A biztonsági eszközök többet ártanak, mint használnak?

Egy nagyobb rendszer átvizsgálása, egy újonnan fejlesztett szoftver biztonsági szempontok alapján történő átnézése hosszas (és így költséges) folyamat, ha azt segédeszközök nélkül végzik. A munka megkönnyítése végett ezért gyakran olyan programokat használnak, melyek segítenek felmérni a gyenge pontokat, feltérképezni azt, hogy az adott rendszer vagy szoftver mely, már ismert sebezhetőséggel rendelkezik. Ezek az eszközök ezért nagy könnyebbséget jelentenek a rendszergazdáknak, programfejlesztőknek a biztonság elérése tekintetében.

Felismerték ezt azonban az online támadással, betöréssel ˝foglalkozók˝ is. Egy ilyen alkalmazás a kezükben könnyen az eredeti szándékkal ellentétes eredményt szülhet: a sebezhető rendszerek gyenge pontjait a támadók is könnyebben megtalálhatják, ha igénybe veszik egy (vagy több) e célból készített program segítségét. A támadások számának ugrásszerű növekedéséhez vezet az, hogy az IT-biztonság szempontjából csak csekély szakértelemmel bíró internetezők is potenciális támadókká válhatnak.

Egy, a Forrester piackutató cég korábbi jelentése arról számolt be, hogy a szoftverbiztonsági fenyegetések nyomán bekövetkező támadások robbanásszerűen elszaporodtak azt követően, hogy egyesek az adott sebezhetőségek kihasználását scriptelve is elérhetővé tették. Sok kritika is érte már az ilyen ˝exploit tesztelő˝ scripteket, melyek révén egy inkább csak technikai jellegű sérülékenység pár paranccsal hamar futtathatóvá tehető, így gyakorlatilag bárki által alkalmazható eszközt ad a biztonsági rés(ek) kihasználására.

Már mindegy?

Stephen Northcutt, a SANS Intézmény egyik igazgatója szerint a biztonsági hibák felfedésére szolgáló szoftverek egyrészt sok időt spórolnak meg az ezt kijavítani szándékozók számára, másrészt egy ideje már értelmetlenné váltak az ilyen eszközök rosszindulatú felhasználásával kapcsolatos aggályok. Northcutt szerint a támadók között egyre nagyobb számban képviselik magukat azok, akik maguktól is megteszik a biztonsági hibákat kiaknázó scriptek létrehozását, így a jelenlegi helyzeten nem sokat változtat, ha ez legálisan elérhető az ellentábor számára is.