Výroční zpráva X-force 2008

Výzkumný a vývojový tým IBM Internet Security Systems X-Force ® odhaluje, analyzuje, monitoruje a zaznamenává širokou škálu počítačových bezpečnostních rizik a možností ohrožení. Podle pozorování X-Force se v průběhu roku 2008 objevila celá řada nových a překvapivých rizik. Doufáme, že informace o nich, uvedené v tomto reportu, vám poskytnou základní informace, s jejichž pomocí budete moci navrhnout bezpečnostní politiky svých informačních systému pro rok 2009 i pro roky následující.
Bezpečnostní odborníci vynakládají velké úsilí k tomu, aby zhodnotili bezpečnostní rizika a věnovali maximální pozornost všem potenciálním alternativám ohrožení firem a zákazníků těmito jednotlivými riziky. Útočníci, kteří se snaží svými aktivitami profitovat, aplikují nicméně v některých případech kritéria, které nejsou bezpečnostní odborníci vždy schopni brát v potaz, jako například náklady na zpeněžení získaných dat či celkový zisk. V roce 2008 se objevila celá řada kritických bezpečnostních rizik, z nichž některá nebyla zneužita ve velké míře. První část tohoto reportu, „Exploitační ekonomika: Co se v roce 2008 nestalo a proč“ na straně 5 probírá tento jev podrobněji a poskytuje některá ponaučení, která mohou v našem oboru přispět k budoucímu lepšímu odhadu možných škod s podobnými bezpečnostními riziky spojených.
Počítačoví zločinci hledají informace, které mohou rychle a výhodně zpeněžit. To v zásadě zahrnuje údaje o kreditních kartách zákazníků a přístupové údaje k bankovním účtům. Ačkoliv někdy se útočníci pokoušejí získat velké množství takovýchto informací z firemních serverů a sítí, velká část z nich je zprostředkována spywarem, běžícím přímo na klientských stanicích.
Společnosti jsou také pokročilými záplatovacími a ochrannými mechanismy schopni vytvořit útočníkovi větší množství překážek (zvýšit náklady na zpeněžení dat a snížit jeho celkový zisk). Zákazníci, kteří se obvykle chrání výrazně hůře, bezpečnostní záplaty instalují jen příležitostně a obecně se v oboru počítačové bezpečnosti příliš neorientují, zůstávají ovšem stále snazším cílem. Jasným ukazatelem tohoto problému jsou přetrvávající dlouhodobá zneužívání problémů internetových prohlížečů, zejména prvků ActiveX. Nová bezpečnostní rizika, jakými jsou například využívání souborů PDF nebo multimediálních aplikací jako Flash, obsahujících integrované prvky, umožňující zneužití dat, se ale začínají objevovat stále častěji a zejména na konci roku došlo k nárůstu jejich uplatnění.

Některé druhy firemních aplikací, zejména zákaznický software, jakým jsou například webové aplikace, zůstávají stále vysoce výhodným a snadným cílem útočníků. Už jen samotné množství nových bezpečnostních rizik, z nichž pro většinu neexistují odpovídající bezpečnostní záplaty, spojené se stovkami tisíc zákaznických aplikací, které mohou být také napadeny (aniž by přitom došlo k lokalizaci bezpečnostního rizika s nimi spojeného, natož k jeho zajištění), zůstávají i nadále Achillovou patou firemní bezpečnosti. Útočníci se stále soustředí na webové aplikace, jejichž prostřednictvím, zejména využitím SQL injection, nasazují do systémů nic netušících uživatelů, kteří navštěvují napadnutelné stránky, malware.

Bezpečnostní rizika

• Rok 2008 se stal za dobu, po kterou X-Force monitoruje bezpečnost informačních systémů, tím nejfrekventovanějším – oproti roku 2007 došlo k nárůstu množství útoků o 13,5 procenta
• Stoupla celková závažnost útoků, přičemž množství vysoce a kriticky závažných útoků stouplo o 15,3 procenta, a množství středně závažných o 67,5 procenta.
• Podobně jako v roce 2007 bylo možné v roce 2008 zneužít téměř 92 procent bezpečnostních rizik vzdáleně.
• Ze všech bezpečnostních rizik, odhalených v roce 2008, je jich jen 47 procent možné odstranit bezpečnostními záplatami od autora daného software. Ne vždy se také autoři programů zaměřují na starší problémy. Na konci roku 2008 stále neexistovala oprava pro 46 procent problémů z roku 2006 a 44 procent z roku 2007.
• Dvěma největšími skupinami bezpečnostních rizik v roce 2008 byly webové aplikace s 55 procenty a rizika v software na koncových stanicích, kterých bylo zhruba 20 procent.
• Co se operačních systémů týče, bylo nejvíce bezpečnostních rizik za poslední tři roky odhaleno v operačních systémech firmy Apple a v linuxovém kernelu.

Rizika, spojená s webovými službami

• Množství nových internetových stránek se škodlivým obsahem za čtvrté čtvrtletí roku 2008 překročilo jejich množství za celý rok 2007 o 50 procent. V loňském roce se místo USA jakožto země, hostící nejvíce stránek se škodlivým obsahem, vyhoupla Čína.
• I bezpečné stránky se potýkají s problémy. Zejména webové aplikace jsou stále rizikovější a jde současně o velice výhodný cíl útoků, s jejichž pomocí si internetoví zločinci budují sítě tzv. botů.
• Spammeři zaměřují svou pozornost na web. URL spam (spam, který neobsahuje téměř nic jiného než odkaz na internetovou stránku, která zobrazí vlastní spamovou zprávu) se letos stal hlavní formou spamu, a spammeři stále častěji využívají známých domén, jakými jsou zpravodajské či blogovací stránky, aby na nich hostovali svá data.
• Webové aplikace se obecně staly Achillovou patou firemní počítačové bezpečnosti. Takřka 55 procent všech bezpečnostních rizik, odhalených v roce 2008, se týká webových aplikací, a toto číslo nezahrnuje bezpečnostní rizika, obsažená v zákaznických webových aplikacích (pouze obecně dostupné produkty). 74 procent všech bezpečnostních rizik webových aplikací, odhalených v roce 2008, nemělo na konci roku k dispozici žádnou existující opravu.
• SQL injection zaznamenalo v loňském roce nárůst o 137 procent a nahradilo cross-site scripting jakožto hlavní forma bezpečnostních útoků na internetu.
• Zneužití stránek, napadnutelných prostřednictvím SQL injection, narostlo z průměrných několika tisíc za den, když se poprvé objevilo počátkem roku 2008, na několik stovek tisíc denně na konci roku 2008.
• Kromě zmíněných rizik vyžaduje řada webových aplikací používání prvků ActiveX, u kterých už byla odhalena bezpečnostní rizika, což návštěvníky takovýchto stránek, kteří nemají aktualizované prohlížeče, vystavuje riziku napadení.
• Ačkoliv oproti roku 2007 kleslo množství be zpečnostních rizik, spojených s internetovými prohlížeči, stále zůstávají hlavním prostředkem napadení. Narůstá množství nových způsobů ohrožení klientů, zejména v oblasti podvodných dokumentů, multimediálních aplikací a potenciálně i Java aplikací, které je velice snadné hostovat na internetu.

Spam a „rybaření“ (phishing)

• Největší dopad na množství, ale také na druh spamu a na země, ze kterých je spam nejčastěji posílán, mělo v roce 2008 odstavení společnosti McColo.
• Ačkoliv po tomto odstavení množství spamu kleslo, experti předpokládají, že v prvním čtvrtletí roku 2009 dojde k navrácení jeho množství na původní úroveň.
• V roce 2008 byl komplexní spam (PDF dokumenty, obrázky atd.) nahrazen jednoduchým spamem (textovým nebo zprostředkovaným prostřednictvím URL), přičemž na konci roku byl kladen důraz na URL spam. Spammeři stále častěji využívají známé domény, jakými jsou adresy blogovacích systémů či zpravodajských webů, aby na nich hostovali svůj spam.
• Ačkoliv většina spamových URL využívá domény .com, lze pozorovat znatelný nárůst využití domény .cn, a co se kritických URL týče, množství těch, která jsou hostována v Číně, překročil v letošním roce množství amerických.
• Více než 97 procent spamových URL je v provozu týden či kratší dobu.
• Co se serverů rozesílajících spam týče, předstihlo v roce 2008 Spojené státy Rusko, které bylo zodpovědné za 12 procent spamu, rozeslaného v roce 2008.
• Od dříve populárního spamu prostřednictvím oblíbených předmětů mailu je postupně upouštěno. V porovnání s rokem 2007 zaujímal tento druh spamu výrazně menší procento z celkového počtu. Spammeři a rhybáři se stávají rafinovanějšími a ve své podstatě vynakládají větší úsilí na to, aby jejich spam dorazil až k adresátovi. V roce 2007 představoval spam prostřednictvím nejpopulárnější předmětů mailu zhruba 40 procent spamu, v roce 2008 toto číslo kleslo na pouhých 6,23 procenta ze všech předmětů, používaných ve spamových a rhybářských emailech.
• Dalším trendem roku 2008 je zaměření na činnost ze strany adresáta. Než aby takový mail obsahoval standardní upozornění typu „security alert“, pokoušejí se rhybáři zlákat uživatele k tomu, aby se zapojil do nějaké činnosti, například oznámením o nutnosti aktivovat zablokovaný uživatelský účet či aktualizovat informace v něm.
• Většina rybaření – takřka 90 procent – se zaměřuje na finanční instituce. Více než 99 procent všech finančních cílů rhybářů se nachází ve Spojených státech nebo v Evropě, přičemž většina z nich je v Severní Americe (58, 4 procenta).

Malware

• 46 procent všeho malware, identifikovaného v roce 2008, byly trojské koně. Po celý rok pak dominovaly trojské koně, zaměřené na hráče online her (Onlinegames, Magania) a na online bankovnictví (Banker a Banload), což indikuje, že šlo v roce 2008 o nejohroženější skupiny uživatelů.