Norton, Symantecin tietoturvaohjelmisto täynnä kriittisiä haavoittuvuuksia

Tietoturva

Googlen Project Zero -tutkimusryhmä on omistautunut nollapäivän hyödyntämisen ja haavoittuvuuksien löytämiseen jo lähes kaksi vuotta. Vaikka se muodostui vastauksena Heartbleedin haavoittuvuuteen, se etsii ongelmia sekä Googlen omissa tuotteissa että muiden yritysten tuotteissa - ja Symantecin tietoturvaohjelmistoissa paljastamat puutteet ovat Google-tutkijan Tavis Ormandyn sanoin 'yhtä pahoja'. kuten asiat saavat. '



Symantec käyttää yhteistä moottoria yritys- ja kodinturvatuotteissaan, Ormandyn mukaan . Kriittisesti vaarantuneiden tuotteiden luettelo sisältää:

  • Norton Security, Norton 360 ja muut vanhat Norton-tuotteet (kaikki käyttöympäristöt)
  • Symantec Endpoint Protection (kaikki versiot, kaikki käyttöympäristöt)
  • Symantec Email Security (kaikki käyttöympäristöt)
  • Symantec Protection Engine (kaikki alustat)
  • Symantec Protection for SharePoint -palvelimet; ja niin edelleen

Ensimmäinen ongelma Symantecin tuotteissa on, että he käyttivät suoritettavaa purkajaa - ohjelmistoa, joka on suunniteltu purkamaan suoritettava tiedosto ja tarkistamaan siinä haittaohjelmia - suoraan ytimessä. Ormandy kirjoittaa:

Koska Symantec käyttää suodatinohjainta kaikkien järjestelmien I / O-sieppauksiin, riittää, että tiedosto lähetetään sähköpostitse uhrille tai lähetetään hänelle linkki hyödyntämiseen - uhrin ei kuitenkaan tarvitse avata tiedostoa tai olla vuorovaikutuksessa sen kanssa. . Koska vuorovaikutusta ei tarvita sen hyödyntämiseksi, tämä on matoinen haavoittuvuus, jolla voi olla tuhoisia seurauksia Nortonin ja Symantecin asiakkaille.



Hyökkääjä voi helposti vaarantaa koko yrityslaivaston käyttämällä tällaista haavoittuvuutta. Verkon ylläpitäjien on pidettävä mielessä tällaiset skenaariot, kun he päättävät ottaa virustorjunnan, se on merkittävä kompromissi hyökkäyspinnan lisääntymisen kannalta.

Pelkästään tämä virhe voi olla showstopper, mutta se ei ole ainoa ongelma, jonka Google löysi Symantec-tuotteista. Symantec skannaa PowerPoint-virtoja, jotka voidaan yhdistää sen oletusheuristisiin asetuksiin, jotka mahdollistavat myös koodin oletustoiminnon. Symantecin koko toimitustuotepaketissa käytettyjen kirjastojen todettiin olevan vähintään seitsemän vuotta vanhentuneet, ja niissä oli 'kymmeniä julkisia haavoittuvuuksia'.

Kukaan ei halua maksaa turvallisuudesta, mukaan lukien turvallisuusyhtiöt

IT-tietoturvalla on ansaittu maine kovana ja yleensä kiittämätön työ. Yritykset ja yksityishenkilöt maksavat huulipalvelusta korkealle tasolle konsepti turvallisuutta, mutta vain harvat ihmiset voivat väittää ymmärtävänsä aihetta kattavasti. On helppo ymmärtää, miksi niin monilla yrityksillä on huono tietoturvakäytäntö, vaikka emme erityisesti pidä selityksestä: Laitteiden ja ohjelmistojen turvaaminen on todella vaikeaa, kun taas väittäen asianmukainen turvallisuus on erittäin helppoa.

Symantec1

Tämä dia äskettäisestä Symantec-esityksestä jättää kokonaan pois esimerkiksi ”Kiinteät lamauttavat nollapäivähyödyt, jotka vaarantivat täysin tuotteemme”.



Teoriassa tämänkaltaisia ​​asioita voidaan lieventää ulkoistamalla tietoturvatuotteiden kehittäminen erikoistuneille yrityksille, kuten Symantecille. Käytännössä samat sisäiset vaikeudet, jotka vaikeuttavat asianmukaista tietoturvaa yrityksen sisällä, vaikeuttavat myös erikoistuneiden tietoturvapakettien rakentamista - varsinkin kun markkinoinnin välillä on niin valtava jännite, joka haluaa jatkuvan vuosittaisten päivitysjaksojen, räikeiden uusien ominaisuuksien, kimaltavan käyttöliittymän elementit ja luettelomerkit sekä tietoturvaohjelmistojen kehittämisen ja ylläpidon todellinen tehtävä.

Nortonin uudessa versiossa ei ole mitään seksikkäitä, jos laatikon takaosassa lukee 'Päivitetyt ydinkirjastot' tai 'Vähentynyt hyökkäyspinta oman lähdekoodimme kattavan tarkastuksen ansiosta.' Tällainen paljastus voidaan lukea kaukana asiakkaiden rauhoittamisesta, mikä tarkoittaa, että yrityksen tuotteiden aiemmat versiot eivät olleet turvallisia eivätkä antaneet lupaamiaan etuja. Tällaisen kattavan ja jatkuvan suojan ylläpitotarpeen tasapainottaminen uusien ominaisuuksien ja ominaisuuksien kanssa on erittäin vaikeaa.

Symantec näyttää antaneen korjauksia kaikkiin Googlen ilmoittamiin ongelmiin. Mutta se, että nämä puutteet jatkuivat niin kauan kuin ne ovat todiste siitä, että asianmukaista huolellisuutta ei yksinkertaisesti suoritettu. Teoriassa kuluttajat ja yritykset voisivat rangaista Symantecia näistä laiminlyönneistä tekemällä sopimuksia muiden tietoturvamyyjien kanssa. Käytännössä ei myöskään voida taata, että muiden toimittajien tuotteet ovat hyvin suojattuja - ja siksi ei ole selkeää tapaa määrittää, kuinka turvallinen tietty tietoturvapaketti todella on On.



Copyright © Kaikki Oikeudet Pidätetään | 2007es.com