Amb tants errors més vells al voltant, per què preocupar-se dels zero dies?

No obsessioneu-vos per les vulnerabilitats del dia zero i els atacs objectivament altament sofisticats. Els atacants són més propensos a explotar defectes més antics i coneguts en les aplicacions web, per la qual cosa es centren en el manteniment bàsic i la higiene de seguretat.

Entre les deu vulnerabilitats web més freqüent a l’abril es va situar una vulnerabilitat que es va posar en contacte el 2010 i una altra el 2009, va dir a SecurityWatch Barry Shteiman, el director d’estratègia de seguretat d’Imperva. Malgrat la seva edat, tant atacants privats com industrialitzats continuen apuntant-se a aquestes vulnerabilitats, perquè aquestes campanyes d'atac són "lucratives". L'atac no requereix comprar ni desenvolupar costoses explotacions del dia zero "ja que les antigues que estan àmpliament disponibles també funcionen", va dir Shteiman.

Els atacants entenen que les vulnerabilitats més antigues són el fruit de la seguretat de les aplicacions web amb poca pendent. Els atacants es poden sofisticar si cal, i hi ha eines a la seva disposició per elaborar campanyes complexes. Però, per què molestar-se quan la gent s'adhereix amb versions obsoletes d'aplicacions web o els administradors no mantenen una planificació regular de les aplicacions. Shteiman va dir que el problema és encara més freqüent entre les aplicacions àmpliament utilitzades, com ara programes de fòrums, sistemes de gestió de continguts i fins i tot eines de comerç electrònic.

Sistemes en risc

Totes les vulnerabilitats que es van apuntar a l'abril van ser atacs d'injecció, com ara la injecció de fitxers i SQL, i es van combatre totes. El defecte del 2010 va explotar un problema de gestió de privilegis a ZeusCMS 0.2 i el error del 2009 va ser una injecció SQL a Zen Cart 1.3.8 i anteriors. "Les vulnerabilitats mai no moren", va dir Shteiman.

Si els atacants sabien d’un problema en un CMS i que el CMS s’hagués instal·lat 10 milions de vegades, buscar llocs que utilitzin aquesta versió del programari “té sentit”, va dir Shteiman. Cal tenir Google-fu judiciós i res més.

Imperva proporcionava un gràfic de les deu vulnerabilitats dirigides, i apareixen tres coses. La vulnerabilitat "més nova" de la llista és del 2013. Com es pot observar en la puntuació CVSS, les vulnerabilitats no són sofisticades, però tenen problemes molt crítics. I les explotacions no són tan complexes.

Hi ha hagut molts atacs massius contra els populars programes de CMS, inclosos WordPress i Joomla. Amb prou sistemes vulnerables, és molt més barat i fàcil que els atacants busquin aquests sistemes en lloc de fer atacs de dia zero.

Augment del món d’injecció

Shteiman va dir que els atacants només utilitzen vectors atacs existents i descoberts recentment. Per això, la injecció SQL i la secció de comandes de llocs creuats segueixen sent vectors atacs populars. El problema SQLi es va solucionar fa deu anys, però les taxes d'atac són encara elevades. Va escriure el script de llocs web el 40 per cent dels atacs durant els últims tres mesos i la injecció SQL un 25 per cent.

"Si tenim cura per al càncer, espereu veure un descens de les taxes de mortalitat. Però no és el cas per a la injecció de SQL", va dir Shteiman.

Una ràpida ullada a Exploit-db.com confirma les observacions de Shteiman. De les set explotacions que figuren a les aplicacions web, cinc han tractat d’alguna manera amb programari fora de la plataforma, com WordPress, AuraCMS o la plataforma de negocis socials Sharetronix. Els atacs d'injecció de XSS i SQL també es van mostrar freqüentment.

Els administradors, tant si gestionen llocs que tenen milions d’usuaris cada dia com si un lloc amb una presència en línia més reduïda, han de garantir que pateixen regularment el seu programari. Molts desenvolupadors de CMS han simplificat el procés d’actualització dins del seu programari i hi ha eines per ajudar a identificar totes les aplicacions que s’han instal·lat. Les funcions que no s’utilitzen s’han de desactivar.

Segur, els atacs del dia zero i els atacs objectiu fan por. Però si els atacants busquen les vostres dades i el vostre lloc (i les probabilitats són altes, algú ho farà), no us ho facilitarà tenint forats al vostre programari. Pegau, executeu eines d'avaluació i busqueu un comportament sospitós. La vigilància és clau.