Rośnie liczba wykrywanych luk bezpieczeństwa, ale i szybkość ich łatania
W oprogramowaniu komputerowym jest znajdywanych coraz więcej luk bezpieczeństwa, ale jednocześnie są one łatane coraz szybciej, przynajmniej w większości przypadków – właśnie w taki sposób można podsumować raport przygotowany przez firmę Secunia, która postanowiła wziąć pod lupę ubiegły rok. Sprawdzono wiele popularnych aplikacji, w tym przeglądarki internetowe i czytniki PDF.
Dane dostępne w firmie zajmującej się zabezpieczeniami mówią o ponad 15 tysiącach luk wykrytych w 3870 programach tworzonych przez 500 różnych firm. W ciągu ostatnich pięciu lat liczba podatności wzrosła o 55%, w odniesieniu do roku 2013 wzrost wynosił 18%. Wzrost jest spory, a pamiętajmy, że informacje te dotyczą tylko monitorowanych aplikacji, a także tych zagrożeń, które zostały odkryte i zgłoszone do wiadomości publicznej. Nigdy nie dowiemy się, jak wygląda prawdziwa skala zagrożenia, tym bardziej, że autorzy szkodników nie chcą dzielić się wiedzą, jaką mogą wykorzystać do osiągnięcia zysków.
Choć liczby te mogą budzić strach, niezwykle istotna jest jeszcze jedna informacja. Dotyczy ona czasu reakcji na wykryte zagrożenia. W 83% przypadków odpowiednia poprawka była dostępna już w dniu wykrycia. Pokazuje to, że coraz więcej firm bardzo poważnie podchodzi do kwestii bezpieczeństwa i stara się reagować na zgłoszenia najszybciej, jak to tylko możliwe. Istotna jest tu współpraca i akcje mające na celu przyśpieszenie tworzenia poprawek – jeżeli jedna firm znajdzie lukę w oprogramowaniu innej, zgłasza to, a także wyznacza termin, po którym błąd zostanie ogłoszony publicznie. O działaniu tego systemu przekonał się na własnej skórze Microsoft, którego błędy upubliczniło Google. Choć kwestia tego typu zachowania jest dyskusyjna, „dodatkowa motywacja” niewątpliwie pomaga w łataniu aplikacji i systemów.
Niestety znacznie gorzej wygląda sytuacja w dłuższej perspektywie. Po 30 dniach od odkrycia luki, wskaźnik dostępności poprawki wynosił 84,3% - w ciągu miesiąca na zgłoszenia zareagowano w zaledwie 1,3% przypadków. Oznacza to ni mniej ni więcej, że albo luka zostanie załatana od razu, albo szanse na jej naprawienie w przyszłości spadają. W takiej sytuacji zarówno użytkownicy domowi jak i biznesowi nie mogą pozwolić sobie na zrezygnowanie z oprogramowania zabezpieczającego. Ryzyko płynące z niezałatanych dziur jest zbyt duże, aby pozwolić sobie na tego typu luksus.
W raporcie znajdziemy także informacje o liczbie podatności w popularnych aplikacjach i poziomie ich zagrożenia. O ile 11% ze wszystkich oznaczono jako bardzo ważne, o tyle tylko 0,3% stanowiły dziury krytyczne. Wzrosła za to liczba zagrożeń zero-day, czyli wykorzystywanych przez atakujących jeszcze przed wykryciem przez osoby zajmujące się bezpieczeństwem: z 14 do 25. Aż 1035 podatności wykryto w popularnych przeglądarkach, co stanowi wzrost o 42% w porównaniu do roku 2013. Najbardziej dziurawy okazał się Google Chrome, jego wynik to bowiem aż 504 wykryte podatności. Biorąc pod uwagę rosnącą popularność tej przeglądarki, nie napawa to optymizmem. Aplikacja będąca naszym oknem na świat jest zarazem jedną z najbardziej dziurawych i warto mieć to na uwadze.
Znacznie lepiej wygląda kwestia czytników PDF, które również stanowią częsty cel ataków. W ubiegłym roku wykryto w nich 45 dziur, niemal o połowę mniej niż dwa lata temu. Niechlubny prym nadal wiedzie Adobe Reader: aż 43 podatności dotyczą właśnie tego oprogramowania, jest ono zarazem najpopularniejszym wyborem użytkowników (około 85% udziału na rynku). Na drugim miejscu znalazł się Foxit Reader z zaledwie dwoma lukami. W innych czytnikach takich jak SumatraPDF czy PDF-XChange Viewer nie znaleziono nowych miejsc do ataku, ale nie oznacza to, że są one bezpieczne. Większość oprogramowania nadal posiada niezałatane luki z lat poprzednich.
Jak możemy bronić się przed wykorzystaniem luk w oprogramowaniu, z którego korzystamy? Pierwszą linią ochrony są oczywiście systemy antywirusowe. Dobrym rozwiązaniem jest wykorzystanie programów, które pozwalają zabezpieczyć się przed expolitami, zarówno przy pomocy mechanizmów systemowych, jak i autorskich rozwiązań. W bazie naszego serwisu znajdziecie dwie darmowe aplikacje tego typu: udostępniany przez firmę Microsoft pakiet do ograniczania ryzyka EMET, a także Malwarebytes Anti-Exploit dostosowane do ochrony najpopularniejszych aplikacji wykorzystywanych na komputerach z systemem Windows.