Video: The New ŠKODA RAPID TSI | Experience It. Believe It. (Octombrie 2024)
Compania elvețiană Infosec High-Tech Bridge a făcut știrile anul trecut prin rușinea Yahoo oferind mai mult decât doar un tricou, ca o recompensă pentru bug-uri. Totuși, acest gen de cercetare nu este ceea ce fac cercetătorii HTB în fiecare zi. Principalul lor obiectiv este identificarea vulnerabilităților și eliberarea de avize de securitate referitoare la constatările lor. Grupul a lansat 62 de avize în 2013 și a înregistrat o îmbunătățire generală a capacității de reacție a industriei.
Reparații mai rapide
Potrivit unui raport HTB lansat, vânzătorii au lansat corecții pentru problemele raportate mult mai rapid decât în 2012. De asemenea, „marea majoritate a vânzătorilor și-au alertat utilizatorii finali cu privire la vulnerabilitățile într-o manieră corectă și rapidă”, unde în trecut, mulți au tăcut problema sau au redus riscul. Raportul a făcut apel la Mijosoft (nu Microsoft) pentru practici de securitate slabe.
Timpul mediu de plasare a vulnerabilităților critice a scăzut de la 17 zile în 2012 la 11 zile în 2013, o reducere impresionantă. Vulnerabilitățile cu risc mediu s-au îmbunătățit și au trecut de la 29 de zile la 13 zile. Acesta este un progres, dar există loc pentru îmbunătățiri. Raportul notează că „11 zile pentru a remedia vulnerabilitățile critice este încă o întârziere destul de lungă”.
Complexitate crescută
Potrivit raportului, este dificil să identifice și să exploateze vulnerabilitățile critice pentru cei răi. Trebuie să apeleze la tehnici precum atacurile în lanț, unde exploatarea unei vulnerabilități critice este posibilă numai după încălcarea cu succes a unei critici.
Câteva vulnerabilități au fost reduse de la risc ridicat sau critic la risc mediu în 2013. Mai exact, acestea sunt exploatări care pot fi efectuate numai după autentificarea sau logarea atacatorului. Raportul menționează că dezvoltatorii trebuie să se gândească la securitate chiar și în zone accesibil utilizatorilor de încredere, deoarece unele dintre aceste părți de încredere „pot fi de fapt destul de ostile”.
Dezvoltatorii interni trebuie să acorde o atenție sporită securității. SQL Injection și Cross-Site Scripting sunt cele mai frecvente atacuri, iar aplicațiile interne sunt cele mai comune victime ale unor astfel de atacuri, la 40%. Pluginurile Sistemului de gestionare a conținutului (CMS) sunt următorii, cu 30 la sută, urmate de mici CMS-uri la 25%. Încălcările la CMS-uri cu adevărat mari precum Joomla și WordPress fac noutăți majore, însă, potrivit HTB, ele reprezintă doar cinci procente din total. Multe platforme de blogging și CMS-uri rămân vulnerabile pur și simplu pentru că proprietarii lor nu reușesc să le păstreze complet patchate sau nu reușesc să le configureze corect.
Deci, cum evitați să vă compromite site-ul sau CMS? Raportul concluzionează că aveți nevoie de „teste hibride atunci când testarea automată este combinată cu testarea manuală de securitate de către un om”. Nu va fi o surpriză să aflăm că High Tech Bridge oferă exact acest tip de testare. Dar au dreptate. Pentru o securitate reală, doriți ca tipii buni să atace și să vă arate ce trebuie să repari.
