As 20 vulnerabilidades mais criticas de segurança na internet

Créditos: Copyright © 2002 FBI & Sans Institute
               www.modulo.com.br


Há pouco mais de um ano, o instituto SANS (System Administration, Networking and Security) e o NIPC/FBI (National Infrastructure Protection Center, FBI) divulgaram um documento que resumia as dez vulnerabilidades mais críticas de segurança na Internet ("The Top Ten Most Critical Internet Security Vulnerabilities", ou simplesmente, "Top 10"). Milhares de organizações usaram esta lista para priorizar esforços de modo que fosse possível sanar a priori as vulnerabilidades consideradas mais perigosas. Uma nova lista, divulgada em 1º de Outubro de 2001, atualiza e expande a lista Top 10. Com este novo lançamento, nos aumentamos à lista para conter as vinte vulnerabilidades mais críticas ("Top 20"), dividido-a em três categorias: vulnerabilidades gerais, vulnerabilidades no Windows, e vulnerabilidades no UNIX.
A lista Top 20 do SANS/FBI é valiosa porque a maioria dos ataques bem sucedidos direcionados a sistemas de computadores através da Internet pode ser atribuída à exploração de falhas de segurança incluídas nesta lista. Por exemplo, o comprometimento do sistema no incidente ´Solar Sunrise´ ocorrido no Pentágono, bem como a fácil e rápida propagação do Code Red e NIMDA podem ser atribuídos à exploração de vulnerabilidades contidas na lista.
Estas poucas vulnerabilidades de software contabilizam a maioria dos ataques bem sucedidos, simplesmente pelo fato dos atacantes serem oportunistas, isto é, escolherem o caminho mais fácil e conveniente. Eles exploram as falhas mais comuns, usando as mais efetivas e difundidas ferramentas de ataque. Os atacantes partem do princípio que as organizações não corrigem seus sistemas e saem vasculhando sistemas vulneráveis na Internet.
No passado, os administradores de sistemas relataram que não teriam corrigido muitas destas falhas, primeiro, porque simplesmente não sabiam quais delas eram as mais perigosas, e segundo, porque estavam muito ocupados para corrigi-las. Algumas das ferramentas de scan de vulnerabilidades procuram por 300, 500 ou até mesmo 800 vulnerabilidades, diminuindo assim o foco principal dos administradores de sistemas, que precisam garantir que todos os seus sistemas encontram-se protegidos dos ataques mais comuns. A lista Top 20 foi criada justamente para aliviar estas dificuldades, combinando o conhecimento de dezenas de
especialistas em segurança das agências federais mais reconhecidas na área, principais firmas de consultoria e fabricantes de software de segurança, melhores programas na área de segurança mantidos nas universidades, o CERT/CC e o instituto SANS. Uma lista de participantes pode ser encontrada no final deste documento.

O seu retorno e comentários são bem-vindos.

Instituto SANS

Clique Aqui baixe o artigo completo das vulnerabilidades