Cyberveiligheid: Approach publiceert 'Pentest report 2023'

De #1 kwetsbaarheid blijft 'misconfiguratie' (38%) zoals ook vastgesteld in 2021. Zaken zoals onjuiste machtigingen voor clouddiensten, standaardaccounts en actieve standaardwachtwoorden zijn voorbeelden van kwetsbaarheden bij misconfiguratie. Ondanks de toename van het belang ervan voor cyberveerkracht, wordt een goede basis van cyberhygiëne nog steeds niet toegepast. De cyberarmoedegrens wordt niet gehaald. 'Inputvalidatie' steeg van de derde naar de tweede plaats, gevolgd door problemen met 'registratie en authenticatie'. De rest van de resultaten is vergelijkbaar met de bevindingen in 2021.

In vergelijking met het rapport van vorig jaar zien we een dalende trend bij 'hoge' en 'kritieke' kwetsbaarheden. Hoge kwetsbaarheden gingen van 24% naar 20% en kritieke kwetsbaarheden gingen van 10% naar 5%. Alle inspanningen om deze problemen aan te pakken hebben dus duidelijk een positief effect. Anderzijds is helaas nog altijd 25% van alle kwetsbaarheden kritiek of hoog, wat nog steeds te veel is.

Na het hertesten steeg het aantal onopgeloste problemen van 44% naar 63%, een stijging van bijna 20%. De reden van deze stijging kan worden toegeschreven aan de uitdagingen waarmee de respondenten worden geconfronteerd:

• Ze missen de vaardigheid of competentie om deze problemen op te lossen.
• Het probleem is inherent aan de toepassing/het systeem en het oplossen ervan zou een aanzienlijke inspanning vergen.
• De focus van ontwikkelaars ligt op het oplossen van kritieke en hoge kwetsbaarheden. Er is geen ruimte voor middelmatige en lage kwetsbaarheden.

Business logic flaws, meestal gevonden in web- en mobiele toepassingen, zijn een kritieke kwetsbaarheid die moeilijk te detecteren zijn omdat ze geen specifieke handtekening hebben die kan worden gedetecteerd met geautomatiseerde scanners (firewalls, IDS). Ze maken misbruik van de beoogde bedrijfslogica om hun kwaadaardige doelen te bereiken. Veel voorkomende aanvalsvectoren die gericht zijn op bedrijfslogica zijn:

• Misbruik van authenticatielogica: wachtwoord reset functionaliteiten kunnen worden misbruikt door een aanvaller.
• Misbruik van autorisatielogica: manipulatie van gebruikers-ID's.
• Manipuleren van gebruikersinvoer: manipulatie van parameters zoals veranderen van de hoeveelheid artikelen in online winkels.
• Onverwachte gebruikersinvoer gebruiken: het invoeren van negatieve getallen bij overschrijvingen in online bankieren om het totale saldo te wijzigen.
  (Totaal - (-Overschrijving) = Totaal + Overschrijving)
• Dwalen in de workflow: springen in de flow door de 2e factor van 2FA te omzeilen.
• Doorbreken van de bedoelde logica: herhaaldelijk hetzelfde geldige overschrijvingsverzoek sturen om meer geld te ontvangen dan men origineel had.

U kunt zich tegen deze gebreken beschermen door actief (penetratie)tests te laten uitvoeren door ervaren deskundigen, bij de ontwikkeling van toepassingen rekening te houden met deze gebreken en gebruik te maken van application threat modelling.

Bekijk hier de  volledige resultaten van het Pentest report 2023' van Approach.