Unternehmen ziehen immer noch mit Pfoten

Eine Studie des Sicherheitsanbieters Qualys hat festgestellt, dass Unternehmen nur ein Haar schneller patchen als noch vor fünf Jahren.

Qualys hat in den letzten sechs Jahren ein Forschungsprojekt durchgeführt, bei dem es Daten über Software-Schwachstellen von den Computern seiner Kunden sammelt. Qualys bietet webbasierte Dienste, die Sicherheitslücken in Software und Webanwendungen aufspüren und Compliance-Audits durchführen können.

Die neuesten Daten wurden im Laufe des Jahres 2008 gesammelt, sagte Wolfgang Kandek, CTO von Qualys. Qualys scannte 80 Millionen IP-Adressen (Internet Protocol) mit 200 Scannern, die PCs im Internet und 5.000 interne Scanner hinter Firewalls in Firmen-Intranets betrachteten.

[Weiterführende Literatur: So entfernen Sie Malware von Ihrem Windows-PC]

Kandek Es wurden 680 Millionen Sicherheitslücken gefunden, davon 72 Millionen als kritisch, was bedeutet, dass das Softwareproblem es einem Hacker erlauben könnte, die Kontrolle über einen Computer aus der Ferne zu übernehmen und bösartige Software zu installieren.

Qualys hat eine eigene Messung namens "half life" erstellt. für wie schnell Unternehmen Patches. Die Messung ist die Anzahl der Tage, die ein Unternehmen in einer bestimmten Branche benötigt, um 50 Prozent der öffentlich veröffentlichten Schwachstellen zu patchen.

Die Zahlen haben sich kaum verändert, seit Qualys 2004 seine letzte Studie veröffentlicht hat Durchschnitt von 30 Tagen, um die halb gepatchte Marke zu treffen. Für 2008 ist diese Zahl nur auf 29,5 Tage gestiegen, sagte Kandek.

"Der Patch-Zyklus hat sich nicht wirklich beschleunigt", sagte Kandek während der InfoSecurity-Konferenz am Dienstag in London.

Nach der Industrie variieren die Zahlen: Der Dienstleistungssektor dauert 21 Tage; Finanzindustrie, 23 Tage; und Groß-und Einzelhandel, 24 Tage. Die Nachzügler sind die Gesundheitsbranche an 38 Tagen und die Herstellung an 51 Tagen.

Das Problem mit dem Patchen ist, dass Hacker Exploits schneller erstellen, als Firmen sie patchen, sagte Kandek. "Die Angreifer werden viel schneller als zuvor", sagte er.

Von den 21 Fixes von Microsoft am Patch-Dienstag dieses Monats waren Exploits für 10 dieser Probleme bereits im Umlauf, sagte Kandek.

Auch Computeradministratoren zu lange dauern, um Patches, die Anwendungen mit höherer Priorität sein sollten, wie Web-Browser, sagte Kandek.

Auch lange bekannte Sicherheitslücken in Software wie Microsoft Office, Acrobat von Adobe System und Microsoft Windows Server 2003 SP2 werden weiterhin gefunden Systeme nach Patches sind verfügbar, sagte Kandek.

Adobe Acrobat scheint auf der Patch-Liste besonders niedrig zu sein. Das ist gefährlich, da Hacker bösartige PDF-Dateien (Portable Document Format) erstellt haben, die Sicherheitslücken ausnutzen und einen Computer infizieren können. Acrobat kann eine "Hauptquelle für Malware-Infektionen" sein.

"Wir müssen diese Schwachstellen so schnell wie möglich beheben", sagte Kandek.