Video: Training Video Stoelting F-231 Frozen Yogurt Machine Cleaning (November 2024)
Švajčiarska spoločnosť Infosec High-Tech Bridge vydala správu minulý rok tým, že vyhodila spoločnosť Yahoo do ponuky viac ako len tričko ako odmenu za chybu. Tento výskum však nie je tým, čo robia vedci HTB každý deň. Zameriavajú sa predovšetkým na identifikáciu slabých miest a vydávanie bezpečnostných rád týkajúcich sa ich zistení. V roku 2013 skupina vydala 62 odporúčaní a zaznamenala celkové zlepšenie reaktivity odvetvia.
Rýchlejšie opravy
Podľa správy HTB, ktorá bola práve vydaná, predajcovia vydali opravy nahlásených problémov oveľa rýchlejšie ako v roku 2012. Tiež „veľká väčšina predajcov upozornila svojich koncových používateľov na zraniteľné miesta spravodlivým a rýchlym spôsobom“, ak v minulosti mnohí ticho napravili problém alebo znížili riziko. Táto správa vyzvala spoločnosť Mijosoft (nie spoločnosť Microsoft) na zlé bezpečnostné postupy.
Priemerný čas na nápravu kritických zraniteľností sa znížil zo 17 dní v roku 2012 na 11 dní v roku 2013, čo je pôsobivé zníženie. Stredne rizikové zraniteľné miesta sa zlepšili ešte lepšie, od 29 do 13 dní. To je pokrok, ale je tu priestor na zlepšenie. V správe sa uvádza, že „11 dní na nápravu kritických zraniteľností je stále dosť dlhé meškanie.“
Zvýšená zložitosť
Podľa správy je pre zlodejov ťažšie identifikovať a zneužívať kritické zraniteľné miesta. Musia sa uchýliť k technikám, ako sú reťazové útoky, pri ktorých je zneužitie kritickej zraniteľnosti možné až po úspešnom porušení nekritického.
V priebehu roka 2013 došlo k zníženiu niektorých zraniteľností z vysoko rizikových alebo kritických na stredné. Konkrétne ide o zneužitia, ktoré je možné vykonať až po overení alebo prihlásení útočníka. V správe sa uvádza, že vývojári musia myslieť na bezpečnosť aj v oblastiach prístupné pre dôveryhodných používateľov, pretože niektoré z dôveryhodných strán „môžu byť v skutočnosti dosť nepriateľské“.
Vlastní vývojári musia venovať zvýšenú pozornosť bezpečnosti. SQL Injection a Cross-Site Scripting sú najbežnejšími útokmi a interné aplikácie sú najčastejšími obeťami takýchto útokov - na 40 percent. Ďalej sú doplnky s redakčným systémom (CMS), s 30 percentami, nasledované malými CMS s 25 percentami. Porušenie skutočne veľkých CMS, ako sú Joomla a WordPress, prináša veľké správy, ale podľa HTB tvoria iba päť percent z celkového počtu. Mnoho blogovacích platforiem a redakčných systémov je naďalej zraniteľných jednoducho preto, že ich vlastníci ich nedokážu úplne opraviť alebo ich správne nakonfigurovať.
Ako teda zabrániť tomu, aby vaše webové stránky alebo redakčný systém boli ohrozené? V správe sa dospelo k záveru, že potrebujete „hybridné testovanie, keď je automatické testovanie kombinované s manuálnym testovaním bezpečnosti človekom“. Nie je žiadnym prekvapením, keď sa dozviete, že High Tech Bridge ponúka presne tento druh testovania. Ale majú pravdu. Pre skutočnú bezpečnosť chcete, aby dobrí chlapci zaútočili a ukázali vám, čo musíte opraviť.
