Ett oroande antal vanliga applikationer har mycket allvarliga säkerhetsbrister, särskilt de som används av företag inom tekniksektorn, enligt ny forskning.
En Veracode-rapport som analyserade 20 miljoner skanningar över en halv miljon applikationer inom teknik, tillverkning, detaljhandel, finansiella tjänster, hälsovård och myndigheter fann att 24 % av applikationerna inom tekniksektorn har allvarliga defekter.
Jämförelsevis är detta den näst högsta andelen applikationer med säkerhetsbrister (79 %), där endast den offentliga sektorn har den sämsta situationen (82 %).
rätta till defekter
Bland de vanligaste typerna av sårbarheter är serverkonfigurationer, osäkra beroenden och informationsläckor, heter det i rapporten, som säger att dessa fynd "i stort sett följer" ett liknande mönster som andra industrier. Branschen har dock den största skillnaden från branschgenomsnittet när det kommer till kryptofrågor och informationsläckor, vilket får forskare att spekulera om hur industriteknikutvecklare är mer kunniga om utmaningarna med dataskydd.
När det gäller antalet lösta problem faller tekniksektorn någonstans i mitten. Företag är dock relativt snabba på att lösa problem. Det tar dem upp till 363 dagar att åtgärda 50 % av defekterna. Även om detta är bättre än genomsnittet är det fortfarande en lång väg kvar, tillade Veracode.
För Chris Eng, forskningschef på Veracode, handlar det inte bara om att hitta buggar, utan också om att minska antalet buggar som introduceras i koden i första hand. Dessutom menar han att företag borde fokusera mer på att automatisera säkerhetstester.
"Log4j utlöste en väckarklocka för många organisationer i december förra året. Detta följdes av statliga åtgärder i form av vägledning från Office of Management and Budget (OMB) och European Cyber Resilency Act, som båda fokuserar på försörjningskedjan ", sa Eng. "För att förbättra prestandan under det kommande året bör teknikföretag inte bara överväga strategier som hjälper utvecklare att minska frekvensen av introducerade sårbarheter i kod, utan också lägga mer vikt vid att automatisera säkerhetstestning i den kontinuerliga integrationen/kontinuerliga leveransen ( CI/CD) pipeline för att få effektivitet »
Cyberkriminella söker ofta igenom internettillgängliga applikationer som används av företag efter sårbarheter och kryphål i kod. När de hittar en använder de den ofta för att distribuera webbskal, som sedan ger dem tillgång till företagets nätverk och slutpunkter (öppnas i en ny flik). Efter att ha kartlagt nätverket och identifierat alla enheter och data kan de starta det andra steget av attacken, vilket vanligtvis är ransomware, skadlig programvara eller datatorkare.