Een webapplicatie bevat gemiddeld twintig beveiligingslekken, zo blijkt uit nieuw onderzoek van Barracuda. De meeste van die zwakke plekken zijn het gevolg van ‘simpele vergissingen’.
In een onderzoek legt beveiligingsbedrijf Barracuda de kwetsbaarheid van webapplicaties bloot. Het bedrijf voerde gedurende vijf maanden honderden scans uit. Barracuda telde gemiddeld 20 kwetsbaarheden in een webapplicatie. Het gaat vaker om simpele fouten die volgens Barracuda eenvoudig vermeden kunnen worden.
Informatielekken en spoofing als grootste boosdoeners
Barracuda identificeert zeven categorieën die ongeveer negentig procent van ontdekte kwetsbaarheden vertegenwoordigen. Informatielekken vormen met 25 procent de grootste categorie. Applicaties geven te veel prijs over hun systemen, domeinen, verborgen pagina’s of diensten. Aanvallers gebruiken die gegevens om een omgeving in kaart te brengen, zwakke plekken te vinden en gerichte aanvallen voor te bereiden zonder daarbij op te vallen.
Merkvervalsing en spoofing volgen met 24 procent op de voet. Hierbij misbruiken aanvallers zwakke plekken om zich voor te doen als een vertrouwd merk of domein. Zo kunnen ze webpagina’s klonen, gebruikers naar schadelijke sites leiden of overtuigende phishingmails versturen die van het echte merk lijken te komen.
Client-side aanvallen, waarbij kwaadaardige scripts via de browser worden uitgevoerd, zijn goed voor 14 procent van de kwetsbaarheden. Denk aan cross-site scripting, waarmee aanvallers sessiecookies stelen of gebruikers misleiden om op verborgen knoppen te klikken.
Blootstelling van data en verouderde systemen
Blootstelling van data neemt 10 procent van de kwetsbaarheden voor zijn rekening. Gevoelige informatie lekt dan via webpagina’s, API’s, logbestanden of verkeerd geconfigureerde reacties. Aanvallers kunnen zo persoonsgegevens, tokens en bedrijfsinformatie verzamelen, of gebruikers ongemerkt volgen.
Zwakke of ontbrekende versleuteling en verouderde software zijn elk goed voor 6 procent van de problemen, terwijl zwak sessiebeheer en onvoldoende bescherming van cookies en inloggegevens 5 procent uitmaken. Volgens Jesus Cordero-Guzman, directeur Solution Architects AppSec, NetSec & XDR International bij Barracuda, combineren aanvallers vaak meerdere kleinere kwetsbaarheden om alsnog gevoelige data of inloggegevens te bemachtigen.
Simpele fouten
Volgens Barracuda kunnen veel van deze fouten eenvoudig vermeden worden door apps regelmatig te scannen op kwetsbaarheden en foutieve configuraties, en die onmiddellijk te patchen. Daarnaast is het volgens het bedrijf belangrijk om het vrijgeven van informatie tot een minimum te beperken en de beveiliging van encryptie, authenticatie en sessies te versterken.
Continue monitoring van webapplicaties op verdachte activiteiten en nieuwe dreigingen blijft daarbij noodzakelijk. Cordero-Guzman benadrukt dat een proactieve, gelaagde aanpak van applicatiebeveiliging risico’s moet identificeren en aanpakken voordat aanvallers ze kunnen misbruiken.
Het onderzoek van Barracuda toont dat webapplicaties zelden slachtoffer worden van geavanceerde aanvalstechnieken, maar vooral van basisfouten die met de juiste discipline te voorkomen zijn. Voor organisaties die webshops, klantportalen of partnerinterfaces beheren, is continue controle van hun applicaties geen overbodige luxe.