
Μια πρόσφατη μελέτη των ειδικών του Kaspersky Security Assessment εντόπισε τις πιο επικίνδυνες και διαδεδομένες ευπάθειες σε εταιρικές διαδικτυακές εφαρμογές που αναπτύσσονται in-house. Tην περίοδο μεταξύ 2021 και 2023 εντοπίστηκαν ελαττώματα που αφορούν τον έλεγχο πρόσβασης και την προστασία των δεδομένων στην πλειονότητα των εξεταζόμενων εφαρμογών, που ανέρχονται συνολικά σε αρκετές δεκάδες. Ο μεγαλύτερος αριθμός ευπαθειών υψηλού επιπέδου κινδύνου αναφερόταν σε SQL injections.
Οι διαδικτυακές εφαρμογές, όπως τα κοινωνικά δίκτυα, το email και οι διαδικτυακές υπηρεσίες, είναι στην ουσία ιστοσελίδες στις οποίες οι χρήστες επικοινωνούν με έναν web server μέσω ενός browser. Στην τελευταία της μελέτη, η Kaspersky διερεύνησε ευπάθειες σε διαδικτυακές εφαρμογές που χρησιμοποιούνται από IT, κυβερνητικούς, ασφαλιστικούς και τηλεπικοινωνιακούς οργανισμούς, αλλά και οργανισμούς κρυπτονομισμάτων, ηλεκτρονικού εμπορίου και υγειονομικής περίθαλψης για να εντοπίσει τους πιο διαδεδομένους τύπους επιθέσεων που είναι πιθανό να συμβούν στις επιχειρήσεις.
Με διψήφιο ρυθμό οι επενδύσεις για κυβερνοασφάλεια στην Ευρώπη
Οι επικρατέστεροι τύποι ευπαθειών αφορούσαν την πιθανότητα κακόβουλης χρήσης ελαττωματικών ελέγχων πρόσβασης και αδυναμίες στην προστασία ευαίσθητων δεδομένων. Μεταξύ 2021 και 2023, το 70% των διαδικτυακών εφαρμογών που εξετάστηκαν στην παρούσα μελέτη παρουσίαζαν ευπάθειες σε αυτές τις κατηγορίες.
H ευπάθεια ενός παραβιασμένου ελέγχου πρόσβασης μπορεί να χρησιμοποιηθεί όταν οι εισβολείς προσπαθούν να παρακάμψουν τις πολιτικές ιστότοπου που περιορίζουν τους χρήστες στα εξουσιοδοτημένα δικαιώματά τους. Αυτό μπορεί να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση, στην αλλοίωση ή τη διαγραφή δεδομένων και όχι μόνο. Ο δεύτερος κοινός τύπος ελαττώματος αφορά την έκθεση ευαίσθητων πληροφοριών, όπως κωδικοί πρόσβασης, στοιχεία πιστωτικών καρτών, αρχεία υγείας, προσωπικά δεδομένα και εμπιστευτικές επιχειρηματικές πληροφορίες, γεγονός που υπογραμμίζει την ανάγκη για αυξημένα μέτρα ασφαλείας.
Οι ειδικοί της Kaspersky εξέτασαν επίσης πόσο επικίνδυνες ήταν οι ευπάθειες στις παραπάνω ομάδες. Το μεγαλύτερο ποσοστό των ευπαθειών που εγκυμονούσαν υψηλό κίνδυνο σχετιζόταν με SQL injections. Συγκεκριμένα, το 88% όλων των ευπαθειών SQL Injection που εξετάστηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.
Ένα άλλο σημαντικό ποσοστό των ευπαθειών υψηλού κινδύνου βρέθηκε να συνδέεται με αδύναμους κωδικούς πρόσβασης των χρηστών. Σε αυτή την κατηγορία, το 78% όλων των ευπαθειών που αναλύθηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.
Είναι σημαντικό να σημειωθεί ότι μόνο το 22% όλων των διαδικτυακών εφαρμογών που μελέτησε η ομάδα Kaspersky Security Assessment είχαν αδύναμους κωδικούς πρόσβασης. Ένας πιθανός λόγος είναι ότι οι εφαρμογές που συμπεριλήφθηκαν στο δείγμα της μελέτης μπορεί να ήταν δοκιμαστικές εκδόσεις και όχι πραγματικά λειτουργικά συστήματα.
Οι κατηγορίες ευπάθειας που περιγράφονται στην έρευνα αντιστοιχούν στις κατηγορίες και τις υποκατηγορίες της αξιολόγησης OWASP Top Ten. Η αποκατάσταση των πιο διαδεδομένων ευπαθειών σε διαδικτυακές εφαρμογές που περιγράφονται στη μελέτη θα βοηθήσει τις εταιρείες να προστατεύσουν εμπιστευτικά δεδομένα και να αποφύγουν την παραβίαση διαδικτυακών εφαρμογών και συναφών συστημάτων. Για τη βελτίωση της ασφάλειας των διαδικτυακών εφαρμογών και τον έγκαιρο εντοπισμό πιθανών επιθέσεων σε αυτές, η ομάδα Kaspersky Security Assessment συνιστά:
- χρήση του Secure Software Development Lifecycle (SSDLC),
- τακτική αξιολόγηση της ασφάλειας των εφαρμογών,
- χρήση μηχανισμών σύνδεσης και καταγραφής για την παρακολούθηση της λειτουργίας των εφαρμογών.


Latest News

«Έκρηξη» στις πωλήσεις έξυπνων ακουστικών το 2024 - Τι προβλέπει η Canalys
Τα έξυπνα ακουστικά σημείωσαν αξιοσημείωτη ανάπτυξη 11,2% το 2024 ξεπερνώντας τις παραδόσεις 455 εκατομμυρίων συσκευών παγκοσμίως

Το πιο επικίνδυνο malware για τον Φεβρουάριο - Η απειλή που στοχεύει αξιόπιστες πλατφόρμες
Το AsyncRAT αναδύεται ως μια σε ανάπτυξη απειλή, ενώ οι εγκληματίες του κυβερνοχώρου συνεχίζουν να εκμεταλλεύονται νόμιμες πλατφόρμες για να αποφύγουν τον εντοπισμό του και να το εδραιοποιήσουν

Η ICEYE εκτοξεύει τον νέο δορυφόρο Generation 4
Ο Generation 4 είναι η τελευταία καινοτομία της ICEYE, που προσφέρει δυνατότητες απεικόνισης για βελτιωμένη παρατήρηση και κατηγοριοποίηση στόχων, εξυπηρετώντας τις ανάγκες σε παγκόσμιες αγορές άμυνας και ISR

OpenAI και Μασκ συμφωνούν σε γρήγορη δίκη για αλλαγή μοντέλου λειτουργίας της startup
Ο δικαστής απέρριψε αυτό το μήνα το αίτημα του Μασκ να αναστείλει τη μετάβαση της OpenAI σε κερδοσκοπικό μοντέλο

Salesforce: Νέες δυνατότητες ενσωμάτωσης αυτόνομων AI Agents στις επιχειρήσεις
Η Salesforce ανακοίνωσε την κυκλοφορία του Agentforce 2dx, της νεότερης έκδοσης της πλατφόρμας Agentforce

Vodafone: Ολοκλήρωση δύο έργων για την ψηφιακή αναβάθμιση του Δημοσίου Τομέα
Τα έργα που ολοκλήρωσε η Vodafone είναι το νέο πληροφοριακό σύστημα για την επιμόρφωση των εκπαιδευτικών και ο μετασχηματισμός των υπηρεσιών στα ελληνικά Προξενεία

Το Gemini για το Google Workspace διαθέσιμο και στα ελληνικά
Η Google για να βοηθήσει περισσότερους οργανισμούς να λειτουργούν καλύτερα, επέκτεινε την υποστήριξη γλωσσών σε επιπλέον γλώσσες, συμπεριλαμβανομένης της ελληνικής

Η Κίνα βάζει στο στόχαστρο τα fake news στο χρηματιστήριο λόγω ΑΙ
Οι ρυθμιστικές αρχές στην Κίνα θα «χτυπήσουν νωρίς, θα χτυπήσουν σκληρά και θα χτυπήσουν στην καρδιά» του ζητήματος

Ματωμένο Φεγγάρι: Η ολική έκλειψη σελήνης που «έβαψε» κόκκινο το φεγγάρι
Οι συγκλονιστικές φωτογραφίες από το «ματωμένο φεγγάρι».

Μασκ: Ανακοίνωσε πως το Starship θα μεταφέρει το ρομπότ Optimus στον Άρη το 2026
«Αν πάνε καλά οι προσεδαφίσεις αυτές, τότε προσεδαφίσεις ανθρώπων θα μπορούσαν να ξεκινήσουν ήδη από το 2029, αν και το 2031 δείχνει πιο πιθανό», ανέφερε ο Έλον Μασκ