零日漏洞已成新常態？
微軟研究顯示，2017年每個被利用的Windows漏洞都是從零日攻擊開始的。其他研究表明該趨勢橫跨整個IT領域。
IT安全界傳統觀點認為零日漏洞利用很稀少，我們更需關注構成攻擊主體的非零日漏洞。但2月7日的微軟藍帽大會( Blue Hat )上，微軟安全研究員 Matt Miller 以微軟Windows開發及防禦演變為主題的精彩報告，挑戰了這一傳統認知。
Miller收集到的資料顯示零日漏洞實際上已成當今IT領域常態，非零日漏洞正隨時間程序變得不那麼常見。2017年，每個被利用的微軟漏洞都是從零日攻擊開始的。2012年，這一比例是52%；2008年是更低的21%。
毫無疑問，調查結果引發了廣泛討論。如果錯誤理解了Miller的發現，人們可能會質疑：如果絕大部分漏洞都沒有補丁，修復操作還有什麼價值呢？但單一的資料是說明不了問題的，防禦的構建不能僅以一個數據點做為基礎。下面我們就來看看為什麼不能僅以Miller的資料當做部署防禦的依據。
大多數漏洞都沒被利用
儘管現在每年新發現的公開漏洞都在1.5萬個以上，但其中大多數其實是從未被利用過的。Miller的資料也表明，僅僅0.02%（588個 Windows CVE 中的12個）是被活躍利用的。其他風險管理公司也證實了這一點，比如 Kenna Security 就稱，僅0.6%的CVE（不僅僅是 Windows CVE）曾出現過野生的漏洞利用情況。
所以，使用者無需擔心大多數披露出來的漏洞，只需關注少數幾個有野生漏洞利用的即可。也就是說，與其試圖泛泛修復1.5萬個潛在漏洞，不如專注完美修復90個相關漏洞。如果你只關注微軟Windows補丁，這意味著600個已公佈Windows漏洞中你只需要重點關注12個就夠了。哪幾個呢？那些有公開漏洞利用程式碼的。
這一標準決定了是否需要應用補丁。Computerworld的 Woody Leonhard 甚至認為，就Miller的資料揭示出來的東西而言，大部分微軟補丁都不需要一經推出就立即應用。
不過，在何時應用微軟補丁上，大家見仁見智，越快應用越好的想法也很有市場。資料顯示，大部分風險都不是出現在補丁剛放出的那幾天裡。所以，非高風險環境中，是可以稍微等幾天，確保所有漏洞已找出且被其他早期補丁採納者解決之後，再應用補丁。
首次被利用不等於被利用得多
Miller的資料確實表明，大部分被利用的Windows漏洞都是作為零日漏洞被首次應用到目標公司身上，這一點很是令人驚訝。但是，零日攻擊之後該漏洞的被利用頻次如何，就不是能從他的資料“臆測”的了。
Miller的資料僅僅揭示首日和頭30天裡被利用的漏洞，並未呈現30天之後發生了什麼。而且更重要的是，這幾個時間段裡的被利用頻次也未涉及。
比如說，假設零日漏洞在首日被用到了某家公司的35臺裝置上，但只要漏洞利用程式碼被公開，接下來的幾年內將會有數百萬裝置受害。Miller的資料並未顯示各時間段裡裝置所承受的總體風險程度。但無論新漏洞利用被披露的方式如何(零日或經由相應的補丁釋出)，都沒有考慮到漏洞可導致的整體風險。
零日漏洞成本上升
零日漏洞盛行的觀點站不住腳：從最普遍的供需關係看，隨著零日漏洞的普及，漏洞給其發現者所帶來的利潤必然減少。漏洞獎勵專案為零日漏洞設的獎金倒是仍在走高。也就是說，零日漏洞，至少對攻擊者而言好用的零日漏洞，只會越來越少。
漏洞根本不是你的首要問題
事實上，絕大多數成功惡意資料洩露都是因為社會工程的完美運用，而不是源自軟體漏洞利用。每年各家安全或諮詢公司給出的資料都不一樣，但近10年來，社會工程方法，尤其是網路釣魚，都已經取代軟體漏洞，成為攻擊者突破裝置或網路的首要方式。在比較零日漏洞和非零日漏洞的時候，千萬別忘了我們的最大問題並不是軟體和硬體修復。