70%的公开漏洞出自3家供应商

金融服务行业监管严格，我们总会假定金融服务机构会及时处理可能导致数据泄露的缺陷和漏洞。

客户看到的公开漏洞中有70%都出自3家主流供应商：Oracle、微软和Adobe。

这是网络安全公司 Kenna Security 研究调查过企业的漏洞应对方式之后得出的结论。他们的研究报告题为《从排序到预测》，文末附有全文下载入口链接。

报告指出：Oracle留下的公开漏洞占了34%，微软和Adobe各占17%。鉴于这三家公司的巨大市场份额，这个漏洞比例毫不令人意外。

而且，企业网络中发现的漏洞有40%直到今天都没补上。75%的CVE在公布一年之后都还洞开。虽然这一状况可以解释为其中一些缺陷并不严重，但CVE可是有很多都没给出风险评分的。

Kenna Security 声称，已经发现的可利用漏洞高达5.44亿个之巨，且这一数量还仅占企业漏洞总数的5%！

其首席技术官 Ed Bellis 在电子邮件声明中评论道：缓解风险程度最高的漏洞对大多数企业而言是可行的。尽管最近几年重大数据泄露频发，调查结果显示：公司企业可以且应该暂缓大多数漏洞的缓解工作，这些不应该排在优先处理事项的漏洞往往以百万计。

大多数漏洞即便被利用也没什么风险。这意味着公司企业可以优化其资源安排，优先处理风险程度最高的那5%。

银行应用也受公开漏洞的影响

Kenna Security 的研究揭示了可利用漏洞数量之巨，应用安全企业Veracode也发布了一份类似的报告，称67%的银行应用有信息泄露的风险。

Veracode的报告题为《软件安全状态》，指出2/3以上的银行应用有被黑客用于盗取敏感数据的风险，黑客拿到这些数据后可进一步利用该应用或其用户。

Veracode欧洲、中东、非洲、亚太及日本地区总监 Paul Farrington 称：因为金融机构和银行持有高价值信息及关键资产，他们仍将是网络罪犯和恶意黑客的目标。

我们的数据显示，金融服务行业扫描大量应用，找出需要修复的漏洞。这很令人欣慰，但接下来就是要提升修复速度，因为速度非常重要。企业修复漏洞的速度直接反映出应用的风险等级。金融行业在安排漏洞修复优先顺序时应考虑方方面面的风险。

需指出的是，Veracode和 Kenna Security 都是与网络研究机构 Cyentia Institute 合作编写出他们的报告的。

Kenna Security 《从排序到预测》报告：

https://www.kennasecurity.com/prioritization-to-prediction-report-volume-two/

Veracode《软件安全状态》报告：

https://www.veracode.com/sites/default/files/pdf/resources/ipapers/state-of-software-security-volume-9/index.html