WWW.DISSERS.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА

   Добро пожаловать!

Pages:     | 1 ||

На втором месте, при детализированном анализе защищенности Web-приложений, оказалась уязвимость «Внедрение операторов SQL» (SQL Injection). Данная уязвимость встретилась в 18% случаев, приблизительно на 68% всех исследуемых приложений.

Таким образом, лидирующие позиции по вероятности обнаружения уязвимости в Webприложении при его детальном анализе, занимает уязвимость на стороне Web-сервера (server-side) – «Внедрение операторов SQL» (SQL Injection) и уязвимость, эксплуатируемая Статистика уязвимостей Web-приложений за 2008 год Страница 13 из на стороне клиента (client-side) – «Межсайтовое выполнение сценариев» (Cross-Site Scripting, XSS).

Рисунок 9. Распределение уязвимостей по сайтам (детальный анализ) Небольшой процент распределения уязвимости типа «Утечка информации» (Information Leakage) по сравнению с автоматическим сканированием обусловлено используемой методикой при проведении детального анализа защищенности Web-приложений. Так, многие недостатки, которые сканер безопасности относит к данному типу уязвимости и суммирует их, при экспертном анализе, группировались в одну уязвимость или оказывались признаками других, более серьезных проблем (например, ошибками разграничения доступа).

4.3. Обобщенные данные Обобщенные результаты по распределению обнаруженных уязвимостей по различным типам и классам WSTCv2, выявленных с помощью детального анализа Web-приложений и при автоматическом сканировании представлено в Табл. 5 и на Рис. 10.

Таблица 5. Статистика уязвимостей Web-приложений (обобщенные данные) Автоматическое сканирование Детальный анализ Тип уязвимости % Уязвимостей % Уязвимых сайтов % Уязвимостей % Уязвимых сайтов Cross-Site Scripting 41,75 61,30,08 50,SQL Injection 17,69 67,7,95 15,Статистика уязвимостей Web-приложений за 2008 год Страница 14 из Автоматическое сканирование Детальный анализ Тип уязвимости % Уязвимостей % Уязвимых сайтов % Уязвимостей % Уязвимых сайтов Information Leakage 12,50 16,29,82 97,Path Traversal 4,95 11,0,23 0,Brute Force 3,54 18,0,01 0,Predictable Resource Location 3,54 22,0 HTTP Response Splitting 2,59 5,0,84 2,Insufficient Authentication 2,36 15,0 Fingerprinting 1,89 10,9,59 45,Abuse of Functionality 1,65 6,0 Insufficient Process Validation 1,18 5,0 Weak Password Recovery Validation 0,94 6,0 Insufficient Transport Layer Protection 0,94 3,11,18 53,Denial of Service 0,71 5,0,05 0,Insufficient Session Expiration 0,71 5,0 Remote File Inclusion 0,71 3,0,22 0,Credential/Session Prediction 0,47 3,0 Directory Indexing 0,47 3,0,01 0,Insufficient Anti-automation 0,47 3,0 OS Commanding 0,47 3,0,08 0,Session Fixation 0,24 1,0 Mail Command Injection 0,24 1,0 Статистика уязвимостей Web-приложений за 2008 год Страница 15 из Автоматическое сканирование Детальный анализ Тип уязвимости % Уязвимостей % Уязвимых сайтов % Уязвимостей % Уязвимых сайтов Malware detect 0 5,52 1,Improper Parsing 0 3,92 6,SSI Injection 0 0,42 0,Content Spoofing 0 0,06 0,Insufficient Authorization 0 0,02 0,Рисунок 10. Распределение уязвимостей по сайтам в соответствии классам WSTCv2 (обобщенные данные) При анализе количества уязвимостей по степени риска (Рис. 11 и 12) видно, что наиболее распространенными являются недочеты низкой степени критичности при автоматическом сканировании (Рис. 11) и средней степени критичности при детальном анализе (Рис. 12).

Статистика уязвимостей Web-приложений за 2008 год Страница 16 из Рисунок 11. Количество уязвимостей по степени риска (автоматизированное сканирование) Рисунок 12. Количество уязвимостей по степени риска (детальный анализ) Если анализировать распространенность уязвимостей высокого степени риска (Рис. 13), то здесь наиболее часто встречаются ошибки типа «Внедрение операторов SQL» (SQL Injection). Возможность несанкционированного доступа к базе данных была обнаружена в 67% случаев при детальном анализе Web-приложения и 16% при автоматическом сканировании. Также широко распространены ошибки «Чтения произвольных файлов» (Path Traversal), «Подбор пароля» (Brute Force) и ошибки в реализации и настройке системы авторизации и аутентификации.

Статистика уязвимостей Web-приложений за 2008 год Страница 17 из Рисунок 13. Наиболее часто встречаемые критические уязвимости Если рассматривать суммарную вероятность обнаружения уязвимостей различной степени риска при использовании разных подходов к анализу Web-приложений, то получаем картину, приведенную на Рис. 14.

Рисунок 14. Вероятность обнаружения уязвимостей различной степени риска То есть в 83% сайтов были обнаружены критичные уязвимости, и в 78% случаев из ста в программном обеспечении Web-приложения содержатся уязвимости средней степени риска.

Статистика уязвимостей Web-приложений за 2008 год Страница 18 из 5. ВЫВОДЫ На основании полученных данных можно сделать следующие выводы:

наиболее распространенными уязвимостями являются "Межсайтовое выполнение сценариев", "Внедрение операторов SQL", различные варианты утечки информации, "Чтение произвольных файлов" и подбор паролей;

вероятность обнаружения критичной ошибки в динамическом Web-приложении составляет порядка 17% при проведении автоматического сканирования методом «черного ящика» и 83% при всестороннем экспертном анализе методом «белого ящика»;

вероятность автоматизированного инфицирования страниц уязвимого Webприложения составляет приблизительно 15-20%;

ситуация с защитой Web-приложений в 2008 году является более оптимистичной по сравнению с результатами исследований предыдущих двух лет [5,6].

6. ССЫЛКИ [1] Web Application Security Consortium, "Web Security Threat Classification" http://webappsec.org/projects/threat/ [2] Common Vulnerability Scoring System http://www.first.org/cvss/ [3] Сергей Гордейчик, "Насколько "дыра" широка" http://www.osp.ru/win2000/2006/02/1156304/ [4] Сергей Гордейчик, Cross-Site Request Forgery - много шума из-за ничего http://www.securitylab.ru/analytics/292473.php [5] Positive Technologies, "Статистика уязвимостей WEB-приложений в 2007 году" http://www.ptsecurity.ru/stat2007.asp [6] Positive Technologies, "Статистика уязвимостей WEB-приложений в 2006 году" http://www.ptsecurity.ru/webstat2006.asp Статистика уязвимостей Web-приложений за 2008 год Страница 19 из ОБ АВТОРЕ Дмитрий Евтеев, эксперт по информационной безопасности отдела консалтинга и аудита компании Positive Technologies. Специализируется в вопросах проведения тестирований на проникновение, аудита информационных систем и анализа защищенности Web-приложений.

Имеет профессиональные звания и сертификаты (MCSE:Security, MCTS).

О КОМПАНИИ Positive Technologies www.ptsecurity.ru - одна из ведущих российских компаний в области информационной безопасности.

Основные направления деятельности компании - разработка систем комплексного мониторинга информационной безопасности (XSpider, MaxPatrol); предоставление консалтинговых и сервисных услуг в области информационной безопасности; развитие специализированного портала Securitylab.ru.

Заказчиками Positive Technologies являются более 40 государственных учреждений, более банков и финансовых структур, 20 телекоммуникационных компаний, более промышленных предприятий, компании ИТ-индустрии, сервисные и ритейловые компании России, стран СНГ, Балтии, а также Великобритании, Германии, Голландии, Израиля, Ирана, Китая, Мексики, США, Тайланда, Турции, Эквадора, ЮАР, Японии.

Positive Technologies - это команда высококвалифицированных разработчиков, консультантов и экспертов, которые обладают большим практическим опытом, имеют профессиональные звания и сертификаты, являются членами международных организаций и активно участвуют в развитии отрасли.

Статистика уязвимостей Web-приложений за 2008 год Страница 20 из

Pages:     | 1 ||



© 2011 www.dissers.ru - «Бесплатная электронная библиотека»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.