哪些网站是脆弱的？

Question

众所周知，安全漏洞在网络上很常见:许多网站都很容易受到攻击。是否有任何数据说明哪些网站是脆弱的，哪些部分是安全的？

Answer 1

怀特哈特安全公司2011年年度报告在他们监控的网站上有一些详细的统计数据，其中有多少是脆弱的。

以下是一些亮点：

• 到2010年，84%的网站至少有30天是脆弱的。(换句话说，算上2010年网站至少有一个严重漏洞的天数。在84%的网站中，这一数字是30天或30天以上。)2010年，44%的网站每天都很脆弱。
• 大约一半的银行网站在2010年的至少30天里都很脆弱。2010年，16%的人每天都很脆弱。
• 大多数其他部门与所有网站的总体比率相当。换句话说，银行网站是个例外，其他所有人都很相似。
• 2010年，平均每个网站在某一时间点共有230个严重漏洞。2010年，平均每个银行网站共有30个严重漏洞。
• 在已修复的漏洞中，修复这些漏洞的中位时间约为116天(接管所有网站)。(银行网站的相应数目为13天。)然而，许多漏洞尚未修复，因此这些数字可能低估了修复的真正时间。

报告将严重的漏洞定义为被PCI标准分类为高、关键或紧急严重性的漏洞。

因此，听起来大约有80%的网站容易受到各种攻击。

Answer 2

我最近看到的一项研究是在2008年由网络应用安全联盟 webappsec.org进行的。这项研究是根据八个独立的安全评估项目的结果编制的，共有12186个来自不同行业的网络应用程序。这项研究非常有趣，但我将在这里总结几点要点：

• 共检测到97554个不同风险水平的漏洞。
• 超过13%的所有被审查的网站可以完全自动妥协。
• 大约49%的web应用程序包含在自动扫描过程中检测到的高风险级别(紧急和关键)漏洞。
• 至少88%的网站存在严重的漏洞(按PCI标准排序紧急、关键或高)。
• 99%的web应用程序不符合PCI标准。

请记住，这些数字大约有四岁，而网络年中的四岁则是终生的(换句话说:用一点点盐就可以了)。话虽如此，我很怀疑脆弱地点的百分比是否有重大改变。

请注意，如果您对其他与安全相关的统计数据感兴趣，那么有两个好站点会更频繁地发布报告。

• 一个是国安局赞助的网络安全站点 us-cert.gov，其最新报告是这里 (pdf)。
• 另一个(您可能已经熟悉的)是开放应用程序安全项目 owasp.org，它的最新报告可以找到这里。

Answer 3

Veracode发布了一些他们分析过的应用程序上的数据。以下是一些亮点。

关于遵守OWASP标准的问题，该标准指出，您的应用程序在OWASP前10名中不存在任何漏洞(请参见图24)：

• 16%的政府web应用程序在OWASP前10名中没有检测到漏洞。
• 24%的金融业web应用程序在OWASP前10名中没有检测到漏洞。
• 28%的商业web应用程序在OWASP前10名中没有检测到漏洞。

(脚注:这是第一次向他们提交申请。)

在遵守SANS标准时，要求您在SANS前25名列表中没有任何漏洞(请参见图25)：

• 18%的政府web应用程序在SANS前25名中没有检测到漏洞。
• 28%的金融业web应用程序在SANS前25名中没有检测到漏洞。
• 34%的商业web应用程序在SANS前25名中没有检测到漏洞。

从网站上看，方法并不明确。目前还不清楚有多少不兼容的web应用程序是易受攻击的(或者，就这一点而言，有多少兼容的web应用程序易受攻击)。

他们还报告了他们分析过的web应用程序中各种漏洞流行程度的统计数据(见表7)：

• 75%的政府web应用程序易受XSS攻击。
• 67%的金融业web应用程序易受XSS攻击。
• 55%的商业web应用程序易受XSS攻击。

和

• 40%的政府web应用程序容易受到SQL注入的影响。
• 29%的金融业web应用程序容易受到SQL注入的影响。
• 30%的商业web应用程序容易受到SQL注入的影响。

简而言之，至少80%的web应用程序是脆弱的，根据它们的统计数据。