Vídeo: Não seja O CARA QUE FICA no celular (João Caetano) (Outubro 2024)
A empresa de informação suíça High-Tech Bridge fez a notícia no ano passado, envergonhando o Yahoo de oferecer mais do que apenas uma camiseta como recompensa por insetos. Esse tipo de pesquisa não é o que os pesquisadores da HTB fazem todos os dias. Seu foco principal é identificar vulnerabilidades e liberar avisos de segurança relacionados às suas descobertas. O grupo lançou 62 conselhos em 2013 e viu uma melhoria geral na capacidade de resposta do setor.
Reparos mais rápidos
De acordo com um relatório HTB recém-lançado, os fornecedores lançaram patches para problemas relatados muito mais rapidamente do que em 2012. Além disso, "a grande maioria dos fornecedores alertou seus usuários finais sobre vulnerabilidades de maneira justa e rápida", onde no passado muitos corrigiu silenciosamente o problema ou minimizou o risco. O relatório chamou a Mijosoft (não a Microsoft) por práticas inadequadas de segurança.
O tempo médio para corrigir vulnerabilidades críticas diminuiu de 17 dias em 2012 para 11 dias em 2013, uma redução impressionante. As vulnerabilidades de risco médio foram ainda melhores, passando de 29 para 13 dias. Isso é progresso, mas há espaço para melhorias. O relatório observa que "11 dias para corrigir vulnerabilidades críticas ainda são um atraso bastante longo".
Maior complexidade
Segundo o relatório, está ficando mais difícil para os bandidos identificar e explorar vulnerabilidades críticas. Eles estão tendo que recorrer a técnicas como ataques encadeados, onde explorar uma vulnerabilidade crítica só é possível depois de violar com êxito uma não crítica.
Algumas vulnerabilidades foram rebaixadas de alto risco ou crítico para médio risco durante 2013. Especificamente, essas são explorações que só podem ser realizadas depois que o invasor é autenticado ou logado. O relatório observa que os desenvolvedores precisam pensar em segurança, mesmo em áreas apenas acessível a usuários confiáveis, já que algumas dessas partes "de fato podem ser bastante hostis".
Os desenvolvedores internos precisam prestar atenção extra à segurança. Injeção de SQL e scripts entre sites são os ataques mais comuns, e os aplicativos internos são as vítimas mais comuns desses ataques, com 40%. Os plugins do Sistema de Gerenciamento de Conteúdo (CMS) são os próximos, com 30%, seguidos pelos pequenos CMSs, com 25%. Violações em CMSs realmente grandes, como Joomla e WordPress, geram grandes novidades, mas, de acordo com o HTB, elas representam apenas 5% do total. Muitas plataformas de blogs e CMSs permanecem vulneráveis simplesmente porque seus proprietários não conseguem mantê-los totalmente corrigidos ou falham em configurá-los adequadamente.
Então, como você evita que seu site ou CMS seja comprometido? O relatório conclui que você precisa de "testes híbridos quando testes automatizados são combinados com testes manuais de segurança por um ser humano". Não será surpresa saber que o High Tech Bridge oferece exatamente esse tipo de teste. Mas eles estão certos. Para segurança real, você quer que os mocinhos atacem e mostrem o que você precisa corrigir.
