安全公司 Risk Based Security (RBS)报告称，2018年共披露了22,022个安全漏洞，且该数字在报告发布后还将继续大幅增长。以去年为例，RBS最初报告称2017年披露了20,832个漏洞，但计入报告完成后新发现的漏洞，这个数字达到了22,230。
RBS漏洞情报副总裁 Brian Martin 表示，从统计结果看，公司企业今年仍需保持警惕。
曝出的漏洞依然很多，各类软件都有影响。公司企业无论规模如何，都需对漏洞保持警惕，持续增强漏洞检测分诊过程。
与最近几年的情况类似，2018年报告的所有安全漏洞中，Web相关漏洞占据了几乎半壁江山(47.9%) 。约27.5%是与访问身份验证有关的漏洞，3.5%属于SCADA漏洞——比2017年增长一倍。
输入验证漏洞，比如SQL注入错误、跨站脚本、缓冲区溢出和指令注入，再次成为年度漏洞披露主流。2018年里，超过2/3的漏洞与输入验证不足或不恰当有关，表明开发人员仍未解决这一长期霸占OWASP十大漏洞榜首的安全问题。漏洞奖励项目贡献了2018年被披露漏洞中的8%，相比上一年的5.8%略有提升。
2018年披露的所有漏洞中，约33%的严重性评分高于7分。其中近1/3有公开的漏洞利用程序，约一半是可远程利用的。但严重性评分在9分到10分的高安全风险软件漏洞却连续第三年占比下降，为13.6%。
个中缘由可能只是因为研究人员披露了更多低风险漏洞。如果研究人员更多披露跨站脚本、跨站请求伪造或路径泄露等风险评分低于9.0分的低风险漏洞，那么即便高风险漏洞的实际数量有所增长，其占比也会被低风险漏洞所稀释。
也有可能某些高风险安全漏洞被有意隐瞒不报——尽管此数量可能非常有限。虽然有些政府确实会留存评分在9.3或10分的零日安全漏洞，但这种有意瞒报的漏洞数量不会太多。
需要指出的是，RBS报告显示：仅依靠CVE或国家漏洞数据库(NVD)获取漏洞信息的公司企业正错失大量漏洞。比如说，RBS自己的漏洞数据库就比NVD多出6,780条漏洞记录，且其中近46%的漏洞严重性评分都在7分或以上。其他安全公司也注意到了相同的问题。2017年，Recorded Future 所做的研究表明，超过75%的漏洞在被NVD收录之前就在网上公开披露了。
我们聚合漏洞的思维方式和哲学与众不同，不是等待漏洞被报告，而是主动去查找漏洞。
让公司企业备受困扰的是，数据显示，2018年披露的漏洞中近三成(27.1%)没有已知或可用补丁。因此，深度防御模型是公司企业必备。公司企业的防御目标应该是运用访问控制列表(ACL)、网络分隔、入侵检测系统(IDS)和入侵防御系统(IPS)等技术，令脆弱系统更难以被攻击者触及。
RBS报告地址：
https://www.riskbasedsecurity.com/2019/02/more-than-22000-vulnerabilities-disclosed-in-2018/
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
