zero-day

segurançahacking

Uma vulnerabilidade desconhecida do fornecedor, com zero dias disponíveis para tê-la corrigido.

Um zero-day é perigoso justamente porque ainda não existe correção: os defensores tiveram zero dias de aviso. O termo se estende ao exploit que usa essa falha. Assim que o fornecedor toma conhecimento e lança uma correção, o relógio começa e deixa de ser um zero-day.

Um zero-day é uma vulnerabilidade para a qual o fabricante teve zero dias para corrigir, e o termo é usado de forma solta o bastante para valer a pena delimitá-lo. Em sentido estrito significa que não existe correção; coloquialmente as pessoas aplicam a qualquer coisa explorada antes de as organizações terem implantado a correção, que é situação diferente e bem mais comum.

Seu valor para o atacante vem justamente da ausência de assinatura para detectar ou correção para aplicar, e é por isso que são acumulados, vendidos e usados com parcimônia contra alvos de alto valor, em vez de espalhados. Usar um publicamente o queima, já que a divulgação segue a detecção e a correção segue a divulgação, então a economia empurra para a contenção até que o alvo justifique a perda.

A conclusão defensiva é desagradável e libertadora. Não se corrige o que não tem correção, então a resiliência precisa vir de outro lugar: superfície de ataque reduzida, segmentação para que um comprometimento não seja total, detecção baseada em comportamento em vez de assinaturas conhecidas, e um processo de incidente que funcione. Enquanto isso, a estatística honesta é que a esmagadora maioria dos incidentes usa vulnerabilidades corrigidas meses antes, então uma organização preocupada com zero-days enquanto roda software sem atualizar tem seus riscos na ordem errada.

Também conhecido como: 0-day, 0day, zero day, zero-day exploit

← Todos os verbetes do glossário