Swiss Vulnerability Report Pascal Mittner CEO Paulo Steiner CTO

Transkript

1 Swiss Vulnerability Report 2015 Pascal Mittner CEO Paulo Steiner CTO Chur, 9. Juni 2015

2 Gestaltung: Hü7 Design AG, Titelbild: Schloss Spiez, Schweiz «Spiez am Thunersee, historisches Schloss Spiez mit Steg» bill_17 Fotolia

3 Swiss Vulnerability Report 2015 Pascal Mittner CEO Paulo Steiner CTO Chur, 9. Juni 2015

4 4

5 Inhaltsverzeichnis 1. Management Summary 6 2. Vorwort 7 3. Einführung Einleitung Technische Details zur Prüfung Rechtliches 9 4. Inventarisierung Hersteller von Betriebssystemen Windows Versionen Ports und Dienste Schwachstellen Angreifbare Betriebssysteme Ports mit Schwachstellen Branchen Aktuelle Schwachstellen Poodle Logjam Fazit Vulnerability Management Software-Updates Firewall richtig konfigurieren Verschlüsselung und Passwörter Glossary Disclaimer 33 5

6 1. Management Summary Zum dritten Mal veröffentlicht die First Security Technology AG (FST) den Swiss Vulnerability Report (SVR). Der jährliche Report, um mehr über die Sicherheit der Schweizer Internet- Landschaft zu erfahren. Die Visualisierung der verwendeten Systeme, potenzielle IT-Schwachstellen und der Trend durch den Vergleich der Resultate der letzten Jahre hilft eine bessere Wahrnehmung für das Virtuelle, sowie das Bewusstsein für das reale Risiko zu erlangen. Auch dieses Jahr unterzogen wir das Schweizer Internet, welches aus über 19 Millionen IP-Adressen besteht, der Untersuchung auf sichtbare Systeme und Dienste. Wir nennen dies die Inventarisierung des Schweizer Internets. Diese Informationen statistisch aufbereitet, zeigen die Einsatzhäufigkeit und wiederspiegeln den Trend: Was ist neu, was nimmt ab oder zu. Die Inventarisierung gibt uns Auskunft über: Anzahl aktiver Systeme und Dienste Anzahl der eingesetzten Betriebssysteme nach Hersteller und Versionen Anzahl der verwendeten Ports, Server-Dienste und deren Version Durch die Inventarisierung identifizierten wir über verschiedene eingesetzte Produkte. Die Anzahl der direkt erreichbaren IoT (Internet of Things) Geräte hat sich zum letzten Jahr verringert. Die nicht mehr unterstützten Windows Versionen haben sich um die Hälfte auf Geräte reduziert. Erreichbare Remote Zugänge wie SSH und RDP haben sich ebenfalls verringert. Im Gegenzug haben sich Web Remote Zugänge von Firewalls und Routern, speziell im Segment der Privaten und Kleinstunternehmungen, stark erhöht. Über die Inventarisierung gewonnenen Informationen ermitteln wir mit einem Abgleich der Schwachstellen Datenbank das Potenzial der Schwachstellen der im Internet erreichbaren Systemen und Dienste wie: Dieses Jahr häuften sich die meisten Schwachstellen auf dem HTTPS Port 443. Ausgerechnet ein Dienst, der mit Verschlüsselung Sicherheit verspricht. Der Microsoft IIS Webserver hat einiges dazu beigetragen, weil sich dessen Schwachstellen innert einem Jahr verdreifachten. Dazu kommen Schwachstellen wie Poodle. Über Dienste sind 7 Monate nach der Veröffentlichung der Schwachstelle noch verwundbar, dies entspricht 45 %. Bei Logjam sind es mit über angreifbaren Diensten 28 %. Viele weitere Statistiken und Aussagen finden sich in diesem Swiss Vulnerability Report (SVR). Dieses Jahr erschien zudem der erste Austrian Vulnerability Report (AVR), der ebenfalls von FST erstellt und von österreichischen Behörden mitgetragen wurde. Dieser zeigte nicht nur die Situation in Österreich, sondern ist auch sehr spannend mit dem SVR zu vergleichen. Die Schweiz und Österreich beschäftigen die ähnlichen Herausforderungen. Sehr vieles ist gleich, es gibt aber auch einige Unterschiede. Z.B. haben gewisse Produkte in Österreich im Vergleich zur Schweiz einen sehr hohen Erfolg. Der Swiss Vulnerability Report liefert 2015 erneut bemerkenswerte Einblicke in die Schweizer IT-Landschaft und bietet neu Auswertung über Poodle und Logjam. Möchten auch Sie wissen, welche Systeme, Dienste und die darauf befindlichen IT-Schwachstellen ein Risiko für Ihre Unternehmung darstellen? Sie wünschen sich ein Reporting für Management und operative IT, um die richtigen Entscheidungen zu treffen? Ohne grossen Ressourcenaufwand und durch Automatisation tagesaktuell? Sprechen Sie uns an, wir helfen Ihnen Ressourcen zu sparen und die IT Sicherheit zu verbessern. die Anzahl Schwachstellen bezogen auf Hersteller, Produkte und Versionen sowie im Verhältnis zur Anzahl Hosts die Anzahl Schwachstellen bezogen auf die Ports die Zahl der Schwachstellen in verschiedenen Branchen die Zahl der Schwachstellen pro Host in verschiedenen Branchen die Anzahl Poodle und Logjam Schwachstellen 6

7 2. Vorwort David Bader Head of Network & Security Services Axpo Informatik AG Liebe Leserinnen, liebe Leser Das dynamische Marktumfeld und der starke Trend zur weiteren Digitalisierung beschleunigen die Entwicklung von ICT Lösungen, welche mit erhöhter Flexibilität, Elastizität und Skalierbarkeit aufwarten und den Unternehmen bei cleverem Einsatz Wettbewerbsvorteile ermöglichen. Es liegt auf der Hand, dass die grossen Cloudanbieter hochstandardisierte Lösungen durch Skaleneffekte, durchgehende Automatisierung und Ressourcen-Pooling effizienter produzieren können, als dies ein traditioneller IT Infrastrukturanbieter kann. Agilität durch Elastizität, kurze Time to Market sowie bedarfsgerechte Verrechnung werden in den nächsten Jahren zusätzlich die Verlagerung von vielen Services in die Cloud vorantreiben. Dieser Markt wird von wenigen, dafür grossen Anbietern wie Amazon, Microsoft und Google, etc. dominiert. Die Kehrseite der Medaille ist eine erhöhte Risikoexposition in Form eines interessanten Angriffsziels oder einer Quelle für Angriffe aus der Cloud. Die vollständige Kontrolle über die eigenen Daten in der Cloud ist nicht mehr möglich. In der praxisnahen Kombination von konventionellen On-Premise Services und Clouddiensten in einem Hybridmodell, wie es die Axpo Informatik erfolgreich betreibt, entstehen ganz neue Konstellationen. Diese Verlagerung im Deliverymodell weg von der lokalen Infrastruktur und hin zu globalen Cloud Services bedingt nebst der sorgfältigen Auswahl des Cloud Anbieters auch eine Überarbeitung der Risikobeurteilung in Bezug auf Security und Datenhaltung sowie eine Anpassung der Sicherheitsrichtlinie. Eine zentrale Rolle im Bereich der Cloud Security kommt dem Security Monitoring des Cloud Anbieters zu. Mit welchen Vorkehrungen stellt er ein optimales Ressource-Pooling sicher, ohne dass eine gegenseitige Beeinflussung der Cloud Nutzer möglich ist? Wie wird eine sichere Verlängerung der eigenen Umgebung in der Cloud bei einem hybriden Ansatz sichergestellt? MELANI hat kürzlich wieder informiert, dass sich DDoS Attacken weiter häufen, aktuell vor allem in Kombination mit Erpressungsversuchen. Firmen nutzen Cloud Services typischerweise über das Internet, dadurch ist bei DDoS Attacken nicht mehr nur der Webauftritt einer Firma, sondern die gesamte Cloud bezogene IT Infrastruktur und je nach Hybridmodell auch die damit verbundene lokale Infrastruktur betroffen, was eine Firma existenziell bedrohen kann. Zudem kann es schnell sehr teuer werden, wenn Services, welche nach deren Nutzung (CPU Cycles oder Diskspace) abgerechnet werden, durch DDoS Angriffe stark belastet werden. Um diesen durch den «Shift» in die Cloud veränderten Risiken im Security Umfeld möglichst gut entgegenzuwirken und sich bestmöglich zu schützen, müssen alle verfügbaren Mittel und Quellen genutzt werden. Basis bildet zweifelsohne eine enge Zusammenarbeit und ein reger Austausch von Sicherheitsrelevanten Informationen innerhalb und ausserhalb der Firma, unter Security Spezialisten, Herstellern und unabhängigen Organisationen. Bei Axpo Informatik integrieren wir diese neuen Anforderungen zum Schutz von uns selbst und unseren Kunden konsequent in unser Sicherheitsmanagement-System, welches nach ISO 27001:2013 zertifiziert ist. Der vorliegende Security Report gibt Einblick in eine weitere Informationsquelle, welche mit wichtigen Erkenntnissen dazu beiträgt, eine gesamtheitliche Risikobeurteilung vorzunehmen. In diesem Sinne wünsche ich Ihnen viele für Sie wertvolle Informationen aus dem Swiss Vulnerability Report 2015 vervollständigen Sie damit Ihre Security Beurteilung. 7

8 3. Einführung 3.1 Einleitung 1-2 Definition im Glossar Die First Security Technology AG (FST) gehört seit Jahren zu den führenden Herstellern von Schwachstellenanalyse-Software im deutschsprachigen Raum. Zu unseren Kunden zählen kleine, mittlere und grosse Unternehmen in der ganzen Schweiz und im grenznahen Ausland. Auf der Grundlage dieser ausgewiesenen Kompetenz entstand unsere Idee, einen Swiss Vulnerability Report (SVR) zu erstellen. Die FST hilft Ihnen Schwachstellen in der IT-Infrastruktur zu finden, visualisiert diese in adressatengerechten Reports für Management, Revision und operative Technik. Bildet mit dem Vulnerability Management Prozess die Basis um die Effizienz und Effektivität der Schwachstellenbehebung und Sicherstellung der IT Sicherheit nachhaltig zu verbessern. Mit der Schweiz assoziiert man unter anderem Qualität. Verfügbarkeit, Vertraulichkeit und Integrität bilden die Eckpfeiler der IT-Sicherheit. Unsere Mission ist es, die Qualität der IT-Infrastruktur in Bezug auf diese Eckpfeiler zu verbessern. Die Sicherheit der Schweiz, ihrer Firmen und der Bevölkerung liegt uns am Herzen. Cybercrime, Malware und Überwachung wecken aktuell vielerorts Ängste. Wir erachten es als unabdingbar, sichere IT-Systeme zu verwenden, um Menschen und Daten nachhaltig zu schützen. Der SVR zeigt in Zahlen die Schwachstellen von Systemen auf, die im Schweizer Internet 1 erreichbar sind. Wir fokussieren uns auf die 49 am meisten verwendeten Dienste 2. Indem wir einen aktiven Port identifizieren, erhalten wir oft auch Informationen zum verwendeten Betriebssystem, zu der Applikation und dessen Version. Diese Informationen vergleichen wir mit der CVE Schwachstellendatenbank, wodurch wir Aussagen zu möglichen Schwachstellen machen können. Wir nennen das Erkennen aktiver Systeme im Netzwerk «Inventarisieren». Die potenziellen Gefährdungen zeigt unsere Schwachstellenvorhersage (Vulnerability Forecast) auf, indem sie einen Zusammenhang zwischen den Schwachstellen und den erkannten Versionen von Betriebssystem und Applikationen herstellt. Assessment Inventarisierung Scanning Behebung (Remediation) Reporting Vulnerability Forecast 8

9 1 critical-security-controls/ Die Inventarisierung von autorisierter und nicht autorisierter Hard- und Software belegt die beiden Spitzenplätze derjenigen Themen, die IT-Verantwortliche am meisten beschäftigen (SANS Top 20 Critical Security Controls 1 ). Auch im Vulnerability-Management-Prozess spielt die Inventarisierung eine zentrale Rolle. Um die Systeme im eigenen Netzwerk einer tiefgehenden Security-Prüfung zu unterziehen, ist eine Identifizierung entscheidend. Auswertungen des Einsatzes von Betriebssystemen, Netzwerkgeräten, Applikationen und ihren verschiedenen Versionen bis hin zu Geräten wie Druckern widerspiegeln den Istzustand des Netzwerks. Die FST hilft ihren Kunden, den Zustand der Systeme in ihrem Netzwerk zu kennen und zu erfahren, welche Systeme von aussen erreichbar sind. Diese Inventarisierung inklusive Vulnerability Forecast führen wir mit der Lösung VulnWatcher einfach, schnell und lizenzunabhängig durch. 3.2 Technische Details zur Prüfung Eine verteilte Scan-Node-Architektur führt eine Inventarisierung, bewusst über mehrere Tage verteilt, bei über 19 Millionen IP-Adressen durch. Diese IP-Adressen sind gemäss Who-is-Abfragen auf Schweizer Postadressen eingetragen. Wir untersuchten pro Tag nur einen Port. Der Grund: Unsere Verbindungsversuche können erkannt und gesperrt werden. Eine solche Sperrung im grösseren Ausmass würde die Resultate verfälschen. Bei einer Verbindung zu einem aktiven Port werden oftmals Informationen über die Applikation und ihre Version mitgeliefert. Zudem können Rückschlüsse auf das Betriebssystem gezogen werden. Die mitgelieferten Informationen zu einer Applikation können aber auch absichtlich verändert worden sein. Bei den Betriebssystemen lassen sich oft verschiedenste Versionen erkennen. Die so gewonnenen Informationen verglichen wir mit der CVE-Datenbank (Common Vulnerabilities and Exposures), um sie auf mögliche Schwachstellen zu prüfen. Der Bericht fasst diese Informationen zusammen und reichert sie mit interessanten Erkenntnissen an, die sich daraus gewinnen liessen. Die Herausforderung unserer Aufgabe lag darin, die Resultate korrekt auszuwerten und darzustellen. Die hier aufgedeckten Schwachstellen stellen potenzielle Gefahren dar, die ausschliesslich auf Fehlern der Software beruhen. Andere Risiken und Falschkonfigurationen wie zum Beispiel die Verwendung von Standardpasswörtern, werden bei dieser Studie nicht berücksichtigt. Verfälschungen der Resultate können verschiedene Ursachen haben: Zum einen ist es einfach, die Banner der Systeme zu manipulieren und damit das tatsächliche System zu verschleiern. Dies ist eine gängige Praxis von Intrusion-Prävention-Systemen (IPS/ IDS). Zudem patchen einzelne Linux-Distributoren die Applikationen in ihren Repositories oft selbst, was dazu führen kann, dass es für diese Produktversion keine Schwachstellen mehr gibt. Aus diesen und weiteren Gründen sprechen wir stets von «potenziellen» Schwachstellen. 3.3 Rechtliches Aus rechtlichen Gründen darf ein aktiver Security Scan, der relativ tief in ein IT-System vordringt, nicht ohne Einwilligung der Besitzer und Betreiber durchgeführt werden. Wir haben die rechtlich unproblematische Methode angewendet: Wir werteten die öffentlichen Informationen zu Systemen und Versionen aus, die sich ohne Hacking-Techniken erhalten lassen, und inventarisierten sie. Ebenso unproblematisch ist der anschliessende Vergleich mit einer Schwachstellendatenbank. 9

10 4. Inventarisierung Hosts gefunden 1: Aktive Hosts Die Prüfung, wie sie in der Einleitung beschrieben wurde, fand bei über IP-Adressen mindestens einen aktiven Dienst. Dies sind 2,3 % der registrierten Schweizer IP-Adressen wurden über aktive IP-Adressen identifiziert. Dies ist eine Abnahme von , mehr als die Hälfte. Wir machten im Report von 2013 und 2014 darauf aufmerksam, dass ein Schweizer ISP auf seinen 500'000 Breitbandroutern Remote Access offen hat. Nun reagierte er und deaktivierte den Remote Zugang seiner Router aus dem öffentlichen Internet. Dies hat die grosse Abnahme an aktiven Host zur Folge. Einfachster Weg um Schwachstellen zu minimieren, ist das Einschränken des Zugriffs. Was nicht erreichbar ist, kann nicht oder nur erschwert ausgenutzt werden. Aus diesem Grund bieten wir die Inventarisierung, wie sie hier im Swiss Vulnerability Report Verwendung findet, auf Ihre Perimeter Infrastruktur ab sofort kostenlos an. Nehmen Sie mit uns Kontakt auf, wenn es Sie interessiert, welche Services Sie extern anbieten und was diese für ein Potenzial an Schwachstellen bieten. 2,3% Mind. 1 aktiver Dienst IPs Kein aktiver Dienst ,7% 7% 2: IP-Adressen mit aktiven Diensten in der Schweiz 4.1 Hersteller von Betriebssystemen Die Reihenfolge auf den ersten beiden Plätzen blieben seit dem Swiss Vulnerability Report (SVR) 2014 unverändert. Deutlich zurückgegangen sind die erreichbaren Systeme von ZyXEL. Die Neuzusteiger in die Top Ten sind: Western Digital und Juniper. Wind River ist spezialisiert auf eingebettete Systeme (Embedded Devices) mit Fokus auf das Internet der Dinge (IoT). Der Rückgang von direkt aus dem Internet erreichbaren IoT Systemen zeigt auf, dass Security in diesem Themengebiet angekommen ist und die IoT Devices besser von externem Zugriff geschützt sind. Zu diesem Schluss kommen wir, da wir nicht davon ausgehen, dass es weniger IoT Systeme in der Schweiz gibt. 10

11 Hersteller Linux Microsoft FreeBSD ZyXEL Cisco OpenBSD Juniper Linksys Western Digital Apple Hosts 3: Anzahl der Betriebssysteme in der Schweiz mit Anbindung ans Internet, aufgeteilt nach Herstellern (Linux/BSD sind keine Hersteller, werden in diesem Report aber so behandelt) Internet der Dinge (IoT) wahrscheinlich besser geschützt: Weniger IoT Systeme direkt aus dem Internet erreichbar. 4.2 Windows Versionen Insgesamt wurden über Betriebssysteme von Microsoft identifiziert. Den grössten Anteil der Serverversionen machen Windows 2008 und 2003 aus. Zudem bieten knapp Desktop-Betriebssysteme der Versionen Windows 7, XP, Vista oder 2000 Services direkt im Internet an. Dies ist fast eine Halbierung im Vergleich zu Aktuell sind aber immer noch knapp Windows XP Systeme direkt aus dem Internet erreichbar. Erkennbar ist auch die Ablösung von 2003 zu Es gibt rund Windows 2003 Server weniger. Im Gegenzug hat Windows 2008 um fast Installationen zugenommen. Nur Windows-Systeme, die aus dem Internet erreichbar sind, sind nicht mehr vom Hersteller unterstützt. Halb so viel wie vor einem Jahr. 11

12 Windows Version XP Vista r2 Phone PocketPC/CE Hosts 4: Aufteilung der Windows-Versionen 4.3 Ports und Dienste Die fast 20 Millionen IP-Adressen in der Schweiz wurden auf die 49 Dienste [siehe Liste 8.4 im Anhang], die am häufigsten verwendet werden, überprüft. Gegenüber 2014 haben wir diese Liste um 21 Ports erweitert. Mit neu aufkommenden Diensten wie z.b. Elasticsearch, MongoDB und Hadoop erweiterten wir unsere Überprüfung. Dabei entdeckten wir über 1,1 Millionen aktive Dienste. 53 % dieser Dienste gaben das Produkt und die Version der Applikation preis. Identifiziert Nicht Identifiziert % 53% 5: Verhältnis von identifizierten zu nicht identifizierten Produkten der aktiven Dienste 12

13 Abbildung 6 zeigt die Verteilung der aktiven Ports. Weitaus am meisten kommt HTTP und HTTPS zum Einsatz. Im Vergleich zu 2014 verzeichnen wir hier ein grosses Wachstum. Bei HTTP beträgt dies 30 % und bei HTTPS 20 %. 8080, SMTP und FTP sind ebenfalls gut vertreten. Negativ auffällig sind die über Telnet Dienste. Unverschlüsselte Verbindungen zu Firewalls, Routern, Switches, Printern, Webcams beherbergen ein sehr grosses Risiko für das Mithören der Login Details. Über Microsoft Terminal Services (RDP), dies sind etwa gleich viel wie 2014, und VNC Dienste, ein Plus von 30 % gegenüber dem Vorjahr, sind direkt aus dem Internet ansprechbar. Nach Möglichkeit sollten Remotezugriffe nur über VPN oder anderweitig geschützten Verbindungen erlaubt sein. Bei Datenbanken stellt sich auch die Frage, inwieweit diese aus dem Internet direkt erreichbar sein sollten. Über MySQL, MSSQL, Oracle und Mongo Datenbanken sind sichtbar und lediglich durch Benutzernamen und Passwort vor Datenzugriffen geschützt. Sind Ihre Daten sicher? Aktive Ports TCP Ports 6: Häufigkeit der aktiven Ports Vergleichen wir die Abbildung 7 mit der vom SVR 2014 sieht es auf den ersten Blick fast unverändert aus. Bei genauerem Vergleich hat Apache um Server zugenommen und führt weiterhin mit Abstand die Rangliste der meist verwendeten Services an. Im Vergleich dazu: Die Anzahl der IIS HTTP Server von Microsoft ist unverändert geblieben. OpenSSH Zugänge haben um abgenommen. Haben die prominenten Schwachstellen Heartbleed und Shellshock dazu geführt, dass weniger SSH Dienste öffentlich zugänglich sind? Die Zahl der Reduktion von OpenSSH deckt sich auch mit dem allgemeinen Rückgang von erreichbaren SSH Diensten von knapp Auch die sichtbaren Microsoft Terminal Services haben sich um Zugänge verringert. Sind Administratoren mit Remotezugängen vorsichtiger geworden und verwenden diese vermehrt über VPN? Der lighttpd-webserver legte in den letzten Jahren stark zu. Sein Anteil im 2013 von stieg im 2014 auf und ist nun bei über Systemen angekommen; der lighttpd-webserver wird oft in Embedded Devices eingesetzt. Neu in die Rangliste hat es die Fritzbox http Config mit knapp Remote Administrationszugängen geschafft und verdrängte MySQL aus den Top 8. Ein Zeichen, dass KMU und Private noch zu wenig sensibel auf IT Sicherheit sind oder es einfach noch zu wenig verstehen. Router und Firewall Zugriff sind im Visier von Cyber Crime und Geheimdiensten. Bei der Übernahme dieser zentralen Netzwerkgeräte ist es möglich, den ganzen, auch verschlüsselten, Verkehr mitzuhören und umzuleiten, ohne, dass der Benutzer dies bemerkt. 13

14 Die Sensibilisierung für Remotezugänge bei SSH und RDP steigt. Nicht aber bei Router und Firewall Konfigurationszugriffen von Kleinstunternehmungen und Privaten. Produkte Apache httpd Microsoft IIS httpd OpenSSH ProFTPD Microsoft Terminal Service FRITZ!Box http config lighttpd nginx Aktive Ports 7: Häufigkeit der eingesetzten Produkte 14

15 5. Schwachstellenvorhersage (Vulnerability Forecast) 6,2 Mio Schwachstellen in Services 11,3 Mio Schwachstellen in OS Max CVSS 10.0 OS-Schwachstellen/IP: 25.3 Produkte-Schwachstellen/Port: Definition im Glossar 2 Definition im Glossar 3 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt 3.2 Sind die Betriebssysteme, Dienste und ihre Versionen identifiziert, lassen sich durch einen Vergleich mit der CVE-Datenbank 1 die potenziellen Schwachstellen ermitteln. Eine solche Vorhersage zeigt mögliche Schwachstellen auf. Diese müssen nicht zwingend tatsächlich vorhanden sein und sich ausnutzen lassen. Über die effektive Bedrohung gäben erst Security Scans Auskunft; solche wurden aber für diesen Bericht aus rechtlichen Gründen nicht durchgeführt. Mit der Schwachstellenvorhersage decken wir ein Potenzial von über 17 Millionen Schwachstellen auf. Übertragen auf die identifizierten Systeme bedeutet dies: Im Durchschnitt gibt es im Schweizer Internet über 25 OS-Schwachstellen pro aktives System und 5.5 pro aktiven Dienst. Die Bedeutung der Schwachstellen kann von klein bis hin zu kritisch reichen. Kritische Schwachstellen entsprechen dem CVSS-Wert 2 von 10. Dies ist der maximal mögliche und bei unseren Untersuchungen auch sehr oft entdeckte Wert. Wir stellen fest, dass in den letzten Jahren die Schwachstellen in den Betriebssysteme abnehmend und bei den Produkten zunehmend sind. Unsere Inventarisierung ermittelte über verschiedene Produkte, die über IP-Adressen ansprechbar sind. Diese verglichen wir mit der CVE-Datenbank, die über Schwachstellen kennt. Abbildung 8 zeigt die Top-10-Betriebssystemhersteller mit den meisten Schwachstellen. Der Schweregrad der Schwachstellen ist in fünf Kategorien unterteilt: vernachlässigbar, klein, mittel, hoch und sehr hoch. Hersteller Linux Microsoft Cisco Apple Sun Roku FreeBSD Linksys VMware OpenBSD Summe aller Schwachstellen Vernachlässigbar Klein Mittel Hoch Sehr Hoch 8 3 : Die zehn Hersteller mit den meisten Schwachstellen und ihr Schweregrad 15

16 Abbildung 9 zeigt die zehn Produkte mit den meisten Schwachstellen. Der Schweregrad der Schwachstellen ist in fünf Kategorien unterteilt: vernachlässigbar, klein, mittel, hoch und sehr hoch. Produkte IMail NT-ESMTP Apache httpd OpenSSH Indy httpd FileZilla ftpd Alt-N MDaemon mail server WS ftpd MySQL Alt-N MDaemon imapd MDaemonmail pop3d Summe aller Schwachstellen Vernachlässigbar Klein Mittel Hoch Sehr Hoch 9 1 : Die zehn Produkte mit den meisten Schwachstellen 5.1 Angreifbare Betriebssysteme Die Schwachstellen bei den Betriebssystemen sind in den letzten Jahren stark abnehmend, doch gibt es immer noch genügend. Die Herausforderung Linux besteht gleich wie in den letzten Jahren. 26 % der Systeme sind verantwortlich für 86 % der potenziellen Schwachstellen. Die Herausforderung sind die Embedded Devices und nicht grundsätzlich Linux als Server System im klassischen Verständnis. Embedded Devices wie Router, Modem, Multimedia Geräte etc. erhalten meist nach der ersten Konfiguration keine Pflege mehr. Auch wenn man Updates gerne einspielen möchte, viele Hersteller von billigen Systemen bieten oft keine Updates an. 1-2 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt % 14% Andere Schwachstellen Linux Schwachstellen Andere Hosts % Linux Hosts % 10 2 : Linux-Systeme und ihr Anteil an allen Schwachstellen 16

17 Abbildung 11 zeigt die Anzahl Hosts und die Anzahl Schwachstellen der Hersteller. In dieser Grafik ist der Anführer der Rangliste Linux nicht aufgeführt, um die anderen Hersteller besser zu visualisieren. Die Akteure sind bis auf Linksys und Cisco die gleichen wie letztes Jahr. In der Summe weist Microsoft unverändert am zweitmeisten Schwachstellen auf, gefolgt von FreeBSD. Cisco ist neu in den Top Ten und steigt gerade mit über Schwachstellen ein. Anzahl Hosts Hersteller Microsoft FreeBSD Cisco Apple Sun OpenBSD NetBSD Roku VMware Linksys Anzahl Schwachstellen 1 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt : Anzahl Schwachstellen und aktive Hosts nach Hersteller ohne Linux Um nicht nur die Summe aller Schwachstellen darzustellen, sondern auch die Frage zu beantworten, welche Hersteller die meisten Schwachstellen im Durchschnitt besitzen, gibt die Abbildung 12 die Antwort dazu. Roku erscheint nun und ist, wie in den vergangenen 2 Jahren, der Hersteller mit den meisten Schwachstellen pro System. Falls Sie ein solches System einsetzen, schauen Sie bitte, dass es nicht direkt aus dem Internet erreichbar und entsprechend geschützt ist. Interessant ist, dass Apple dieses Jahr im Durschnitt mehr Angriffsfläche als Microsoft bietet. 17

18 Hersteller Roku Sun Linux Apple Microsoft Cisco FreeBSD VMware NetBSD OpenBSD Schwachstellen/Host 12 1 : Durchschnittliche Anzahl Schwachstellen pro Host nach Hersteller Microsoft Da Microsoft Systeme über Mal zum Einsatz kommen, schauen wir uns diese etwas genauer an. Windows 2003 bietet das höchste Angriffspotenzial mit knapp Schwachstellen. Gefolgt wird dieses, wie im Vorjahr, von Windows XP mit noch knapp Das häufigste im Einsatz stehende Betriebssystem, Windows 2008, bietet Schwachstellen. Anzahl Hosts XP Vista Phone 2008 r2 PocketPC/CE 98 Windows Versionen Anzahl Schwachstellen 1-2 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt : Anzahl Schwachstellen und Anzahl aktive Hosts von Microsoft OS 18

19 1-2 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt 3.2 Microsoft hat den Support für Windows XP im April 2014 eingestellt. Die Anzahl von XP Systemen im Schweizer Internet reduzierte sich im letzten Jahr um über 60 %. Die Schwachstellen hingegen lediglich um 50 %. Dies führt zu einer Erhöhung der durchschnittlichen Schwachstellen von XP auf knapp 310 pro System. Nehmen wir mal an, dass 5 % effektiv über das Internet ausnutzbar sind, dann bestehen 15 Schwachstellen. Wenn XP noch eingesetzt wird, dann sollte es nur in einer entsprechend geschützten Umgebung Verwendung finden. Weitere in Bezug auf Schwachstellen nicht zu empfehlende Versionen sind 2000 und Windows Versionen XP Phone Vista 2008 r PocketPC/CE Schwachstellen/Host 14 1 : Durchschnittliche Schwachstellen pro aktive Hosts nach Microsoft-OS-Versionen 5.2 Ports mit Schwachstellen Die Zusammenfassung der Schwachstellen für die einzelnen Ports sieht optisch sehr ähnlich aus wie vor einem Jahr. Veränderung findet sich in der Anzahl der Schwachstellen, welche fast überall zugenommen hat, am stärksten bei Port 80 und 443. Bemerkenswert ist, dass auf Port 443, meist für HTTPS verwendet, mehr Schwachstellen als Port 80 aufweist. Obwohl Port 80 etwas mehr eingesetzt wird als Port 443. Heartbleed hat letztes Jahr beeindruckend gezeigt, dass Sicherheitstechnologien Schwachstellen aufweisen und verheerende Auswirkungen haben können. Schwachstellen TCP Ports 15 2 : Anzahl Schwachstellen auf den einzelnen Ports 19

20 HTTPS (Port 443/tcp) weist am meisten Schwachstellen bei den Services auf. Heartbleed, Poodle und Co. hinterlassen hier ihre Spuren. Bei den Produkten hat die Anzahl der Hosts mit Apache httpd um 15 % zugenommen und deren Schwachstellen um 17 % im Vergleich zu Bei Microsoft IIS httpd ist die Anzahl der Hosts konstant geblieben. Die Anzahl der Schwachstellen verdreifachten sich innerhalb eines Jahres! Das Gleiche zeichnet sich bei Microsoft Exchange smtpd ab. Bei gleichbleibenden Hosts vermehrten sich die Schwachstellen um das 3.8-fache. VNC verdrängt dieses Jahr MySQL aus den Top Ten und bietet auf Hosts Schwachstellen. Anzahl Hosts Produkte Apache httpd Microsoft IIS httpd Microsoft Exghange smtpd OpenSSH Microsoft HTTPAPI httpd Microsoft ftpd Microsoft IIS FileZilla ftpd Dropbear sshd Apple remote desktop vnc Anzahl Schwachstellen 1 Es handelt sich um potenzielle Schwachstellen und nicht effektive. Patches können Schwachstellen beheben und dabei die Versionen nicht Verändern. Dies führt zu einer gewissen Ungenauigkeit der Resultate. Details unter Punkt : Anzahl Schwachstellen nach Produkt Microsoft Produkte bieten ein Mehrfaches an Schwachstellen als vor einem Jahr. 20