Video: BEVEILIG JE SOCIAL MEDIA TEGEN HACKERS! - Tutorial - TechTime (November 2024)
Op de tweede dinsdag van elke maand, "Patch Tuesday", duwt Microsoft patches voor bugs en beveiligingslekken in Windows en in Microsoft-toepassingen. Meestal zijn de aangehaalde problemen ernstige beveiligingslekken, programmeerfouten waardoor hackers netwerkbeveiliging kunnen binnendringen, informatie kunnen stelen of willekeurige code kunnen uitvoeren. Adobe, Oracle en andere leveranciers hebben hun eigen patchschema's. Een alarmerende nieuwe studie van NSS Labs suggereert dat hackers gemiddeld ongeveer vijf maanden onbelemmerde toegang hebben tot deze beveiligingslekken tussen eerste ontdekking en herstel. Erger nog, gespecialiseerde marktplaatsen bestaan om nieuw ontdekte kwetsbaarheden te verkopen.
Dr. Stefan Frei, onderzoeksdirecteur bij NSS Labs, hield toezicht op een onderzoek dat meer dan tien jaar gegevens uit twee grote 'aankoopprogramma's voor kwetsbaarheden' opleverde. Frei's rapport wijst erop dat alle resulterende cijfers minima zijn; er is duidelijk veel meer aan de hand dat ze gewoon niet weten. Op basis van wat ze weten, is de markt voor informatie over exploits de afgelopen jaren aanzienlijk gegroeid. Tien jaar geleden hadden de twee onderzochte bedrijven op een bepaalde dag slechts een handvol niet openbaar gemaakte kwetsbaarheden. In de afgelopen jaren is dat aantal gegroeid tot meer dan 150, waarvan er meer dan 50 betrekking hebben op de top vijf van leveranciers: Microsoft, Apple, Oracle, Sun en Adobe.
Exploiteert te koop, goedkoop
Stuxnet en andere aanvallen op het niveau van de natiestaat vertrouwen op meerdere geheime beveiligingslekken om de beveiliging binnen te dringen. Er wordt aangenomen dat hun makers enorme dividenden betalen om exclusieve toegang te krijgen tot deze zero-day kwetsbaarheden. De NSA begroot $ 25 miljoen voor exploitaankoop in 2013. Frei's onderzoek onthulde dat de prijzen nu veel lager zijn; nog steeds hoog, maar binnen het bereik van cybercriminele organisaties.
Frei citeert een artikel in de New York Times waarin vier exploitanten van boetiekuitbaters werden onderzocht. Hun gemiddelde prijs voor kennis van een nog niet bekendgemaakte kwetsbaarheid varieerde van $ 40.000 tot $ 160.000. Op basis van informatie verkregen van die providers concludeert hij dat ze minstens 100 exclusieve exploits per jaar kunnen leveren.
Verkopers vechten terug
Sommige softwareleveranciers bieden beloningen voor het creëren van een soort crowdsourced onderzoeksprogramma. Een onderzoeker die een voorheen onbekend beveiligingslek ontdekt, kan een legitieme beloning rechtstreeks van de verkoper krijgen. Dat is zeker veiliger dan omgaan met cyber-boeven, of met degenen die verkopen aan cyber-boeven.
Typische beloningen variëren van honderden tot duizenden dollars. Microsoft's "Mitigation Bypass Bounty" betaalt $ 100.000, maar het is geen eenvoudige bugbounty. Om het te verdienen, moet een onderzoeker een "echt nieuwe exploitatietechniek" ontdekken die de nieuwste versie van Windows kan ondermijnen.
Je bent gehackt
Bugbijdragen zijn leuk, maar er zullen altijd mensen zijn die gaan voor de grotere beloning die wordt geboden door aanbieders van boetiekuitbuiting en cybercriminelen. Het rapport concludeert dat elke onderneming of grote organisatie ervan uit moet gaan dat haar netwerk al is gehackt. Het is moeilijk om een zero-day-aanval te blokkeren of zelfs te detecteren, dus het beveiligingsteam moet het ergste plannen met een goed gedefinieerd incidentresponsplan.
Hoe zit het met kleine zakelijke en persoonlijke netwerken? Het rapport spreekt niet over hen, maar ik zou aannemen dat iemand die $ 40.000 of meer betaalde voor toegang tot een exploit het op het grootst mogelijke doel zou richten.
U kunt het volledige rapport lezen op de website van NSS Labs.
