Onderwerp: 'Slechts 35% webservers goed beveiligd'

----------------------------------------------------------------------------------------------------------
'Slechts 35% webservers goed beveiligd'

15 april 2004 - Met de beveiliging van webservers is het in Nederland slecht gesteld. Dit concludeert beveiligingsbedrijf Madison Gurkha in een onderzoeksrapport waarbij meer dan 25.000 webservers in Nederland werden getest. Uit 23 miljoen IP-nummers die in Nederland zijn gereserveerd werden er steekproefsgewijs 1,3 miljoen gekozen, waarbij werd gekeken naar het versienummer van de gebruikte webserver-software.

Slechts eenderde van de onderzochte webservers maakt gebruik van recente software, de overige servers draaien veelal op sterk verouderde software. Deze servers zijn kwetsbaar voor aanvallen, schrijft Madison Gurkha in het onderzoeksrapport. 'Oudere versies hebben vaak beveiligingslekken waardoor kwaadwillende eenvoudig kunnen inbreken en gegevens opvragen, wijzigen of het systeem misbruiken.'

Meer dan 10 procent van de onderzochte websites is kwetsbaar voor een aanval waarmee elke middelbare scholier met wat vrije tijd volledige controle over het systeem kan krijgen, meldt het rapport. Nalatigheid wordt als grootste oorzaak voor de slechte beveiliging genoemd. 'Nadat servers zijn geïnstalleerd worden ze meestal vergeten, met alle gevolgen van dien.' (CG)

Bron: http://www4.hccnet.nl/404/index.cfm?...ieuws&id=10105
-----------------------------------------------------------------------------------------------------------

Hoe is het gesteld met jullie server(s)? Hoe vaak doen jullie aan onderhoud, hoe lang en wat doen jullie dan allemaal aan de server(s)?

Alles wordt "bijna real-time" geupdate. D.w.z. Apache / SSH / Kernel / PHP etc.

Dingen als OpenSSL worden alleen geupdate wanneer er serieuze bugs zijn (zoals de recentelijke waarbij bijna alle versies tot 2.9.7c kwetsbaar waren)

Overigens doen we dit allemaal zelf.

Zou de gemiddelde WHT-member dit beter voor elkaar hebben? Ik weet overigens wel dat wij veel aan security doen.

"Dit concludeert beveiligingsbedrijf Madison Gurkha in een onderzoeksrapport..."

Dat zegt in princiepe al heel veel

Maar wij maken gebruik van OpenBSD, een op security gericht besturings systeem. Bovendien draaien alle daemons hier in chroot. Security updates voeren wij zsm ('s nachts!) uit.

Alle laatste updates bijhouden, alleen indien er grote bugs zijn snel updaten, anders komt het in het update schema.

Ik wil niet dat een klant door een security fout van mij schade leidt.

"de overige servers draaien veelal op sterk verouderde software. Deze servers zijn kwetsbaar voor aanvallen" Wat hier dus staat is gewoon onzin, ondanks je software oud is wil het nog niet zeggen dat ze insecure zijn, wat ik hiermee bedoel is dat je best een oudere apache kan draaien, mocht er een leak zijn die te herstellen is door de software src aan te passen en opnieuw te compilen is er niks aan het handje. Dan komt erbij ik zelf houd er nog wel van om versie banners en dat soort dingen aan te passen. Ik weet zeker dat dit soort dingen ook mee tellen als niet secured. Die gasten hebben dat allemaal echt niet met de hand gechecked.

just my 0.02

Ik weet uit ervaring dat in sommige bedrijven een Linux kernel bv. enkel wordt geupgrade als er 100% zeker geen problemen met hardware etc. gaan optreden... Zo ken ik iemand die zo eens hard heeft gezweet omdat na kernel update er een heleboel plat ging...

Slechts eenderde van de onderzochte webservers maakt gebruik van recente software, de overige servers draaien veelal op sterk verouderde software. Deze servers zijn kwetsbaar voor aanvallen, schrijft Madison Gurkha in het onderzoeksrapport.

Dan zijn waarschijnlijk alle op Debian (en wellicht andere distros met hetzelfde principe) gebaseerde servers niet goed door hun test heengekomen. Voor diegene die niet bekend is met de Debian policy: zij backporten security fixes om er zo voor te zorgen dat de API niet gewijzigd hoeft te worden. Dit heeft als voordeel dat niet ineens als je klanten hun scripts hoeven aan te passen als Perl/PHP etc een ingrijpende wijziging ondergaan (zoiets als de veschillen tussen PHP 4.2 en 4.3).

'Oudere versies hebben vaak beveiligingslekken waardoor kwaadwillende eenvoudig kunnen inbreken en gegevens opvragen, wijzigen of het systeem misbruiken.'

En hier corrigeren ze zichzelf. Veel servers geven zoals Mickey al aangeeft niet eens een versie af, of juist een compleet verkeerde versie. Ondanks dat dat wordt gezien als 'security through obscurity' blijft het een goed middel tegen de 'kleine crimineel'.