Qualys, Anbieter für cloudbasierte IT-Sicherheitslösungen, hat seinen 2023 TruRisk Research Report veröffentlicht. Der Bericht gibt einen Überblick über die Sicherheitslücken, die Qualys im Jahr 2022 weltweit entdeckt hat und zieht Schlüsse aus den Resultaten.

Mehr als 2,3 Milliarden Sicherheitsprobleme sind den Forschern ins Netz gegangen und 13 Billionen anonymisierten Datenpunkte seien eingehend untersucht worden, um festzustellen, welche Schwachstellen das größte Risiko für Unternehmen darstellen, heißt es im 2023 TruRisk Research Report. Diese Daten zeigen Risikofakten auf, die für alle über alle Branchen und Organisationen hinweg gelten, heißt es weiter. Zu den fünf wichtigsten Risikofaktoren zählen die Experten, den Faktor Geschwindigkeit, die Automatisierung, die Initial Access Brokers (IABs), Fehlkonfigurationen in Web-Anwendungen und Fehlkonfigurationen in der Infrastruktur von Unternehmen.

Beim Faktor Geschwindigkeit ist die Zeitspanne bis zum Patchen einer Lücke gemeint. Schwachstellen, für die es einen Exploit gibt, würden im Durchschnitt innerhalb von 30,6 Tagen gepatcht, wobei in diesem Zeitraum real nur 57,7 Prozent der Lücken geschlossen werden. Angreifer bräuchten dagegen durchschnittlich nur 19,5 Tage, um eine Angriffsmöglichkeit zu entwickeln. Angreifer hätten dann 11,1 Tage Zeit, um die Sicherheitslücken auszunutzen, heißt es im Report.

Automatisierung heißt, dass Patches, die automatisch installiert werden konnten, um 45 Prozent häufiger und 36 Prozent schneller implementiert werden als manuell installierte Patches.

Ein wachsender Trend in der Bedrohungslandschaft sind laut Report die sogenannten Initial Access Broker (IABs), die Zugänge zu kompromittierten Netzwerken und Firmen verkaufen.   Die IABs würden unter anderem nach Fehlkonfigurationen wie Standardkennwörtern oder ungeschützten Diensten suchen, um einen Zugang zu finden oder Schwachstellen in ungepatchten Systeme auszunutzen.

Beim Punkt Fehlkonfigurationen in Web-Anwendungen haben die Experten 370.000 Web-Applikationen und damit zusammenhängend Daten nach den Top-10-Sicherhietslücken des Web Application Security Project (OWASP) gescannt und 35 Millionen Sicherheitslücken entdeckt. 33 Prozent davon hätten der OWASP-Kategorie A05 entsprochen, seien also schlicht Fehlkonfigurationen, steht im Bericht.

Die Fehlkonfigurationen in der Infrastruktur beziehen sich unter anderem auf die Prüfung von Amazon Web Services (AWS), Google Cloud Platform (GCP) und Microsoft Azure gemäß den Benchmarks des Center for Internet Security (CIS). Zu den Ergebnissen zähle, dass die Datenexfiltration aufgrund von Fehlkonfigurationen in S3-Buckets ein ernstes Problem darstellen und zu hochgradigen Sicherheitsverletzungen führen könnten. Die schwachen Zugriffskontrollen in Amazon S3-Cloud-Speicher-Buckets hätten dabei maßgeblich zu diesen Vorfällen beigetragen, heißt es weiter.

Den 2023 TruRisk Research Report gibt es nach Angabe von Daten zum Download.

Der Beitrag TruRisk Research Report zeigt fünf Risikofaktoren auf erschien zuerst auf Linux-Magazin.