DAY49 Zero-Day Attack/Vulnerability零時差攻擊/漏洞

• 一. 什麼是Zero-Day
  • 1.1 Zero-Day Vulnerability 漏洞
  • 1.2 Zero-Day Attack 攻擊
• 二. 補償控制措施 Compensating Control
• 三. N-Day Vulnerability 已知/已發布修補後存在的漏洞
• 四. Zero-Day 的防禦

一. 什麼是Zero-Day

零日/零時差
防守方沒有足夠時間準備正式修補

1.1 Zero-Day Vulnerability 漏洞

還沒有修補程式的安全漏洞

• 一個軟體它出現了漏洞

廠商可能剛知或不知道

但修補程式還沒發布

• 這就是Zero-Day 漏洞

1.2 Zero-Day Attack 攻擊

攻擊者成功利用Zero-Day Vulnerability進行攻擊

1. 發現/或沒發現 漏洞
2. 還沒有任何修補程式
3. 攻擊者已經利用這個漏洞進行攻擊

這時就需要靠補償控制措施

二. 補償控制措施 Compensating Control

原本首選的控制措施派不上用場
用其他控制措施來降低風險

例如:

最理想的是安裝修補程式

但因為是零時差漏洞所以沒有修補程式，只好:

• 關閉弱點相關服務
• 限制網路存取
• 強化監控
• 使用EDR (端點偵測與回應)
• 加入防火牆規則
• 隔離系統

用以上方式(暫時)降低風險/縮小攻擊面

IPAS 115-1 Q30
零日漏洞在安全更新發布前就可能被攻擊者利用，導致企業無法立即修補，因此這類攻擊難以預防。下列何項是最「不」妥當的應對措施？
A. 使用 EDR 監控可疑行為
B. 使用 IRP（資安事件應變計畫）快速封鎖受影響系統
C. 定期獲取漏洞情報，及時安裝安全更新
D. 使用黑名單阻止未授權程式

黑名單
只擋得了已知的壞東西，零日用的是全新、未知的手法
名單裡根本沒有它的紀錄

可以使用白名單，只放行確定安全的程式

三. N-Day Vulnerability 已知/已發布修補後存在的漏洞

N-Day Vulnerability
通常指的是:
已經公開或通常已經有修補或緩解方案
但系統還沒處理/更新

這裡的N指的是修補程式公開後第幾天

• 只要更新就能防禦，但系統還沒及時更新
• 攻擊者可能利用更新的前後差異快速寫出新的攻擊策略

四. Zero-Day 的防禦

1. 關閉不必要的服務
2. 補償控制
3. 偵測
4. 事件應變->快速隔離
5. 追蹤廠商的修補程式進度->一發布馬上更新