Cybercriminelen misbruiken beveiligingsgaten die al lange tijd bekend zijn

Bekende kwetsbaarheden, die soms al decennialang bekend zijn, vormden in 2014 de meest belangrijke cyber crime risico’s. 44 procent van de inbreuken in 2014 betrof kwetsbaarheden die al 2 tot 4 jaar bekend zijn. Dit blijkt uit het Cyber Risk Report, een onderzoek van Hewlett-Packard. Het technologieconcern roept de securityindustrie op meer samen te werken om cyberaanvallen tegen te gaan. Twee weken geleden bracht HP Fortify, de security divisie van HP, ook al een rapport uit over lekken in beveiligingscamera’s als gevolg van the Internet of Things (IoT).

HP publiceert zijn jaarlijkse Cyber Risk Report, met diepgaande data en analyses rond de meest dreigende beveiligingsproblemen die bedrijven en overheden teisteren. Dit rapport, ontwikkeld door HP Security Research, gaat in op de meest voorkomende kwetsbaarheden binnen IT-security waar organisaties zich niet tegen beschermen. “Zelfs als de beveiligingswereld snel blijft evalueren, mogen we fundamentele kwetsbaarheden niet uit het zicht verliezen,” aldus Art Gilliland (foto), Senior Vice President en General Manager van Enterprise Security Products, HP. “Ons onderzoek toont aan dat veel van de grootste beveiligingsrisico’s problemen zijn die al jaren en misschien zelfs decennia bekend zijn. We kunnen niet succesvol vooruit als we niets doen aan primaire kwetsbaarheden die nog steeds een plaag zijn voor systemen.”

Hoogtepunten en belangrijke vindingen uit het rapport:

44 procent van de bekende inbreuken zijn kwetsbaarheden van 2 tot 4 jaar oud. Aanvallers blijven bekende technieken gebruiken en zijn succesvol in het binnen dringen van systemen en netwerken. De top tien kwetsbaarheden die in 2014 benut zijn, profiteren allemaal van code die jaren of zelfs decennia geleden geschreven zijn.

Server misconfiguraties zijn het grootste probleem onder alle geanalyseerde applicaties. De bevindingen tonen aan dat toegang tot onnodige bestanden en bestandsmappen de lijst van misconfiguratie-gerelateerde problemen domineren, nog meer dan privacy en cookie security issues. De informatie die via deze misconfiguraties bekend wordt gemaakt aan aanvallers biedt extra mogelijkheden om aan te vallen en staan de aanvallers de kennis toe die nodig is om te zorgen dat hun andere methodes slagen.

In 2014 vonden door nieuwe technologieën, nieuwe manieren om aan te vallen plaats. Vooral via fysieke apparaten die verbonden zijn dankzij the Internet of Things (IoT). In 2014 nam ook het gebruik van mobiele malware toe. Als het ecosysteem van de computerwereld blijft groeien, vinden aanvallers steeds meer deuren om binnen te komen.

De voornaamste oorzaken van de meest voorkomende, uitgebuite zwakke plekken binnen de software zijn consistente gebreken, bugs en logic flaws. De meeste kwetsbaarheden komen voort uit een relatief klein aantal gemeenschappelijke software programmeerfouten. Oude en nieuwe kwetsbaarheden in software worden snel uitgebuit door aanvallers.

Belangrijkste aanbevelingen:

Netwerk verdedigers moeten een alomvattende en tijdige patching strategie ontwikkelen om ervoor te zorgen dat systemen up-to-date zijn met de nieuwste beschermingen om de kans van slagen voor de aanvaller te verkleinen.

Regelmatig testen en verificatie op het penetreren van configuraties door interne en  externe entiteiten, kunnen configuratiefouten identificeren voordat aanvallers ze uitbuiten.

Om te helpen beschermen tegen nieuwe wegen om aan te vallen, moeten organisaties begrijpen en weten hoe het risico beperkt kan worden, voor de invoering van nieuwe technologieën.

Samenwerking en kennisdeling tussen de beveiligingsindustrie helpt inzicht krijgen in de tactiek van de aanvaller, zorgt voor meer proactieve verdediging, versterkt bescherming die aangeboden wordt in beveiligingssoftware en zorgt voor een algemeen veiligere omgeving.

Video's: 

Cyber Risk Report 2015: Executive Overview - Art Gilliland, General Manager HP Enterprise Security Products, geeft een overzicht van het bedreigde landschap en een introductie op het rapport van dit jaar.

Cyber Risk Report 2015: The Past Is Prologue  - Stem af op een Q&A sessie met Jewel Timpe van HP Security Research voor meer informatie over de belangrijkste bevindingen van dit jaar.