Video: Хаза б|аьсте вайна кхечи 😻 (November 2024)
Ne obsedite se z ranljivostmi brez dnevnega dne in nadvse sofisticiranimi, usmerjenimi napadi. Napadalci pogosteje izkoriščajo starejše, znane napake spletnih aplikacij, zato se namesto tega osredotočite na osnovno krpanje in varnostno higieno.
Kot je za SecurityWatch dejal Barri Shteiman, direktor varnostne strategije podjetja Imperva, je ranljivost, ki je bila odkrita leta 2010 in še ena v letu 2009, uvrstila med deset najpogosteje izpostavljenih spletnih ranljivosti. Kljub svoji starosti tako zasebni kot industrializirani napadalci še naprej ciljajo na te ranljivosti, saj so te akcije napadov "donosne." Za napad ni potrebno kupovati ali razvijati dragih podvigov brez dnevnega dnevnika, "kot stari, ki so na splošno dostopni, " je dejal Šteiman.
Napadalci razumejo, da so starejše ranljivosti slabo viden varnost spletne aplikacije. Napadalci so lahko izpopolnjeni, če potrebujejo, na voljo pa so tudi orodja za izdelavo kompleksnih akcij. Toda zakaj bi se motili, če se ljudje držijo zastarele različice spletnih aplikacij ali skrbniki ne vzdržujejo rednega razporeda popravkov za aplikacije. Problem je še bolj razširjen med široko uporabljenimi aplikacijami, kot so programska oprema za forume, sistemi za upravljanje vsebine in celo orodja za e-trgovino, je dejal Shteiman.
Tvegani sistemi
Vse ranljivosti, ki so jih ciljali aprila, so bili injekcijski napadi, kot sta na primer datoteka in SQL, in so bili zakrpani. Napaka 2010 je izkoristila težavo z upravljanjem privilegijev v ZeusCMS 0.2, napaka 2009 pa je bila injekcija SQL v Zen Cart 1.3.8 in starejših. "Zdi se, da ranljivosti nikoli ne umrejo, " je dejal Šteiman.
Če so napadalci vedeli za težavo v enem CMS-ju in da je bil CMS nameščen 10 milijonov krat, je smiselno iskati spletna mesta, ki izvajajo to različico programske opreme, "je dejal Shteiman. Zahteva nekaj preudarnega Google-fu-ja in nič drugega.
Imperva je zagotovila grafikon desetih najpomembnejših ranljivosti, pri čemer se pojavijo tri stvari. Najnovejša ranljivost na seznamu je iz leta 2013. Kot je razvidno iz ocene CVSS, ranljivosti same po sebi niso prefinjene, zelo kritične pomanjkljivosti. In sami podvigi niso tako zapleteni.
Bilo je veliko množičnih napadov na priljubljeno programsko opremo CMS, vključno z WordPress in Joomla. Z dovolj ranljivimi sistemi zunaj je za napadalce veliko ceneje in lažje iskati te sisteme, namesto da bi se lotili napadov brez dnevnega dne.
Povečanje sveta injiciranja
Napadalci zgolj uporabljajo obstoječe in nedavno odkrite vektorje napadov znova in znova, je dejal Shteiman. To je razlog, zakaj vbrizgavanje SQL in skriptno skriptno iskanje ostajajo priljubljeni vektorji napadov. Težavo SQLi so rešili pred desetimi leti, vendar je stopnja napadov še vedno visoka. Skriptnost na več mestih je predstavljala 40 odstotkov napadov v zadnjih treh mesecih, vbrizgavanje SQL pa 25 odstotkov, je dejal.
"Če imamo zdravilo za raka, pričakujete, da se bo stopnja umrljivosti zmanjšala. Toda to ne velja za injiciranje SQL, " je dejal Šteiman.
Hiter pogled na Exploit-db.com potrjuje Shteimanova opažanja. Od sedmih podvigov, navedenih v spletnih aplikacijah, se jih je pet ukvarjalo s programsko opremo, ki ni na voljo, kot so WordPress, AuraCMS ali socialno poslovno platformo Sharetronix. Pogosto so bili navedeni tudi napadi injiciranja XSS in SQL.
Administratorji, ne glede na to, ali upravljajo spletna mesta, ki vsak dan štejejo milijone uporabnikov, ali spletna mesta z manjšo spletno prisotnostjo, morajo zagotoviti, da redno popravljajo svojo programsko opremo. Številni razvijalci CMS so poenostavili postopek posodabljanja znotraj svoje programske opreme in obstajajo orodja, s katerimi lahko prepoznate vse nameščene aplikacije. Funkcije, ki se ne uporabljajo, morajo biti onemogočene.
Seveda, napadi brez dnevnega napada in ciljni napadi so strašljivi. Če pa napadalci pridejo po vaše podatke in na vaše spletno mesto (in verjetnosti so velike, jih bo nekdo storil), ne olajšajte, če boste imeli luknje v svoji programski opremi. Zamenjajte, zaženite orodja za ocenjevanje in iščite sumljivo vedenje. Pazljivost je ključna.
