N -Day是即将来临的N -Hour:为什么补丁更快不会拯救你

每个补丁都是忏悔. 当一个卖家运送一个安全装置时, 旧代码和新代码之间的diff告诉任何人 确切的看什么被打破和在哪里。 把这个Diff重新变成一个工作开发, 你可以打击所有尚未更新的系统。 这是N日的开发,它一直是一个竞赛:卖家补丁,钟开始,维权者试图在攻击者完成逆向工程修复之前部署. 在过去的三十几年里,捍卫者通常赢得了这场比赛。 现在,随着AI的循环,比赛在大多数球队甚至不知道开始之前就结束了.

比赛刚刚崩溃了

逆向工程 拼接到一个可靠的开发 曾经是缓慢的,专门的工作和mdash; 通常需要数周的专家努力。 从历史上看,一个斑点与一个劳动的公众利用之间的差距长达数周,往往是数月。 传统游戏本假设你至少有几周的时间 来安排你的修补 你不再这样了 甚至没有接近。

Anthropic的红色团队精确地测量了这一点。 由于除了公共diff和两栋建筑,克劳德·神话预览将18个Firefox补丁变成了8个工作代码执行开发,独自开发. 其第一次开采是在Mozilla运货后一个小时后进行的。 Firefox 释放时仍为18天。

Windows的结果更难:没有源代码,只是剥离二进制和解编译器输出. 即便如此,在21个内核bug中,它制造了18个(31分钟中最快的)概念证明崩溃,并将其中8个一直连锁到System,每个大约花费2000美元. 其中一条系统链是针对一个微软被贴上“探索”标签的bug Microsoft。 这些收视率是针对人类研究者的。 显然,这种校准已不再有效。 公开的克劳德模型, 有了他们的保障, 建造的开发, 仅仅更少, 所以这不是一个锁定的能力 在一个门的模型后面。 维权者可以感到一些小的安慰,将剥削变成全面入侵,仍然需要更多的工作与mdash;交付、瞄准和逃避。 但是,过去购买维权者周数和mdash; 将一个补丁变成工作剥削和mdash; 的步骤正是时间线已经完全崩溃的一个步骤。 正如Anthropic自己的团队所言:"N小时更接近我们现在运行的现实"

为什么补丁更快是输注

. 这里的不对称打破了旧游戏本: 旨在保护你的补丁就是与攻击者武装相同的文物. 运送固定,你把攻击者 的路线图到bug, 而每一个没有更新 成为目标。 研究者现在称这个尖端点为"Vulnpocalypse",此时一个模型可以武器化一个披露比维权者部署固定点更快. 这就是为什么1天的开发 读起来不像两年前。 快速补补的膝球反应是输掉的提议. 维里松2026年的DBIR将修复已知缺陷的中位时间定在43天,比前一年的32天有所增加,只有26%的时间被完全修复。 即使是表现最佳的人 在一周内也接近了已知的30%到40%的弱点。 Zero Day时钟将2026年的平均开发时间设定为不到24小时,低于2024年的约53天.

. 补丁等待回归测试、更换窗口和超时承诺;将产量降到超过开发水平只是另一种停产。 每天有大约135个新的CVE, 目前每年增加约40%, 不足为奇的是,你的团队永远无法清理积压。 今天的违反行为正在这种差距中日益发生。 注意: 保护你的补丁 和攻击者一样 将固定器运送, 并交给攻击者路径表到错误中。

询问正确的问题

翻译: 所以问题不再是“什么是脆弱的?” 积压,每件事情都得分9.8,实际上没有优先。 所要问的问题是,“攻击者究竟能在这里利用哪些接触,我们的控制会阻止尝试,并且我们能证明吗?” 验证不能让你更快的补丁。 它使补丁速度更小。

可用性,不要假设

证明这一点需要三种方法,因为没有一种方法到达整个环境。

发射一种真正的开发,在那里你能够安全地这样做

。 活的开发链与可达到的资产相比,是最有力的证据,这是自主渗透测试的作用. 但活的开采只有在引爆安全的地方才能引爆. 这排除了商业关键系统、限制性网络和空载部分,而空载部分通常是最重要的资产。 它排除了每一个没有公开,安全的剥削的CVE. 在第一天,任何开采活动都还存在 加上它 安全可测试的部分 总体暴露 是一个微不足道的10%到15% 你的环境。 无论你拥有多少笔试工具,它们最终都撞上了同一面墙. 其他85%至90%的 & mdash; 无法触碰的王冠宝石, 以及没有人将“ mdash;” 武器化的威胁, 是决定实际存在的地方。

证明你不受控制, 而不是发动剥削

对于85%到90%, 证明违反你的控制 而不是发动剥削。 这不是在读一个配置和假设; 它正在运行 实际攻击者的行为 与你的现场堆栈 和观察什么。 想想你无法发射的火箭和Mmdash; 一种人类制造的火箭, 或可能仍在研制中。 在第一次试飞之前,你用各种方式在地面上证明它, 测试每个部件的真实情况; 如果一个必要的部分失败,它不会飞, 你知道,没有费用,暴露, 和发射的危险。 一种利用基本上是同一个想法:一系列技术按顺序运行。 将一个 CVE 分解到链条中,并根据您实际控制 & mdash; EDR 策略, 分割, 允许列表和防火墙来验证每个链接 。 打破了必要的链接,你知道,这里的暴露是无法利用的,有证据,甚至有你永远无法触及的资产,也没有人武器化的威胁。

证明你的控制实际持有

第三,证明你的控制有效 不断运行最新的攻击者技术 针对你的现场预防和探测堆, 所以你知道什么被封锁,什么悄悄地滑过, 和哪里一个控制已经漂移, 在攻击者发现它为你。 一起运行,这些停止是三个独立的过程,成为一个连续循环:验证,决定,修正,重新验证. Gartner的对抗性曝光验证所描述的就是这一转变,它把一个关键的发现变成了一个可辩驳的呼声:帕奇、减震器、监视器或接受,而不是一个以严重程度计分的猜测。

这对你的团队来说意味着什么

。 对大多数安全小组来说,这是你如何对待脆弱性管理的根本改变。 旧的度量衡 & mdash; 时与时之差, 系统补丁和mdash; 的百分比仍然有用, 但是它们不再是主要的安全度量. 新的衡量标准是:你能证明,对于每一次临界接触,它是否在你的环境中确实可以开发,以及你的控制是否会阻止它?

这就是最坏的心态变得至关重要的地方。 一个穿透测试者并不只是看一个CVE得分和假设;他们试图实际突破,链路技术和测试控制. 这正是你需要采取的方法 在规模上,持续, 每一个披露 重要。 希望你的补丁及时到达和知道 & mdash; 有证据和mdash; 之间的区别在于, 即使攻击者在一个小时内将一个错误武器化, 你的环境是他们无法穿过的。

注意: 用于购买维权者的 Weeks & mdash; 将一个补丁变成工作开发 & mdash; 的步骤正是时间线完全崩溃的。

这不是放弃补丁 补丁仍然至关重要,你应该尽你的责任尽快完成。 但是这已经不够了 你需要知道什么曝光才是真正重要的, 你需要用自己的控制来证明, 而不是仅仅从严重程度来假设。 在N日为N小时的世界中,这是保持领先的唯一方法.

今天有这样做的工具。 自主的渗透测试可以在安全的地方点燃真正的利用. 曝光验证可以通过对无法触碰的资产进行技术链条化来证明可开采性. 和突破和攻击模拟 可以持续核实你的控制。 一起运行,它们为您提供证据,以正确调用每个关键查找 & mdash; Patch, Mitigate, Monitor, 或 Accept & mdash; 有自信, 不是猜测工作 。

假设你有几周时间回应的时代已经结束了. 证明你安全姿态的时代到了 问题是,在下一次披露变成下一次违反之前,你是否会适应。