Tin tặc ưa ứng dụng web

Theo bản báo cáo IBM X-Force 2010 thì các ứng dụng web vẫn tiếp tục là thể loại phần mềm tin tặc ưa thích nhất bởi chúng có nhiều lỗ hổng bảo mật, dễ phát hiện và dễ khai thác.

Số lượng các lỗ hổng ứng dụng trên web trong năm 2010 đạt mức lớn nhất từ trước tới nay, chiếm khoảng 49% số lỗ hổng bảo mật. Phần lớn các vụ tấn công ứng dụng web này liên quan đến việc tấn công các trang liên kết và “SQL injection”. Số liệu của IBM X-Force cho thấy tin tặc cũng đang tập trung khai thác những lỗ hổng bảo mật này. Theo thống kê trong ba năm vừa qua đều xảy ra các tấn công “SQL injection” trên quy mô toàn cầu trong khoảng thời gian từ tháng 5 đến tháng 8. Những tấn công này có sự tương đồng là đều nhằm vào các ứng dụng web vốn nhạy cảm với tấn công “SQL injection”.

Để ngăn chặn tin tặc khai thác các lỗ hổng, các doanh nghiệp phải tập trung vào việc rút ngắn thời gian cài đặt các bản vá kể từ khi lỗ hổng bảo mật được công bố. Trong khoảng thời gian một ngày sau khi các lỗ hổng được công bố thì các tin tặc vẫn đủ thời gian chế công cụ phá hoại trước khi những bản vá đó được cài đặt trên các hệ thống. Tuy nhiên, đến cuối năm 2010 vẫn còn có tới 44% số lỗ hổng bảo mật chưa có các bản vá từ các nhà cung cấp phần mềm.

Tội phạm máy tính thường phát triển các công cụ khai thác một cách ngấm ngầm nhằm vào các lỗ hổng bảo mật đã được công bố rộng rãi và sử dụng những phần mềm khai thác này để tấn công. Sau đó, khi những công cụ khai thác lỗ hổng đã hoạt động trơn chu thì chúng sẽ được công bố rộng rãi trong thế giới ngầm. Thông thường các công cụ tấn công được công bố sau hàng chục tới hàng trăm ngày kể từ khi lỗ hổng được công bố. Nhưng nếu phải mất nhiều thời gian như vậy để những công cụ tấn công này xuất hiện thì thời gian để có các bản vá lỗ cũng lâu không kém.

Tốt nhất để ngăn chặn các cuộc tấn công mạng thì các doanh nghiệp nên chủ động thực hiện các biện pháp kiểm tra và đánh giá mức độ bảo mật cho các ứng dụng web cũng như cải thiện chất lượng các quy trình phát triển và đảm bảo chất lượng phần mềm. Các ứng dụng web đã được “quét” cũng đã giảm thiểu lỗ hổng bảo mật rất lớn khi được kiểm thử lại.

Theo Lao Động