NSA的顶级CVE列出及时提醒补丁

最近发布的25个最常见的常见漏洞和暴露（CVES）目前正在中国的国家赞助的高级持久威胁（APT）演员的曝光（CVES）突出了在及时的方式应用软件更新和补丁的重要性。

该名单由美国国家安全局（NSA）发布，并详细介绍了许多漏洞，可用于获得通过可以直接从公共互联网直接访问的产品的受害网络初步访问，然后在内部肆虐。

他们中的许多人已经知道了一段时间，反映了恶意演员之间的一般偏好，以通过旧的未被淘汰的错误挑选低悬挂的水果。

“我们大声听到并清楚地听到修补和缓解努力可能很难，”安妮新伯伯网络安全NSA总监说。

“我们希望通过突出中国积极使用损害系统的脆弱性，网络安全专业人员将获得可行信息，以优先考虑努力并确保其系统。”

在NSA的咨询中详细说明了25个列出的漏洞，可以在线访问，并包括来自思科，Citrix，F5网络，Microsoft，MobileRion，Oracle，Pulse Secure和Symantec的产品中的错误。他们中的一些人已经知道多年来，其中许多人已经吸引了广泛的关注。

Point3安全战略副总裁ChloéMessdaghi表示，她在过去12个月内看到了针对这种众所周知的CVES的恶意演员大幅增加。

“他们试图收集知识产权数据。中国攻击者可能是国家国家，可以成为公司或一群公司，或者只是一群威胁行动者或一群待遇试图获得专有信息，以换句话说，换句话说，偷窃和利用自己的利益，“ 她说。

“我很高兴NSA发表了这个。出版本报告加强了公司需要做的工作来保护他们的知识产权，并推动他们需要做的补丁和维护，“Messdaghi补充道。

Cyber​​ Mart的首席执行官和联合创始人Jamie Akhtar说：“人们对网络犯罪的印象是复杂，难以防止的印象。但正如这个消息所示，即使是高度职业的罪犯往往只是利用了众所周知的脆弱性，这些脆弱性的组织和公共避风港却考虑了时间来解决。

“确保软件是最新的，因此已知漏洞的修补程序是到位的，是网络卫生的五个基本规则之一。英国政府制定了一项涵盖这些基本面的计划，以帮助所有企业及其员工了解并维持基本安全。“

Edgescan的平台运营负责人Ciaran Byrne表示，本次披露表明，在释放修复后，在解决后尽快更新易受攻击软件的程序很重要。

“有时它并不总是实用的或者可以直接更新软件，因为某些元素依赖于特定版本或更新需要调度停机时间，因此应该放置一个计划和时间表，”他添加。

在这个过程中，他说，组织需要首先考虑为什么软件无法立即修补，并询问是否需要更换过期。

其次，企业应该质疑需要在未捕获时保护自己的东西，例如通过建立新的防火墙规则来允许仅从预定义的IPS访问特定端口。

最后，他们应该询问当前相关的风险是否足够低，而不是修补程序 - 也就是说，建立敏感信息是否可以暴露或被盗，或者如果所披露的漏洞可以被利用进入更严重的事件攻击者。