Een zero-day is een kwetsbaarheid die aanvallers misbruiken voordat de leverancier ervan op de hoogte is of voordat er een patch beschikbaar is. De naam komt van het aantal dagen dat de leverancier de tijd heeft gehad om het probleem op te lossen: nul. Beveiligingssystemen beschikken niet over een officiële signatuur, geen patch en geen waarschuwing. De aanvaller heeft een voordeel totdat de kwetsbaarheid wordt ontdekt en verholpen. Zero-days zijn waardevol. Overheden en criminele organisaties betalen er miljoenen voor. De markt voor exploitbrokers is reëel en lucratief.

Zero-days zijn zeldzaam in vergelijking met bekende kwetsbaarheden. De meeste inbreuken maken gebruik van kwetsbaarheden die maanden of jaren geleden al zijn verholpen. De patch was beschikbaar, maar niemand heeft hem toegepast. Daarom is patchen belangrijker dan de verdediging tegen zero-days. Wanneer een zero-day zich voordoet, is de reactie urgent. Leveranciers werken dag en nacht aan een oplossing. Beveiligingsspecialisten passen maatregelen toe, verscherpen de monitoring en letten op indicatoren van compromis. Sommige zero-days worden misbruikt in gerichte aanvallen op specifieke slachtoffers. Andere worden gebruikt in grootschalige campagnes. Stuxnet gebruikte meerdere zero-days om het Iraanse nucleaire programma te saboteren. Dat was een operatie van een natiestaat, die jarenlang was voorbereid. De meeste zero-days zijn minder dramatisch. Ze worden stilletjes gebruikt, tegen doelen die er nooit achter komen dat ze zijn getroffen. De beste verdediging is gelaagd: patchen, segmentatie, monitoring en incidentrespons. Geen enkele maatregel op zich kan een zero-day stoppen. Samen geven ze tijd totdat een patch beschikbaar is.

Zero-day feiten

• Er bestaat geen patch op het moment van exploitatie.
• Zeer waardevol op exploitatiemarkten.
• Zeldzaam in vergelijking met bekende kwetsbaarheden die worden misbruikt.
• Gebruikt bij zowel gerichte als grootschalige aanvallen.
• Beperkende maatregelen en monitoring vormen de tussentijdse verdediging.

Een zero-day-aanval is een race tegen de klok. De leverancier probeert zo snel mogelijk een patch uit te brengen. De aanvaller probeert zo snel mogelijk een exploit te vinden. De verdediger probeert zo snel mogelijk de kwetsbaarheid te detecteren.