“Är dagens programvaror sårbarare?” frågar EU’s Byrå för Nätverks och Informationssäkerhet (ENISA).
Denna fråga ställdes kort efter att forskare hade avslöjat en potentiell branschövergripande sårbarhet i 4G LTE protokollet, en incident som är långt ifrån att vara exceptionell. Den Nationella Datasårbarheten och den vanliga Sårbarhets och Exponerings Databasen registrerade båda mer än 6000 nya sårbarheter år 2916 – en siffra som bleknar i jämförelse med de 14 500 sårbarheter som upptäcktes under 2017. ENISA tillägger att man under år 2018 håller på att nå 24 000 avslöjade sårbarheter.
Varför blir fler sårbarheter i samband med programvaror avslöjade?
- Det finns fler internetanslutna enheter och applikationer som ska utnyttjas. Egendomsuppdatering hävdar 328 miljoner nya enheter är anslutna till Internet varje månad från datorer, surfplattor och telefoner och Internet of Things (IoT). Detta har lett fram till en större konkurrens bland mjukvaruleverantörer och applikationer trycks in på marknaden innan de är färdiga eller av opportunistiska utvecklare med ”relativt låg mognad när det gäller mjukaruutveckling och säker kodningsförmåga”.
- Efterfrågan på hopkoppling, integration och plattformskomptabilitet gör mjukvaran mera komplex och öppnar dörren för sårbarheter. EMISA noterar att 80-90% av moderna applikationer använder programvaror med öppen källkod, för att hantera dessa krav, något som förvärrar problemet. En Sonatype rapport fann att 1 av 18 komponenter med öppen källkod som laddats ned under 2017 hade kända säkerhetsproblem.
- Organisationer har blivit bätte på att identifiera sårbarhetsproblem – eller för att vara mera exakt, det finns fler personer som informerar organisationer om sårbarhetsproblem Huvuddelen av brister i programvaran identifieras av utomstående, enligt en rapport från Riskbaserad Säkerhet.. Organisationen uppmuntrar ofta utomstående att söka efter sårbarhetsproblem genom att erbjuda belöningar.
- Det finns fler cyberkriminella som söker efter sårbarhetsproblem och det är därför mera sannolikt att de blir upptäckta.
- Leverantörer intar inställningen ”avsiktlig sårbarhet”. Detta kan vara för skadliga avsikter, dolda kommersiella agendor eller för övervakningsprogram.
- Många mjukvarukonstruktörer använder sig av föråldrade systemarkitekturer som är mottagliga för attack. Detta beror antingen på förbiseende eller för att spara pengar.
Mildra sårbarheten hos programvaror
ENISA målar upp en pessimistisk framtid för programvaruleverantörer och indikerar att den snabba ökningen av säkerhetsbrister är en del av den växande teknologiska industrin. Även om vissa problem är utanför organisationernas kontroll finns det sätt att mildra risken för sårbarheten hos mjukvarorna. Exempelvis bör alla nya programvaror vara föremål för penetrationstest, i vilket en professionell testare, som arbetar för organisationens räkning, leta efter sårbarheter på samma sätt som en kriminell hacker skulle göra.
Penetrationstester gör det möjligt för organisationer att identifiera och ta hand om sårbarheter innan produkten släpps ut. Detta är mer kostnadseffektivt än att upptäcka sårbarheter senare och då behöva lappa ihop mjukvaran eller ännu värre låta den cyberkriminelle upptäcka och utnyttja sårbarheten.
IT Governance är en CREST-ackrediterad leverantör av pentetrationstester och vi erbjuder ett sortiment av tjänster för att hjälpa organisationer av alla storlekar att hantera sina cyberpentrationsstrategier.
