Eksploitasi memanfaatkan kerentanan. Kerentanan adalah kelemahan. Eksploitasi adalah alat atau teknik yang menggunakannya. Buffer overflow pada server web adalah kerentanan. Permintaan HTTP yang dirancang khusus untuk memicu overflow adalah eksploitasi. Eksploitasi berkisar dari beberapa baris kode Python hingga rangkaian kompleks yang melewati berbagai pertahanan. Beberapa dijual di pasar gelap dengan harga jutaan dolar. Yang lain dipublikasikan secara bebas setelah vendor menambal kelemahan tersebut.

Eksploitasi menargetkan perangkat lunak, perangkat keras, dan manusia. Eksploitasi perangkat lunak adalah yang paling umum. Eksploitasi ini menyerang sistem yang belum ditambal, layanan yang salah konfigurasi, dan kerentanan zero-day yang tidak diketahui siapa pun. Eksploitasi perangkat keras menargetkan firmware dan mikroprosesor, seperti Spectre dan Meltdown. Eksploitasi sosial memanipulasi orang untuk memberikan akses. Siklus hidup sebuah eksploitasi dimulai dengan penemuan, berlanjut ke persenjataan, dan berakhir ketika vendor melakukan penambalan. Jendela waktu antara penemuan dan penambalan sangat berbahaya. Penyerang berlomba untuk melakukan eksploitasi sebelum pihak bertahan dapat memperbarui. Kerentanan zero-day adalah yang paling berharga karena pihak bertahan tidak mendapat peringatan. Sebagian besar pelanggaran tidak menggunakan kerentanan zero-day. Mereka menggunakan kerentanan yang diketahui yang tidak pernah ditambal. Eksploitasi tersebut tersedia selama berbulan-bulan. Tidak ada yang menerapkan perbaikannya.

Kategori eksploitasi

• Jarak jauh — bekerja melalui jaringan tanpa interaksi pengguna
• Lokal — memerlukan akses ke mesin target
• Sisi klien — menargetkan peramban, klien email, dan dokumen.
• Zero-day — mengeksploitasi kerentanan yang belum tersedia tambalannya.

Patching is boring. It is also the single most effective defense against exploits. Most attackers use what already works.