Kunde du inte delta i Transform 2022? Kolla in alla toppmöten i vårt on-demand-bibliotek nu! Se här.
Hotlandskapet står aldrig stilla. Nästan varje dag dyker det upp en ny sårbarhet i någon form. Faktum är att enligt NISTdet rapporterades 18 378 sårbarheter under 2021, och de flesta organisationers program för sårbarhetshantering är inte lämpliga för ändamålet.
Var och en av dessa sårbarheter utgör en potentiell startpunkt för angripare att utnyttja och få tillgång till känslig information. Många organisationer saknar dock intern expertis eller resurser för att åtgärda dessa sårbarheter i den takt som krävs för att hålla deras miljöer säkra.
Ny forskning släppt av Rezilion och Ponemon Institute fann idag att 66 % av säkerhetsledarna rapporterar en sårbarhetsbacklog på över 100 000 sårbarheter. Det avslöjade också att 54 % säger att de kunde korrigera mindre än 50 % av sårbarheterna i eftersläpningen.
Framför allt indikerar uppgifterna att sättet som de flesta företag närmar sig sårbarhetshantering inte är skalbart eller lämpligt för ändamålet, och det ger cyberbrottslingar gott om möjligheter att få tillgång till uppdragskritisk data.
Händelse
MetaBeat 2022
MetaBeat kommer att samla tankeledare för att ge vägledning om hur metaversteknologi kommer att förändra hur alla industrier kommunicerar och gör affärer den 4 oktober i San Francisco, Kalifornien.
Registrera här
Varför sårbarhetshantering visar sig vara svårt
Kampen för sårbarhetshantering är inte nödvändigtvis ny. Enligt NTT Application Security, den genomsnittliga tiden för att åtgärda en sårbarhet 2021 var 202 dagar. Rezilions forskning visar också att sanering är ett problem, där 78 % säger att sårbarheter med hög risk tar längre tid än 3 veckor att åtgärda.
Kärnan i detta misslyckande med att effektivt mildra sårbarheter är bristen på nödvändiga verktyg.
”Vad det handlar om är bristen på verktyg, människor och information för att korrekt hantera den här utmaningen. De som svarade på undersökningen säger att det finns ett antal anledningar till varför detta tar så lång tid, inklusive den långa tid det tar och komplexiteten i uppgiften, säger Liran Tancman, VD och medgrundare av Rezilion.
”Några av de faktorer de nämnde är bland annat oförmåga att prioritera det som ska fixas, och brist på effektiva verktyg och brist på resurser. Bristen på resurser är inte förvånande eftersom talangkrisen inom säkerhet är väl dokumenterad, säger Tancman.
Tancman framhåller också att få organisationer har den synlighet eller det sammanhang som krävs för att avgöra vad som behöver lappas, vilket gör det överväldigande att ta itu med en eftersläpning.
Ingenstans visas denna brist på synlighet tydligare än med många organisationers misslyckande med att korrigera Log4j, med en rapport som släpptes tidigare i år som visar att 70 % av företagen som tidigare åtgärdat sårbarheten i deras attackyta fortfarande kämpar för att korrigera Log4j-sårbara tillgångar och förhindra att nya instanser dyker upp igen.
Automatisering är svaret
Lyckligtvis ger automatisering ett effektivt svar på utmaningen med sårbarhetshantering genom att göra det möjligt för säkerhetsteam att automatisera sårbarhetsskanningsprocessen och kontinuerligt identifiera utnyttjande.
Detta minskar inte bara tiden det tar att åtgärda sårbarheter, utan frigör säkerhetsteamet att fokusera på mer givande uppgifter. Rezilions forskning tyder på att automatisering kan vara en betydande kraftmultiplikator för säkerhetsteam, där 43 % sa att det fanns en betydligt kortare tid att svara.
Det är värt att notera att organisationer för bästa resultat bör se till att implementera lösningar som erbjuder riskbaserad prioritering om de vill maximera effektiviteten i sitt program för sårbarhetshantering.
”En av de största förändringarna du kan göra är att fokusera på de sårbarheter som utnyttjas i det vilda. Det borde vara det första målet och kommer att minska den största risken snabbast”, sa Craig LawsonVP-analytiker på Gartner, i en blogginlägg.
Leverantörer gillar Hållbar, Balbix och Simplicitet alla experimenterar med riskbaserad sårbarhetshantering för att hjälpa säkerhetsteam att fokusera på att korrigera sårbarheter med hög risk först, baserat på aktuell exploatering och exponering, så att de inte slösar tid på sårbarheter med lägre värde.