Jaký je nejběžnější typ útoku na webu?

Zdroj: SOOM.cz [ISSN 1804-7270]
Autor: Batou
Datum: 9.5.2013
Hodnocení/Hlasovalo: 0/0

Tuto otázku se snažila zodpovědět firma Whitehat Security. V jejich zprávě Annual Website Security Statistics (https://www.whitehatsec.com/resource/stats.html), která vyšla počátkem května, se dozvíme například to, že 86 % testovaných stránek mělo alespoň jednu zranitelnost. Pozitivnější čísla nabízí pohled na průměrný počet vážných zranitelností na jednu stránku (definovaných jako těch, při nichž útočník ze systému odcizí nějaká citlivá data, udělá defacement atp.). Potvrdila se klesající tendence - od roku 2011 (79) se toto číslo snížilo na 56. Překvapením je SQL injection - zakladatel Whitehat Security Jeremiah Grossman k tomu říká: „Přes všechny škody, které SQLi způsobí, není v součásné době v naší top 10, konkrétně je na 14. místě.“ Tento výsledek odpovídá zhruba 7 % z milionů testovaných stránek. Je rozdílný oproti jiným studiím, např. z roku 2011 (http://cwe.mitre.org/top25/). Zajedno je např. IBM, které také vidí větší hrozby jinde, např. v XSS (http://www.esecurityplanet.com/patches/ibm-sql-injection-vulnerabilities-on-decline.html). Pravdou však je, že útočníci využívají zranitelnost také v závislosti na tom, „po čem jdou“. Co je tedy nejfrekventovanější? Podle Whitehat je to z 43 % XSS. Podvrhnutí obsahu je s 13 % na druhém místě, třetí je s 11 % únik informací. Pomyslnou bramborovou medaili získalo CSRF (https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29). Pro více informací o XSS doporučuji skvělou knihu od cCuMiNna (http://www.soom.cz/index.php?name=projects/XSS-kniha/main).