Veszélyben a céges weboldalak

A WhiteHat Security az ügyfelei körében egy érdekes felmérést végzett, amelynek alapját 250 vállalat által üzemeltetett, összesen 1300 weboldalon elvégzett sérülékenységvizsgálatok szolgáltatták. A statisztikák kiértékelése után kiderült, hogy a górcső alá vett weblapok 64 százaléka tartalmazott legalább egy súlyos sebezhetőséget.

A szakemberek a biztonsági rések különböző típusainak megoszlására is kíváncsiak voltak. Ennek megfelelően kimutatásokat készítettek arra vonatkozólag, hogy milyen sérülékenységek játszák a főszerepet a weboldalak gyenge pontjainak esetében. Ebből a szempontból a sebezhetőségek toplistáját a cross-site scripting vezeti, amely az összes feltárt biztonsági hiba 66 százalékáért volt felelőssé tehető. A sérülékenységekhez nagy számban járultak hozzá az SQL injection problémák, a tartalomhamisítással és az adatszivárgással kapcsolatos rendellenességek is.

Jeremiah Grossman, a WhiteHat Security műszaki igazgatója azonban nemcsak a sebezhető weboldalak jelentős számára világított rá, hanem a biztonsági rések befoltozásához szükség idő nagyságára is felhívta a figyelmet. A WhiteHat az ügyfelei körében végzett vizsgálatok eredményeit általában az adott cég biztonságért felelős szakembereivel osztja meg, akiknek továbbítaniuk kell az információkat a fejlesztők felé. Sokszor azonban még a menedzsment is beleszól a hibajavításba, hiszen neki kell engedélyeznie, hogy a sérülékenységek orvoslása - az esetlegesen bevételt hozó fejlesztések terhére - megtörténhessen. Mindeközben a biztonsági rés ott tátong a vállalat weboldalán.

A WhiteHat Security adatai szerint a cross-site scripting alapú sebezhetőségek megszüntetése átlagosan 67 nap alatt történik meg. Az adatszivárgásokra lehetőséget adó biztonsági hibák orvoslására átlagosan 78, míg az SQL injection sérülékenységek kijavításához 62 napra van szükség. De az is előfordul, hogy több mint egy évet kell várni arra, hogy egy biztonsági rést sikerüljön befoltozni. Pedig sokszor csak néhány sort kellene módosítani a kódokban.

A hír a Computerworld biztonság rovatában jelent meg.