A hackerek titkos fegyvere

A Web Application Security Consortium (WASC) a 2008-as Web Hacking Incidents Database alapján megvizsgálta, hogy a webes támadások mögött melyek azok a legfontosabb motiváló tényezők, amelyek az internetes bűnözőket tettük elkövetésére sarkalják. A szervezet szerint továbbra is azon károkozások vannak többségben, amelyeket politikai, kulturális és ideológia tényezők motiválnak. Vagyis nem a pénzszerzés áll az első helyen, habár e típusú támadások száma is rohamosan emelkedik. Fontos szerepet játszanak még azok a cselekmények, amelyek egyértelmű célja a bizalmas adatok megszerzése.

2008-ban sok százezer webes támadás következett be. Ezek közül a WASC az elemzése során csak azokkal foglalkozott, amelyek egyrészt webes alkalmazások sebezhetőségeire épültek, másrészt igazolható hatásuk volt az áldozatul esett szervezetekre nézve. A szakértők így tudtak leszűrni azokat a következtetéseket, amelyek a támadók motivációs tényezőire utalnak.

A WASC szerint a támadások legnagyobb hányada politikai eszmék, pártok, szervezetek és kormányzati intézmények ellen irányult. A támadások második legnagyobb csoportjának esetében a motivációt a bizalmas adatok megszerzése jelentette. E károkozások az összes incidens 19 százalékáért voltak felelősek. 16 százaléka a weboldal feltöréseknek különféle kártékony programok terjesztése érdekében történt, míg a 13 százalékuk közvetlen anyagi haszonszerzésre volt visszavezethető.

A webes támadási módszerek toplistájának élére az SQL injection került, ami többek között annak tudható be, hogy a támadók e technika kihasználásához számos automatizált eszközt is készítettek. Egyes becslések szerint eddig legalább 500 ezer weboldal esett áldozatául az SQL injection alapú károkozásoknak. A támadási módszerek második leggyakoribb képviselője az XSS (cross-site scripting) lett. A WASC szerint az XSS-sérülékenységek ugyan könnyebben fedezhetők fel, mint az SQL injectiont lehetővé tevő biztonsági rések, azonban az XSS-sel az anyagi haszonszerzés céljából elkövetett támadások általában nehezebben kivitelezhetők.

A hír a Computerworld.hu biztonság rovatában jelent meg.