En nulldagsfeil er en sårbarhet som angripere utnytter før leverandøren vet om den eller før en oppdatering finnes. Navnet kommer fra antall dager leverandøren har hatt på seg til å fikse den: null. Forsvarere har ingen signatur, ingen oppdatering og ingen advarsel. Angriperen har fordelen inntil feilen oppdages og fikses. Nulldagsfeil er verdifulle. Myndigheter og kriminelle grupper betaler millioner for dem. Markedet for utnyttelsesmeglere er reelt og lukrativt.

Nulldagsangrep er sjeldne sammenlignet med kjente sårbarheter. De fleste sikkerhetsbrudd bruker feil som ble oppdatert for måneder eller år siden. Oppdateringen var tilgjengelig. Ingen installerte den. Derfor er oppdatering viktigere enn nulldagsforsvar. Når en nulldagsangrep dukker opp, er responsen presserende. Leverandører jobber døgnet rundt med en løsning. Forsvarere bruker avbøtende tiltak, strammer overvåkingen og ser etter indikatorer på kompromittering. Noen nulldagsangrep utnyttes i målrettede angrep mot spesifikke ofre. Andre brukes i omfattende kampanjer. Stuxnet brukte flere nulldagsangrep for å sabotere Irans atomprogram. Det var en nasjonalstatlig operasjon med årevis med utvikling. De fleste nulldagsangrep er mindre dramatiske. De brukes stille, mot mål som aldri vet at de ble truffet. Det beste forsvaret er lagdelt: oppdatering, segmentering, overvåking og hendelsesrespons. Ingen enkeltkontroll stopper en nulldagsangrep. Sammen kjøper de tid til en oppdatering kommer.

Nulldagsfakta

• Ingen patch finnes på utnyttelsestidspunktet
• Svært verdifullt på utnyttelsesmarkeder
• Sjelden sammenlignet med kjente sårbarhetsutnyttelser
• Brukes i både målrettede og omfattende angrep
• Avbøtende tiltak og overvåking er det midlertidige forsvaret

En nulldagssituasjon er et kappløp. Leverandøren kappløper om å oppdatere. Angriperen kappløper om å utnytte. Forsvareren kappløper om å oppdage.