- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Datenbank für IT-Angriffsanalysen


Software-Sicherheitslücken: Im ersten Halbjahr 2015 mehr Schwachstellen gemeldet als 2004 insgesamt, ermittelt das HPI
In HPI-Datenbank registrierte Software-Schwachstellen nehmen zu - Hasso-Plattner-Institut hat eine Halbjahresbilanz zu den weltweit registrierten Software-Sicherheitslücken gezogen

(20.08.15) - Allein in der ersten Hälfte dieses Jahres sind weltweit 2.662 Software-Sicherheitslücken gemeldet worden - mehr als im gesamten Jahr 2004. Darauf hat das Hasso-Plattner-Institut (HPI) aufmerksam gemacht. Nach Analyse des Potsdamer Uni-Instituts nehmen vor allem die mittelschweren Software-Schwachstellen deutlich zu. Diese hätten im vergangenen Jahr ihren bisherigen absoluten Höchststand erreicht, sagte HPI-Direktor Prof. Christoph Meinel. Hingegen nehmen nach seinen Angaben die Sicherheitslücken höchsten Schweregrades seit 2008 ab. Das HPI führt dies auf starke Bemühungen der Hersteller in den letzten Jahren zurück, besonders die kritischsten Lücken zu beseitigen.

"Das einfache Zählen von veröffentlichten Schwachstellen stellt sicher kein vollständiges Maß für die Sicherheit von Software dar", sagte HPI-Direktor Prof. Christoph Meinel. Ein möglicher Grund für den Anstieg sei, dass verschiedene neue und verbesserte Methoden und Werkzeuge zum Auffinden von Schwachstellen eingesetzt werden. Darüber hinaus spiele die Popularität der Software und das Sicherheitsbewusstsein der Softwarehersteller eine wichtige Rolle.

"Eine Software, die viele Nutzer hat, lockt auch das Interesse von Sicherheitsforschern und Angreifern an, die wiederum auch potenziell mehr Schwachstellen finden. Des Weiteren investieren viele große Hersteller inzwischen viel Zeit, um Schwachstellen in Ihren eigenen Produkten zu finden", betonte Meinel.

Das Hasso-Plattner-Institut sammelt in einer eigenen Datenbank für IT-Angriffsanalysen ausschließlich Informationen aus mehreren frei verfügbaren Schwachstellen-Datenbanken - zum Beispiel der National Vulnerability Database der USA - und stellt sie in maschinenlesbarer Form zur Abfrage bereit. Die Einstufung der Schwachstellen nach Kritikalität erfolgt auf Basis des freien und offenen Industriestandards "Common Vulnerability Scoring System" (CVSS). Auf dieser Grundlage können statistische Aussagen über die Natur und Häufigkeit von veröffentlichten Schwachstellen getroffen werden. "Rückschlüsse darauf, wie viele unbekannte oder sogar unentdeckte Schwachstellen noch in einer Software stecken, lässt das aber nicht zu", unterstrich der Wissenschaftler.

Meinel verwies darauf, dass verbreitete Verfahren wie das so genannte Sandboxing (Software wird in einer in sich geschlossenen, von den übrigen Systemressourcen isolierten Umgebung ausgeführt) oder die zufallsgemäße Speicherverwaltung Software im Prinzip sicherer machen.

Bei Betriebssystemen und Browsern liegt jeweils Microsoft vorn
Laut Halbjahresanalyse 2015 des HPI liegt bei den kritischen Sicherheitslücken in Betriebssystemen die Windows XP-Software mit 511 gemeldeten Schwachstellen an erster Stelle. Apples MAC OSX-System rangiert auf Platz 2 (429 Meldungen), Linux auf Platz 9 der Rangliste (297 Registrierungen). "Hierbei muss man natürlich berücksichtigen, dass potenzielle Angreifer ein weit verbreitetes Betriebssystem intensiver untersuchen, um entdeckte Schwachstellen dann viel häufiger missbrauchen zu können", sagte der Potsdamer Informatikprofessor.

Bei den kritischen Schwachstellen in Applikationen liegen die Browser Internet Explorer von Microsoft (806 Veröffentlichungen), Google Chrome (660) und Mozilla Firefox (613) auf den ersten drei Plätzen der Liste. Der Adobe Flash Player folgt mit 425 Meldungen auf Platz 4. Bei Mozillas Thunderbird auf Platz 5 wurden 413 und beim Seamonkey auf dem sechsten Platz 393 Schwachstellen gemeldet. Andere Software-Anwendungen wie Microsoft Office (mit 280 Meldungen auf Platz 9) folgen mit deutlichem Abstand.

Browser am häufigsten Ausgangspunkt für Hackerangriffe
Browser seien ein idealer Ausgangspunkt für Hackerangriffe, da sich die Nutzer mit dem Browser im Internet bewegen und so einen Startpunkt für Angriffe bieten, erklärte Meinel. Die von den Browsern verwendete Darstellungs-Software für Internet-Inhalte werde stets komplexer, weil Webseiten immer häufiger aus immer "bunteren" Multi-Media-Formaten dynamischen Inhalten aufgebaut seien, die richtig angezeigt werden müssten. Deshalb wachse die Gefahr, die dort von Schwachstellen ausgehe.

Laut der neusten HPI-Analyse verteilen sich die Auswirkungen der gemeldeten Schwachstellen zu jeweils 12 bis 17 Prozent auf Probleme mit der Verfügbarkeit, der Integrität und der Vertraulichkeit der Software. In 53 Prozent der Fälle sind sogar alle drei Problembereiche zusammen betroffen. "Die Verfügbarkeit bezieht sich hierbei auf die Erreichbarkeit des Dienstes", erläuterte Meinel. Mit dem Begriff Integrität sei die Möglichkeit des unbefugten Schreibzugriffes bezeichnet, der eine Änderung der Daten beziehungsweise des Systems zur Folge haben kann. In der Kategorie Vertraulichkeit sei alles erfasst, was mit dem Lesezugriff auf sensible Daten wie zum Beispiel Passwörter zusammenhänge.

Gemeldete Schwachstellen im Vorjahr auf neuem Höchststand
Wie aus der Analyse des Potsdamer Instituts hervorgeht, wurden im kompletten Vorjahr 7.143 Schwachstellen gemeldet. Der Wert von 2014 lag damit im 15-Jahresvergleich knapp über den bisherigen Höchstständen von 2006 und 2008. Damals hatte es rund 6.980 veröffentliche Hinweise auf so genannte "Vulnerabilities" gegeben. Derzeit sind in der entsprechenden Datenbank des HPI für IT-Angriffsanalysen mehr als 70.000 Informationen zu Schwachstellen gespeichert, die in fast 177.000 betroffenen Softwareprogrammen von gut 15.000 Herstellern vorhanden sind.

Mithilfe der Datenbank können auch alle Internetnutzer auf der Seite https://hpi-vdb.de ihren Browser kostenlos auf erkennbare Schwachstellen überprüfen lassen, die Cyberkriminelle oft geschickt für Angriffe missbrauchen. Das System erkennt die verwendete Browserversion - einschließlich gängiger Plugins - und zeigt eine Liste der bekannten Sicherheitslücken an. Eine Erweiterung der Selbstdiagnose auf sonstige installierte Software ist vom HPI geplant. (Hasso-Plattner-Institut: ra)


Hasso-Plattner-Institut: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Adware im Google Play Store

    Avast hat mit der Mobile Threat Intelligence-Plattform "apklab.io" 50 Adware-Apps im Google Play Store identifiziert, die jeweils zwischen 5.000 und 5 Millionen Installationen zählen. Die von Avast als TsSdk bezeichneten Apps blenden dauerhaft Anzeigen im Vollbildmodus ein und einige versuchen dadurch den Benutzer zur Installation weiterer Apps zu verleiten. Hinter den betroffenen Anwendungen stehen Android-Bibliotheken von Drittanbietern, welche die Hintergrunddienst-Einschränkungen, die in neueren Android-Versionen vorhanden sind, umgehen. Das ist zwar im Play Store nicht explizit verboten, jedoch erkennt Avast das Verhalten als Android:Agent-SEB [PUP], da die Apps den Akku des Benutzers belasten und das Gerät verlangsamen. Die Anwendungen zeigen dem Benutzer kontinuierlich immer mehr Einblendungen an, was wiederum die Regeln des Play Store verletzt. Avast-Sicherheitsforscher haben Google kontaktiert, um die Apps entfernen zu lassen.

  • Sicherheitsmängel in Industrieanlagen gravierend

    Eine verschlüsselte Datenübertragung per SSL/TLS ist ein richtiger Schritt zur Absicherung der IT-Infrastruktur eines Unternehmens. Die Einbindung von SSL-Zertifikaten auf Webseiten dient dazu, dass Daten, die zwischen zwei Computern übertragen werden, verschlüsselt werden und somit vor dem Zugriff Unbefugter geschützt sind. "Das allein nützt aber nichts, wenn Zugangsdaten zu internetbasierten Anwendungsoberflächen im Anmeldefenster bereits voreingetragen sind und so Unbefugte leicht Zugang zu Daten und Prozessen erlangen. Benutzername und Passwort dürfen ausschließlich berechtigen Personen bekannt sein", mahnt Christian Heutger, Geschäftsführer der PSW Group.

  • Datenschutz vorzugsweise in verteilten Umgebungen

    Daten, Daten, Daten! Nur wohin damit, wenn es um deren Schutz geht? Die Cloud scheint bei europäischen Unternehmen kein adäquate Backup-Lösung zu sein. Sie vertrauen in der Mehrheit immer noch ganz traditionell auf Plattformanbieter wie Microsoft, um ihre Daten zu schützen. So offenbart es eine aktuelle Studie von Barracuda Networks, die die Antworten von 432 IT-Experten, Geschäftsführern und Backup-Administratoren als Befragungsgrundlage hat. Ziel war es, die Einstellung der EMEA-Organisationen zu Backup und Wiederherstellung zu untersuchen.

  • Cyber-Spionage zum Wettbewerbsvorteil

    Immer mehr Autos sind mit dem Internet verbunden - damit steigt auch das Risiko, Ziel eines Hacker-Angriffs zu werden. Dass Hacker ein Auto aus der Ferne übernehmen, ist technisch bereits möglich. Jedoch haben Cyber-Bedroher nicht nur einzelne Autos im Fokus, sondern führen gezielte und strategische Cyberspionage-Angriffe gegen die gesamte Automobilindustrie inklusive der Zulieferer durch, um sich einen Wettbewerbsvorteil zu verschaffen. FireEye hat in den vergangen Jahren zahlreiche Vorfälle beobachtet, in denen es Bedrohern - hauptsächlich aus China - gelang, in die Automobilindustrie einzudringen. Weitere Aktivitäten auf die Automobilindustrie wurden von Bedrohern aus Nordkorea und Vietnam beobachtet.

  • Social Engineering weiter auf dem Vormarsch

    Angesichts wachsender Angriffsflächen, zunehmend raffinierter Angriffe und dynamischer Bedrohungslandschaften müssen IT-Abteilungen das Thema IT-Security mit höchster Priorität angehen. Die Security-Experten von Controlware geben Tipps, welche Trends und Entwicklungen in den kommenden Monaten besondere Aufmerksamkeit verdienen. "Das Jahr 2019 begann mit einer Serie von Datendiebstählen, bei denen Prominente und Politiker gezielt ins Visier genommen wurden - und gab uns damit wieder einen Hinweis auf die Bedrohungen, denen wir uns stellen müssen. Wir gehen davon aus, dass sich die Bedrohungslage auch in den kommenden Monaten nicht entspannen wird", berichtet Mario Emig, Head of Information Security Business Development bei Controlware. "Positiv ist, dass demnächst wichtige technologische Innovationen Marktreife erreichen werden. Unternehmen erhalten damit die Chance, ihre IT-Security auf ein höheres Level zu heben - und können sich proaktiv vor Bedrohungen schützen."