Dengan begitu banyak bug yang lebih tua di sekitar, mengapa repot-repot dengan nol-hari?

Jangan terobsesi dengan kerentanan zero-day dan serangan yang sangat canggih dan tertarget. Penyerang lebih cenderung mengeksploitasi kelemahan yang lebih tua dan dikenal dalam aplikasi Web, jadi fokuslah pada tambalan dasar dan kebersihan keamanan sebagai gantinya.

Kerentanan yang ditambal pada tahun 2010 dan yang lainnya pada tahun 2009 adalah di antara sepuluh kerentanan Web yang paling sering ditargetkan pada bulan April, kata Barry Shteiman, direktur strategi keamanan Imperva, kepada SecurityWatch. Terlepas dari usianya, penyerang swasta dan industri terus menargetkan kerentanan ini, karena kampanye serangan ini "menguntungkan." Serangan itu tidak memerlukan pembelian atau pengembangan eksploitasi nol-hari yang mahal "seperti yang lama yang juga berfungsi, " kata Shteiman.

Penyerang mengerti bahwa kerentanan yang lebih lama adalah buah keamanan aplikasi Web yang rendah. Penyerang bisa menjadi canggih jika mereka perlu, dan ada alat yang mereka miliki untuk menyusun kampanye yang kompleks. Tetapi mengapa repot-repot ketika orang tetap dengan versi lama dari aplikasi Web atau administrator tidak mempertahankan jadwal perbaikan yang teratur untuk aplikasi tersebut. Masalahnya bahkan lebih umum di antara aplikasi yang banyak digunakan, seperti perangkat lunak forum, sistem manajemen konten, dan bahkan alat e-commerce, kata Shteiman.

Sistem Berisiko

Semua kerentanan yang ditargetkan pada bulan April adalah serangan injeksi, seperti injeksi file dan SQL dan semuanya telah ditambal. Cacat 2010 mengeksploitasi masalah manajemen hak istimewa dalam ZeusCMS 0.2 dan bug 2009 adalah injeksi SQL di Zen Cart 1.3.8 dan sebelumnya. "Kerentanan tampaknya tidak pernah mati, " kata Shteiman.

Jika penyerang mengetahui masalah dalam satu CMS dan bahwa CMS telah diinstal 10 juta kali, mencari situs yang menjalankan versi perangkat lunak itu "masuk akal, " kata Shteiman. Itu membutuhkan beberapa Google-fu yang bijaksana dan tidak banyak lagi.

Imperva memberikan grafik sepuluh kerentanan teratas yang ditargetkan, dan tiga hal muncul. Kerentanan "terbaru" dalam daftar adalah dari 2013. Seperti dapat dilihat oleh skor CVSS, kerentanan itu sendiri tidak canggih, cacat sangat kritis. Dan eksploitasi itu sendiri tidak serumit itu.

Ada banyak serangan massal terhadap perangkat lunak CMS populer, termasuk WordPress dan Joomla. Dengan sistem yang cukup rentan di luar sana, jauh lebih murah dan lebih mudah bagi penyerang untuk mencari sistem itu daripada membuat serangan zero-day.

Peningkatan di Dunia Injeksi

Penyerang hanya menggunakan vektor serangan yang ada dan baru-baru ini ditemukan berulang-ulang, kata Shteiman. Inilah sebabnya mengapa injeksi SQL dan skrip lintas situs tetap menjadi vektor serangan yang populer. Masalah SQLi diselesaikan sepuluh tahun yang lalu, tetapi tingkat serangannya masih tinggi. Script lintas situs menyumbang 40 persen dari serangan selama tiga bulan terakhir dan injeksi SQL sebagai 25 persen, katanya.

"Jika kami memiliki obat untuk kanker, Anda berharap akan melihat penurunan angka kematian. Tapi itu tidak terjadi untuk injeksi SQL, " kata Shteiman.

Pandangan sekilas ke Exploit-db.com mengkonfirmasi pengamatan Shteiman. Dari tujuh eksploitasi yang tercantum dalam aplikasi Web, lima berurusan dengan beberapa cara dengan perangkat lunak, seperti WordPress, AuraCMS, atau platform bisnis sosial Sharetronix. Serangan injeksi XSS dan SQL juga sering terdaftar.

Administrator, apakah mereka mengelola situs yang memiliki jutaan pengguna setiap hari atau situs dengan kehadiran online yang lebih kecil, perlu memastikan mereka menambal perangkat lunak mereka secara teratur. Banyak pengembang CMS menyederhanakan proses pembaruan dalam perangkat lunak mereka, dan ada alat untuk membantu mengidentifikasi semua aplikasi yang telah diinstal. Fitur yang tidak digunakan harus dinonaktifkan.

Tentu, serangan zero-day dan serangan bertarget itu menakutkan. Tetapi jika penyerang datang untuk data Anda dan situs Anda (dan kemungkinan besar seseorang akan), jangan membuatnya mudah dengan memiliki lubang pada perangkat lunak Anda. Menambal, menjalankan alat penilaian, dan mencari perilaku mencurigakan. Kewaspadaan adalah kuncinya.