PC-Sicherheit: Microsoft ist nicht mehr das Hauptproblem

19. März 2009, 13:14
  • security
  • microsoft
  • lücke
image

Böswillige Angreifer versuchten letztes Jahr vermehrt, ungepatchte Sicherheitslücken in PC-Software-Komponenten, die nicht von Microsoft stammen, auszunützen.

Böswillige Angreifer versuchten letztes Jahr vermehrt, ungepatchte Sicherheitslücken in PC-Software-Komponenten, die nicht von Microsoft stammen, auszunützen.
Der unabhängige dänische Sicherheitsberater Secunia beschäftigt sich vorwiegend mit Sicherheitslücken in weit verbreiteten Programmen wie 'Acrobat Reader', diversen Browsern oder etwa 'Java Runtime Environment', die auf fast jedem PC installiert sind. Die Dänen verfügen über eine sehr gute Datenbasis, da sie ein für Private kostenloses Tool anbieten, das den Aktualisierungsstand der installierten Komponenten auf einem PC laufend überprüft.
Anders als Viren, gegen die man sich mit einer Antiviren-Software ziemlich gut schützen kann, hilft diese wenig bis nichts gegen gezielte Angriffe auf bekannte Sicherheitslücken. Machten früher ungestopfte Sicherheitslücken im Betriebssystem Windows oder dem Internet Explorer von Microsoft den Sicherheitsverantwortlichen in Unternehmen am meisten Bauchschmerzen, so hat sich dies nun geändert, wie der kürzlich veröffentlichte Jahresbericht von Secunia zeigt.
"Patch Tuesday" zeigt Wirkung
Der Fokus der kriminellen Angreifer habe sich weg von Microsoft-Produkten hin zu Software von anderen Anbietern verlagert, schreibt Secunia-CEO Niels Henri Rasmussen im Vorwort des Berichts. Die monatlichen Updates für Windows und viele andere Microsoft-Produkte ("Patch Tuesday") und die Möglichkeit, diese automatisch herunterzuladen und zu installieren, habe das "Window of Opportunity" für Angreifer stark verkleinert, weshalb sie sich vermehrt auf Lücken in Software von anderen Anbietern konzentrieren, so Rasmussen.
Allerdings zeigen die Auswertungen des Patch-Überwachungswerkzeugs von Secunia, 'Personal Software Inspector' (PSI), dass die Anwender sehr oft veraltete, löchrige Versionen von Software von anderen Anbietern installiert haben. Die Angaben von Secunia dürften einzigartig genau sein, denn der PSI ist millionenfach installiert und die Online-Version OSI wurde noch öfter benützt.
Patchen muss einfach sein
So fand der Secunia PSI, dass 48 Prozent der Installationen von JRE (Java Runtime Environment) 1.6 und 6.x nicht auf dem neuesten Stand und deshalb angreifbar waren. Bei der Vorgänger-Version 1.5 waren es sogar 96 %. Ebenfalls die Hälfte (48 %) der installierten Adobe Flash Player 9.x waren ungepatcht und selbst der Acrobat Reader (Version 8.x) ist eine Gefahrenquelle: 24 % der untersuchten Versionen waren unsicher. Die Realität dürfte noch schlimmer sein, denn Secunia hat nur Daten von Anwendern, die PSI installiert und damit ein gewisses Sichereitsbewusstsein bewiesen haben.
Die Schlussfolgerung von Secunia ist so einfach wie überzeugend: Je einfacher es ist, seine Software auf dem neuesten Stand zu halten, desto eher patchen die User ihre Systeme. So fanden die Dänen wesentlich seltener "löchrige" Versionen von Windows, Internet Explorer und dem .Net Framework. Doch bereits auf 44 Prozent der Installationen von Word 2003 fand sich eine ungestopfte Lücke. Dies, weil man für den automatischen Update von Word den Dienst 'Microsoft Update' installieren muss.
Löchrige Browser, noch löchrigere Plug-Ins
Secunia veröffentlicht in dem Jahresbericht ebenfalls eine Übersicht über die letztes Jahr neu entdeckten Sicherheitslücken in Browsern. So fand man 31 neue "Löcher" im Internet Explorer, 32 in Apples Safari, 30 in Opera und 115 in Firefox.
Auch Browser-Zusatzprogramme (Plug-Ins) können Angreifern Lücken öffnen. So fand man weltweit nur ein Loch in einer Firefox-Extension, hingegen fand man 366 Lücken in Zusammenhang mit Microsofts ActiveX-Technologie. Im Java-Plug-In für Browser fand man leztes Jahr 54 Lücken, beim Flash-Player 19 und im QuickTime-Player 30.
Das unvermeidbare Dilemma
Die Erkenntnisse von Secunia zeigen deutlich, dass es sich für professionelle wie für Heimanwender empfiehlt, bei jeder Software-Komponente dem Hersteller den automatischen Update zu erlauben.
Die Kehrseite davon ist natürlich, dass man den verschiedensten Firmen den Zugriff auf seinen PC erlaubt und sich unter Umständen auch fehlerhafte Updates einhandelt. Zudem ist wohl für die allerwenigsten Anwender wirklich klar, welche Informationen über sein System bei automatischen Updates ausgetauscht werden. (Christoph Hugenschmidt)
Der empfehlenswerte Bericht von Secunia umfasst 17 Seiten, ist gut verständlich und kann online bestellt werden.

Loading

Mehr zum Thema

image

Die Schatten-IT ins Licht setzen

Leuchten Sie die Schatten-IT in Ihrem Unternehmen bis in den letzten Winkel aus und schaffen Sie Transparenz über alle Ihre IT-Systeme, -Anwendungen und -Prozesse.

image

Jetzt hat ein grosser Krypto-Hack Harmony getroffen

Hacker haben Coins im Wert von rund 100 Millionen Dollar aus einem Schlüsselprodukt der US-Kryptofirma gestohlen.

publiziert am 24.6.2022
image

NCSC mahnt: Bitte keine Privatgeräte im Homeoffice

Der Zugriff aufs Firmennetzwerk mit privaten Geräten ist mit erheblichen Risiken verbunden. Das zeigt ein aktueller Ransomware-Angriff.

publiziert am 24.6.2022 6
image

Bericht zeigt russische Cyber­aktivitäten seit Kriegs­beginn

Mit dem russischen Angriffskrieg gehen massive Cyber­kampagnen einher. Diese betreffen die Ukraine, aber auch weitere Länder, darunter die Schweiz, zeigt ein Report.

publiziert am 23.6.2022