- Anzeigen -


Sie sind hier: Home » Virenwarnung » Statistiken

Programmiersprachen-Design wichtig für Security


Report: Vier von fünf Anwendungen in Web-Skriptsprachen beinhalten Schwachstellen der OWASP Top 10
Veracodes Ergänzungen zum "State of Software Security”-Report 2015 erstellen Risikoprofile von Anwendungen je nach Programmiersprache

(22.12.15) - Veracode, Spezialistin für sichere mobile und Web-Anwendungen, hat eine Ergänzung zu ihrem "State of Software Security 2015” (SoSS)-Report veröffentlicht, der auf Benchmark-Analysen der firmeneigenen Cloud-Plattform basiert. Der Report zeigt, dass im Untersuchungszeitraum vier von fünf Anwendungen, die in PHP, Classic ASP und ColdFusion geschrieben wurden, mindestens eine der Schwachstellen der OWASP Top 10 beinhalten. Die OWASP Top 10 sind eine Rangliste der zehn schwerwiegendsten Schwachstellen von Webanwendungen. Diese Ergebnisse zeigen, welche potenziellen Sicherheitslücken in Millionen von Websites vorhanden sein könnten. Dies gilt besonders im Hinblick auf die große Anzahl von PHP-Anwendungen, die für die Top 3 Content Management Systeme (CMS) WordPress, Drupal und Joomla verwendet werden. Diese machen insgesamt mehr als 70 Prozent aller CMS aus.

Die Analyse von Veracode zeigt, dass 86 Prozent der untersuchten PHP-basierten Anwendungen mindestens eine Cross-Site-Scripting-Schwachstelle und 56 Prozent mindestens eine SQL Injection beinhalteten. Diese Trends zeigen sich auch bei Skriptsprachen. Die Wahrscheinlichkeit, dass Anwendungen, die in Classic ASP und ColdFusion geschrieben wurden, Schwachstellen enthalten, ist bei Skriptsprachen zweimal so hoch wie bei modernen Sprachen, wie etwa .NET und Java.

Über die Cloud-basierte Plattform von Veracode wurden bis dato mehr als eine Billion Codezeilen auf Schwachstellen analysiert, die zu massiven Angriffen führen können. Der SoSS-Report 2015 nutzt Daten, die innerhalb der letzten 18 Monate im Rahmen von mehr als 200.000 automatisierten Assessments für Veracode-Kunden aus verschiedensten Branchen und Ländern untersucht wurden.

Unternehmen stehen heute kontinuierlich unter dem Druck, schneller mehr sichere Software zu entwickeln. Laut SANS-Institut haben dennoch weniger als 26 Prozent der Unternehmen Weiterbildungsprogramme ins Leben gerufen, die sich mit sicherem Coding beschäftigen.

Veracodes Ergänzung zum SoSS-Report 2015 schlüsselt Schwachstellen nach Programmiersprache auf und kann Unternehmen so dabei unterstützen, die Entwicklung neuer Anwendungen entsprechend zu planen, das Anwendungs-Assessment zu priorisieren und Gegenmaßnahmen einzuleiten. Im Report werden Fragen beantwortet wie: Gibt es Programmiersprachen, die sicherer sind als andere? Was müssen Design-Teams beachten, bevor sie mit ihren Entwicklungsprojekten beginnen? Die Ergebnisse beinhalten:

>> Das Design der Programmiersprache ist wichtig für die Sicherheit – Manche Sprachen sind von Grund auf so gestaltet, dass sie bestimmte Arten von Schwachstellen verhindern. So müssen Entwickler bei Java und .NET beispielsweise keine Memory-Kapazitäten mehr direkt zuteilen, weshalb Schwachstellen, die genau darauf abzielen (zum Beispiel Buffer Overflows) gar nicht mehr zum Zuge kommen. Gleichermaßen verhindert das Default-Verhalten mancher ASP.NET-Kontrollen Schwachstellen, die mit Cross-Site-Scripting zusammenhängen.

>> Die Betriebsumgebung der Programmiersprache ist wichtig für die Sicherheit – Manche Schwachstellen sind nur in bestimmten Ausführungsumgebungen relevant. So sind Lücken, durch die Informationen gestohlen werden können, besonders in mobilen Umgebungen gefährlich, da diese große Mengen persönlicher Daten mit den Always-On-Möglichkeiten kombiniert.

>> Projektteams für die Entwicklung mobiler Anwendungen müssen sich auf Verschlüsselung konzentrieren – 87 Prozent der Android Apps und 80 Prozent der iOS Apps haben mit Verschlüsselungsproblemen zu kämpfen. Obwohl die Entwickler hier also zu wissen scheinen, dass sie Verschlüsselungsmechanismen integrieren müssen, um sensible Daten zu schützen, sind nur wenige von ihnen in der Lage, diese auch korrekt zu implementieren. Das ist besonders hinsichtlich der wachsenden Nutzung von mobilen Anwendungen im Gesundheitswesen bedenklich.

"Sobald ein Unternehmen ein neues Entwicklungsprojekt startet und sich Gedanken über Programmiersprachen und die allgemeine Vorgehensweise macht, hat das Sicherheitsteam die Möglichkeit, die wahrscheinlichsten Schwachstellen vorauszusehen und entsprechend zu bewerten", so Chris Wysopal, CISO und CTO bei Veracode. "Die Informationen aus diesem SoSS-Report können nicht nur bei der Auswahl der Programmiersprachen, sondern auch beim Design von Schulungsprogrammen und Bewertungsverfahren helfen, so dass es einfacher wird, Schwachstellen zu beheben."

Geschulte Entwickler für mehr Sicherheit
Die Daten zeigen ebenfalls, dass die Weiterbildung von Entwicklern durch eLearning-Angebote Risiken auf Anwendungsebene stark reduzieren kann. So verbessern die Unternehmen, die Veracodes eLearning-Angebote nutzen, die Sicherheit ihres Codes um 30 Prozent im Vergleich zu Unternehmen ohne formale Weiterbildungsprogramme. Die On-Demand-Schulungen von Veracode, die von erstklassigen Sicherheits- und Entwicklungsexperten aufgesetzt wurden, helfen Entwicklern dabei, sicheres Coding zu verstehen und zu lernen, wie Schwachstellen schnell und effizient behoben werden können.

Der Report zeigt außerdem, dass die Fixrate für Schwachstellen durch den Einsatz von "White Box" oder statischen Analysen (SAST) im Vergleich zum Einsatz von "Black Box" oder dynamischen Analyseverfahren (DAST) um 28 Prozent höher liegt. Obwohl eine einmalige Beurteilung für die Sicherheit von Anwendungen nicht ausreicht, ist es trotz allem wichtig, die Stärken und Schwächen verschiedener Bewertungsverfahren zu kennen, wenn es um das Beheben – und nicht nur um das Finden – von Softwareschwachstellen geht.

Vorgehensweise
Der Report "State of Software Security: Focus on Application Development” bezieht sich auf kontinuierlich aktualisierte Informationen aus Veracodes Cloud-basierter Plattform. Die Daten stammen aus einer aktuellen Analyse auf Code-Ebene von Milliarden von Codezeilen aus einer Vielzahl von Branchen und Regionen, die über Veracodes Plattform analysiert wurden.

Der Report enthält Daten, die über die letzten 18 Monate aus über 200.000 Anwendungs-Scans gesammelt wurden. Er umfasst Informationen über Anwendungen, die in den elf meistverwendeten Programmiersprachen geschrieben wurden, darunter Java, .NET, .iOS, Android, C/C++, JavaScript, PHP, ColdFusion, Ruby und COBOL.
(Veracode: ra)

Veracode: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Statistiken

  • Malware- & Netzwerkangriffe nehmen zu

    Wie der aktuell veröffentlichte "WatchGuard Internet Security Report" für das dritte Quartal 2019 belegt, sollte bei per E-Mail eingehenden Word-, RTF- oder anderen Office-Dokumenten weiterhin besondere Vorsicht gelten. Diesmal haben es gleich zwei einschlägige Malware-Varianten in die Top 10 geschafft. Die Nase vorn hat dabei ein Angriffsversuch, der auf einer Schwachstelle des Word-Formeleditors basiert. Dieser ermöglicht es Hackern beliebigen Code auszuführen, sobald das manipulierte Dokument geöffnet wird. Sowohl hinsichtlich der Gesamtmenge als auch der Verbreitung solch Office-basierter Übergriffe wurden dabei im dritten Quartal neue Bestmarken erreicht: Neben der Anzahl entsprechender Attacken verdoppelte sich auch der Adressatenkreis im Vergleich zum Vorquartal. Die Übermittlung erfolgte in der Mehrzahl aller Fälle per E-Mail. Daher wird es gerade für Unternehmen immer wichtiger, ihre Mitarbeiter gezielt zu sensibilisieren. Schulungen und Aufklärungsinitiativen können dazu beitragen, dass Anwender solche und andere Übergriffe sowie Phishing-Versuche besser erkennen.

  • Ein Drittel mehr DDoS-Attacken

    Im dritten Quartal 2019 stieg die Anzahl der DDoS-Angriffe gegenüber dem Vorquartal um ein Drittel (30 Prozent) an; mehr als die Hälfte (53 Prozent) der Attacken fand im September statt. Darüber hinaus gab es einen Anstieg einfacherer DDoS-Angriffe, die vor allem akademische Webseiten im Visier hatten. Der Anstieg ist durch eine Vielzahl einfacherer Angriffe bedingt, während in den vorherigen Quartalen das Wachstum auf eine Zunahme intelligenter Angriffe zurückzuführen war, die von erfahrenen Cyberkriminellen auf Anwendungsebene durchgeführt wurden. In diesem Quartal sank der Anteil dieser Art von Angriffen auf 28 Prozent aller DDoS-Angriffe, im zweiten Quartal machten intelligente Angriffen noch die Hälfte (50 Prozent) aus.

  • Vermehrt Ransomware-Angriffe auf NAS-Systeme

    Kaspersky-Forscher haben im Rahmen einer aktuellen Studie eine neue Art von Ransomware-Angriff identifiziert, der im Hinblick auf Network Attached Storage (NAS) ein neues Risiko für Backup-Daten darstellt, die in der Regel auf solchen Geräten gespeichert werden. Da NAS bislang weitgehend als sichere Technologie galt, sind Nutzer hinsichtlich potenzieller Infektionen zumeist unvorbereitet - wodurch deren Daten einem erhöhten Risiko ausgesetzt sind. Um Network Attached Storages anzugreifen, scannen Cyberkriminelle IP-Adressverzeichnisse und suchen dort nach NAS-Systemen, die über das Internet erreicht werden können. Auch wenn Webschnittstellen nur mittels Authentifizierung zugänglich sind, läuft auf einer Reihe von Geräten Software, die Schwachstellen enthält. Dies ermöglicht es Angreifern, einen Trojaner mittels Exploits zu installieren, der alle Daten auf den mit dem NAS verbundenen Geräten verschlüsselt.

  • Cyberkriminelle schlagen bevorzugt an Werktagen zu

    Barracuda Networks hat ihren aktuellen Spear-Phishing-Report veröffentlicht. Im Zeitraum von Juli bis September 2019 identifizierte der Sicherspezialist 1,5 Millionen Spear-Phishing-Attacken bei über 4.000 Unternehmen oder Institutionen, die "Barracuda Sentinel" einsetzen, ein Cloud-Service mit KI-Lösung zur Echtzeit-Abwehr von Spear-Phishing-Attacken und Betrugsversuchen. Folgender vier Vektoren bedienten sich die Angreifer hauptsächlich: Scamming (39 Prozent): Diese Angriffe zielen ab auf private, sensible und persönliche Informationen wie etwa Kontodaten oder Kreditkartennummern.

  • Sextortion ein sehr großes Problem

    Proofpoint hat ihren neuesten Threat Report für das dritte Quartal 2019 veröffentlicht. Darin zeigt das Unternehmen aktuelle Trends und Bedrohungen im Bereich Cybersecurity auf. Besonders auffällig ist dabei, dass die Schadsoftware Emotet allein bei 12 Prozent aller E-Mails mit Malware im Anhang zum Einsatz kam - obwohl Emotet nur in den letzten beiden Wochen des Septembers nennenswert aktiv war. Das heißt demnach, dass in diesem kurzen Zeitraum mehrere Millionen von Nachrichten mit bösartigen URLs oder Anhängen versandt wurden. Eine der treibenden Kräfte hinter der weltweiten Verbreitung von Emotet ist die in Fachkreisen als TA542 (Thread Actor 542) bezeichnete Gruppierung. Diese Gruppe Cyberkrimineller ist für den Vertrieb von Emotet "zuständig" und erweiterte in diesem Zeitraum auch ihr regionales Targeting auf eine Reihe neuer Länder, darunter Italien, Spanien, Japan, Hongkong und Singapur. TA542 hat dabei Methoden angewandt, von denen sich die Gruppe Anfang 2019 zunächst getrennt hatte. Dazu gehören beispielsweise sehr gezielte eingesetzt saisonale und topaktuelle Köder. In diesem Zusammenhang beobachtete Proofpoint zum Beispiel am 23. September, dass in den Nachrichten häufiger als sonst von Edward Snowden die Rede war und die Cyberkriminellen ihre Köder entsprechend anpassten.

DDoS-Attacken auf die "Akamai Edge Firewall" Erpresser-Trojaner im Aufwind