Video: After Effects Einsteigertutorial [german] (Dezember 2024)
Das Schweizer Infosec-Unternehmen High-Tech Bridge machte die Nachricht im vergangenen Jahr, indem es Yahoo beschämte, mehr als nur ein T-Shirt als Kopfgeld anzubieten. Diese Art von Forschung ist jedoch nicht das, was HTB-Forscher jeden Tag betreiben. Ihr Hauptaugenmerk liegt auf der Identifizierung von Schwachstellen und der Freigabe von Sicherheitshinweisen zu ihren Ergebnissen. Die Gruppe veröffentlichte 2013 62 Advisories und verzeichnete eine allgemeine Verbesserung der Reaktionsfähigkeit der Branche.
Schnellere Reparaturen
Laut einem soeben veröffentlichten HTB-Bericht veröffentlichten Anbieter Patches für gemeldete Probleme viel schneller als im Jahr 2012. Außerdem "warnte die überwiegende Mehrheit der Anbieter ihre Endbenutzer auf faire und schnelle Weise vor Sicherheitslücken", wie es in der Vergangenheit viele taten habe das Problem stillschweigend behoben oder das Risiko heruntergespielt. In dem Bericht wurde Mijosoft (nicht Microsoft) wegen mangelhafter Sicherheitspraktiken angerufen.
Die durchschnittliche Zeit für das Beheben kritischer Schwachstellen verringerte sich von 17 Tagen im Jahr 2012 auf 11 Tage im Jahr 2013, was eine beeindruckende Verringerung darstellt. Schwachstellen mit mittlerem Risiko verbesserten sich sogar von 29 Tagen auf 13 Tage. Das ist ein Fortschritt, aber es gibt Raum für Verbesserungen. Der Bericht stellt fest, dass "11 Tage, um kritische Schwachstellen zu beheben, noch eine ziemlich lange Verzögerung sind."
Erhöhte Komplexität
Dem Bericht zufolge wird es für die Bösen immer schwieriger, kritische Schwachstellen zu identifizieren und auszunutzen. Sie müssen auf Techniken wie verkettete Angriffe zurückgreifen, bei denen das Ausnutzen einer kritischen Sicherheitsanfälligkeit nur möglich ist, wenn eine unkritische Sicherheitsanfälligkeit erfolgreich verletzt wurde.
Zahlreiche Sicherheitslücken wurden 2013 von einem hohen Risiko oder einem kritischen Risiko auf ein mittleres Risiko herabgestuft. Dies sind insbesondere Exploits, die nur ausgeführt werden können, nachdem der Angreifer authentifiziert oder angemeldet wurde Zugänglich für vertrauenswürdige Benutzer, da einige dieser vertrauenswürdigen Parteien "tatsächlich ziemlich feindselig sein können".
Eigenentwickler müssen besonders auf die Sicherheit achten. SQL Injection und Cross-Site Scripting sind die häufigsten Angriffe, und interne Anwendungen sind mit 40 Prozent die häufigsten Opfer solcher Angriffe. CMS-Plugins (Content Management System) folgen mit 30 Prozent, gefolgt von kleinen CMS mit 25 Prozent. Verstöße gegen wirklich große CMS wie Joomla und WordPress sind eine große Neuigkeit, aber laut HTB machen sie nur fünf Prozent der Gesamtzahl aus. Viele Blogging-Plattformen und CMS sind nach wie vor anfällig, da ihre Eigentümer sie nicht vollständig gepatcht oder nicht ordnungsgemäß konfiguriert haben.
Wie vermeiden Sie also, dass Ihre Website oder Ihr CMS kompromittiert werden? Der Bericht kommt zu dem Schluss, dass Sie "Hybridtests benötigen, wenn automatisierte Tests mit manuellen Sicherheitstests durch einen Menschen kombiniert werden". Es wird nicht überraschen zu erfahren, dass High Tech Bridge genau diese Art von Tests anbietet. Aber sie haben recht. Für echte Sicherheit möchten Sie, dass die Guten angreifen und Ihnen zeigen, was Sie reparieren müssen.
