Самым крупным фактором роста стал более лёгкий процесс обнаружения уязвимостей в бесплатных и коммерческих веб-приложениях, считает Арт Маньон (Art Manion), глава команды обнаружения уязвимостей Координационного центра CERT. «Их стало легче находить, легче создавать и легче применять», - сказал он.

В 2005 г. рост количества уязвимостей, собранных во всех четырёх базах (CERT/CC, NVD, OSVDB, Symantec), объясняли той же причиной.

В первом полугодии 2006 г. более трёх четвертей всех уязвимостей ПО были найдены в приложениях, работающих с интернетом, утверждают в Symantec. В октябрьском докладе Common Vulnerabilities and Exposures Project (CVE) первые три наиболее опасные категории, к которым относится 45% уязвимостей, найденных с января по сентябрь включительно, приходились на веб-программы.

Под лёгкостью поиска уязвимостей специалисты подразумевают возможность поиска в исходном коде – как в интернете, так и на локальном компьютере. «Многие люди проводят исследования grep и gripe», - говорит Стивен Кристи (Steven Christey), редактор проекта CVE, управляемого некоммерческой корпорацией MITRE по заказу правительства. «Grep» - команда (утилита) поиска по файлам в Unix-системах, в том числе по шаблонам.

С 2001 г. количество уязвимостей, найденных в веб-приложениях, выросло, по разным данным, в 4-8 раз (4,8-8,5 тыс против 1,4-2,4 тыс).

Из всех уязвимостей в веб-приложениях, 43% были найдены в коде, написанном на PHP. Этот популярный язык используется для написания малых и средних веб-сайтов, однако его применяют и Yahoo, и Google, и другие крупные компании.

Операционные системы на этом фоне выглядят надёжнее, но и здесь обнаружение уязвимостей нулевого дня сыграло большую роль в атаках. Уязвимости нулевого дня, то есть те, которые хакеры обнаруживают и используют раньше, чем специалисты по безопасности и компании-разработчики, стали растущей тенденцией в прошлом году, - указывает Оливер Фридрихс (Oliver Friedrichs), директор Symantec по реагированию на проблемы безопасности. «Реальная угроза уязвимостей нулевого дня в том, что они часто используются для кражи информации в ходе очень узконаправленных атак против отдельных компаний. В то же время, простые уязвимости в веб-приложениях не наносят материального ущерба такого масштаба».

Интересные материалы:

• Sony займется программами для детей: покупка ClubPenguin
• Left 4 Dead: Скриншоты и концепт
• Gmail - моложе и богаче Yahoo и Hotmail?
• Еврокомиссия согласна на ежедневный штраф Microsoft
• HELiOS IT-OPERATOR представила новое решение для нефтяной отрасли

все новости