Видео: unboxing turtles slime surprise toys learn colors (Ноември 2024)
Продукти на трети страни Вземете удар
Никой няма да бъде изненадан да научи, че общият брой на известните уязвимости нараства с годината или че повечето разчитат на отдалечена мрежова атака, за да проникнат в уязвимите мрежи. Въпреки това, значителните недостатъци в операционните системи и програми на Microsoft стават все по-малка и по-малка част от общата сума. Secunia съобщава, че 86 процента от активните уязвимости през 2012 г. са засегнали продукти на трети страни като Java, Flash и Adobe Reader. През 2007 г. уязвимостите на трети страни представляват по-малко от 60 процента от общия брой.
От плюс, опасният прозорец между откриването на уязвимост и създаването на патч става все по-малък. Secunia съобщава за наличие на пачове за един ден за 80 процента от тези заплахи през 2012 г., спрямо малко над 60 процента през 2007 г. Това оставя 20 процента, които нямат пластир същия ден, или дори в рамките на 30 дни, но запазване всичкият ви актуализиран софтуер ще гарантира, че получавате всички тези лепенки за един и същи ден.
SCADA Несигурност
Прегледът за 2013 г. отчита уязвимостите в системите SCADA (надзорен контрол и придобиване на данни). Тези системи контролират фабрики, електроцентрали, ядрени реактори и други много значими промишлени инсталации. Прословутият червей Stuxnet унищожи центрофугите за обогатяване на уран в Иран, като пое техните контролери SCADA.
Според Secunia "софтуерът SCADA днес е на етапа. Основният софтуер беше преди 10 години… Много уязвимости остават неподправени за повече от един месец в софтуера SCADA." Графикът на представяне на време на представяне на представителните уязвимости на SCADA разкрива, че няколко от категорията с висок риск са останали неподправени за повече от 90 дни.
На теория SCADA системите трябва да бъдат по-малко уязвими, защото не са свързани с интернет. На практика това не винаги е така и дори атакуваната локална мрежа може да бъде компрометирана от нападателите. Тотална "въздушна междина", без мрежова връзка, не защити центрофугите Stuxnet. Те станаха жертва на заразени USB устройства, несъзнателно поставени от техници. Ясно е, че доставчиците на софтуер за SCADA трябва да свършат работа по отношение на поддържането на сигурността и изтласкването на кръпки.
Хакерите отиват за златото
Уязвимостта от нулев ден е тази, която току-що беше открита, уязвимост, за която няма патч. Докладът на Secunia включва информативна диаграма, която отчита броя на нулевите дни, които се намират всяка година в първите 25 най-популярни програми, и в топ 50, 100, 200 и 400. Общият брой се различава от година на година, достигайки връх през 2011 г. с 15 нулеви дни.
По-интересното е, че в рамките на дадена година, номерата едва ли се променят с нарастването на пула от потенциално компрометирани програми. Почти всички нулеви дни засягат най-популярните програми. Това всъщност има много смисъл. Откриването на програмен недостатък, който никой друг не е открил, изисква много изследвания и упорит труд. За хакерите има смисъл само да се концентрират върху най-широко разпространените програми. Експлоатация, която поема пълен контрол над системата на жертвата, не струва много, ако само в една милионна система е инсталирана уязвимата програма.
Повече за учене
Попаднах на високите места, но има още много неща, които да научите от доклада за уязвимост на Секуния. Можете да изтеглите целия доклад от уебсайта на Секуния. Ако пълният доклад изглежда малко затруднителен, не се притеснявайте. Изследователите на Секуния също са подготвили инфографика, която удря всички високи места.
