Risico’s zitten in apps, niet in besturingssystemen

Sommige besturingssystemen zijn veiliger dan andere. Een enkeling, zoals OpenBSD, doet zelf enorm zijn best om je beschermen. Andere, zoals Windows, hadden een slechte reputatie, maar hebben dit door de jaren heen verbeterd.

Nog andere, zoals Linux en Mac OS X, staan bekend als veilig. Hoewel in het geval van Mac OS X, heeft één grote fout – de SSL goto bug – de reputatie flink beschadigd.

[related_article id=”161452″]

De afgelopen paar jaar zitten volgens beveiligingsbedrijven FireEye en Secunia de grootste risico"s echter niet in de besturingssystemen, maar in de applicaties die we erop draaien.

Windows populair
Secunia rapporteert dat in 2013 driekwart van de beveiligingsgaten in de vijftig populairste programma"s op privécomputers voortkwam uit applicaties van derden. Windows blijft het meest aangevallen platform. Windows 7, de populairste versie onder de consument, is ook de favoriet van hackers. Na het stilzetten van de ondersteuning voor Windows XP verwacht Microsoft dat ook deze gebruikers het flink te verduren gaan krijgen.

Tevens komt Secunia tot de conclusie dat in 2013 de programma"s van Microsoft veel meer kwetsbaarheden bevatten dan het jaar daarvoor. Een toename van niet minder dan 128,6 procent. Desondanks komen de meeste malware-aanvallen van applicaties van derden, 75,7 procent om precies te zijn.

Hoe erg zijn deze aanvallen? FireEye stelt dat in 2012 bedrijven konden verwachten elke drie seconden aangevallen te worden door malware. Dit is in 2013 verdubbeld naar eens per elke 1,5 seconde. En nee, dat is geen grap.

Browsers
Uit een onderzoek van Secunia blijkt dat webbrowsers en andere programma"s die met het internet verbonden zijn, de bron zijn van de meeste aanvallen. Dit is uiteraard geen verrassing. Daarom bieden Google en HP meer dan drie miljoen dollar aan beloningen voor hackers die de meeste populaire browsers kunnen kraken op de veiligheidsconferenties Pwn2Home en Pwnium.

In de eerste helft van 2013 was Java het mikpunt voor hackers bij het opzetten van zeroday-aanvallen. Naarmate het jaar vorderde verlegde de aandacht zich van Java naar Internet Explorer. Het goede nieuws? Het leeuwendeel van de aanvallen vond plaats op oudere versies van de browser, zoals 7.0 en 8.0.

Toch zag FireEye ook een hoog aantal aanvallen gericht op meer recente versies van Internet Explorer. Net als het inzetten van nieuwe technieken om bepaalde protocollen te omzeilen. Dit betekent helaas dat ook de laatste versies van de browser niet ontkomen aan aanvallen.

Adobe-software gewillig doelwit
Adobe Acrobat en Flash zijn traditioneel ook gewillige doelwitten om misbruik van te maken. Twee recente aanvallen – een via Adobe Flash, de ander via Adobe Reader – buitte kritieke kwetsbaarheden uit. En dat is slechts het topje van de ijsberg.

Toch is er ook goed nieuws te melden. Zeroday-aanvallen worden minder gebruikelijk. Secunia komt tot de conclusie dat 78,6 procent van de zwakheden in producten uit de top vijftig dezelfde dag nog verholpen worden met een patch. Dit is een flinke verbetering, zeker ten opzichte van 2010 toen het percentage nog op het dieptepunt van 61,6 lag.

De meest logische verklaring voor deze verbetering is dat onderzoekers nauw contact onderhouden met verkopers en ontwikkelaars. Dit resulteert in de meeste gevallen in snellere oplossingen na het vaststellen van een veiligheidsrisico of -gat.

De eindverantwoordelijkheid ligt bij de gebruiker. Die heeft namelijk niets aan een patch als hij hem niet installeert. Wanneer je zorgt dat alle software op je pc"s up-to-date is ben je redelijk veilig, zelfs op het internet van vandaag de dag. Maar dan moet je er wel echt bovenop zitten.