【末日救星?】2021新漏洞數量破紀錄 微修補可解燃眉之急

    修補漏洞 (patching) 可說是 IT 部門最怕遇到的問題,不過單在 2021 年,NationalVulnerability Database 便錄得約 22,000 個新漏洞,而更大的問題是,供應商平均需要 60 日才能提供安全修補檔案!要減少空窗期的風險,微修補 (micropatching) 會是唯一出路?

    有關漏洞的新聞已報導過很多,例如去年 Adobe 的 log4j 漏洞便對業界影響深遠,尤其是大部分軟硬件或服務供應商都未能像 Adobe 或其他科技龍頭公司一樣,能在最短時間內推出安全修補檔案,大大增加企業客戶遭受攻擊的風險。另一方面,現實情況是不少企業就算明知供應商已推出修補檔案,但仍遲遲未能進行更新,主要是因為更新過程往往需要重啟系統,所有業務營運都被迫中斷,而且隨時要中斷多個小時,在一拖再拖下便有上述情況出現。其他原因還包括企業未必會直接使用修補檔案,IT 部門首先要測試安裝後有可能出現的狀況,同樣會導致延遲更新。

    為了解決上述問題,微修補概念應運而生。Micropatching 的概念是只以最簡單的程式碼修補一個漏洞,好處是毋須重新啟動系統,不會影響企業正常運作,能夠快速堵塞安全風險,其次是因為編碼內容較單純,因此IT部門未必需要進行複雜測試就可使用。此外,對於供應商已停止支援的產品或服務,微修補服務更是企業堵塞漏洞的必要助力。

    雖然微修補好處多多,但仍有一定限制,例如無法用於 PHP、Python 這類執行時才轉換編碼的 scriptedcode 之上。安全性方面亦成疑,因為現時主要是第三方提供微修補檔案,缺乏一個可信的交付途徑,因此下載時有可能被混入惡意內容,而且相關修補亦有可能違反原廠的版權使用許可條款,有可能得不到其他售後服務。

    現時 micropatching-as-a-service 仍在起步階段,是否有可能成為供應商認可的急救措施亦是未知之數,暫時企業要堵塞漏洞,還是要寄望供應商爭氣。

    資料來源:https://bit.ly/3PB2Idc

    #micropatching #micropatchingasaservice #vulnerabilities #微修補 #微修補即服務 #漏洞

    相關文章