我們經常會看到漏洞攻擊套件使用較舊的漏洞，因為這些漏洞仍然存在於被攻擊的系統上。另外,勒索病毒會去利用漏洞攻擊套件來作為主要的感染媒介。
在趨勢科技2016年的資安綜合報告 – 「企業威脅創紀錄的一年」中，我們討論了這一年的漏洞發展形勢和所看到的趨勢。
讓我們來看看在2016年間發生的一些重點。
- 趨勢科技的零時差計畫（ZDI）在3,000多名獨立漏洞研究人員的支持下，披露了 678個漏洞。可以從下圖看出一些有意思的趨勢：
- 首先是微軟產品的漏洞在持續減少中。這是個好消息，但對微軟來說不大好的消息是 Edge 漏洞增加了2,100%。這在 2017年的 Pwn2Own 大會中得到進一步的證明，因為 Edge 是競賽中被漏洞攻擊最多的瀏覽器。
- 其次是整體 Adobe 的漏洞數量下降，不過 Acrobat Reader 在 2016 年被披露的漏洞最多。
- 零時差攻擊（在修補程式發布前就有針對漏洞的攻擊出現）數量在 2016 年比 2015 年下降。這是個好消息，但我們最近也看到了美國中情局被駭事件，可能有許多零時差漏洞攻擊尚未被披露。
- Android漏洞數量大幅地增加（206%）。趨勢科技研究人員在 2016 年向 Google 提交了 54 個安全漏洞。
- 在2016年被披露的 SCADA（資料採集與監控系統）漏洞增加了421%，鑒於對這些設備進行更新的困難度，這對廠商來說會是件頭痛的事。
- 在漏洞攻擊套件市場中，我們也看到了一些變化。Angler 漏洞攻擊套件在數名相關人士於俄羅斯被捕後停止了活動。Neutrino 試圖取代它的位置，但似乎只維持短暫的時間，可以從下圖看出。
- 2016 年新加入漏洞攻擊套件的漏洞數減少，這並不代表著漏洞攻擊套件已經使不上力。我們經常會看到漏洞攻擊套件使用較舊的漏洞，因為這些漏洞仍然存在於被攻擊的系統上。另外,在2016年勒索病毒會去利用漏洞攻擊套件來作為主要的感染媒介。
雖然各廠商的漏洞數量有所增減，但真正重要的是惡意分子會繼續利用漏洞攻擊來感染受害者。人們和組織不應因為漏洞減少就認為可以花更長的時間來修補系統。修補程式管理與以往一樣地非常重要，可以利用虛擬修補來爭取更多安裝廠商修補程式的時間。
根據 ZDI 管理漏洞披露流程的狀況，他們平均可以在廠商發布修補程式的前 57天就保護 TippingPoint NGIPS 的客戶。
趨勢科技還提供了虛擬修補功能在趨勢科技趨勢科技Deep Security、Deep Discovery和趨勢科技 Vulnerability Protection 漏洞防護解決方案中。
@原文出處：2016 Review of Vulnerabilities 作者：Jon Clay