Hereinspaziert: Die Top 10 der Schwachstellen für Cybersicherheit

Security Hereinspaziert: Die Top 10 der Schwachstellen für Cybersicherheit

10.07.2019 | Redakteur: Sebastian Human

In einer zunehmend vernetzten Welt kommt dem Thema Cybersicherheit, also Security, konstant wachsende Bedeutung zu. Um sich wirkungsvoll zu schützen, muss man jedoch erstmal potenzielle Schwachstellen als solche erkennen – wir haben die Top 10 zusammengefasst.

Firma zum Thema

Parasoft® Deutschland GmbH

Auf der Mission, sich vor Cyberangriffen zu schützen, ist es hilfreich, potenzielle Einfallstore für Angreifer zu kennen.
(Bild: gemeinfrei / Pixabay )

HackerOne, die weltweit führende Plattform für Hacker-getriebene Sicherheit, veröffentlicht erstmals einen Forschungseinblick hinsichtlich der 10 wirkungsvollsten Sicherheitsschwachstellen, die im Rahmen seiner Programme gemeldet wurden. An diesen Schwachstellen haben die bei der Plattform registrierten Hacker über 54 Millionen Dollar an Bounties verdient.

HackerOne hat eine interaktive Seite veröffentlicht, auf der die Schwachstellen mit dem höchsten Schweregrad verzeichnet sind. Dieser bezieht sich zum einen auf die Zahl der Meldungen insgesamt, zum anderen auf die Häufigkeit mit der diese Schwachstellen seitens der Industrie gemeldet wurden. Die Daten basieren auf über 120.000 gemeldeten Schwachstellen aus mehr als 1.400 Kundenprogrammen weltweit.

Die HackerOne Top 10 der Sicherheitsschwachstellen

1. Cross-site Scripting-Angriffe - AlleTypen (DOM-basiert, reflektiert, beständig, generisch)

2. Unsachgemäße Authentifizierung - Generisch

3. Offenlegung von Informationen

4. Privilege Escalation/Privilegienerweiterung

5. SQL-Injektion

6. Code-Injektion

7. Server-Side Request Forgery (SSRF) – serverseitige Fälschung von Anforderungen

8. Insecure Direct Object Reference (IDOR) – Objektreferenz auf diese Objekte ist manipulierbar

9. Unsachgemäß vergebene Zugriffsberechtigungen/Zugriffskontrolle - Generisch

10. Cross-Site Request Forgery (CSRF) – Unterschieben eines ungewollten Webaufrufs

Dazu Miju Han von HackerOne: “Wir sehen eine 40 %ige Überschneidung zwischen den Top 10 Sicherheitsschwachstellen mit der jüngsten OWASP Top 10-Veröffentlichung. Cross-site Scripting-Angriffe (XSS), das Offenlegen von Informationen und Injektionsvarianten sind auf beiden Listen vertreten. Beide Quellen unterstützen Sicherheitsabteilungen dabei, die größten Risiken zu erkennen. Unsere Liste bezieht zusätzlich mit ein, wie oft die betreffenden Schwachstellen aufgetreten sind und wie sich ihr Wert in Bug Bounties beziffert. Das sollte für Sicherheitsteams von besonderem Interesse sein, wenn man sich vor kriminellen Hackern schützen will.”

Buchtipp „Cybersicherheit“Das Fachbuch „Cybersicherheit" führt grundlegend und praxisnah an die aktuellen Herausforderungen der IT-Security heran. Dabei werden bewusst neue digitale Entwicklungen, wie die Vernetzung industrieller Maschinen und Anlagen durch Industrie-4.0-Technologien, adressiert. „Cybersicherheit“ kann hier versandkostenfrei oder als eBook bestellt werden.

Miju weiter: “Wenn man sich die kumulative Höhe der Bounties anschaut, die für kritische und höchst schwerwiegende Bugs gezahlt wurden, macht die Summe 60 % der insgesamt ausgezahlten Bug Bounties aus. Wenn man die Zahl der gemeldeten Schwachstellen untereinander vergleicht, sind darunter drei Mal so viele schwerwiegende Bugs gegenüber kritischen gemeldet. Auf der anderen Seite summieren sich die für minder schwere Bugs gezahlten Bounties auf nur 8 % der Gesamtsumme, die in etwa 30 % der Zahl der gemeldeten Schwachstellen entspricht.

Wir sind jetzt in der glücklichen Lage das umfassende Datenmaterial mit unseren Kunden und der Industrie zu teilen. Diese Informationen gestatten eine zuverlässige Einschätzung, welche Schwachstellen wahrscheinlich am teuersten werden.”