Symantec empfiehlt Sicherheitslücken aufzudecken

60 Prozent aller bekannten Sicherheitslücken sind leicht auszunutzen

Der halbjährlich erscheinende Internet Security Threat Report des Sicherheits-Unternehmens Symantec spricht sich dafür aus, Sicherheitslücken in Programmen trotz der dadurch verursachten Risiken aufzudecken. Ansonsten bestehe die große Gefahr, dass erfahrene Angreifer geheim gehaltene Sicherheitslecks ausnutzen und so enormen Schaden anrichten können, weil sich die Opfer in Ermangelung der notwendigen Informationen nicht schützen können.

Artikel veröffentlicht am 27. Februar 2003, 11:07 Uhr, Ingo Pakalski

Der Bericht von Symantec weist darauf hin, dass von den insgesamt mehr als 2.000 im Jahr 2002 entdeckten Sicherheitslöchern in verschiedenen Software-Produkten der Anteil der leicht auszunutzenden Sicherheitslücken stark zugenommen hat. Diese schiere Zahl bedeutet, dass jeden einzelnen Tag mehr als fünf Sicherheitslöcher bekannt wurden. Zu diesen Sicherheitslecks zählt Symantec all jene, für die ein entsprechender Beispiel-Code öffentlich verfügbar ist oder gar kein Code für eine Attacke benötigt wird. In den vergangenen zwei Jahren betrug der Anteil dieser Angriffsmöglichkeiten etwa 60 Prozent, so dass mehr als die Hälfte aller bekannten Sicherheitslücken von weniger versierten Angreifern ausgenutzt werden können.

Die übrigen Sicherheitslöcher betrachtet Symantec als schwer umsetzbar für eine Attacke, weil ein Angreifer erfahren sein muss, um entsprechenden Programmcode entwickeln und programmieren zu können. Diese Arten von Sicherheitslecks sowie Lücken, für die kein Programmcode zur Ausnutzung benötigt werden, haben in den vergangenen zwei Jahren stark zugenommen. Gleichzeitig gingen die Veröffentlichungen von Programmcode zum Beleg eines Sicherheitslecks stark zurück. Symantec sieht darin eine höhere Sensibilität bei den Entdeckern solcher Sicherheitslücken bezüglich der Gefahren, die eine solche Veröffentlichung nach sich zieht und sieht das als positiven Impuls.

Allerdings betont Symantec, dass jegliche entdeckte Sicherheitslücke öffentlich kommuniziert werden muss und nicht geheim gehalten werden darf. Denn damit steigt das Risiko, dass erfahrene Angreifer diese Lecks entdecken und für kriminelle Attacken missbrauchen, ohne dass ein Opfer geeignete Gegenmaßnahmen ergreifen kann, eben weil ihm diese Angriffsmöglichkeit unbekannt ist. Der Angreifer kann hingegen besser im Verborgenen agieren und so womöglich größeren Schaden anrichten, weil eine Attacke erst später identifiziert werden kann.

Der Internet Security Threat Report fasst Ergebnisse umfangreicher Analysen im Internet von mehr als 30 TByte an Daten zusammen, die Symantec über die weltweit aktiven Security Operations Centers (SOCs) gesammelt hat.