L’home dibuixat

[ComputerWorld] Typical Windows user patches every 5 days. Segons un estudi (The Security Exposure of Software Portfolios), els usuaris dels sistemes operatius Windows han d'aplicar pegats de seguretat cada cinc dies de mitjana… una tasca que ni el més conscienciat fa amb aquesta assiduïtat. La raó: no només el gran nombre de vulnerabilitats de seguretat, sinó també l'enorme quantitat de programes que hi ha instal·lat als PC d'usuari final.

The Year in Mac Security 2009 és un informe sobre el malware existent al món dels Mac i dels iPhone durant l'any 2009, així com les vulnerabilitats al sistema operatiu Mac OS X.

Al desembre de l'any passat, el servei Rockyou.com va patir la pèrdua dels registres de 32 milions de comptes d'usuari… que van aparèixer publicats en una pàgina web. Això dóna una excel·lent oportunitat de realitzar una auditoria de la seva qualitat.

Aquest és l'objectiu de Consumer Passwords Worst Practices que facilita dades sobre la fortalesa (per dir-ho d'alguna forma) de les contrasenyes utilitzades pels usuaris de rockyou.com: longitud, complexitat, contrasenyes més comunes…

Resum de la complexitat dels 32 milions de contrasenyes de rockyou.com

És evident que els resultats només poden causar una depressió a aquell que alguna vegada ha hagut d'imaginar una política de contrasenyes!

[Help Net Security] Only 27% of organizations use encryption. Segons un informe de CheckPoint, només un 27% de les organitzacions apliquen el xifrat a la informació emmagatzemada al disc dur dels treballadors que accedeixen remotament… i només un 9% en el cas de les memòries USB

Nova edició de l'informe de McAfee sobre l'evolució del correu brossa. Les males notícies: continua creixent, especialment els de temàtica farmacèutica. Els protagonistes del mes: Barack Obama i Angelina Jolie.

Això afirma una companyia alemanya especialitzada en la seguretat del correu electrònic ("Over 97% of e-mail traffic spam", un estudi sobre el correu electrònic analitzat durant els mesos d'octubre i novembre d'enguany). Les conclusions són:

• El 97,1% de tot el correu és SPAM. Els missatges legítims només són el 1,9% i els virus un 0,1%
• La major part de l'SPAM és de temàtica farmacèutica i de casinos
• Una sisena part de tot l'SPAM surt del Brasil, seguit del Vietnam i l'Índia
• Els troians amb una porta secreta (per instal·lar nous malware als ordinadors infectats) és el 75% de tots els virus

Per catorzè any consecutiu, el CSI (Computer Security Institute) publica el seu informe anual sobre delictes a Internet. Es tracta d'una enquesta a 500 professionals de la seguretat informàtica sobre com s'han vist afectat per les incidències i delictes informàtics durant l'any passat i les mesures que han realitzat per tal de protegir les seves organitzacions.

A diferència dels anys anteriors, enguany només s'ha publicat gratuïtament el resum executiu de 16 pàgines. El gros de l'informe (40 pàgines) només està disponible sota comanda.

Podeu veure aquest resum executiu a http://i.cmpnet.com/v2.gocsi.com/pdf/CSISurvey09_Executive-Summary.pdf

Les conclusions més destacables:

• Respondents reported big jumps in incidence of financial fraud (19.5 percent, over 12 percent last year); malware infection (64.3 percent over 50 percent last year); denials of service (29.2 percent, over 21 percent last year), password sniffing (17.3 percent, over 9 percent last year); and Web site defacement (13.5 percent over 6 percent last year). Respondents reported significant dips in wireless exploits (7.6 percent, down from 14 percent in 2008), and instant messaging abuse (7.6 percent, down from 21 percent).
• When asked what actions were taken following a security incident, 22 percent of respondents stated that they notified individuals whose personal information was breached and 17 percent stated that they provided new security services to users or customers (i.e. credit monitoring, issuing new credentials).
• Twenty-five percent of respondents felt that over 60 percent of their financial losses were due to non-malicious actions by insiders.
• Respondents reported a notable reduction in the amount of security functions outsourced. This year 71 percent of respondents stated that they do not outsource any security functions at all; last year only 59 percent of respondents made this statement
• When asked what security solutions ranked highest on their wishlists, many respondents named tools that would improve their visibility—better log management, security information and event management, security data visualization, security dashboards and the like.

Publicades les estadístiques del 2008 del Web Application Security Consortium, confeccionades amb les dades recollides per les valoracions de la seguretat, proves de penetració, auditories de seguretat… d'aplicacions web realitzades per:

• Blueinfy
• Cenzic with Hailstorm
• DNS with WebInspect
• Encription Limited
• HP Application Security Center with WebInspect
• Positive Technologies with MaxPatrol
• Veracode with Veracode Security Review
• WhiteHat Security with WhiteHat Sentinel

Els objectius són:

1. Identify the prevalence and probability of different vulnerability classes.
2. Compare testing methodologies against what types of vulnerabilities they are likely to identify.

Hi ha dades de 12.186 llocs web amb 97.554 vulnerabilitats detectades.

Conclusions:

• The most wide spread vulnerabilities are Cross-site Scripting, different types of Information Leakage, SQL Injection, HTTP Response Splitting;
• The probability to detect a urgent or critical error in dynamic web application is about 49% by automatic scanning and 96% by comprehensive expert analysis (white box method);
• Administration issues are 20% more frequent cause of a vulnerability than system development errors;
• 99% of web application are not compliant with PCI DSS standard requirements, and 48% of web applications are not compliant with criteria of ASV scanning by PCI DSS;
• Detailed white box method analysis allows to detect up to 91 vulnerabilities per web application, while automatic scanning – only 3;
• Compared to 2007, the number of sites with wide spread SQL Injection and Cross-site Scripting vulnerabilities fell by 13% and 20%, respectively, however, the number of sites with different types of Information Leakage rose by 24%. On the other hand, the probability to compromise a host automatically rose from 7 to 13 %.

Brave New World: Pervasive Insecurity of Embedded Network Devices presenta els resultats d'un scan a les xarxes dels principals ISP americans, europeus i asiàtics fet amb la finalitat d'avaluar l'existència de dispositius vulnerables.

Embedded network devices have become an ubiquitous fixture in the modern home, office as well as in the global communication infrastructure. Devices like routers, NAS appliances, home entertainment appliances, wifi access points, web cams, VoIP appliances, print servers and video conferencing units reside on the same networks as our personal computers and enterprise servers and together form our world-wide communication infrastructure. Widely deployed and often misconfigured, they constitute highly attractive targets for exploitation. In this study we present the results of a vulnerability assessment of embedded network devices within the world’s largest ISPs and civilian networks, spanning North America, Europe and Asia. The observed data confirms the intuition that these devices are indeed vulnerable to trivial attacks and that such devices can be found throughout the world in large numbers.

A Wired hi ha un resum: "Scan of Internet Uncovers Thousands of Vulnerable Embedded Devices"

Ubicació dels routers Linksys vulnerables

Han verificat 130 milions d'adreces IP trobant 300.000 dispositius amb una configuració deficient i potencialment atacables: 21.000 tenen la contrasenya per defecte i la resta una contrasenya molt feble. L'extrapolació fa pensar en uns 6 milions de dispositius vulnerables a tota la xarxa.

Hispasec publica l'informe "¿Cuánto tardan los grandes fabricantes de software en arreglar una vulnerabilidad?" que analitza el temps de resposta en publicar les solucions als problemes de seguretat d'alguns dels principals fabricants de software (HP, Computer Associates, Adobe, Apple, Microsoft, Novell, Symantec, Oracle, IBM i Sun).

SANS Institute ha publicat recentment una nova edició de la llista dels 10 principals problemes de seguretat a Internet, The Top Cyber Security Risks.

Es tracta d'identificar aquells problemes de seguretat més habitualment utilitzats en els atacs, especialment alhora d'instal·lar malware als ordinadors. Molts d'aquests problemes de seguretat són explotables només aconseguint que l'usuari visiti una pàgina web especialment preparada i no cal baixar cap programa o document.

L'informe va adreçat als responsables de seguretat informàtica, per ajudar-los a planificar les tasques a realitzar per tal de protegir-se davant aquests problemes més habituals. Utilitza com a base les dades dels atacs rebuts entre març i agost d'enguany per 6.000 organitzacions que estan protegides per TippingPoint, 9.000.000 de llocs analitzats per Qualys i la informació de l'Internet Storm Center.

Les dues prioritats de les organitzacions haurien de ser, segons SANS:

1. L'actualització dels programes instal·lats als ordinadors dels usuaris (Microsoft Office, Adobe Acrobat, Flash, QuickTime…) i que poden ser vulnerables
2. La verificació que els servidors web accessibles des d'Internet no són vulnerables, tant a nivell d'infraestructura com de les aplicacions web. 

Informe d'ENISA sobre els fraus als caixers automàtics: ATM Crime. Overview of the European situation and golden rules on how to avoid it. Tracta de posar en relleu els riscos existents en la utilització dels caixers automàtics i els problemes potencials que poden originar situacions de frau. Segons l'informe, a Europa s'han registrat uns 400.000 incidents, especialment al Regne Unit, estat espanyol, Alemanya, França i Itàlia.

Les tècniques més habituals són:

• Mirar com la persona escriu el PIN (shoulder surfing)
• Instal·lació d'un lector fraudulent
• Captura del PIN amb una càmera de vídeo
• Interrompre l'operació de l'usuari

ENISA fa les següents recomanacions:

Elecció del caixer automàtic

1. No utilitzar els caixers on hi hagi senyalització estranya o avisos
2. Utilitzar, sempre que sigui possible, els caixers situats en entitats bancàries
3. No utilitzar els caixers independents

Entorn físic

1. Utilitzar caixers situats en llocs a la vista i amb bona il·luminació
2. Vigilar la presència de persones desconegudes, comprovant que es troben a una distància raonable.

Realització d'operacions als caixers

1. Comprovar que el caixer no tingui senyals d'haver estat manipulat
2. Comprovar el lector de targetes per la possible presència de dispositius addicionals
3. Sospitar de qualsevol canvi en l'operatòria habitual del caixer.
4. Verificar si hi ha càmeres que no són les pròpies de seguretat
5. Protegiu el vostre PIN tapant el teclat mentre el marqueu
6. Informeu immediatament a l'entitat  si el caixer no torna la targeta de crèdit

Comprovacions

1. Verifiqueu habitualment l'extracte d'operacions
2. Informeu immediatament a l'entitat davant qualsevol activitat sospitosa

Informe sobre un incident de seguretat a apache.org. No sembla que hagi tingut efectes importants, però es constata que la màquina ha estat compromesa.

Publicat l'informe de la Web Hacking Incident Database amb els incidents enregistrats durant la primera meitat de l'any 2009.

The much anticipated Web Hacking Incidents Database (WHID) 2009 Bi-Annual Report is ready for download. The WHID project is dedicated to maintaining a record of web application-related security incidents. The WHID’s purpose is to serve as a tool for raising awareness of web application security problems and provide information for statistical analysis of web application security incidents. During the first half of 2009 the report findings show a steep rise in attacks against Web 2.0 sites — this is the most targeted vertical market with 19% of the incidents.  Attack vectors exploiting the Web 2.0 features such as user-contributed content were commonly employed. Download this white paper today to learn more about the latest in web application security.

Informe de Verizon: 2009 Data Breach Investigations Report

2008 will likely be remembered as a tumultuous year for corporations and consumers alike. Fear, uncertainty, and doubt seized global financial markets; corporate giants toppled with alarming regularity; and many who previously lived in abundance found providing for just the essentials to be difficult. Among the headlines of economic woes came reports of some of the largest data breaches in history. These events served as a reminder that, in addition to our markets, the safety and security of our information could not be assumed either.

The 2009 Data Breach Investigations Report (DBIR) covers this chaotic period in history from the viewpoint of our forensic investigators. The 90 confirmed breaches within our 2008 caseload encompass an astounding 285 million compromised records. These records have a compelling story to tell, and the pages of this report are dedicated to relaying it. As with last year, our goal is that the data and analysis presented in this report prove helpful to the planning and security efforts of our readers.