ngocdiep
11-10-2004, 09:55
Trong báo cáo thường niên của Viện SANS (Mỹ) mới công bố, đứng đầu nhóm khiếm khuyết Windows là lỗ hổng ở các server và dịch vụ web, trong khi phần mềm hệ thống tên miền BIND xếp cao nhất trong danh sách các lỗi Unix/Linux.
Thay đổi đáng chú ý nhất ở nhóm lỗ hổng Windows năm nay là sự xuất hiện của khiếm khuyết trong các ứng dụng mail client (xếp thứ 9) và công nghệ nhắn tin nhanh IM (đứng thứ 10), cùng một số khiếm khuyết mới trong bản thân hệ điều hành Windows, chẳng hạn như lỗi LSASS (dẫn đến đợt bùng phát sâu Sasser hồi đầu năm).
Trong khi mức nguy hiểm từ các lỗi trong ứng dụng chia sẻ file tăng từ vị trí thứ 9 năm 2003 lên đứng thứ 7 năm nay, thì các lỗi ở công cụ Microsoft SQL Server (nạn nhân của virus khủng khiếp Slammer năm ngoái) lại giảm từ hàng thứ 2 xuống thứ 4.
Lĩnh vực trình duyệt nhận được sự quan tâm đặc biệt của các nhà nghiên cứu, đáng chú ý nhất tất nhiên vẫn là Internet Explorer (IE) của Microsoft. Danh sách 20 khiếm khuyết hàng đầu ghi nhận tỷ lệ đáng kể của trình duyệt này trong số các lỗi về browser. Đã có tổng số 153 thông báo các vấn đề liên quan đến IE trong 3 năm rưỡi trở lại đây, vượt xa so với bất kỳ trình duyệt nào khác, trong đó có tới 34 lỗi vẫn chưa được vá. Thậm chí cả khi đã được khắc phục, những lỗ hổng này không phải lúc nào cũng nhanh chóng hoàn hảo ngay. “Người sử dụng nhiều khi phải đợi ít nhất là 6 tháng kể từ lúc lỗi được công bố tới khi Microsoft tung ra bản nâng cấp”, báo cáo dài 100 trang của SANS viết.
Mặc dù đến nay vẫn là browser bị tấn công nhiều hơn cả, IE không phải là mục tiêu duy nhất. “Tất cả các ứng dụng duyệt web đều có những lỗ hổng ở nhiều cấp độ, đặt ra những nguy cơ bảo mật không nhỏ”, SANS cho biết. Các chuyên gia của tổ chức này không khuyến cáo người sử dụng từ bỏ IE để chuyển sang những trình duyệt mã mở như Mozilla hay FireFox nhưng cho rằng “biện pháp hiệu quả nhất hướng tới một công cụ lướt web an toàn hơn vẫn là luôn đảm bảo trình duyệt dùng trên máy của mỗi cá nhân là phiên bản mới nhất”.
Ở nhóm những lỗ hổng Unix/Linux hàng đầu, khiếm khuyết phần mềm hệ thống tên miền BIND DNS năm thứ hai liên tiếp đứng ở vị trí số 1 (năm 2002 xếp hạng thứ 9). Trong khi đó, lỗi server web (năm 2003 đứng thứ 3) và các vấn đề xác thực (tăng một bậc từ vị trí thứ 4 năm 2003) tiếp tục là mối đe dọa những hệ điều hành mã mở này.
“Đảm bảo an ninh tốt cho hệ thống và mạng không bao giờ là một nhiệm vụ nhẹ nhàng”, Roger Cumming, Giám đốc Trung tâm điều phối hạ tầng quốc gia Anh, phát biểu. “Bảo mật là công việc của tất cả mọi người và luôn phải có sự phối hợp”.
Sau 5 năm thực hiện, báo cáo thường niên của SANS năm nay được công bố lần đầu tiên tại châu Âu trong khuôn khổ một đại hội bao gồm nhiều cơ quan chức năng của Anh (nước chủ nhà) và các hãng công nghệ Mỹ. Một điểm mới trong báo cáo 2004 là những chỉ dẫn chi tiết về cách khắc chế những lỗ hổng, nêu rõ quy trình vá lỗi cũng như các cấp độ áp dụng. Theo Hazel Blears, Bộ trưởng nội vụ Anh, danh sách 20 lỗ hổng hàng đầu của SANS đã nêu rất rõ các nguy cơ an ninh mà giới chuyên gia bảo mật cần nỗ lực khắc phục, đồng thời nó cũng giúp các nhà quản lý hệ thống có biện pháp thích hợp khi khắc chế những nguy cơ.
Top 10 lỗ hổng Windows:
1. Máy chủ web và các dịch vụ web.
2. Dịch vụ máy trạm.
3. Các dịch vụ truy cập từ xa ở Windows.
4. Microsoft SQL Server (MSSQL).
5. Cơ chế xác thực ở Windows.
6. Trình duyệt web.
7. Các ứng dụng chia sẻ file.
8. Lỗi hệ thống giám sát an ninh nội bộ (LSASS).
9. Ứng dụng mail.
10. Nhắn tin nhanh IM.
Top 10 lỗ hổng Unix/Linux:
1. Phần mềm hệ thống tên miền BIND.
2. Máy chủ web.
3. Xác thực.
4. Các hệ thống kiểm soát mỗi phiên bản (Version Control Systems).
5. Dịch vụ truyền mail (Mail Transport Service).
6. Giao thức quản lý mạng đơn giản (SNMP).
7. Cơ chế mã hóa SSL mở (Open Secure Sockets Layer).
8. Các dịch vụ doanh nghiệp NIS/NFS có cấu hình kém.
9. Cơ sở dữ liệu.
10. Lõi hệ điều hành (kernel).
Tham khảo thêm chi tiết và cách xử lý 20 khiếm khuyết an ninh lớn nhất năm 2004 tại đây.
http://www.sans.org/top20/
Thay đổi đáng chú ý nhất ở nhóm lỗ hổng Windows năm nay là sự xuất hiện của khiếm khuyết trong các ứng dụng mail client (xếp thứ 9) và công nghệ nhắn tin nhanh IM (đứng thứ 10), cùng một số khiếm khuyết mới trong bản thân hệ điều hành Windows, chẳng hạn như lỗi LSASS (dẫn đến đợt bùng phát sâu Sasser hồi đầu năm).
Trong khi mức nguy hiểm từ các lỗi trong ứng dụng chia sẻ file tăng từ vị trí thứ 9 năm 2003 lên đứng thứ 7 năm nay, thì các lỗi ở công cụ Microsoft SQL Server (nạn nhân của virus khủng khiếp Slammer năm ngoái) lại giảm từ hàng thứ 2 xuống thứ 4.
Lĩnh vực trình duyệt nhận được sự quan tâm đặc biệt của các nhà nghiên cứu, đáng chú ý nhất tất nhiên vẫn là Internet Explorer (IE) của Microsoft. Danh sách 20 khiếm khuyết hàng đầu ghi nhận tỷ lệ đáng kể của trình duyệt này trong số các lỗi về browser. Đã có tổng số 153 thông báo các vấn đề liên quan đến IE trong 3 năm rưỡi trở lại đây, vượt xa so với bất kỳ trình duyệt nào khác, trong đó có tới 34 lỗi vẫn chưa được vá. Thậm chí cả khi đã được khắc phục, những lỗ hổng này không phải lúc nào cũng nhanh chóng hoàn hảo ngay. “Người sử dụng nhiều khi phải đợi ít nhất là 6 tháng kể từ lúc lỗi được công bố tới khi Microsoft tung ra bản nâng cấp”, báo cáo dài 100 trang của SANS viết.
Mặc dù đến nay vẫn là browser bị tấn công nhiều hơn cả, IE không phải là mục tiêu duy nhất. “Tất cả các ứng dụng duyệt web đều có những lỗ hổng ở nhiều cấp độ, đặt ra những nguy cơ bảo mật không nhỏ”, SANS cho biết. Các chuyên gia của tổ chức này không khuyến cáo người sử dụng từ bỏ IE để chuyển sang những trình duyệt mã mở như Mozilla hay FireFox nhưng cho rằng “biện pháp hiệu quả nhất hướng tới một công cụ lướt web an toàn hơn vẫn là luôn đảm bảo trình duyệt dùng trên máy của mỗi cá nhân là phiên bản mới nhất”.
Ở nhóm những lỗ hổng Unix/Linux hàng đầu, khiếm khuyết phần mềm hệ thống tên miền BIND DNS năm thứ hai liên tiếp đứng ở vị trí số 1 (năm 2002 xếp hạng thứ 9). Trong khi đó, lỗi server web (năm 2003 đứng thứ 3) và các vấn đề xác thực (tăng một bậc từ vị trí thứ 4 năm 2003) tiếp tục là mối đe dọa những hệ điều hành mã mở này.
“Đảm bảo an ninh tốt cho hệ thống và mạng không bao giờ là một nhiệm vụ nhẹ nhàng”, Roger Cumming, Giám đốc Trung tâm điều phối hạ tầng quốc gia Anh, phát biểu. “Bảo mật là công việc của tất cả mọi người và luôn phải có sự phối hợp”.
Sau 5 năm thực hiện, báo cáo thường niên của SANS năm nay được công bố lần đầu tiên tại châu Âu trong khuôn khổ một đại hội bao gồm nhiều cơ quan chức năng của Anh (nước chủ nhà) và các hãng công nghệ Mỹ. Một điểm mới trong báo cáo 2004 là những chỉ dẫn chi tiết về cách khắc chế những lỗ hổng, nêu rõ quy trình vá lỗi cũng như các cấp độ áp dụng. Theo Hazel Blears, Bộ trưởng nội vụ Anh, danh sách 20 lỗ hổng hàng đầu của SANS đã nêu rất rõ các nguy cơ an ninh mà giới chuyên gia bảo mật cần nỗ lực khắc phục, đồng thời nó cũng giúp các nhà quản lý hệ thống có biện pháp thích hợp khi khắc chế những nguy cơ.
Top 10 lỗ hổng Windows:
1. Máy chủ web và các dịch vụ web.
2. Dịch vụ máy trạm.
3. Các dịch vụ truy cập từ xa ở Windows.
4. Microsoft SQL Server (MSSQL).
5. Cơ chế xác thực ở Windows.
6. Trình duyệt web.
7. Các ứng dụng chia sẻ file.
8. Lỗi hệ thống giám sát an ninh nội bộ (LSASS).
9. Ứng dụng mail.
10. Nhắn tin nhanh IM.
Top 10 lỗ hổng Unix/Linux:
1. Phần mềm hệ thống tên miền BIND.
2. Máy chủ web.
3. Xác thực.
4. Các hệ thống kiểm soát mỗi phiên bản (Version Control Systems).
5. Dịch vụ truyền mail (Mail Transport Service).
6. Giao thức quản lý mạng đơn giản (SNMP).
7. Cơ chế mã hóa SSL mở (Open Secure Sockets Layer).
8. Các dịch vụ doanh nghiệp NIS/NFS có cấu hình kém.
9. Cơ sở dữ liệu.
10. Lõi hệ điều hành (kernel).
Tham khảo thêm chi tiết và cách xử lý 20 khiếm khuyết an ninh lớn nhất năm 2004 tại đây.
http://www.sans.org/top20/