Luka dnia zerowego to luka, którą atakujący wykorzystują, zanim dostawca się o niej dowie lub zanim pojawi się łatka. Nazwa pochodzi od liczby dni, jaką dostawca miał na jej naprawienie: zero. Osoby broniące się nie mają sygnatury, łatki ani ostrzeżenia. Atakujący ma przewagę do momentu wykrycia i naprawienia luki. Luki dnia zerowego są cenne. Rządy i grupy przestępcze płacą za nie miliony. Rynek brokerów wykorzystujących luki w zabezpieczeniach jest realny i lukratywny.

Luki zero-day są rzadkie w porównaniu ze znanymi lukami. Większość naruszeń wykorzystuje luki, które zostały załatane miesiące lub lata temu. Poprawka była dostępna. Nikt jej nie zastosował. Dlatego łatanie jest ważniejsze niż obrona przed lukami zero-day. Gdy pojawi się luka zero-day, reakcja jest pilna. Dostawcy pracują całą dobę nad jej poprawką. Obrońcy stosują środki zaradcze, zaostrzają monitorowanie i obserwują oznaki naruszenia. Niektóre luki zero-day są wykorzystywane w ukierunkowanych atakach na konkretne ofiary. Inne są wykorzystywane w szeroko zakrojonych kampaniach. Stuxnet użył wielu luk zero-day do sabotażu irańskiego programu nuklearnego. Była to operacja państwa narodowego, rozwijana latami. Większość luk zero-day jest mniej dramatyczna. Są one wykorzystywane po cichu, przeciwko celom, które nigdy nie wiedzą, że zostały zaatakowane. Najlepsza obrona jest warstwowa: łatanie, segmentacja, monitorowanie i reagowanie na incydenty. Żadna pojedyncza kontrola nie zatrzymuje luki zero-day. Razem zyskują czas do momentu pojawienia się poprawki.

Fakty dotyczące dnia zerowego

• W chwili wykorzystania nie istnieje żadna poprawka
• Bardzo cenne na rynkach exploitów
• Rzadkie w porównaniu do znanych luk w zabezpieczeniach
• Stosowany zarówno w atakach ukierunkowanych, jak i szeroko zakrojonych
• Ograniczenia i monitorowanie stanowią tymczasową obronę

Zero-day to wyścig. Dostawca ściga się z łataniem. Atakujący ściga się z wykorzystaniem luk. Obrońca ściga się z wykryciem.