Secunia: Report per la prima metà del 2010

Un primo report del 2010 ce lo offre Secunia.com. Interessante da leggere e non eccessivamente lungo, ci dà la possibilità di fare qualche considerazione a riguardo di advisory, vulnerabilità, vettori di attacco e altro. In un arco temporale che va dal 2005 e comprende una estrapolazione per tutto il 2010 basata sui primi 6 mesi.

Dato che i grafici presenti nel rapporto sono abbastanza esplicativi, invece che inondarvi di parole, vi invito ad osservare attentamente i suddetti, che riporto di seguito:

Secunia Advisory

Top 10 Vendors vulnerability

Interessante vedere che i Vendor che sembrano essere afflitti dal maggior numero di vulnerabilità sono Apple e Oracle, con la prima che guadagna terreno (in senso negativo) rispetto alla seconda. Anche Secunia, analizzando i dati, arriva alla conclusione che le analisi sembrano supportare la percezione che un alto market share sembra implicare un alto numero di vulnerabilità.

"This analysis also supports the general perception that a high market share correlates with a high number of vulnerabilities. Apple (iTunes, Quicktime), Microsoft (Windows, Internet Explorer), and Sun Microsystems (Java, now part of Oracle) consistently occupy the top ranks during the last five years, with Adobe (Acrobat Reader, Flash) joining the group in 2008. The ranking shown in Figure 2 does not indicate the actual security (or lack thereof) in the different vendors products; it rather shows that vulnerabilities continue to be discovered in significant numbers in products from even the largest and most popular vendors including those who spend significant resources on improving the security of their products."

Inoltre che Adobe sia al quarto posto, sembra essere una conferma di quello che gli addetti del settore sanno da tempo: i reader Acrobat oramai sono un vettore d'attacco privilegiato e quindi l'interesse nella disclosure di vulnerabilità è più elevato.

Attack Vector Types

I tipi dei vettori di attacco sono, in percentuale rispetto agli Advisory, più elevati per gli attacchi in remoto e molto meno per quelli in locale e da rete locale. Non si deve però pensare che queste due ultime tipologie di attacchi siano poco pericolose. Questi attacchi, sebbene siano in percentuale minore, sono però estremamente più pericolosi perché fatti da insider, che quindi possono sfruttare la situazione ambientale per, a parità di vettore di attacco, massimizzare l'impatto. Viceversa, un attaccante remoto, sebbene abbia più "modi" di attaccare il sistema, conosce meno l'infrastruttura ed il danno potenziale è più basso.

Advisory Criticality

Questo diagramma secondo me è da considerare solo di riferimento e come linea generale. La criticità di un advisory infatti va sempre contestualizzata rispetto all'infrastruttura di riferimento.

Top 6 Impact Classes

Il trend di crescita dell' "Exposure of sensitive information" è preoccupante e conferma la percezione generale. Il nuovo problema delle aziende e delle pubbliche amministrazioni è l'esposizione di dati sensibili.

End User PC security: 3rd party vs. Windows XP (CVE)

Che Firefox, Safari e Java, ed in generale i prodotti di terze parti, siano i principali artefici delle vulnerabilità su Windows la dice lunga su quale sia il problema oggigiorno delle piattaforme Microsoft. Se non possono attaccare componenti di sistema, si dirottano sulle applicazioni di terze parti. Mi pare abbastanza ovvio!

In sostanza è inutile spendere ulteriori risorse per mettere in sicurezza il SO. Forse un meccanismo di aggiornamento stringente anche per applicazioni di terze parti aiuterebbe quantomeno a limitare il periodo di tempo in cui il sistema, nel suo complesso, è esposto ad attacchi.

Difficile da realizzare se non con accordi e API a basso livello opportunamente progettate.