3.5倍！组织修补CISA KEV列表中的漏洞比其他漏洞要快
内容提要
研究发现，联邦政府维护的已知被利用漏洞（KEV）目录对组织机构产生实质影响。修补KEV目录中的漏洞比非KEV漏洞快3.5倍。Bitsight对100多万个实体进行的漏洞扫描显示，KEV漏洞修复时间中位数为174天，非KEV漏洞修复时间为621天。科技公司是最快修复漏洞的行业，教育机构和地方政府修复时间较慢。CISA最近在KEV列表中添加了两个漏洞，其中一个影响微软产品中的SmartScreen组件。
延伸解读
KEV目录的实际影响力
Bitsight对100多万个实体的扫描数据显示，KEV目录中的漏洞修复时间中位数为174天，而非KEV漏洞为621天，相差3.5倍。这表明KEV目录通过筛选出真正重要的漏洞，帮助各类组织优先处理高风险漏洞，产生了实际效果。2023年，35%的组织处理过KEV，其中大多数组织有一个以上的KEV。
行业修复速度差异
科技公司修复漏洞最快，部分原因是它们暴露的漏洞最多。教育机构和地方政府修复时间较慢，受KEV列表漏洞影响较大。保险公司、信用社和工程公司受影响程度较低，修复速度通常较快。这种差异反映了不同行业在安全资源和优先级上的不同。
截止日期与合规驱动
受CISA约束性指令监管的联邦民事机构在截止日期前解决KEV漏洞的概率比其他组织高63%。约40%的非联邦组织也能在CISA截止日期前完成修复。截止日期从最初的一周、两周或六个月调整为三周，最近又恢复为一周，反映了漏洞严重性和被利用紧急性的变化。
新漏洞与攻击链
CISA最近在KEV列表中添加了CVE-2024-29988，影响微软SmartScreen组件。该漏洞与网络钓鱼攻击相关，攻击者利用社会工程手段诱导用户交互，绕过SmartScreen保护。该漏洞可与CVE-2024-21412链接，后者曾被用于DarkGate活动，通过虚假软件安装程序传播恶意软件。
Q&A
什么是已知被利用漏洞（KEV）目录？
已知被利用漏洞（KEV）目录是由联邦政府维护的，记录被黑客积极利用的软件和硬件漏洞。
修补KEV漏洞的速度与非KEV漏洞相比如何？
修补KEV漏洞的速度比非KEV漏洞快3.5倍，修复时间中位数分别为174天和621天。
哪些行业修复漏洞的速度最快？
科技公司是修复漏洞速度最快的行业，而教育机构和地方政府修复时间较慢。
CISA对KEV漏洞的截止日期是如何变化的？
CISA对KEV漏洞的截止日期从最初的一周、两周或六个月，调整为三周，最近又规定为一周。
CVE-2024-29988漏洞影响了哪些产品？
CVE-2024-29988漏洞影响了微软产品中的SmartScreen组件。
受CISA约束的联邦机构在解决KEV漏洞方面的表现如何？
受CISA约束的联邦民事机构更有可能在截止日期前解决KEV漏洞，概率高出63%。
