Video: Världsdiabetesdagen 2020 (September 2024)
Det schweiziska infosecföretaget High-Tech Bridge gjorde nyheterna förra året genom att skämma Yahoo till att erbjuda mer än bara en T-shirt som en buggount. Den typen av forskning är dock inte vad HTB-forskare gör varje dag. Deras huvudfokus är att identifiera sårbarheter och släppa säkerhetsrådgivningar som rör deras resultat. Gruppen släppte 62 rådgivningar under 2013 och såg en övergripande förbättring av branschens lyhördhet.
Snabbare reparationer
Enligt en nyligen publicerad HTB-rapport släppte leverantörer patchar för rapporterade problem mycket snabbare än 2012. Även "de allra flesta leverantörer varnade sina slutanvändare om sårbarheter på ett rättvist och snabbt sätt", där i det förflutna många har tyst lappat problemet eller bagatelliserat risken. Rapporten uppmanade Mijosoft (inte Microsoft) för dålig säkerhetspraxis.
Den genomsnittliga tiden för att korrigera kritiska sårbarheter minskade från 17 dagar 2012 till 11 dagar 2013, en imponerande minskning. Medelrisk sårbarheter gjorde det ännu bättre och gick från 29 dagar till 13 dagar. Det är framsteg, men det finns utrymme för förbättringar. Rapporten konstaterar att "11 dagar att korrigera kritiska sårbarheter är fortfarande en ganska lång försening."
Ökad komplexitet
Enligt rapporten blir det tuffare för de onda att identifiera och utnyttja kritiska sårbarheter. De måste ta till tekniker som kedjade attacker, där det bara är möjligt att utnyttja en kritisk sårbarhet efter att ha lyckats bryta mot en icke-kritisk.
Ganska många sårbarheter nedgraderades från hög risk eller kritisk till medelrisk under 2013. Specifikt är det sådana utnyttjanden som bara kan utföras efter att angriparen har verifierats eller loggats in. Rapporten konstaterar att utvecklare behöver tänka på säkerhet även i områden bara tillgängliga för betrodda användare, eftersom vissa av dessa betrodda parter "kan vara ganska fientliga."
Inhemska utvecklare måste vara extra uppmärksamma på säkerhet. SQL-injektion och cross-site scripting är de vanligaste attackerna och interna applikationer är de vanligaste offren för sådana attacker, 40 procent. Content Management System (CMS) plugins är nästa, med 30 procent, följt av små CMS på 25 procent. Överträdelser på riktigt stora CMS som Joomla och WordPress gör stora nyheter, men enligt HTB utgör de bara fem procent av det totala. Många bloggplattformar och CMS förblir sårbara helt enkelt för att deras ägare inte lyckas hålla dem fullständigt korrigerade eller inte konfigurerar dem ordentligt.
Så hur undviker du att din webbplats eller CMS komprometteras? Rapporten drar slutsatsen att du behöver "hybridtest när automatiserad testning kombineras med manuell säkerhetstestning av en människa." Det kommer inte som någon överraskning att få veta att High Tech Bridge erbjuder exakt denna typ av testning. Men de har rätt. För verklig säkerhet vill du att de goda killarna ska attackera och visa dig vad du behöver fixa.
