Aktuelles, Branche, Studien - geschrieben von dp am Dienstag, Juni 11, 2019 16:45 - noch keine Kommentare
Hacker: Beute auf Basis überwiegend bekannter Schwachstellen
HackerOne veröffentlicht Forschungseinblick auf die zehn wirkungsvollsten Typen
[datensicherheit.de, 11.06.2019] HackerOne veröffentlicht nach eigenen Angaben erstmals einen Forschungseinblick hinsichtlich der zehn wirkungsvollsten Sicherheitsschwachstellen, die im Rahmen seiner Programme gemeldet wurden. An diesen Schwachstellen haben die bei der HackerOne-Plattform erfassten Hacker demnach über 54 Millionen US-Dollar Beute gemacht. HackerOne hat eine interaktive Seite veröffentlicht, auf der die Schwachstellen mit dem höchsten Schweregrad verzeichnet sind. Dieser sei zum einen bezogen auf die Zahl der Meldungen insgesamt, zum anderen auf die Häufigkeit mit der diese Schwachstellen seitens der Industrie gemeldet wurden. Die Daten basierten auf über 120.000 gemeldeten Schwachstellen aus mehr als 1.400 Kundenprogrammen weltweit.
HackerOne: Top 10 der Schwachstellen
- Cross-site Scripting-Angriffe – AlleTypen (DOM-basiert, reflektiert, beständig, generisch)
- Unsachgemäße Authentifizierung – generisch
- Offenlegung von Informationen
- Privilege Escalation / Privilegienerweiterung
- SQL-Injektion
- Code-Injektion
- Server-Side Request Forgery (SSRF) – serverseitige Fälschung von Anforderungen
- Insecure Direct Object Reference (IDOR) – Objektreferenz auf diese Objekte ist manipulierbar
- Unsachgemäß vergebene Zugriffsberechtigungen / Zugriffskontrolle – generisch
- Cross-Site Request Forgery (CSRF) – Unterschieben eines ungewollten Webaufrufs
Für Sicherheitsteams von besonderem Interesse
„Wir sehen eine 40-prozentige Überschneidung zwischen den Top-10-Sicherheitsschwachstellen mit der jüngsten OWASP-Top-10-Veröffentlichung. Cross-site Scripting-Angriffe (XSS), das Offenlegen von Informationen und Injektionsvarianten sind auf beiden Listen vertreten. Beide Quellen unterstützen Sicherheitsabteilungen dabei, die größten Risiken zu erkennen“, sagt Miju Han von HackerOne.
Ihre Liste beziehe zusätzlich mit ein, wie oft die betreffenden Schwachstellen aufgetreten sind und wie sich ihr Wert in „Bug Bounties“ beziffert. „Das sollte für Sicherheitsteams von besonderem Interesse sein, wenn man sich vor kriminellen Hackern schützen will.”
Kritisch oder höchst schwerwiegend: 60 % der ausgezahlten „Bug Bounties“
„Wenn man sich die kumulative Höhe der ,Bounties‘ anschaut, die für kritische und höchst schwerwiegende Bugs gezahlt wurden, macht die Summe 60 Prozent der insgesamt ausgezahlten ,Bug Bounties‘ aus. Wenn man die Zahl der gemeldeten Schwachstellen untereinander vergleicht, sind darunter drei Mal so viele schwerwiegende Bugs gegenüber kritischen gemeldet“, berichtet Miju.
Auf der anderen Seite summierten sich die für minderschwere Bugs gezahlten ,Bounties‘ auf nur acht Prozent der Gesamtsumme, die in etwa 30 Prozent der Zahl der gemeldeten Schwachstellen entspreche. „Wir sind jetzt in der glücklichen Lage das umfassende Datenmaterial mit unseren Kunden und der Industrie zu teilen. Diese Informationen gestatten eine zuverlässige Einschätzung welche Schwachstellen wahrscheinlich am teuersten werden.”
Weitere Informationen zum Thema:
hackerone
The HackerOne Top 10 Most Impactful Vulnerability Types
|1:blog, 11.06.2019
THE HACKERONE TOP 10 MOST IMPACTFUL AND REWARDED VULNERABILITY TYPES
datensicherheit.de, 28.04.2019
HackerOne-Jahresbericht: Hacker Community wächst um 100 %
datensicherheit.de, 21.08.2018
Nextcloud setzt auf Sicherheit mit Bug Bounty-Programm von HackerOne
Aktuelles, Experten - Apr 26, 2024 20:46 - noch keine Kommentare
eco-Stellungnahme zum Verschlüsselungsverbot – praktisch nicht umsetzbar und Verstoß gegen Grundrechte
weitere Beiträge in Experten
- Schleswig-Holstein: Datenschutzbericht 2023 vorgestellt
- Bundesdatenschutzgesetz: DSK-Stellungnahme zum Gesetzentwurf zur Änderung veröffentlicht
- Digitalministerkonferenz: Digitalverband Bitkom benennt Herausforderungen an die neue Institution
- Digitalministerkonferenz sollte Schnellboot der Digitalisierung in Deutschland sein
- World Cybercrime Index: Identifizierung globaler Brennpunkte der Cyber-Kriminalität
Aktuelles, Branche - Apr 26, 2024 20:54 - noch keine Kommentare
Soziale Medien: Booster oder Cyber-Achillesferse für Politiker
weitere Beiträge in Branche
- DORA ante portas: Verbindliche Richtlinie für das Risikomanagement im Finanzsektor rückt näher
- Generative KI: Jüngste Erkenntnisse von Check Point Research zur Gefahr für die Wahlen 2024
- DDoS-Attacken: Check Point warnt vor neue Wellen
- Finanzkriminalität: BioCatch publiziert ersten Bericht über digitalen Betrug mittels KI
- Zscaler-Report 2024: 60 Prozent Anstieg bei KI-gesteuerten Phishing-Angriffen
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren