Kwetsbaarheden, exploits en andere veiligheidsrisico’s in software, computers en gadgets. We zijn er bijna allemaal wel eens mee geconfronteerd, of het slachtoffer van geworden. Vooral de trage, late, installatie van patches die kwetsbaarheden oplossen, blijkt een ‘zegen’ te zijn voor cybercriminelen. Dat stellen de analisten van Qualys.
In 2022 zijn door Qualys meer dan 2,3 miljard kwetsbaarheden in IT-middelen ontdekt. Bedrijven vertrouwen steeds meer op digitale middelen en oplossingen om een van hun belangrijkste doelstellingen te kunnen bereiken: het verhogen van productiviteit, en daarmee uiteraard ook de omzet en winst. Maar met dat streven en de steeds verder versnellende digitale transformatie, neemt ook het aantal kwetsbaarheden in de IT-omgeving snel op.
Binnen het Qualys Cloud Platform werden in 2022 meer dan 13 biljoen (dat is dus een 13 met 12 nullen) gebeurtenissen onderzocht door de Qualys Threat Unit (TRU). Daaruit kon niet alleen de hoeveelheid kwetsbaarheden – 2,3 miljard – bepaald worden, maar ook inzicht in de kwetsbaarheden die voorkomen op apparaten, in de beveiliging van webapplicaties en door misconfiguratie van on-premise apparaten.
De onderzoekers keken ook naar de stand van zaken met betrekking tot cloud- beveiliging. De combinatie van deze analyses en het inzicht van TRU in de activiteiten van de cybercriminelen, zowel voor als na het misbruik van kwetsbaarheden, leverde vijf ‘risicofeiten’ op.
Nog geen twee derde van de organisaties (57,7%) installeert patches die bekende kwetsbaarheden verhelpen. Gemiddeld doen deze organisaties er ongeveer een maand over (30,6 dagen) voordat de patches geïnstalleerd zijn. De gemiddelde tijd die aanvallers ‘nodig hebben’ om een kwetsbaarheid te misbruiken is echter minder dan drie weken (19,5 dagen). Kortom het snel installeren van patches is essentieel om de aanvallers voor te zijn.
Volgens het onderzoek werden geautomatiseerde patches 45 procent vaker en 36 procent sneller geïmplementeerd dan handmatige patches. De geautomatiseerde patches werden binnen 25,5 dagen geïmplementeerd, terwijl dit voor handmatig gepatchte kwetsbaarheden 39,8 dagen in beslag nam. Het patchpercentage voor de geautomatiseerde set was 72,5 procent, vergeleken met 49,8 procent voor de handmatige set.
“Aanvallers maken er hun werk van om de kwetsbaarheden en zwakheden binnen de omgeving van hun slachtoffers te kennen, waardoor het machtsevenwicht in hun voordeel kan verschuiven”, zegt Chantal ’t Gilde, managing director Benelux & Nordics van Qualys.
Meer en meer cybercriminelen richten zich bovendien op het aanvallen van organisaties via andere browsers en software dan Chrome of Windows. Uit het onderzoek blijkt namelijk dat het gemiddeld 45,5 dagen duurt voordat patches voor kwetsbaarheden in andere browsers beschikbaar komen. Bij Windows en Chrome is dat 17,4 dagen voor Windows en Chrome. Daarnaast worden patches van andere browsers ook minder vaak geïnstalleerd door bedrijven, namelijk 68,3% vergeleken met 82,9% voor Windows en Chrome.
De Qualys Web Application Scanner, die wereldwijd meer dan 370.000 webapplicaties controleert, bracht in 2022 meer dan 25 miljoen kwetsbaarheden aan het licht, waarvan 33% in OWASP-categorie A05: Misconfiguratie. Deze misconfiguraties boden cybercriminelen in ongeveer 24.000 webapplicaties een ingang om malware te verspreiden.
TRU onderzocht alle controles die meer dan 50% van de scans niet doorstaan en de MITRE ATT&CK-technieken die hiermee verbonden zijn. De top drie technieken die de falende controles voor cloud misconfiguraties veroorzaakten waren T1210: Exploitatie van Remote Services, 1485: Vernietiging van gegevens en 1530: Gegevens uit Cloud Storage Object. Hieruit blijkt dat organisaties zichzelf door misconfiguraties in de cloud blootstellen aan misbruik, versleuteling en gegevensdiefstal. Deze drie technieken beschrijven precies hoe ransomware tegenwoordig werkt. Misconfiguraties worden bovendien in verband gebracht met de mogelijkheid voor cybercriminelen om zich zijdelings binnen een organisatie te verplaatsen.
Het volledige rapport van Qualys is hier te downloaden.
