Rsac: hei folkens, lapp programmene dine!

Secunias gratis personlige programvareinspektørverktøy sjekker all programvaren på din PC, identifiserer alle programmer som trenger oppdateringer, og hjelper deg å bruke disse oppdateringene. Selskapet samler også statistikk om sårbarheter og publiserer en årlig rapport. På RSA-konferansen gikk Secunias administrerende direktør Peter Colsted og CTO Morten Stengaard over den siste rapporten med meg.

"Totalt sett er flertallet av sårbarhetene fortsatt i tredjepartsprogrammer, " sa Stengaard. "Det totale antallet øker, med over 13 000 nye i 2013 sammenlignet med et gjennomsnitt på rundt 9 000 tidligere år. Den store økningen er primært drevet av IBM. Det er fremdeles et enormt problem, med over 2000 sårbare produkter."

Stengaard bemerket at blant de 50 mest populære sårbarhetene er de mest utbredte ikke-Microsoft-programmene, selv om antallet berørte Microsoft-programmer er stort. "Microsoft-produkter er ganske godt dekket, " sa Stengaard, "og folk har en tendens til å oppdatere." (En fersk undersøkelse viste at å holde Windows lappet er et viktig element i enhver sikkerhetsstrategi).

Rapporten viser tydelig langt flere sårbarheter i de mest populære nettlesere og PDF-lesere enn hos andre merkevarer. "Du kan bruke det produktet du vil, så lenge du lapper, " sa Colsted. "Hvis du vet at du ikke skal lappe, er det bedre å bruke et mindre vanlig program."

Endring i holdning

"Vi ser en ny strategi i bedrifter, " sa Stengaard. "Instad for å sette en lapp gjennom tunge tester før du distribuerer den, de ruller ut lapper som de ser ut, med et alternativ til å rulle tilbake hvis lappen forårsaker problemer."

Den gamle test-first-strategien er basert på ideen om at en lapp kan skade; Jeg spurte hvor lenge siden den siste "dårlige oppdateringen." Stengaard svarte: "I virkeligheten er det mange år siden en Microsoft-lapp brøt noe. Samme med mange tredjepartsapper. Kundene våre føler seg tryggere."

Mobilsporing

Secunia ga ut en Android-versjon av PSI i fjor, men dataene er ennå ikke fullstendige nok til å fortjene en Android-spesifikk rapport. "Malware er så enkelt på Android, " sa Stengaard, "det er bare ingen insentiver til å forfølge sårbarheter. De få som eksisterer, retter seg mot de vanlige mistenkte - alltid installerte elementer som nettlesere og PDF-lesere. Vi spådde en økning det siste året, men det har ikke kommet ennå."

Selskapet vurderer også en iOS-utgave. "Mange flere av kundene våre ber om iOS-støtte, " sa Stengaard. "Den er der, den er i selskapet, så de vil spore den."

Folk lapper ikke

"For å oppsummere resultatene våre i år, " sa Colsted, "tilstedeværelsen av sikkerhetssårbarheter er et økende problem. Det forsvinner ikke. Og folk bare ikke lapper, det er et fortsatt problem. Adobe Reader, Java, Flash, nettlesere, de fortsetter å ha problemer."

"Folk trenger virkelig å lappe, " sa han. Enten konfigurer det automatisk eller gjør det manuelt. Det er som når antivirus var nytt; det tok litt tid før folk innså at det er en nødvendighet. Nå er det virkelige problemet sikkerhetssårbarheter. Å lappe disse er nøyaktig parallelt med at antivirusbeskyttelsen fungerer."

"Hvis du virkelig ikke skal lappe, " konkluderte Colsted, "bør du velge et lite kjent program i stedet for de populære store navnene." Folkene på Opera og Foxit Reader vil sikkert høre det. Du kan se hele rapporten på Secunias nettsted.