Pro ataky se nejčastěji používají dva vektory – LFI (Local File Intrusions) a zneužití aplikačního rozhraní API.
Berete vážně ochranu aplikací před útoky hackerů?
Útočníci v případě LFI obvykle vzdáleně spustí kód na webovém serveru, nebo získají přístup k souborům, ke kterým by neměli, to vše pomocí podvržené webové aplikace.
Dosavadní úspěch hackerů na tomto poli bude motivovat k další podobně koncipovaným atakům.
Útoky založené na LFI vzrostly mezi lety 2021 a 2022 o 193 %, protože například webové stránky založené na PHP jsou vůči nim obecně zranitelné. Osm z deseti webových stránek přitom používá skriptovací jazyk PHP.
Co se týče absolutních čísel, počet útoků LFI v roce 2021 činila v průměru 50 milionů denně, o rok později už se se to přiblížilo hranici 100 milionům denně.
Co se týče útoků přes rozhraní API, momentálně nejčastěji zmiňovanou zranitelností podle Open Web Application Security Project (OWASP) je BOLA (broken object-level authorization).
Ta útočníkům umožňuje manipulovat s ID objektu v požadavku API, což dovoluje neprivilegovaným uživatelům číst nebo mazat data jiného uživatele.
Podle expertů firmy Akamai jde o obzvláště rizikový útok vzhledem k tomu, že k jeho vykonání není zapotřebí žádný zvláštní stupeň technických dovedností a průnik se pro většinu bezpečnostních systémů podobá běžnému provozu.
Mezi vertikály, které by se letos mohly ocitnout v hledáčku útočníků na webové aplikace a API ve zvýšené míře, patří zejména zdravotnictví, kde se začala ve velkém používat různá zařízení internetu věcí a související ekosystém aplikací a API.
Další rizikovou oblastí jsou pak výrobní podniky, kde se mimo jiné také rychle rozšířují zařízení IoT a s tím související infrastruktura.
Security World si můžete koupit i jako klasický časopis, buď v klasické tištěné formě nebo v elektronické verzi. Věnujeme se bezpečnosti počítačových systémů, ochraně dat, informací a soukromí. Jsme jediný titul na českém a slovenském trhu, který oslovuje širokou čtenářskou obec – od ředitelů firem, přes odborníky na bezpečnost po koncové uživatele. Naším cílem je poskytnout ucelený přehled o bezpečnostních hrozbách a zejména o tom, proč a jak se jim bránit, případně proč respektovat a dodržovat nařízení IT manažerů ve firmách.
PŘEDPLATNÉ
ČLÁNKY DO MAILU