Relatório de Tendências e Riscos da X-Force

Fonte: Internet Security Systems X-Force

A equipe de pesquisa e desenvolvimento de Internet Security Systems X-Force da IBM descobre, analisa, monitora e registra uma vasta gama de ameaças e vulnerabilidades de segurança. De acordo com as observações da X-Force, muitas tendências novas e surpreendentes vieram à tona durante o ano de 2008. Esperamos que as informações apresentadas neste relatório, sobre estas tendências, proporcionem uma base sólida para o planejamento dos seus esforços de segurança da informação neste e nos próximos anos.

A indústria da segurança dedica muito esforço à avaliação técnica das ameaças à segurança, examinando, por vezes durante longo tempo, o perigo potencial de cada item para as empresas e os consumidores. No entanto, os atacantes criminosos em busca de lucros consideram coisas que nem sempre são levadas em conta pela indústria da segurança, como o custo da monetização e a lucratividade em geral.

Muitas questões de segurança foram alardeadas em 2008, algumas das quais nunca passaram de exploração da massa. A primeira seção deste relatório, ‘‘Economia da Exploração: o que não aconteceu em 2008 e por que’’, na página 5, discute esta questão em detalhes e apresenta algumas lições que
podem ajudar a indústria a avaliar melhor estes tipos de problemas de segurança no futuro.

Os criminosos da computação procuram informações que possam transformar em lucros rapidamente. De modo geral, esta ativação acelerada do investimento significa informações sobre cartões de créditos e credenciais de acesso às contas bancárias dos consumidores. Embora muitas vezes os atacantes encontrem formas de colher enormes quantidades deste tipo de dados dos servidores e redes corporativas, grande parte destas informações são roubadas por spyware, executado diretamente nos PCs dos usuários finais.

As empresas que usam mecanismos avançados de correção e proteção podem criar, também, mais obstáculos (custos elevados de monetização e lucratividade mais baixa) para os atacantes. Os consumidores, por outro lado, com sua falta de proteção, comportamentos corriqueiros de correção e falta geral de perícia em segurança, continuam a ser alvos fáceis. A exploração em massa continuada de problemas de navegador, principalmente controles de ActiveX, são indicadores claros deste problema. Os novos vetores de exploração, como o uso de arquivos PDF e aplicativos de multimídia como o Flash, que incluem exploits embutidos, tornaram-se mais proeminentes do que nunca, com tendência a subir até o final do ano.

Determinados tipos de aplicativos corporativos, mais precisamente software construído pelo cliente como aplicativos da Web, continuam a representar um alvo altamente lucrativo e econômico para os atacantes criminosos. O número crescente de novas vulnerabilidades, a maioria delas ainda sem correção, ligadas a centenas de milhares de aplicativos customizados da web que também são vulneráveis (vulnerabilidade esta dificilmente revelada, menos ainda sua correção), tornou-se o calcanhar de Aquiles da segurança nas empresas. Os atacantes continuam a mirar as vulnerabilidades dos aplicativos da web, principalmente a injeção SQL, para semear malware em usuários sem malícia que visitam Web sites vulneráveis.

Mais: Relatório de Tendências e Riscos da X-Force em PDF