Οι ιστοσελίδες αποτελούν τον πρωταρχικό στόχο των «εγκληματιών» του κυβερνοχώρου, κρίνοντας από τον όγκο των εργασιών που διεκπεραιώνονται, πλέον, μέσω Διαδικτύου.
Επίσης, αν και οι μέθοδοι διαδικτυακών επιθέσεων είναι γνωστοί, εντούτοις η προστασία έναντι των απειλών παραμένει δύσκολη για αρκετές επιχειρήσεις. Αυτά είναι τα βασικά συμπεράσματα της τελευταίας έκθεσης Internet Security Threat Report που δημοσίευσε η εταιρεία Symantec.
Σύμφωνα με την εν λόγω έκθεση, η πολυπλοκότητα του Διαδικτύου σε συνδυασμό με την ελλιπή υποδομή του, καθιστά ευάλωτες πολλές ιστοσελίδες. Ενδεικτικά, η έκθεση αναφέρει ότι υπήρξαν 6.787 ευπάθειες το 2013, σε σύγκριση με 5.291 το 2012.
Παράλληλα, ακόμη πιο ανησυχητικό είναι το γεγονός ότι μία στις οχτώ ιστοσελίδες είχε κρίσιμες, γνωστές ευπάθειες. Επίσης, το 67% των ιστοσελίδων χρησιμοποιούνται για τη διανομή κακόβουλου λογισμικού, το οποίο εμφανίζεται ως γνήσιο και νόμιμο.
Η Symantec υποστηρίζει στην έκθεση Internet Security Threat Report, ότι κατά τη διάρκεια των τελευταίων ετών ο όγκος του κακόβουλου λογισμικού στο Διαδίκτυο έχει αυξηθεί δραματικά και αυτό οφείλεται στη χρήση της αυτοματοποίησης και των exploit kits.
Πιο συγκεκριμένα, οι hackers χρησιμοποιούν έτοιμο λογισμικό που περιέχει μία ευρύτατη γκάμα κακόβουλων προγραμμάτων και exploit kits, για να μεταφέρουν αυτοματοποιημένες επιθέσεις διαδίδοντας κακόβουλο λογισμικό και προσβάλλοντας ανυποψίαστους χρήστες.
Παρακάτω παρουσιάζονται πέντε από τις πιο κοινές μεθόδους επίθεσης που εξακολουθούν να είναι η μάστιγα για πολλές ιστοσελίδες.
1. SQL Injection
Η SQL injection είναι μια τεχνική που εισάγει κακόβουλα SQL statement σε ένα πεδίο εισαγωγής και γίνεται αιτία να επαναφέρονται πληροφορίες που δεν θα έπρεπε στον web server. Ως αποτέλεσμα, ο web server παρέχει πρόσβαση σε πληροφορίες που θα έπρεπε να είναι ασφαλείς, όπως ονόματα χρηστών και κωδικούς πρόσβασης.
2. Cross Site Scripting (XSS)
Το Cross-Site Scripting είναι το πιο διαδεδομένο κενό ασφαλείας διαδικτυακής εφαρμογής το οποίο συμβαίνει όταν μια εφαρμογή παίρνει μη αξιόπιστα δεδομένα και τα αποστέλλει σε ένα web browser χωρίς την κατάλληλη έγκριση. Αυτό επιτρέπει στους επιτιθέμενους να εκτελέσουν scripts σε browsers των θυμάτων όταν αυτοί επισκέπτονται μια ιστοσελίδα, το οποίο μπορεί να έχει ως αποτέλεσμα να προβαίνουν σε hijacking στα sessions των χρηστών, να «καταστρέψουν» ιστοσελίδες ή να οδηγήσουν τον χρήστη σε κακόβουλες ιστοσελίδες.
3. CSRF (Cross-Site Request Forgery)
Μια επίθεση CSRF υποκλέπτει cookies των θυμάτων και άλλες πληροφορίες πιστοποίησης που χρησιμοποιούνται για την σύνδεση σε μια ευπαθή ιστοσελίδα. Μόλις ολοκληρωθεί η διαδικασία, ο εισβολέας μπορεί να ελέγξει τα session του θύματος, για παράδειγμα σε μία τραπεζική ιστοσελίδα και να έχει τον πλήρη έλεγχο στο λογαριασμό. Ωστόσο, επειδή η ιστοσελίδα θεωρεί ότι ένας νόμιμος χρήστης είναι συνδεδεμένος, είναι πολύ δύσκολο να ανιχνευτεί πότε η επίθεση είναι επιτυχής.
4. Χρήση Components Γνωστών Ευπαθειών
Στοιχεία όπως libraries, frameworks, καθώς και άλλα modules λογισμικού που έχουν γνωστές ευπάθειες έχουν γίνει εύκολη λεία για τους επιτιθέμενους. Ωστόσο, όπως και με τον πρόσφατο ιό HeartBleed, η αποτελεσματική διαχείριση των patches και η ασφαλής κωδικοποίηση μπορεί να είναι δύσκολη, ειδικά για σύνθετες διαδικτυακές εφαρμογές. Εφαρμογές που χρησιμοποιούν στοιχεία με γνωστές ευπάθειες μπορεί να υπονομεύσουν τους μηχανισμούς άμυνας της εφαρμογής και να επιτρέψουν την πραγματοποίηση μιας σειράς πιθανών επιθέσεων.
5. Man in The Middle
Η επίθεση «Man in The Middle» παρεμβαίνει στην επικοινωνία μεταξύ δύο συστημάτων. Για παράδειγμα, σε μια http συναλλαγή ο στόχος είναι η σύνδεση TCP μεταξύ πελάτη και server. Σε ορισμένες περιπτώσεις, έχει παρατηρηθεί το φαινόμενο ιστοσελίδες να μεταφέρουν ευαίσθητες πληροφορίες χωρίς αρκετά ισχυρή κρυπτογράφηση.
Καταλήγοντας, η έκθεση της Symantec προτείνει στις επιχειρήσεις να αξιοποιήσουν την ασφάλεια στη διαδικασία ανάπτυξης, έτσι ώστε να ενσωματωθεί στη διαδικτυακή εφαρμογή από την αρχή. Επιπλέον, συνιστάται τόσο το περιβάλλον ανάπτυξης όσο και το περιβάλλον παραγωγής να ελέγχονται από κοινού για τυχόν εξωτερικές απειλές.
