Уязвимость нулевого дня — это уязвимость, которую злоумышленники используют до того, как о ней узнает производитель или до появления патча. Название происходит от количества дней, которые были у производителя на её устранение: ноль. У защитников нет ни сигнатуры, ни патча, ни предупреждения. Злоумышленник имеет преимущество до тех пор, пока уязвимость не будет обнаружена и исправлена. Уязвимости нулевого дня ценятся. Правительства и преступные группировки платят за них миллионы. Рынок брокеров эксплойтов реален и прибылен.

Уязвимости нулевого дня встречаются редко по сравнению с известными уязвимостями. В большинстве случаев взломы используют уязвимости, которые были исправлены месяцами или годами назад. Исправление было доступно. Никто его не применил. Именно поэтому исправление уязвимостей важнее, чем защита от уязвимостей нулевого дня. Когда уязвимость нулевого дня все же появляется, реакция должна быть срочной. Поставщики работают круглосуточно над исправлением. Защитники применяют меры по смягчению последствий, усиливают мониторинг и следят за признаками компрометации. Некоторые уязвимости нулевого дня используются в целенаправленных атаках против конкретных жертв. Другие используются в широкомасштабных кампаниях. Stuxnet использовал несколько уязвимостей нулевого дня для саботажа иранской ядерной программы. Это была операция, проводимая государством в течение многих лет. Большинство уязвимостей нулевого дня менее драматичны. Они используются незаметно, против целей, которые никогда не узнают о том, что подверглись атаке. Лучшая защита — многоуровневая: исправление уязвимостей, сегментация, мониторинг и реагирование на инциденты. Ни один отдельный механизм не останавливает уязвимость нулевого дня. Вместе они позволяют выиграть время до появления исправления.

Факты нулевого дня

• На момент эксплуатации патча не существует.
• Очень ценится на рынках эксплойтов.
• По сравнению с известными случаями эксплуатации уязвимостей, встречается редко.
• Используется как в целенаправленных, так и в широкомасштабных атаках.
• Меры по смягчению последствий и мониторинг являются временной защитой.

Уязвимость нулевого дня — это гонка. Производитель спешит выпустить патч. Злоумышленник спешит использовать уязвимость. Защитник спешит обнаружить её.