Bilgisayar korsanları, çeşitli kurumlarda ve kişisel bilgisayarlarda yaygın olarak kullanıldıkları için genellikle Microsoft ürünlerindeki kusurlara odaklanırlar, bu da saldıracakları daha geniş bir alana sahip oldukları anlamına gelir.
Bunun nedeni, bu sistemlerin hassas bilgilere giriş noktası olarak kullanılabilmesi ve saldırganların kötü amaçlı yazılımları ve kötü amaçlı yazılımları izinsiz olarak ele geçirmesine veya yaymasına olanak sağlamasıdır.
BeyondTrust’taki siber güvenlik araştırmacıları yakın zamanda 2023’te Microsoft ürünlerinde 1.200’den fazla güvenlik açığı tespit etti.
Teknik Analiz
Yalnızca 2023 yılında şirket Windows’ta 522 (55’i kritik), Edge’de 249, Office’te 92 ve Windows Server’da 558 (57’si kritik) sorunu çözmek zorunda kaldı; ancak bu sayılar 2023’teki en yüksek seviyesinden daha düşüktü. 2022.
Ancak yeni tür güvenlik açıklarında da endişe verici bir artış yaşandı ve Hizmet Reddi kusurları yarıdan fazla artarak 109’a yükseldi.
Combat Email Threats with Easy-to-Launch Phishing Simulations: Email Security Awareness Training -> Try Free Demo
Sahtecilik güvenlik açıkları neredeyse dört kat artarak 31’den 90’a yükseldi ve bu durum, genel güvenlik açığı açıklamaları düşerken bile yeni saldırı vektörlerine işaret etti.
Toplamlar, Microsoft’un 2020’deki güvenlik açığı zirvesinin ardından dört yıl boyunca sabit kaldı ve 2023’te 1228’e yerleşmeden önce birbirinin %7’si civarında dalgalandı; Rapora göre bu, 2022’de belirlenen rekor yüksek seviye olan 1292’den %5’lik bir düşüş.
Bu daire, Microsoft’un Güvenlik Geliştirme Yaşam Döngüsünden önceki eski ürünlerin kullanımdan kaldırılması ve bunların yerini daha yeni, daha güvenli tekliflerin almasıyla ortaya çıktı.
Her ne kadar önceki yıllardaki düşüşler kadar önemli olmasa da, devam eden düşüş bu trendin teşvik ettiği BT profesyonelleri için hala iyi bir haber.
Başarılı bir şekilde yararlanma olasılığı, herhangi bir kusurun potansiyel saldırganlar arasında ne kadar yaygın olarak bilindiğine ve anlaşıldığına bağlı olarak büyük ölçüde değişir.
Dolayısıyla genel sayımlar, risk ortamının tamamını yansıtmak yerine yalnızca çevresel sağlamlığı gösterir.
Ulusal Güvenlik Açığı Veritabanı, 2023’te 33 Microsoft kusurunu kritik (9,0+ puan) olarak işaretlerken, 2022’ye göre %50 artışla Microsoft, %6 düşüşle 84’ü kritik olarak sınıflandırdı.
Ayrıcalık Yükselmesi, %31’lik bir düşüşle 490’a düşmesine rağmen en önemli güvenlik açığı kategorisi olmaya devam etti; bunu Uzaktan Kod Yürütme’nin %13’lük artışla 356’ya yükselmesi takip etti ve kısmen Azure, Office ve Windows’un reddedilmesiyle dengelendi.
Windows Server’daki RCE artışı, Microsoft’un güvenlik araştırmacılarıyla yaptığı işbirliğinin, kusurların genel kullanıma sunulmadan önce açıklanması ve yamalanmasının bir sonucuydu.
Edge’in Chromium’un gelişmiş güvenliğini benimsemesi ve Internet Explorer’ın devre dışı bırakılmasıyla, anlık indirmeler ve Flash açıklarından yararlanmaların ortadan kaldırılmasıyla tarayıcı ve belge görüntüleyicideki güvenlik açıkları azaldı.
Kritik Kenar güvenlik açıkları 2017’de 162’den 2023’te yalnızca 1’e düştü ve bu da Chromium’un güçlendirilmiş güvenlik avantajlarını ortaya koydu.
2023’te yükselişe geçen Office güvenlik açığı toplamları, eski sürümlerin Kullanım Ömrünün Sonuna ulaşmasıyla birlikte uzun vadeli bir düşüş eğilimi gösteriyor ve saldırganları, otomatik çalıştırılan makroları devre dışı bırakmak gibi geçmişteki hafifletici önlemleri uygulamaya zorluyor.
Ancak SketchUp 3D dosya desteğinin eklenmesi, ilk yamaları atlayan ve özelliği geçici olarak devre dışı bırakan 117 yeni güvenlik açığını ortaya çıkardı.
Azaltmalar
Aşağıda siber güvenlik araştırmacılarının sunduğu tüm azaltımlardan bahsettik: –
- Yerel yönetici haklarını kaldırarak en az ayrıcalığı uygulayın
- Yama uygulama gibi güvenlik güçlendirme protokollerini7 izleyin
- Güvenli uzaktan erişim yolları
- Güvenlik açığı yönetimini kendi ortamınıza göre uyarlayın
- Ortaya çıkan tehditlere karşı uyanık olun
- Kimlik tehdidi algılama ve yanıtını (ITDR) uygulayın
Is Your Network Under Attack? - Read CISO’s Guide to Avoiding the Next Breach - Download Free Guide