Bij de meeste hacks worden geen geavanceerde technieken of tools ingezet, maar weten aanvallers van basale beveiligingsmissers te profiteren. Daar komt bij dat de ontwikkeling en het gebruik van onveilige software nog altijd de norm is. Dat laat het Amerikaanse cyberagentschap CISA vandaag in een nieuw rapport weten (pdf). Volgens de Amerikaanse overheidsdienst moet er een verschuiving plaatsvinden waarbij organisaties in plaats van het reageren op aanvallen de fundamentele kwetsbaarheden verhelpen waar aanvallers misbruik van maken.

Het CISA stelt dat de meeste aanvallen niet het werk zijn van gecoördineerde aanvalsgroepen die van zeroday-exploits gebruikmaken. In werkelijkheid gaat het om opportunistische criminelen die het internet scannen op zoek naar kwetsbare software. "Helaas is de productie en het gebruik van onveilige software nog steeds de norm", zo stelt het CISA. Organisaties moeten zich dan ook richten op het aanpakken van deze kwetsbaarheden. "Sterkere cybersecurity begint met software die secure by design is."

In het rapport wijst het CISA naar 'hardnekkige kwetsbaarheden' die zich in allerlei applicaties voordoen, zoals cross-site scripting, SQL Injection en 'memory safety' kwetsbaarheden zoals buffer overflows. Deze problemen zijn al decennia bekend maar komen nog altijd voor, wat volgens het cyberagentschap duidt op 'systemische problemen' bij de ontwikkeling van software.

Het Amerikaanse cyberagentschap houdt ook een overzicht bij van aangevallen kwetsbaarheden bij. De meeste problemen waar aanvallers misbruik van maken vallen in zes categorieën: SQL Injection, path traversal, command injection, improper input validation, ontbrekende authenticatie en code Injection. Het CISA stelt dat organisaties aangevallen kwetsbaarheden zo snel mogelijk moeten patchen.

Naast misbruik van kwetsbaarheden blijken aanvallers ook toe te slaan via toegankelijke network services, zoals Remote Desktop Protocol (RDP), Server Message Block (SMB) en Telnet. "Deze services zijn open deuren voor aanvallers. Organisaties moeten onnodige onveilige services uitschakelen", adviseert het CISA. Daarnaast wordt aangeraden om geen protocollen, software en hardware te gebruiken die verouderd of end-of-support (EOS) zijn, aangezien dat ook nog vaak in de praktijk voorkomt, zo laat het cyberagentschap verder weten.

Het CISA stelt dat sterkere cybersecurity naast software die secure by design is, ook leiderschap vereist dat begrijpt dat cyberrisico's bedrijfsrisico's zijn, alsmede een bedreiging voor de nationale veiligheid en een belemmering voor operationele weerbaarheid vormen.