Tapio Särkelä

Tapio Särkelä

The author works as a Cyber Sales Lead in Mint Security. Helping software companies to make Secure DevOps.
Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp

Veracode julkaisi äskettäin vuosittaisin raporttinsa sovellusten tietoturvan tilasta. State of Software Security 11 antaa kattavan näkkymän millaisia haavoittuvuuksia sovellukset sisältävät, millaisia ne ovat,, mikä niitä aiheuttaa ja miten etsiä niitä mahdollisiman tehokkaasti.

Edellisessä raportissa tarkasteltiin miten sovellusten tietoturva on muuttunut kymmenen julkaisuvuoden aikana. Uudessa raportissa puolestaan katsotaan tulevaisuuteen ja mihin sovellusten tietoturva on menossa. Veracoden tarkoituksena ei ole suinkaan päättää onko tietoturva menossa huonompaan tai parempaan suuntaan, vaan katsoa millaisia vaikutuksia kehittäjien ja koodaajien päätöksillä on sovellusten tietoturvaan.

0
päivää

Tiimillä jolla on ”heikkoja” tietoturvakäytäntöjä – satunnaisia skannauksia silloin tällöin – ja tietoturvan kannalta haastava sovellus voi kuluttaa valtavasti aikaa tietoturvavelan puolittamiseen. 

0
päivää

Tiimillä jolla on hyviä tietoturvakäytäntöjä ja vastaava sovellus kuluttaa vain puolet ajasta tietoturvavelan puolittamiseen. 

Suurimmassa osassa sovelluksia on jokin haavoittuvuus

Veracoden yhteenveto 130.000 sovelluksen skannauksista osoittaa, että 76 % oli ainakin yksi haavoittuvuus. Hyvä uutinen on puolestaan se, että suurin osa haavoittuvuuksista ei ole vakavia eli vain 24 prosentissa oli vakava tai erittäin haavoittuvuus. Huono uutinen on tosin edelleen se, että virheiden korjaamiseen ei edelleenkään panosta – puolet haavoittuvuuksia oli edelleen korjaamatta kuuden kuukauden jälkeen ensimmäisestä havainnosta.

Haavoittuvuuksia
0%
Vakavia
0%

Avoimen lähdekoodin kirjastot luovat uutta tilaa hyökkäyksille

Sovelluskehityksessä käytetään yhä enemmän avoimen lähdekoodin kirjastoja. Usein suurin osa koodista on avoimen lähdekoodin kirjastoista kuin ns. omaa ”frrst-party” -koodia. Tänä vuonna Veracode havaitsi, että esim. tyypillisestä Java -sovelluksesta peräti 97 prosenttia oli ns. kolmannen osapuolen koodia. Skannausten tulosten analyysi osoitti, että kolmasosassa sovelluksia ns. kolmannen osapulen koodissa oli enemmän haavoittuvuuskia kuin natiivikoodissa.

Sovelluskirjastojen haavoittuvuuksia käsitellään enemmän alla olevassa blogissa.

Sovellusten tietoturvaa voi vaalia, vaikka lähtökohdat eivät olisikaan aivan ideaalisia

Raportista voidaan myös nostaa esille miten sovellusten tietoturvaa voidaan toteuttaa, vaikka lähtökohdat, kuten kertynyt korjausvelka tai sovelluksen valtava koko, asettavat omat haasteensa kehittäjille ja koodareille. Esimerkiksi miten usein skannataan tai miten tietoturvallinen sovelluskehitys on integroitu osaksi sovelluskehitysprosessia.

Veracoden tutkijoiden miellyttäväksi yllätykseksi aineistosta paljastui muutamia lupaavia toimintoja, miten sovellusten tietoturvaa voi todellakin vaalia, vaikka lähtökohdat olisivat kenties muutoin haasteelliset. Kehitystiimeillä, jotka olivat automatisoineet skannauksen integroimalla palvelun kehitysalustaan, korjasivat havaintonsa huomattavasti nopeammin (17,5 päivää) kuin tutkimusaineistossa keskimäärin (= ajanjakso, jonka aikana korjattiin puolet havainnoista).

Katso lisää:  Veracoden infograafiikka

SoSS 11 - toimenpiteet vaikuttaa tuloksiin.

Yleisimmät haavoittuvuudet sovelluskielen mukaan

Tänä vuonna Veracode selvitti myös millainen vaikutus sovelluskielellä on tietoturvaan. Mielenkiintoinen havainto oli, että yleissin haavoituvuus vaihteli eri ohjelmointikielillä. Yleisin haavoittuvuus .Netillä tehdyllä sovelluksilla oli tiedon vuotaminen. PHP:llä se oli puolestaan cross-site-scripting ja java-sovelluksilla CRLF-injektio.

Katso lisää : yleisimmät haavoittuvuudet ohjelmointikielen mukaan

SoSS 11 - heatmap of programming languages
Veracode feature picture

Veracode

SAST – Koodin staattinen tarkistus SCA – Kirjastoanalyysi ja inventaario SDLC sovelluskehitysintegraatio Yrityksen koko sovellusportfolion tietoturvariskien hallinta samassa palvelussa Veracoden palvelun avulla voidaan tutkia ja

Lue lisää »
State of software security 11 is here
Veracode
Tapio Särkelä

Veracode – State of Software Security 11

Veracode julkaisi äskettäin vuosittaisin raporttinsa sovellusten tietoturvan tilasta. State of Software Security 11 antaa kattavan näkkymän millaisia haavoittuvuuksia sovellukset sisältävät, millaisia ne ovat,, mikä niitä

Lue lisää »
Veracode Security Labs - training module introduction to bash terminal
Veracode
Saku Tuominen

Veracode Security Labs – Community Edition

Veracode Security Labs Community Edition on paikka, jossa kehittäjät voivat hakkeroida ja korjata aitoja sovelluksia, oppia uusimpia taktiikoita ja parhaita tietoturvakäytäntöjä — opastuksen kera, oikeaa koodia tutkien. Tämän yhteisöversion avulla kuka tahansa saa käyttöönsä tarvittavat työkalut sovellusten tietoturva-aukkojen tilkitsemiseen.

Lue lisää »
Tapio Särkelä

Tapio Särkelä

The author works as a Cyber Sales Lead in Mint Security. Helping software companies to make Secure DevOps.
Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp