Trend Micro blickt auf zwei Jahrzehnte unabhängiger Schwachstellenforschung zurück. Die Zero Day Initiative gilt heute als das größte herstellerunabhängige Bug-Bounty-Programm weltweit – mit erheblichem Einfluss auf die IT-Sicherheitslandschaft.
Foto: Trend Micro
Kevin Simzer, COO bei Trend Micro
Vor 20 Jahren als Nischenprojekt gestartet, hat sich die Zero Day Initiative (ZDI) von Trend Micro zu einer festen Größe in der globalen Sicherheitsforschung entwickelt. Das Programm, das 2005 ursprünglich von TippingPoint ins Leben gerufen wurde, belohnt die verantwortungsvolle Meldung von Software-Sicherheitslücken und hat damit maßgeblich dazu beigetragen, dass Schwachstellen vor ihrer Ausnutzung durch Cyberkriminelle geschlossen werden.
Die ZDI begann 2005 mit dem Ziel, Sicherheitsforscher finanziell für das Finden und Melden von Zero-Day-Schwachstellen zu entlohnen. 2007 folgte mit „Pwn2Own“ ein Wettbewerb, bei dem Forscher unter Zeitdruck Sicherheitslücken in vorab festgelegten Produktkategorien aufspüren. Seit der Übernahme von TippingPoint durch Trend Micro im Jahr 2016 ist das Programm deutlich gewachsen: Heute zählen dazu über 450 festangestellte Forscher in 14 globalen Threat Centern sowie mehr als 19.000 unabhängige Sicherheitsforscher.
Laut Omdia war die ZDI im Jahr 2024 für die verantwortungsvolle Offenlegung von 73 Prozent der untersuchten Schwachstellen verantwortlich – mehr als alle anderen teilnehmenden Anbieter zusammen. Entdeckte Lücken werden nicht nur den Herstellern gemeldet, sondern Trend-Micro-Kunden profitieren im Durchschnitt mehr als zwei Monate vor offiziellen Updates von virtuellen Patches. Auch Nutzer anderer Produkte profitieren indirekt, da Schwachstellen behoben werden, bevor Angreifer sie ausnutzen können.
Die Liste bemerkenswerter Funde reicht von einer fehlerhaften LNK-Patch-Korrektur im Zusammenhang mit Stuxnet bis zur Entdeckung zweier Zero-Days in Apples QuickTime für Windows, die schließlich zur Einstellung des Produkts führten. Ein weiterer Höhepunkt war 2023 die Auszeichnung eines ZDI-Forschers mit dem Pwnie Award für „Most Under-Hyped Research“ für die Identifizierung einer neuen Exploit-Klasse: Activation Context Cache Poisoning.
„Unsere oberste Priorität ist es, unsere Kunden zu befähigen, einen proaktiven Ansatz in der Cybersicherheit zu verfolgen“, erklärt Kevin Simzer, COO bei Trend Micro. „Die Zero Day Initiative ist eines der besten Werkzeuge, die wir haben, um Cyberkriminellen immer einen Schritt voraus zu sein – und sie ist einzigartig. Niemand sonst in der Branche kann seine Kunden so frühzeitig schützen wie wir.“
