Sie sind hier: Home » Virenwarnung » Statistiken

Hauptursache für Sicherheitsprobleme

16.081 Schwachstellen in knapp 2.500 Anwendungen im Jahr 2015
Software Vulnerabilities sind eine Hauptursache für Sicherheitsprobleme

(12.04.16) - Flexera Software, Anbieterin von Software-Lizenzierung, Compliance, Security- und Installations-Lösungen für Softwarehersteller und Unternehmen, hat den Vulnerability Review 2016 veröffentlicht. Der Jahresreport legt weltweite Zahlen zu den häufigsten Schwachstellen, der Verfügbarkeit von Patches und zu Sicherheitsrisiken innerhalb von IT-Infrastrukturen vor. Darüber hinaus wurden Sicherheitslücken der 50 am weitesten verbreiteten Anwendungen auf privaten PCs untersucht.
Software Vulnerabilities sind eine Hauptursache für Sicherheitsprobleme. Über fehlerbehaftete Software verschaffen sich Hacker Zugang zu IT-Systemen. 2015 zählte Secunia Research von Flexera Software insgesamt 16.081 Schwachstellen in 2.484 Anwendungen von 263 verschiedenen Anbietern. Die Bandbreite der Ursachen verdeutlicht mit welchen Herausforderungen IT-Teams konfrontiert sind, wenn es darum geht, ihre IT-Umgebung vor Angriffen zu schützen. Um die Kontrolle über die IT-Systeme zu behalten, brauchen IT-Teams neben dem vollständigen Überblick über alle laufenden Anwendungen auch restriktive Richtlinien und festgelegte Prozesse, die bei der Aufdeckung von Schwachstellen greifen.

Zahl der Anwendungen und Anbieter sinkt
Im Vergleich zum Vorjahr mit 15.698 Schwachstellen in 3.907 Anwendungen von 514 Anbietern ist sowohl die Zahl der Anwendungen (36 Prozent) als auch die der Anbieter (49 Prozent) deutlich zurückgegangen. „Dieser Rückgang erklärt sich vor allem durch die Fokussierung von Secunia Research auf Systeme und Anwendungen, die im Umfeld von Software Vulnerability Management-Lösungen von Flexera zum Einsatz kommen“, erklärt Kasper Lindgaard, Director of Secunia Research bei Flexera Software. „Grund für die Neuausrichtung ist der kontinuierliche Anstieg der Sicherheitslücken, die in den letzten Jahren aufgedeckt wurden. Ähnliche Strategien werden auch von anderen Research-Instituten wie CVE Mitre verfolgt.”

Patch Rate und Zero Day Vulnerabilities
Weitere Ergebnisse des Vulnerability Review 2016 bestätigen die Trends der Vorjahre: wie 2014 wurden auch im vergangenen Jahr 25 Zero Day Vulnerabilities gezählt. Mit Blick auf die 50 am weitesten verbreiteten Anwendungen auf privaten PCs fanden sich in Microsoft-Programmen 21 Prozent aller registrierten Schwachstellen, während 79 Prozent der Schwachstellen auf Nicht-Microsoft-Programme entfielen. Für die meisten aufgedeckten Sicherheitslücken (84 Prozent) waren am gleichen Tag noch Sicherheitsupdates verfügbar. Der Anteil verfügbarer Patches innerhalb von 30 Tagen nach Bekanntgabe stieg lediglich um ein Prozent. Besonders für Unternehmen mit einer Vielzahl von Endgeräten – einschließlich Geräten, die nicht permanent im Unternehmensnetzwerk eingebunden sind – stellt das eine Herausforderung dar. Sie benötigten vielfältige Software-Vulnerability-Management-Lösungen für einen ausreichenden Schutz.

Die wichtigsten Ergebnisse des Vulnerability Review 2016 im Überblick:

Gesamtzahlen zu allen Anwendungen
>> 2015 wurden insgesamt 16.081 Schwachstellen in 2.484 Anwendungen von 263 Anbietern entdeckt.

>> Für 84 Prozent der Schwachstellen in 2015 waren schon am Tag der Bekanntgabe Sicherheitsupdates verfügbar.

>> Von den in 2015 aufgedeckten 16.081 Sicherheitslücken galten 13,3 Prozent als „sehr kritisch“, 0,5 Prozent als „extrem kritisch“.

>> In den fünf beliebtesten Browsern Google Chrome, Mozilla Firefox, Internet Explorer, Opera und Safari wurden 2015 insgesamt 1.114 Schwachstellen gefunden – ein Anstieg von 4 Prozent im Vergleich zum Vorjahr.

>> 147 Schwachstellen wurden in den Top-5 der PDF-Lesesoftware gefunden. Dazu zählen Adobe Reader, Foxit Reader, PDF-XChange Viewer, Sumatra PDF und Nitro PDF Reader.

Die Top 50 Anwendungen auf privaten PCs
>> 2.048 Schwachstellen wurden in 25 der Top 50 Anwendungen auf privaten PCs entdeckt

>> 79 Prozent der Sicherheitslücken betrafen Nicht-Microsoft-Programme. Damit übertrafen diese Programme bei weitem die Zahl der Sicherheitslücken im Windows 7 Betriebssystem (7 Prozent) sowie in anderen Microsoft-Anwendungen (14 Prozent).

>> Obwohl nur 17 (33 Prozent) der 50 beliebtesten Anwendungen nicht von Microsoft stammen, sind sie für 79 Prozent aller gefundenen Schwachstellen verantwortlich.

>> Der Anteil an Microsoft-Programmen inklusive Windows 7 liegt bei 67 Prozent. Trotzdem wurden hier nur 21 Prozent der Schwachstellen entdeckt.

>> Mit 78 Prozent blieb der Anteil der Sicherheitslücken in Nicht-Microsoft-Programmen über einen Zeitraum von fünf Jahren konstant.

>> Für 85 Prozent der Schwachstellen standen schon am Tag der Bekanntgabe Sicherheitsupdates zur Verfügung.

Vulnerability Review 2016
Der jährliche Vulnerability Review durch Secunia Research von Flexera Software analysiert die Entwicklung der Software-Sicherheit in Bezug auf Schwachstellen. Anhand weltweiter Daten werden darin die Häufigkeit von Sicherheitslücken und die Verfügbarkeit von Patches, die Sicherheitsbedrohungen für die IT Infrastrukturen sowie die Schwachstellen der 50 am weitesten verbreiteten Programmen auf privaten PCs präsentiert.
(Flexera Software: ra)

Flexera Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Statistiken

Malware- & Netzwerkangriffe nehmen zu
Wie der aktuell veröffentlichte "WatchGuard Internet Security Report" für das dritte Quartal 2019 belegt, sollte bei per E-Mail eingehenden Word-, RTF- oder anderen Office-Dokumenten weiterhin besondere Vorsicht gelten. Diesmal haben es gleich zwei einschlägige Malware-Varianten in die Top 10 geschafft. Die Nase vorn hat dabei ein Angriffsversuch, der auf einer Schwachstelle des Word-Formeleditors basiert. Dieser ermöglicht es Hackern beliebigen Code auszuführen, sobald das manipulierte Dokument geöffnet wird. Sowohl hinsichtlich der Gesamtmenge als auch der Verbreitung solch Office-basierter Übergriffe wurden dabei im dritten Quartal neue Bestmarken erreicht: Neben der Anzahl entsprechender Attacken verdoppelte sich auch der Adressatenkreis im Vergleich zum Vorquartal. Die Übermittlung erfolgte in der Mehrzahl aller Fälle per E-Mail. Daher wird es gerade für Unternehmen immer wichtiger, ihre Mitarbeiter gezielt zu sensibilisieren. Schulungen und Aufklärungsinitiativen können dazu beitragen, dass Anwender solche und andere Übergriffe sowie Phishing-Versuche besser erkennen.
Ein Drittel mehr DDoS-Attacken
Im dritten Quartal 2019 stieg die Anzahl der DDoS-Angriffe gegenüber dem Vorquartal um ein Drittel (30 Prozent) an; mehr als die Hälfte (53 Prozent) der Attacken fand im September statt. Darüber hinaus gab es einen Anstieg einfacherer DDoS-Angriffe, die vor allem akademische Webseiten im Visier hatten. Der Anstieg ist durch eine Vielzahl einfacherer Angriffe bedingt, während in den vorherigen Quartalen das Wachstum auf eine Zunahme intelligenter Angriffe zurückzuführen war, die von erfahrenen Cyberkriminellen auf Anwendungsebene durchgeführt wurden. In diesem Quartal sank der Anteil dieser Art von Angriffen auf 28 Prozent aller DDoS-Angriffe, im zweiten Quartal machten intelligente Angriffen noch die Hälfte (50 Prozent) aus.
Vermehrt Ransomware-Angriffe auf NAS-Systeme
Kaspersky-Forscher haben im Rahmen einer aktuellen Studie eine neue Art von Ransomware-Angriff identifiziert, der im Hinblick auf Network Attached Storage (NAS) ein neues Risiko für Backup-Daten darstellt, die in der Regel auf solchen Geräten gespeichert werden. Da NAS bislang weitgehend als sichere Technologie galt, sind Nutzer hinsichtlich potenzieller Infektionen zumeist unvorbereitet - wodurch deren Daten einem erhöhten Risiko ausgesetzt sind. Um Network Attached Storages anzugreifen, scannen Cyberkriminelle IP-Adressverzeichnisse und suchen dort nach NAS-Systemen, die über das Internet erreicht werden können. Auch wenn Webschnittstellen nur mittels Authentifizierung zugänglich sind, läuft auf einer Reihe von Geräten Software, die Schwachstellen enthält. Dies ermöglicht es Angreifern, einen Trojaner mittels Exploits zu installieren, der alle Daten auf den mit dem NAS verbundenen Geräten verschlüsselt.
Cyberkriminelle schlagen bevorzugt an Werktagen zu
Barracuda Networks hat ihren aktuellen Spear-Phishing-Report veröffentlicht. Im Zeitraum von Juli bis September 2019 identifizierte der Sicherspezialist 1,5 Millionen Spear-Phishing-Attacken bei über 4.000 Unternehmen oder Institutionen, die "Barracuda Sentinel" einsetzen, ein Cloud-Service mit KI-Lösung zur Echtzeit-Abwehr von Spear-Phishing-Attacken und Betrugsversuchen. Folgender vier Vektoren bedienten sich die Angreifer hauptsächlich: Scamming (39 Prozent): Diese Angriffe zielen ab auf private, sensible und persönliche Informationen wie etwa Kontodaten oder Kreditkartennummern.
Sextortion ein sehr großes Problem
Proofpoint hat ihren neuesten Threat Report für das dritte Quartal 2019 veröffentlicht. Darin zeigt das Unternehmen aktuelle Trends und Bedrohungen im Bereich Cybersecurity auf. Besonders auffällig ist dabei, dass die Schadsoftware Emotet allein bei 12 Prozent aller E-Mails mit Malware im Anhang zum Einsatz kam - obwohl Emotet nur in den letzten beiden Wochen des Septembers nennenswert aktiv war. Das heißt demnach, dass in diesem kurzen Zeitraum mehrere Millionen von Nachrichten mit bösartigen URLs oder Anhängen versandt wurden. Eine der treibenden Kräfte hinter der weltweiten Verbreitung von Emotet ist die in Fachkreisen als TA542 (Thread Actor 542) bezeichnete Gruppierung. Diese Gruppe Cyberkrimineller ist für den Vertrieb von Emotet "zuständig" und erweiterte in diesem Zeitraum auch ihr regionales Targeting auf eine Reihe neuer Länder, darunter Italien, Spanien, Japan, Hongkong und Singapur. TA542 hat dabei Methoden angewandt, von denen sich die Gruppe Anfang 2019 zunächst getrennt hatte. Dazu gehören beispielsweise sehr gezielte eingesetzt saisonale und topaktuelle Köder. In diesem Zusammenhang beobachtete Proofpoint zum Beispiel am 23. September, dass in den Nachrichten häufiger als sonst von Edward Snowden die Rede war und die Cyberkriminellen ihre Köder entsprechend anpassten.

Ransomware mit Exploit-Kit-Kampagnen sehr populär Häufigste Ursache: veraltete Software

Fachartikel

Big Data bringt neue Herausforderungen mit sich
Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.
Bösartige E-Mail- und Social-Engineering-Angriffe
Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.
Zertifikat ist allerdings nicht gleich Zertifikat
Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.
Datensicherheit und -kontrolle mit CASBs
Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.
KI: Neue Spielregeln für IT-Sicherheit
Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.