Hacker feilen an neuen Taktiken

So konnten die Entwickler durch Veränderungen in Architektur und Prozessen von Software die Zahl der Sicherheitslücken eindämmen. Als Beweis dafür meldet der Report, dass 2011 etwa 30 Prozent weniger Exploit-Codes veröffentlicht wurden als im Durchschnitt der vier letzten Jahre. Zurück gegangen ist auch das so genannte Cross-Site-Scripting, das eine Sicherheitslücke in Webanwendungen ausnutzt. Es trat 2011 nur noch halb so häufig auf wie noch vor vier Jahren.

Auch wurden Sicherheitslücken in Anwendungen schneller vom Hersteller geschlossen: 2011 blieben nur 36 Prozent der Software-Sicherheitslücken ohne Patch, 2010 waren es noch 43 Prozent.

Angreifer passen ihre Techniken an

Als Antwort auf diese Entwicklung arbeiten Hacker und andere Internetkriminelle an neuen Techniken. Die Menge der Angriffsarten hat sich erhöht, das Spektrum an gemeldeten externen Netzwerk- und Sicherheitsvorfällen wurde breiter. Zwei Schlüsselbereiche belegen die zunehmende Raffinesse der Schadcode-Hersteller:

Seit Jahren sind Angriffe gegen die Datenbanken hinter Websites populär. Da immer mehr dieser Schwachstellen geschlossen werden konnten - die Zahl der SQL-Injection-Schwachstellen in öffentlichen Websites ging 2011 um 46 Prozent zurück - sind nun Shell-Command-Injection-Schwachstellen im Visier. Diese ermöglichen es Hackern, Befehle direkt auf einem Webserver auszuführen. Shell-Command-Injection-Angriffe nahmen im Laufe von 2011 um das Zwei- bis Dreifache zu.

Eine große Rolle bei schwerwiegenden Sicherheitsvorfällen haben schwache Passwörter und Passwortvorgaben gespielt. Zudem gibt es immer mehr automatisierte Angriffe im Internet, die das Netz systematisch nach schwachen Login-Passwörtern absuchen. IBM hat im zweiten Halbjahr 2011 eine starke Zunahme des Passwort-Ratens bezüglich Secure-Shell-Servern beobachtet.

Der IBM Risk Report basiert auf Sicherheitsanalysen von über 4000 Systemen von IBM-Kunden. Dabei hat IBM durchschnittlich 13 Milliarden IT-sicherheitsrelevante Vorkommnisse täglich im Jahr 2011 ausgewertet.