แอพพลิเคชั่นที่ใช้กันทั่วไปจำนวนมากมีข้อบกพร่องด้านความปลอดภัยที่ร้ายแรงมาก โดยเฉพาะอย่างยิ่งแอพพลิเคชั่นที่ใช้โดยบริษัทในภาคส่วนเทคโนโลยี จากผลการวิจัยใหม่
รายงานของ Veracode ที่วิเคราะห์การสแกน 20 ล้านครั้งในแอปพลิเคชันกว่าครึ่งล้านรายการ ทั้งในด้านเทคโนโลยี การผลิต การค้าปลีก บริการทางการเงิน การดูแลสุขภาพ และรัฐบาล พบว่า 24% ของแอปพลิเคชันในภาคส่วนเทคโนโลยีมีข้อบกพร่องที่มีความรุนแรงสูง
เมื่อเทียบกันแล้ว นี่เป็นสัดส่วนที่สูงเป็นอันดับสองของแอปพลิเคชันที่มีช่องโหว่ด้านความปลอดภัย (79%) โดยมีเพียงภาครัฐเท่านั้นที่มีสถานการณ์เลวร้ายที่สุด (82%)
ข้อบกพร่องที่ถูกต้อง
รายงานระบุประเภทช่องโหว่ที่พบบ่อยที่สุด ได้แก่ การกำหนดค่าเซิร์ฟเวอร์ การพึ่งพาที่ไม่ปลอดภัย และการรั่วไหลของข้อมูล โดยระบุว่าการค้นพบนี้ "เป็นไปตามรูปแบบกว้างๆ" ซึ่งเป็นรูปแบบที่คล้ายคลึงกับอุตสาหกรรมอื่นๆ อย่างไรก็ตาม อุตสาหกรรมมีความแตกต่างมากที่สุดกับค่าเฉลี่ยของอุตสาหกรรมเมื่อพูดถึงปัญหาการเข้ารหัสและการรั่วไหลของข้อมูล นักวิจัยชั้นนำจึงคาดการณ์ว่านักพัฒนาเทคโนโลยีของอุตสาหกรรมมีความรู้มากขึ้นเกี่ยวกับความท้าทายของการปกป้องข้อมูลอย่างไร
เมื่อพูดถึงจำนวนปัญหาที่แก้ไขได้ ภาคเทคโนโลยีจะอยู่ตรงกลาง อย่างไรก็ตาม บริษัทต่าง ๆ ค่อนข้างรวดเร็วในการแก้ไขปัญหา พวกเขาใช้เวลาถึง 363 วันในการแก้ไข 50% ของข้อบกพร่อง แม้ว่านี่จะดีกว่าค่าเฉลี่ย แต่ก็ยังมีหนทางอีกยาวไกล Veracode กล่าวเสริม
สำหรับ Chris Eng ผู้อำนวยการฝ่ายวิจัยของ Veracode ไม่ใช่แค่การค้นหาจุดบกพร่องเท่านั้น แต่ยังเกี่ยวกับการลดจำนวนจุดบกพร่องที่นำมาใช้ในโค้ดด้วย นอกจากนี้ เขาเชื่อว่าบริษัทต่างๆ ควรให้ความสำคัญกับการทดสอบความปลอดภัยโดยอัตโนมัติ
“Log4j จุดประกายให้หลายองค์กรตื่นตัวเมื่อเดือนธันวาคมปีที่แล้ว ตามมาด้วยการดำเนินการของรัฐบาลในรูปแบบของคำแนะนำจากสำนักงานการจัดการและงบประมาณ (OMB) และกฎหมายไซเบอร์แห่งยุโรป ความยืดหยุ่น ซึ่งทั้งสองอย่างนี้มุ่งเน้นไปที่ ห่วงโซ่อุปทาน" อิงกล่าว "เพื่อปรับปรุงประสิทธิภาพในปีหน้า บริษัทเทคโนโลยีไม่ควรพิจารณาเฉพาะกลยุทธ์ที่ช่วยให้นักพัฒนาลดอัตราช่องโหว่ในโค้ดเท่านั้น แต่ยังให้ความสำคัญกับการทดสอบความปลอดภัยแบบอัตโนมัติในการบูรณาการอย่างต่อเนื่อง/ต่อเนื่อง ไปป์ไลน์การจัดส่ง (CI/CD) เพื่อเพิ่มประสิทธิภาพ »
อาชญากรไซเบอร์มักจะสแกนแอปพลิเคชันที่เข้าถึงอินเทอร์เน็ตซึ่งใช้โดยบริษัทต่างๆ เพื่อหาช่องโหว่และช่องโหว่ของโค้ด เมื่อพวกเขาพบ พวกเขามักจะใช้มันเพื่อปรับใช้เว็บเชลล์ ซึ่งทำให้พวกเขาสามารถเข้าถึงเครือข่ายองค์กรและจุดสิ้นสุดได้ (เปิดในแท็บใหม่) หลังจากแมปเครือข่ายและระบุอุปกรณ์และข้อมูลทั้งหมดแล้ว พวกเขาสามารถเริ่มการโจมตีขั้นที่สอง ซึ่งโดยปกติจะเป็นแรนซัมแวร์ มัลแวร์ หรือโปรแกรมล้างข้อมูล