Firmowe aktualizacje są źle przeprowadzane
Wygląda na to, że firmy niewłaściwie kładą nacisk na kwestie naprawiania luk w zabezpieczeniach. Mimo tego, że cyberprzestępcy obecnie wykorzystują głównie luki w Adobe Readerze, QuickTimie, Adobe Flashu i pakiecie Microsoft Office, aby za ich pośrednictwem infekować komputery, likwidacja tych dziur zajmuje dwa razy więcej czasu niż łatanie systemów operacyjnych. Do takiego wniosku dochodzą autorzy raportu "The Top Cyber Security Risks", który został wspólnie opracowany przez Internet Storm Center (ISC), TippingPoint i Qualys. Dane pochodzą z 6000 systemów zapobiegania włamaniom, które firma TippingPoint obsługuje u swoich klientów; wykorzystano także informacje z ponad 100 milionów skanów przeprowadzonych przez firmę Qualys wśród 9000 klientów.
Według raportu 8. procent wszystkich luk w Windows było łatanych w ciągu 60 dni od wydania łaty. W programach takich jak Office, Adobe Acrobat i Java ten sam wskaźnik w tym samy czasie wynosił jedynie od 20 do 40 procent. Jeszcze gorzej wygląda sytuacja w przypadku Flasha; tutaj wskaźnik załatanych instalacji sięga zaledwie od 10 do 20 procent. Do podobnych wniosków doszła niedawno firma Trusteer w rezultacie kontroli prowadzonych u swoich klientów.
Do rozpowszechniania malware'u nierzadko przyczyniają się administratorzy stron internetowych, choć robią to nieświadomie i wbrew własnej woli. Ze względu na sprawowanie niedostatecznej pieczy nad serwerem możliwe staje się zmanipulowanie zwyczajnej i niegroźnej strony –. tak aby dało się umieścić na niej szkodliwy skrypt i w ten sposób go rozpowszechniać. Sześćdziesiąt procent ataków w Internecie jest obecnie wymierzonych przeciwko serwerom sieciowym, mając na uwadze znalezienie i wykorzystanie luki typu SQL Injection. Ponad 80 procent wszystkich luk w serwerach przypada właśnie na luki typu SQL Injection albo Cross-Site Scripting.
W publikowanym co pół roku raporcie IBM dochodzi do podobnych wniosków: 5. procent stron głównych osób prywatnych zawiera co najmniej jeden podejrzany odsyłacz. Poza tym w 20 procentach wyszukiwarek, portali i katalogów można trafić na adresy URL, które prowadzą internautów do stron mogących zainfekować ich komputer.
Z powyższych danych statystycznych można wyciągnąć następujący wniosek: żadnej stronie WWW nie wolno ufać. Dlatego też model stref bezpieczeństwa i porady w stylu "odwiedzaj tylko te strony, które znasz" przestają być aktualne. Nie dalej bowiem jak w miniony weekend oszustom udało się zmanipulować reklamy na stronie "The New York Timesa", podsuwając internautom tzw. scareware. Tego rodzaju przypadki nie są niczym nowym i można się spodziewać, że w przyszłości będą się nasilać choćby ze względu potężny zasięg działania.
Poza tym ani administratorom, ani też użytkownikom prywatnym nie udaje się utrzymywać systemów w stanie w pełni zaktualizowanym, aby w ten sposób uniemożliwić ataki dokonywane za pośrednictwem stron internetowych. Prawdopodobnie jedną z przyczyn tego stanu rzeczy są niezbyt dobrze działające i niewystarczająco jasno wytłumaczone procedury aktualizacji poszczególnych produktów. Jak wynika z wcześniejszych analiz, wskaźnik załatania programów znacznie podnoszą tzw. ciche aktualizacje, podczas których użytkownik nie jest pytany o zgodę. Pojawiają się wprawdzie protesty, w których pada pytanie, czy przeciętny Kowalski będzie bardziej zadowolony z nieupoważnionych ingerencji w jego system, czy też jednak może woli zachować prawo do decydowania o tym, które aktualizacje i kiedy są mu potrzebne.
Programy w rodzaju PSI firmy Secunia nadzorują ważne komponenty systemu (np. wtyczka flashowa Java czy też biblioteki przeglądarki) i mogą dać użytkownikowi pojęcie o tym, czy surfowanie w Sieci za pomocą danego systemu może być ryzykowne, czy też nie. Nawet i w tym przypadku niezbędna jest inicjatywa użytkownika, aby zainstalować program i go używać.
Niewątpliwie praktycznym rozwiązaniem było zintegrowanie przez Microsoft w systemie Windows struktury, która sprawdzałaby nie tylko pojawianie się aktualizacji dla Internet Explorera 8 ale też np. dla Adobe Readera.
wydanie internetowe www.heise-online.pl