其他惡意行為。
4. 未驗證的輸入：此弱點允許攻擊者向網站或應用程式提供惡意輸入、繞過安全控制，或執行任意程式碼。
5. 未受保護的認證資料：當使用者名稱與密碼等敏感資料未安全儲存時，就會發生此弱點，使攻擊者能輕易存取這些資料。
6. 未受保護的網路：當網路未正確設定，或未受到防火牆或其他安全措施保護時，就會發生此弱點，使攻擊者能輕易取得存取權。
7. 未受保護的裝置：當筆記型電腦與手機等裝置未妥善保護時，就會發生此弱點，使攻擊者能輕易存取這些裝置並竊取敏感資料。

一些曾被用來危害企業的弱點軟體範例如下：

1. Adobe Flash：此軟體曾廣泛用於網際網路，但也已知容易受到多種安全性攻擊利用，包括緩衝區溢位與堆積溢位攻擊。
2. Microsoft Windows：此作業系統是全球使用最廣泛的作業系統，但也一直是眾多安全性弱點的目標，包括遠端程式碼執行與權限提升弱點。
3. Apache Web Server：此網頁伺服器軟體廣泛用於網際網路，但也一直是安全性弱點的目標，包括跨網站指令碼與跨網站請求偽造攻擊。
4. Oracle Database：此資料庫軟體廣泛用於企業，但也一直是安全性弱點的目標，包括 SQL 注入與權限提升攻擊。
5. Adobe Acrobat Reader：此軟體廣泛用於檢視 PDF 檔案，但也一直是安全性弱點的目標，包括遠端程式碼執行與堆積溢位攻擊。
6. Java：此程式語言廣泛用於開發 Web 應用程式，但也一直是安全性弱點的目標，包括跨網站指令碼與遠端程式碼執行攻擊。
7. PHP：此程式語言廣泛用於開發 Web 應用程式，但也一直是安全性弱點的目標，包括 SQL 注入與跨網站指令碼攻擊。

在實際環境中最常被利用的弱點之一是 CVE-2017-0199，這是 Microsoft Office 中的遠端程式碼執行弱點，可讓攻擊者在受害者系統上執行惡意程式碼。此弱點已被多個勒索軟體組織利用，包括Ryuk、Emotet及Dridex 惡意軟體家族。

為何修補有弱點的軟體很重要？

身為 CISO，優先修補有弱點的軟體對於保護組織免受安全性入侵、維持符合產業標準、避免法律責任，以及改善整體安全態勢都很重要。這可能涉及實施修補程式管理計畫，定期檢查並為組織內使用的所有軟體安裝安全性修補程式。這也可能涉及與其他部門（例如 IT 團隊）合作，以確保修補程式能及時且一致地套用。此外，這也可能涉及監控安全情勢，並隨時掌握最新威脅與弱點，以便在潛在風險出現時加以識別與處理。

總結來說，修補有弱點的軟體之所以重要，有以下幾個原因：

1. 防範安全性入侵： 透過修補有弱點的軟體，組織可以保護自己免於安全性漏洞事件，例如資料竊取、勒索軟體攻擊及其他形式的網路犯罪。例如，在 2017 年，WannaCry 勒索軟體攻擊利用 Microsoft Windows 作業系統中的一個弱點來加密資料並要求支付贖金。
2. 為了維持符合產業標準： 許多產業都有特定的合規標準，要求組織及時修補有弱點的軟體。例如，支付卡產業資料安全標準（PCI DSS）要求組織在安全性修補程式發布後 30 天內套用，以防範安全性漏洞事件。
3. 為了避免法律責任： 如果組織未能修補有弱點的軟體，則可能需對因此發生的任何安全性漏洞事件承擔法律責任。例如，在 2018 年，美國法院裁定 Target 應對一起資料外洩事件負責，原因是其未修補支付卡系統中已知的弱點。
4. 為了改善整體安全態勢： 透過修補有弱點的軟體，組織可以藉由減少潛在攻擊向量的數量並降低遭入侵的風險，來改善其整體安全態勢。例如，透過修補 Adobe Flash、Microsoft Windows 和 Apache Web Server 等軟體，組織可以防範各種安全性弱點，包括緩衝區溢位、堆積溢位和遠端程式碼執行攻擊。

如何為弱點排定優先順序？

每年提交的 Common Vulnerabilities and Exposures (CVEs) 數量各不相同，但近年來一直在增加。2020 年提交了超過 24,000 個 CVE，較前幾年顯著增加。隨著連網裝置數量增加，以及在線上共享的敏感資料量成長，這一趨勢很可能會持續下去。

Common Vulnerability Scoring System (CVSS) 是一種常用於衡量弱點嚴重程度的評分標準。此標準使用一系列指標來判定弱點的潛在影響，例如攻擊類型、成功利用的可能性，以及對機密性、完整性和可用性的影響。

CVSS 評分標準使用 0 到 10 的分數，其中 0 為最不嚴重，10 為最嚴重。例如，分數為 0.1 的弱點會被視為低嚴重性，而分數為 9.0 的弱點則會被視為重大嚴重性。CVSS 分數可協助組織根據弱點的潛在影響，為修補和風險緩解工作排定優先順序。

一些被視為最嚴重的 CVSS 10 弱點範例如下：

1. The Heartbleed vulnerability in OpenSSL 中的 Heartbleed 弱點可讓攻擊者從有弱點的伺服器存取敏感資料，例如密碼和私密金鑰。
2. The WannaCry 勒索軟體攻擊利用 Microsoft Windows 中的一個弱點來加密檔案並要求支付贖金。
3. The BlueKeep 是 Microsoft Windows 中的一個弱點，可讓攻擊者在有弱點的系統上遠端執行任意程式碼。
4. Bash 中的 Shellshock 弱點可讓攻擊者執行任意程式碼並取得系統的未授權存取權限。
5. The EternalBlue 是 Microsoft Windows 中的一個弱點，可讓攻擊者遠端執行任意程式碼，並在網路中散播惡意軟體。

什麼是零時差弱點？

A zero-day 弱點是指尚未被發現或公開揭露的安全性缺陷。這表示攻擊者可以在弱點被修補或修正之前加以利用，從而取得對系統或網路的未授權存取權限。零時差弱點特別危險，因為受害者並不知道其存在，因此難以防範。

惡意軟體是威脅還是弱點？

Malware 是一種威脅，而不是弱點。弱點是系統或網路中的弱處，攻擊者可加以利用以取得未授權存取權限或造成損害。另一方面，惡意軟體是一種惡意軟體，旨在利用弱點來入侵系統或網路。因此，雖然惡意軟體可以利用弱點來取得系統或網路的存取權限，但它本身並不是弱點。

很難說惡意軟體或弱點哪一個更危險，因為這取決於具體情況。若沒有弱點，惡意軟體將無法入侵系統或網路。另一方面，若沒有惡意軟體，攻擊者將無法利用弱點來取得存取權。就潛在影響而言，惡意軟體可能對系統或網路造成重大損害，例如竊取資料、加密檔案或中斷營運。另一方面，弱點可能不會直接影響系統或網路，但會使其更容易受到攻擊。總體而言，惡意軟體和弱點都是嚴重的網路安全威脅，應作為全面性安全策略的一部分加以處理。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

軟體中弱點的風險可透過定期修補與更新，以及實施安全開發實務來降低。然而，由於攻擊者持續發現並利用新的弱點，這種風險不太可能被完全消除。對組織而言，持續監控弱點並實施有效的緩解策略以將風險降至最低，至關重要。