Gefährdungszyklus

Das nachfolgende Diagramm stellt den Zyklus einer Software-Sicherheitslücke und den eines davon abhängigen Exploits dar¹.

1. Die Anwendung wird für die Öffentlichkeit freigegeben.



2. Ein unethischer Forschungsmitarbeiter oder ein böswilliger Hacker entdeckt eine Sicherheitslücke in der Anwendung, benachrichtigt den Hersteller jedoch nicht. Stattdessen gibt er/sie gegen finanzielle oder sonstige Belohnungen diese Information an Malware-Autoren weiter. Die Malware-Autoren schreiben einen Schadcode, um diese Sicherheitslücke auszunutzen. Diese Bedrohungen sind den Anti-Malware-Herstellern nicht bekannt, also gibt es auch noch keine entsprechende Erkennung dafür; das wird allgemein als Zero-Day-Malware bezeichnet.



3. Der Hersteller der angreifbaren Anwendung erfährt durch öffentliche Kanäle von der Sicherheitslücke. Das ist auf mehrere Arten möglich, normalerweise durch das Durchsickern der Entdeckung des Hackers in Untergrund-Foren, durch Kommunikation mit Anwendern oder Partnern oder durch parallele Nachforschungstätigkeiten von ethisch einwandfreien Forschungsmitarbeitern.



4. Ein Proof-of-Concept-Code hat keine schädliche Ladung, sondern dient lediglich als Beweis für die Echtheit dieser Entdeckung und dafür, dass die Sicherheitslücke ohne Patch von echter Malware ausgenutzt werden könnte. Ein POC (Proof of Concept - Machbarkeitsnachweis) dient hauptsächlich dazu, den Hersteller davon zu überzeugen, dass die Sicherheitslücke ausgenutzt werden kann.



5. Nachdem der Hersteller den Angreifbarkeitsbericht beurteilt und daraus geschlossen hat, dass ein Patch erforderlich ist, beginnt er mit der Herstellung einer Lösung für das Sicherheitsproblem.



6. Der Hersteller erstellt einen Patch, der die Sicherheitslücke schließt. Über den Standard-Aktualisierungsvorgang für diese Anwendung wird ein Sicherheitsupdate verteilt.



7. Der Anwender installiert den Patch des Herstellers, um die Anwendung vor einer Ausnutzung der Sicherheitslücke zu schützen.

Irgendwo zwischen Phase 2 und Phase 7 taucht der Exploit auf und beginnt mit der Infektion von angreifbaren Anwendern. Diese Phase wird "Window of Opportunity" (einmalige Gelegenheit) genannt, in ihr kann sich ein Hacker die Systeme der Anwender ohne deren Wissen "zu Eigen machen", indem er die entdeckten und noch ungepatchten Sicherheitslücken ausnutzt.