La voce di HP si aggiunge al coro dei tanti che, in questo periodo, sottolineano come lo scenario della cyber security stia mutando in modo irreversibile, a causa di nuove tipologie sempre più sofisticate di attacchi. E mentre Trend Micro, di recente, ha puntato l’attenzione sulle crescita delle minacce a lungo termine, Hewlett Packard nel suo ultimo Top Cyber Security Risks Report, relativo al 2011, si concentra sull’analisi delle vulnerabilità, attingendo dati da più fonti interne ad HP.
Le vulnerabilità rilevate sono in calo (Fonte: HP, 2011 Top Cyber Security Report)
La conclusione, in sintesi, è questa: se un tempo bastava conteggiare i bug rilevati nelle applicazioni e nei siti Internet per avere una misura del livello di rischio, oggi la questione è diventata più complessa. Molte vulnerabilità, infatti, non vengono rilevate finché gli effetti dell’attacco informatico non diventano evidenti.
Vero è che, in termini strettamente numerici,
il numero delle
vulnerabilità rilevate è in calo, nel 2011 addirittura del 20% rispetto all’anno
precedente. Il dato, però, si lega alla maggiore complessità dei
software in commercio: in parole povere, i programmi non sono più
sicuri, ma solo più difficili da radiografare. E questo crea un falso
senso di sicurezza.
La questione, inoltre, non è semplicemente quantitativa. Nel tempo, infatti,
è aumentata la quota di vulnerabilità classificate come high-severity, cioè con un tasso di gravità da 8 a 10: in dieci anni, dal 2001 al 2011, nelle applicazioni commerciali la percentuale è passata dall’9% al
24%, mentre i casi classificati come a medio rischio sono calati dal 76% al 49%.
Secondo le stime di HP TippingPoint Intrusion Prevention Systems,
nel secondo semestre del 2011 gli attacchi sono più che duplicati; il 36% circa delle vulnerabilità rilevate riguardano applicazioni Web commerciali. Fra le tendenze, si nota una crescente popolarità degli
assalti di tipo injection, ovvero che permettono agli hacker di penetrare all’interno di un database riservato attraverso il sito Internet di un’organizzazione.
Le vulnerabilità ad alto rischio (in grigio) sono in aumento
Il 2011 è stato anche un anno fruttuoso per gli attacchi
Web exploit, spesso realizzati utilizzando dei toolkit preconfezionati e commercializzati online: con questo metodo, gli hacker possono accedere ai sistemi IT delle aziende e sottrarre dati sensibili. HP fa notare, inoltre, come la
proliferazione di applicazioni Web “custom-built”, fra cui i siti Web retail, abbia creato un mercato per gli exploit delle vulnerabilità uniche, che richiedono competenze avanzate per essere localizzate e indirizzate.