A Bit9 az éves biztonsági jelentésének keretében közzétett egy érdekes felmérést, amelynek eredményeként megszületett a tizenkét legtöbb sebezhetőséget hordozó alkalmazás toplistája. A kutatók a vizsgálataik során elsősorban a NIST (National Institute of Standards and Technology) sérülékenység-adatbázisára támaszkodtak, amely a nyilvánosságra került biztonsági résekről tartalmaz információkat. Nem meglepő módon a legtöbb sebezhetőséggel küzdő alkalmazások egytől-egyig széles körben használatosak, ami egy újabb bizonyítéka annak, hogy a támadók továbbra is a legnépszerűbb szoftverek hibáit igyekeznek a saját céljaikra felhasználni.
A Bit9 által összeállított, és "piszkos tizenkettő" néven emlegetett listája a következőképpen fest (a zárójelekben az idén feltárt sebezhetőségek száma látható):
1. Google Chrome (76)
2. Apple Safari (60)
3. Microsoft Office (57)
4. Adobe Reader and Acrobat (54)
5. Mozilla Firefox (51)
6. Sun Java Development Kit (36)
7. Adobe Shockwave Player (35)
8. Microsoft Internet Explorer (32)
9. RealNetworks RealPlayer (14)
10. Apple WebKit (9)
11. Adobe Flash Player (8)
12. Apple QuickTime (6) és Opera (6)
Kritikák össztűzében
A Bit9 felmérése és a fenti toplista azt a benyomást keltheti, hogy a rangsor egyben azt is mutatja, hogy mely alkalmazások a legsebezhetőbbek, és melyek használata jelenti a legtöbb kockázatot. Ez azonban koránt sincs így, ugyanis a veszélyek megítélésekor nemcsak a hibák számát kell figyelembe venni. Ezért aztán a toplistát egyre több kritika éri.
Marc Maiffret, az eEye Digital Security biztonsági szakértője szerint, ha azt mondjuk, hogy a Google Chrome a legsérülékenyebb alkalmazás, akkor az a hibás következtetés is leszűrhető, hogy nem kellene a Chrome-ot használni. A szakember óva intett az ilyen megállapításoktól bejegyzésében. "Sokkal nagyobb a valószínűsége annak, hogy egy számítógép a negyedik helyezett Adobe Reader vagy a tizenegyedik helyezet Adobe Flash valamely sebezhetőségének esik áldozatául, mint például a Chrome egyik hibájának." Ennek az az egyszerű magyarázata, hogy az Adobe alkalmazásaihoz jóval több exploit érhető el, mint a Chrome-hoz. Nem beszélve arról, hogy némely alkalmazás olyan kockázatcsökkentő technikákat is használ, mint amilyen például a Chrome-ban is megtalálható sandbox. (Az Adobe a sandbox-ot éppen a napokban integrálta a PDF-kezelő szoftvereibe.)
Védekezés vállalati szinten
Annak ellenére, hogy a Bit9 toplistája a kritikák kereszttűzébe került, arra mindenképpen jó, hogy felhívja a figyelmet a szoftveres sebezhetőségek elleni védekezés fontosságára. Ez az egyéni és az üzleti felhasználók számára is nagyon fontos feladat. A patch menedzsment vállalati szintű megvalósítása elengedhetetlen ahhoz, hogy a végpontokon futó alkalmazások megfelelő frissítése elvégezhető, és ellenőrizhető legyen. "A vállalati IT-csoportoknak monitoroznia kell a végpontokat annak érdekében, hogy meggyőződhessenek a frissítések megfelelő telepítéséről. Azok a cégek, kormányzati szervek, amelyek nem felügyelik kellőképpen az alkalmazásaikat, nem tudnak védekezni a nulladik napi támadások ellen sem" - mondta Harry Sverdlove, a Bit9 műszaki igazgatója.
A hír testvéroldalunkon, a Computerworld biztonság rovatában jelent meg.
