Ψηλά στη λίστα των προτιμήσεων των εγκληματιών του κυβερνοχώρου παραμένουν οι ιστοσελίδες, καθώς το 2013 υπήρξαν 6.787 ευπάθειες, σε σύγκριση με 5.291 το 2012. Ακόμα πιο ανησυχητικό, σύμφωνα με την τελευταία έκθεση της Symantec Internet Security Threat Report, είναι το γεγονός ότι μια στις οχτώ ιστοσελίδες είχε κρίσιμες, unpatched, γνωστές ευπάθειες, με το 67% των ιστοσελίδων που χρησιμοποιούνται, να διανέμουν κακόβουλο λογισμικό το οποίο εμφανίζεται ως γνήσιο και νόμιμο. Αν και οι μέθοδοι που χρησιμοποιούνται στις διαδικτυακές επιθέσεις είναι σχετικά γνωστοί, ωστόσο η προστασία εναντίον των απειλών παραμένει ακατόρθωτη για πολλές εταιρίες και τείνουν να συμβιβάζονται με αυτό. Η πολυπλοκότητα του διαδικτύου, σε συνδυασμό με την ελλιπή υποδομή του, καθιστά ευάλωτες πολλές ιστοσελίδες και η απειλή αυξάνεται συνεχώς. 

Σύμφωνα με τη Symantec, κατά τη διάρκεια των τελευταίων ετών, ο όγκος του κακόβουλου λογισμικού στο Διαδίκτυο έχει αυξηθεί δραματικά και αυτό οφείλεται στη χρήση της αυτοματοποίησης και των exploit kits. Οι hackers χρησιμοποιούν έτοιμο λογισμικό, που περιέχει μία ευρύτατη γκάμα κακόβουλων προγραμμάτων και exploit kits, για να μεταφέρουν αυτοματοποιημένες “drive-by” επιθέσεις διαδίδοντας κακόβουλο λογισμικό  και προσβάλλοντας ανυποψίαστους χρήστες. Με τα exploit kits, οι εγκληματίες του κυβερνοχώρου μπορούν εύκολα να βελτιώσουν τις επιθέσεις τους και να δοκιμάσουν  πολλαπλές hacking τακτικές για να εκμεταλλευτούν τις ταυτοποιημένες ευπάθειες.

Η μεγάλη διάδοση αυτών των εργαλείων γίνεται εμφανής  στον μέσο όρο των κακόβουλων ιστοσελίδων, που μπλοκάρονται σε καθημερινή βάση. Η αύξηση της δημοτικότητα των exploit kits, που χρησιμοποιούνται στο διαδίκτυο, δεν δημιουργεί μόνο πρόσφορο έδαφος, για να επιτεθούν οι hackers, αλλά βάζει υψηλότερα τον πήχη στις εταιρίες για να προστατέψουν  τις υποδομές τους.

Πέντε "παγίδες" του Web
Όπως επισημαίνει η Symantec, σήμερα, κάθε ιστοσελίδα μπορεί να παραβιαστεί από κυβερνοεγκληματίες και να χρησιμοποιηθεί για να επιτεθεί στα δεδομένα σας. Η εταιρεία παρουσιάζει τις πέντε από τις πιο κοινές μεθόδους επίθεσης που εξακολουθούν να είναι η μάστιγα για  πολλές ιστοσελίδες.

SQL injection: Η SQL injection  είναι μια code injection τεχνική, που εισάγει κακόβουλα SQL statement σε ένα πεδίο εισαγωγής και γίνεται αιτία να επαναφέρονται πληροφορίες που δεν θα έπρεπε στο webserver. Ως αποτέλεσμα, ο web server παρέχει πρόσβαση σε πληροφορίες που θα έπρεπε να είναι ασφαλείς, όπως ονόματα χρηστών και κωδικούς πρόσβασης.

Το Cross-Site Scripting είναι το πιο διαδεδομένο κενό ασφαλείας διαδικτυακής εφαρμογής, το οποίο συμβαίνει όταν μια εφαρμογή παίρνει μη αξιόπιστα δεδομένα και τα αποστέλλει σε ένα web browser χωρίς την κατάλληλη έγκριση. Αυτό επιτρέπει στους επιτιθέμενους να εκτελέσουν scripts σε browsers των θυμάτων, όταν αυτοί επισκέπτονται μια ιστοσελίδα, το οποίο μπορεί να έχει ως αποτέλεσμα να προβαίνουν σε hijacking στα sessions των χρηστών, να βανδαλίσουν ιστοσελίδες ή να οδηγήσουν τον χρήστη σε κακόβουλες ιστοσελίδες.

Μια επίθεση CSRF υποκλέπτει cookies των θυμάτων και άλλες πληροφορίες authentication, που χρησιμοποιούνται για τη σύνδεση σε μια ευπαθή ιστοσελίδα. Μόλις ολοκληρωθεί η διαδικασία, ο εισβολέας μπορεί να ελέγξει τα session  του θύματος, για παράδειγμα σε ένα τραπεζική ιστοσελίδα και να έχει τον πλήρη έλεγχο στο λογαριασμό. Ωστόσο, επειδή η ιστοσελίδα θεωρεί ότι ένας νόμιμος χρήστης είναι συνδεδεμένος, είναι πολύ δύσκολο να ανιχνευτεί πότε η επίθεση είναι επιτυχής.

Στοιχεία, όπως libraries, frameworks, καθώς και άλλα modules λογισμικού που έχουν γνωστές ευπάθειες, έχουν γίνει εύκολη λεία για τους επιτιθέμενους. Ωστόσο, όπως είδαμε με τον πρόσφατο ιό  HeartBleed, η αποτελεσματική διαχείριση των patches και η  ασφαλή κωδικοποίηση μπορεί να είναι δύσκολη, ειδικά για σύνθετες διαδικτυακές εφαρμογές. Εφαρμογές, που χρησιμοποιούν στοιχεία με γνωστές ευπάθειες, μπορεί να υπονομεύσουν τους μηχανισμούς άμυνας της εφαρμογής και να επιτρέψουν την πραγματοποίηση μιας σειράς πιθανών επιθέσεων.

Η επίθεση “man-in-the middle” παρεμβαίνει στην επικοινωνία μεταξύ δύο συστημάτων. Για παράδειγμα, σε μια http συναλλαγή ο στόχος είναι η σύνδεση TCP μεταξύ πελάτη και server. Σε ορισμένες περιπτώσεις, έχουμε δει  ιστοσελίδες να μεταφέρουν ευαίσθητες πληροφορίες χωρίς αρκετά ισχυρή κρυπτογράφηση.

© Σύνδεσμος Επιχειρήσεων Πληροφορικής & Επικοινωνιών Ελλάδας - ΣΕΠΕ, 2008 - 2014