Zehn Millionen Schwachstellen

Der Austrian Vulnerability Report hat die Schwachstellen der IT-Systeme von Unternehmen und Privatpersonen bei Verbindungen ins Internet aufgespürt – mit ernüchternden Ergebnissen. [...]

Bei den über 13 Millionen IP-Adressen wurden insgesamt rund zehn Millionen potenzielle Schwachstellen gefunden. Laut der Schweizer First Security Technology (FST) sind das pro aktiver IP-Adresse „über 34 potenzielle Einfallstore für Viren, Botnets, Schadprogramme und Hacker“. Für den Report stellte FST mittels einer verteilten Scan-Node-Architektur Anfragen, verteilt über mehrere Tage, an die Dienste aller österreichischen IP-Adressen, die ans Internet angebunden sind. Diese aktiven Dienste geben automatisch Auskunft über die verwendeten Betriebssysteme und über deren Sicherheit. Über 13 Millionen IP-Adressen gibt es in Österreich, sie sind laut Who-is-Abfragen auf heimische Postadressen eingetragen. Bei knapp 300.000 davon stellten die Autoren des Reports mindestens einen aktiven Dienst fest – zum Beispiel E-Mail, Webserver oder Datenbanken. Alle aktiven IP-Adressen wurden eingehend geprüft.

Diese „Inventarisierung“ des heimischen Internets ermittelte FST zufolge über 7.500 verschiedene Produkte, die über IP-Adressen ansprechbar sind. Diese wurden mit einer CVE-Datenbank (Common Vulnerabilities and Exposures), die über 61.000 Schwachstellen kennt, verglichen. So ließen sich die Produkte auf mögliche Schwachstellen prüfen. Pascal Mittner, CEO von First Security Technology, erklärt: „Die Resultate sind teilweise beängstigend. So sind über 1.600 von Microsoft nicht mehr unterstützte Systeme direkt im Internet erreichbar. Neben Windows XP sind Windows 98, 2000 und NT darunter – für diese gibt es schon lange keine Sicherheits-Updates mehr.“

77 PROZENT LINUX
Linux-Betriebssysteme sind mit einer Anzahl von 77.000 die mit Abstand häufigsten im heimischen Internet. Schlimmer noch: 77 Prozent aller aufgedeckten Schwachstellen betreffen Linux-Systeme. Mittner nennt einen Grund: „Linux wird traditionell als ’sicheres‘ System angeschaut. Doch während etwa bei Microsoft regelmäßige Updates längst Standard sind, glauben viele Leute, es genüge, Linux einmal zu installieren und fertig. Ein Trugschluss. Oder wie bei Embedded Devices, wo es selten bis gar keine Sicherheitsupdates von den Herstellern gibt. Damit ist man nicht vor neuen Bedrohungen geschützt.“ Auch über 26.000 Remote Services, 17.000 unverschlüsselte Telnet Services und 25.000 Datenbanken sind im österreichischen Internet öffentlich erreichbar. Bei den Schwachstellen in den Services ist herauslesbar, dass die Webserver mit 175.000 Diensten, dies sind 30 Prozent aller aktiven Services, 70 Prozent aller Security-Lücken in den Services ausmachen.

Insgesamt wurden rund zehn Millionen Schwachstellen gefunden. Nicht alle sind gleich kritisch, doch FST warnt: Durchschnittlich sind das pro aktiver IP-Adresse „über 34 potenzielle Einfallstore für Viren, Botnets, Schadprogramme, Hacker und Geheimdienste, die Daten dieser Computersysteme verändern, stehlen oder zerstören können“.

WORST CASE SCENARIO
Jedoch wird nichts so heiß gegessen, wie es gekocht wird. Die Studienautoren drücken es so aus: „Verfälschungen der Resultate können verschiedene Ursachen haben: Zum einen ist es einfach, die Banner der Systeme zu manipulieren und damit das tatsächliche System zu verschleiern. Dies ist eine gängige Praxis von IPS (Intrusion-Prävention-Systemen). Zudem patchen einzelne Linux-Distributoren die Applikationen in ihren Repositories oft selbst, was dazu führen kann, dass es für diese Produktversion keine Schwachstellen mehr gibt. Aus diesen Gründen sprechen wir stets von ‚potenziellen‘ Schwachstellen. Der Report zeigt in Bezug auf Softwareschwachstellen das Worst Case Szenario. Konfiguration- und Prozess-Schwachstellen kommen zu den hier gezeigten Schwachstellen noch dazu.“ (pi/rnf/cb)