你修復漏洞的速度夠快嗎?

你使用的軟件是否安全?你是否有系統來識別漏洞以及修復漏洞?你對漏洞報告的反應速度有多快?有證據表明，軟件漏洞在不斷增加，而很少公司在采取必要的措施來應對這個問題。

在最新2015年Secunia漏洞報告中有一些令人擔憂的消息：去年漏洞數量創歷史新高;在過去五年，漏洞數量已經增加了55%。該報告還發現零日漏洞數量的增加，在50個最受歡迎的應用程序中有20個漏洞未被發現。而這些漏洞在被公開或修復之前已經被攻擊者利用。

即使這些漏洞被公開，很多公司用非常長的時間來修復漏洞。那么，什么原因造成這個問題呢?

錯誤信任開源軟件?

似乎很多企業都對開源軟件作出危險的假設。Black Duck第九次開源調查帶來了一些有趣的見解，開源軟件越來越深入人心，但企業缺乏政策來管理開源軟件。78%的受訪者報告稱七公司在開源軟件運行部分或所有業務，而其中55%沒有正式的政策來管理開源軟件。

企業認為開源軟件提供比專有軟件更好的安全性，55%的受訪者認為安全是部署開源軟件的原因之一。這可能是事實，但這并不意味著開源軟件沒有漏洞。我們都記得Heartbleed，并且OpenSSL剛剛為另一個高危漏洞發布了補丁。企業需要時間和資源來修復最新的漏洞，并保持軟件的完全修復。

根據該調查顯示，超過50%的受訪者并不了解開源組件中已知安全漏洞的情況。更糟糕的是，只有17%的受訪者計劃為安全漏洞監測開源代碼。這意味著大部分企業依靠別人來查找漏洞，并且，在沒有監督的情況下，我們很難預測有多少漏洞已經被利用。

開源模式確實提供了很多的優勢，在未來幾年，開源軟件部署將會繼續上升。

快速修復漏洞的重要性

回到Secunia報告，讓人震驚的是，很多企業根本就沒有足夠重視軟件漏洞的威脅。

很多廠商花了幾個星期來修復Heartbleed(+本站微信networkworldweixin)，一位不愿意透露姓名的供應商花了160天。如果修復廣為人知的漏洞需要這么長時間，那么我們想知道有多少漏洞還未被發現。

對于企業沒有投入足夠資源來積極應對漏洞，這是可以理解的，但肯定是不可取的做法。無法修復已知漏洞是企業的疏忽，這些類型的漏洞很可能讓企業受到攻擊。攻擊者往往會尋找阻力最小的路徑，即已知漏洞。

隨著越來越多的軟件進入市場，漏洞的威脅只會增長。現在企業是時候解決這一威脅，投入必要的資源來修復漏洞。在理想情況下，企業應該定期監測代碼來發現更多的漏洞。