17、漏洞利用的重尾分布研究

漏洞利用的重尾分布研究

在网络安全领域，漏洞利用的规律一直是研究的重点。了解漏洞被利用的频率分布，对于制定有效的安全策略至关重要。本文将深入探讨漏洞利用的重尾分布现象，并对可能的分布模型进行分析。

1. 引言

许多自然现象都呈现出重尾分布的特征，如语言中单词的频率分布、城市的人口密度以及互联网的拓扑结构等。重尾分布与常见的分布不同，不能简单地用均值和标准差来描述。例如，全球GDP分布遵循帕累托法则（80 - 20规则），即20%的人口拥有80%的财富，此时平均收入无法真实反映分布情况。

在漏洞利用方面，我们发现其也呈现出重尾分布的特征，并假设该分布可能遵循幂律模型。同时，我们还将幂律假设与对数正态假设和指数假设这两个候选模型进行比较。

研究结果具有以下三个主要意义：
- 漏洞利用可能遵循与自然现象（如地震）和自组织结构（如城市）相似的规律。大多数漏洞可能带来的风险微不足道，因此传统的“发现漏洞就必须修复”的方法可能与实际威胁不成比例。
- 基于单一数字（如安全测试工具给出的分数）的常见漏洞风险定义，可能无法描述攻击的分布情况。点估计（分数或平均值）不足以描述这种现象，可能导致资源的过度支出或分配不当。
- 需要更深入地理解攻击生成过程，以解释观察到的重尾效应。

2. 数据收集

我们使用了Symantec的全球智能网络环境（WINE）数据集。该数据集提供了基于网络的攻击信息，通过攻击签名ID进行索引，并可与受影响的CVE关联。

为了考虑不同软件受攻击的暴露程度，我们将漏洞分为八个软件类别：浏览器、插件、Windows、生产力软件、其他操作系统、服务器、商业软件和开发软件