脆弱性半減期の法則

Black Hat Japanで, ゲルハルド エッシェルベック(Gerhard Eschelbeck)氏が
講演したらしい. 彼は, 前職で使っていたセキュリティホール診断ツールQualysGuard
を作っているQualys社のCTO.

その講演で, 脆弱性半減期の法則(前から言っていたらしい. 知らなかった)の
動向を披露したらしい.
http://www.itmedia.co.jp/enterprise/articles/0410/15/news019.html

脆弱性が半減するのに, 去年は30日, 今年は21日とのこと.
ただし, 社内限定のサーバに関しては, 60日.

それは実感するね. イントラの診断をすると, ぼこぼこ脆弱性が出るもん.
おまけに, 自分たちで運用しているサーバも, 社内だからって放置することが多々あるし.
勉強になりました.