Patches defeituosos podem custar mais de 400 mil dólares para organizações

A Zero Day Initiative, iniciativa internacional de vulnerabilidade de software que foi iniciada em 2005, fez anúncios importantes na Conferência Black Hat que está ocorrendo agora em Las Vegas nos USA. A Black Hat USA é o principal evento de segurança da informação do mundo, oferecendo aos participantes o que há de mais recente em pesquisa, desenvolvimento e tendências. O evento Black Hat de seis dias começa com quatro dias de treinamento intenso para profissionais de segurança de todos os níveis, seguidos pelo evento principal de dois dias. Foi lá que Brian Gorenc, diretor sênior de pesquisa de vulnerabilidades e chefe da ZDI (Zero Day Initiative)dividiu sua preocupação com a quantidade crescente de patches incompletos e o crescimento das vulnerabilidades:
“A ZDI divulgou mais de 10.000 vulnerabilidades para fornecedores desde 2005, mas nunca estivemos tão preocupados com o estado dos patches de segurança em todo o setor. Fornecedores que lançam patches inadequados com avisos confusos estão custando a seus clientes tempo e dinheiro significativos e adicionando riscos comerciais desnecessários”. Conforme divulgado pelo Ciso Advisor.

Estima-se que o número crescente de patches incompletos ou defeituosos pode custar às organizações mais de US$ 400.000 por atualização. Graças a corrente prática de fornecedores que estão entregando patches incompletos ou defeituosos fica muito difícil estimar o verdadeiro risco para as redes, em função disso as empresas tem gastado mais tempo e consequentemente muito mais dinheiro corrigindo novamente o que teoricamente já havia sido corrigido.

Estimulados por este cenário a ZDI fez importantes alterações em seu tempo de resposta e divulgação de vulnerabilidades, mudança que certamente impactará de forma positiva o mercado e pressionará fornecedores para reações mais ágeis. O prazo de 120 dias para a maioria das vulnerabilidades que é considerado padrão, irá permanecer. Entretanto para relatórios de bugs resultantes de patches defeituosos ou incompletos, alvo da maior preocupação, o cronograma será mais duro! A ZDI adotará prazos diferentes, com base na gravidade do bug mas passará a levar em consideração a eficácia da correção ofertada. O primeiro prazo será de 30 dias para a maioria dos casos de classificação crítica, em que a exploração é detectada ou esperada. O segundo prazo será de 60 dias para bugs críticos e de alta gravidade, onde o patch oferece algumas proteções. E finalmente, haverá um prazo de 90 dias para as demais gravidades, em que não há previsão de exploração iminente. Haverão também extensões de prazo que serão limitadas e concedidas caso a caso.

COMO VOCÊ APLICA AS CORREÇÕES DE VULNERABILIDADES HOJE ?

Com o crescimento dos ambientes tecnológicos, milhares de computadores inseridos, usuários frenéticos em seu uso, nunca foi tão importante uma gestão unificada e automatizada dos ambiente. Não sendo possível mais humanamente gerenciar apenas com os “olhos”, relatórios em planilhas, e visitas aos computadores dos usuário. É preciso uma visão aprofundada para poder identificar os pontos mais sensíveis do ambiente. Será que ainda é possível identificar e implantar manualmente as correções necessárias para todo um parque de máquinas, sem muitas vezes contar uma equipe gigante de técnicos e com a colaboração dos usuários? Esta é uma pergunta séria a ser feita a diversos gestores, principalmente no cenário nacional onde os ataques seguem em uma crescente e isso é estimulado pela falta de interesse no investimento em segurança e muitas vezes no uso de soluções e técnicas improvisada e pouco ou quase nada efetivas. O que será mais eficiente para um “paciente” tratar a causa raiz de sua efemeridade ou continuar a lutar com os sintomas que inúmeras vezes geram mais prejuízo que o tratamento eficaz. É redundante falar de segurança na TI, tema vastamente explorado, porém o que vemos e vamos presenciar nos anos vindouro é uma verdadeira catástrofe tecnológica caso não haja ações efetivas.

Com  o Endpoint Central (antigo DesktopCentral) , você pode automatizar completamente todo o processo de gerenciamento de patches, e realizar com o Add-on de Endpoint Security a aplicação de CVEs, detecção de Vulnerabilidades de Software e Vulnerabilidades Zero Day . Você também pode personalizar as tarefas de patches e mais correções de acordo com suas necessidades atuais.