Newmedia365.de

Schlagwort: Schwachstellen

  • Industrielle Cybersicherheit: Neuer Report zeigt deutliche Zunahme der gemeldeten Schwachstellen auch bei IoT-, IT- und medizinischen Geräten

    Industrielle Cybersicherheit: Neuer Report zeigt deutliche Zunahme der gemeldeten Schwachstellen auch bei IoT-, IT- und medizinischen Geräten

    Ein Drittel der Schwachstellen betreffen zunehmend das erweiterte Internet der Dinge (XIoT)

    Die Offenlegung von Schwachstellen in industriellen Kontrollsystemen (ICS) hat sich in den letzten vier Jahren mehr als verdoppelt (plus 110 %), allein in der zweiten Jahreshälfte 2021 stieg im Vergleich zu den vorangegangenen sechs Monaten die Anzahl um 25 Prozent. Dies geht aus dem vierten halbjährlichen ICS Risk & Vulnerability Report hervor, der heute von Claroty, Spezialist für die Sicherheit von cyber-physischen Systemen (CPS) in Industrie-, Healthcare- und Unternehmensumgebungen, veröffentlicht wurde. Die Studie zeigt zudem, dass sich ICS-Schwachstellen über die Betriebstechnik (OT) hinaus auf das erweiterte Internet der Dinge (XIoT) ausweiten: 34 Prozent der aufgedeckten Sicherheitslücken betrafen demnach IoT-, Medizin (Internet of Medical Things/IoMT)- und IT-Systeme.

    Der Bericht bietet eine umfassende Analyse der im zweiten Halbjahr 2021 veröffentlichten ICS-Schwachstellen, einschließlich der von Clarotys preisgekröntem Forschungsteam Team82 aufgedeckten sowie solcher, die aus vertrauenswürdigen offenen Quellen stammen. Hierzu zählen die National Vulnerability Database (NVD), das Industrial Control Systems Cyber Emergency Response Team (ICS-CERT), CERT@VDE, MITRE und die Anbieter von Industrieautomatisierung Schneider Electric und Siemens.

    „Da immer mehr cyber-physische Systeme miteinander verbunden werden und der Zugang zu diesen Netzwerken über das Internet und die Cloud erfolgt, benötigen Sicherheitsverantwortliche zeitnahe, nützliche Schwachstelleninformationen, um ihr Risikomanagement entsprechend anpassen zu können“, erklärt Amir Preminger, Vice President of Research von Claroty. „Die zunehmende digitale Transformation in Verbindung mit der Konvergenz von ICS- und IT-Infrastruktur ermöglicht es den Forschern, ihre Arbeit über die OT hinaus auf das XIoT auszuweiten. Aufsehenerregende Cybervorfälle im zweiten Halbjahr 2021 wie die Tardigrade-Malware, die Log4j-Schwachstelle oder der Ransomware-Angriff auf den Tankstellenzulieferer Oiltanking zeigen die Anfälligkeit dieser Netzwerke und unterstreichen die Notwendigkeit der Zusammenarbeit der Sicherheitsforscher bei der Entdeckung und Offenlegung neuer Schwachstellen.“

    Die wichtigsten Ergebnisse:

    Die Anzahl der offengelegten ICS-Schwachstellen ist in den letzten vier Jahren um 110 Prozent gestiegen. Dies zeigt, dass das Bewusstsein für dieses Thema deutlich gestiegen ist und Sicherheitsforscher zunehmend auch OT-Umgebungen einbeziehen. 797 Schwachstellen wurden im zweiten Halbjahr 2021 gemeldet, was einem Anstieg von 25 Prozent gegenüber 637 im ersten Halbjahr 2021 entspricht.

    34 Prozent der aufgedeckten Schwachstellen betreffen IoT-, IoMT- und IT-Komponenten. Deshalb müssen Unternehmen OT, IT und IoT unter einem konvergenten Sicherheitsmanagement zusammenführen. Betreiber dieser Systeme benötigen einen genauen Überblick über ihre Umgebungen, um Schwachstellen zu managen und ihre Gefährdung zu verringern.

    Die Hälfte der Schwachstellen (50 %) wurde von externen Spezialisten entdeckt, die meisten davon durch Forscher von Cybersicherheitsunternehmen, die ihren Schwerpunkt neben der IT- und IoT-Sicherheitsforschung auf ICS verlagern. Außerdem meldeten 55 neue Forscher Sicherheitslücken.

    Die Zahl der durch interne Experten gemeldeten Schwachstellen stieg in den letzten vier Jahren um 76 Prozent. Dies unterstreicht die wachsende Bedeutung der Disziplin sowie einen höheren Reifegrad bei der Schwachstellenforschung und zeigt, dass die Hersteller immer größere Ressourcen für die Sicherheit ihrer Produkte bereitstellen.

    87 Prozent der Schwachstellen weisen eine geringe Angriffskomplexität auf, d. h. sie erfordern keine speziellen Bedingungen und Angreifer können jedes Mal mit einem wiederholbaren Erfolg rechnen. 70 Prozent erfordern keine besonderen Berechtigungen, um eine Schwachstelle erfolgreich auszunutzen, und 64 Prozent der Schwachstellen bedürfen keiner Benutzerinteraktion.

    63 Prozent sind aus der Ferne ausnutzbar. Dies zeigt, dass die Sicherung von Remote-Verbindungen und Geräten von größter Wichtigkeit ist, zumal der durch die Pandemie beschleunigte Bedarf an sicheren Fernzugriffslösungen ungebrochen ist.

    Clarotys Forschungsabteilung Team82 bleibt führend bei der Erforschung von ICS-Schwachstellen und hat im zweiten Halbjahr 2021 110 Schwachstellen und insgesamt über 260 Schwachstellen aufgedeckt.

    Die verbreitetste potenzielle Auswirkung ist die Remote-Code-Ausführung (bei 53 % der Schwachstellen), gefolgt von Störungen (Denial-of-Service) (42 %), der Umgehung von Schutzmechanismen (37 %) und Möglichkeiten für Angreifer, Anwendungsdaten zu lesen (33 %).

    Zu den wichtigsten Abhilfemaßnahmen gehören Netzwerksegmentierung (empfohlen bei 21 % der Schwachstellen), der Schutz vor Ransomware, Phishing und Spam (15 %) und Beschränkungen des Datenverkehrs (13 %).

    Die vollständigen Ergebnisse, eingehende Analysen und zusätzlichen Maßnahmen zum Schutz vor unzulässigen Zugriffen und Risiken, finden sich im halbjährlichen ICS Risk & Vulnerability Report von Claroty.

    Danksagung
    Die Hauptautorin dieses Berichts ist Chen Fradkin, Sicherheitsforscherin bei Claroty. Zu den Mitwirkenden gehören: Rotem Mesika, Leiter des Sicherheitsforschungsteams, Nadav Erez, Director of Innovation, Sharon Brizinov, Leiterin des Schwachstellenforschungsteams, und Amir Preminger, Vice President of Research bei Claroty. Besonderer Dank gilt dem gesamten Team82 für die herausragende Unterstützung bei verschiedenen Aspekten dieses Berichts und den Forschungsbemühungen, die ihm zugrunde liegen.

    Claroty, die Industrial Cybersecurity Company, hilft ihren weltweiten Kunden, ihre OT-, IoT- und IIoT-Anlagen zu erkennen, zu schützen und zu verwalten. Die umfassende Plattform des Unternehmens lässt sich nahtlos in die bestehende Infrastruktur und Prozesse der Kunden einbinden und bietet eine breite Palette an industriellen Cybersicherheitskontrollen für Transparenz, Bedrohungserkennung, Risiko- und Schwachstellenmanagement sowie sicheren Fernzugriff – bei deutlich reduzierten Gesamtbetriebskosten.

    Claroty wird von führenden Industrieautomationsanbietern unterstützt und eingesetzt, verfügt über ein umfangreiches Partner-Ökosystem und ein preisgekröntes Forschungsteam. Das Unternehmen hat seinen Hauptsitz in New York City und ist in Europa, im asiatisch-pazifischen Raum und in Lateinamerika vertreten und weist Implementierungen auf allen sieben Kontinenten auf. Weitere Informationen unter www.claroty.com

    Firmenkontakt
    Claroty
    Kelly Ferguson
    Maddison Ave 488
    1022 New York
    +1 212-937-9095
    kelly.f@claroty.com
    https://www.claroty.com/

    Pressekontakt
    Weissenbach PR
    Bastian Schink
    Landsberger Str. 155
    80687 München
    089 54 55 82 01
    clarotyPR.DACH@weissenbac-pr.de
    https://www.claroty.com/

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • Industrielle Cybersicherheit: Neuer Report zeigt deutliche Zunahme der gemeldeten Schwachstellen auch bei IoT-, IT- und medizinischen Geräten

    Industrielle Cybersicherheit: Neuer Report zeigt deutliche Zunahme der gemeldeten Schwachstellen auch bei IoT-, IT- und medizinischen Geräten

    Ein Drittel der Schwachstellen betreffen zunehmend das erweiterte Internet der Dinge (XIoT)

    Die Offenlegung von Schwachstellen in industriellen Kontrollsystemen (ICS) hat sich in den letzten vier Jahren mehr als verdoppelt (plus 110 %), allein in der zweiten Jahreshälfte 2021 stieg im Vergleich zu den vorangegangenen sechs Monaten die Anzahl um 25 Prozent. Dies geht aus dem vierten halbjährlichen ICS Risk & Vulnerability Report hervor, der heute von Claroty, Spezialist für die Sicherheit von cyber-physischen Systemen (CPS) in Industrie-, Healthcare- und Unternehmensumgebungen, veröffentlicht wurde. Die Studie zeigt zudem, dass sich ICS-Schwachstellen über die Betriebstechnik (OT) hinaus auf das erweiterte Internet der Dinge (XIoT) ausweiten: 34 Prozent der aufgedeckten Sicherheitslücken betrafen demnach IoT-, Medizin (Internet of Medical Things/IoMT)- und IT-Systeme.

    Der Bericht bietet eine umfassende Analyse der im zweiten Halbjahr 2021 veröffentlichten ICS-Schwachstellen, einschließlich der von Clarotys preisgekröntem Forschungsteam Team82 aufgedeckten sowie solcher, die aus vertrauenswürdigen offenen Quellen stammen. Hierzu zählen die National Vulnerability Database (NVD), das Industrial Control Systems Cyber Emergency Response Team (ICS-CERT), CERT@VDE, MITRE und die Anbieter von Industrieautomatisierung Schneider Electric und Siemens.

    „Da immer mehr cyber-physische Systeme miteinander verbunden werden und der Zugang zu diesen Netzwerken über das Internet und die Cloud erfolgt, benötigen Sicherheitsverantwortliche zeitnahe, nützliche Schwachstelleninformationen, um ihr Risikomanagement entsprechend anpassen zu können“, erklärt Amir Preminger, Vice President of Research von Claroty. „Die zunehmende digitale Transformation in Verbindung mit der Konvergenz von ICS- und IT-Infrastruktur ermöglicht es den Forschern, ihre Arbeit über die OT hinaus auf das XIoT auszuweiten. Aufsehenerregende Cybervorfälle im zweiten Halbjahr 2021 wie die Tardigrade-Malware, die Log4j-Schwachstelle oder der Ransomware-Angriff auf den Tankstellenzulieferer Oiltanking zeigen die Anfälligkeit dieser Netzwerke und unterstreichen die Notwendigkeit der Zusammenarbeit der Sicherheitsforscher bei der Entdeckung und Offenlegung neuer Schwachstellen.“

    Die wichtigsten Ergebnisse:

    Die Anzahl der offengelegten ICS-Schwachstellen ist in den letzten vier Jahren um 110 Prozent gestiegen. Dies zeigt, dass das Bewusstsein für dieses Thema deutlich gestiegen ist und Sicherheitsforscher zunehmend auch OT-Umgebungen einbeziehen. 797 Schwachstellen wurden im zweiten Halbjahr 2021 gemeldet, was einem Anstieg von 25 Prozent gegenüber 637 im ersten Halbjahr 2021 entspricht.

    34 Prozent der aufgedeckten Schwachstellen betreffen IoT-, IoMT- und IT-Komponenten. Deshalb müssen Unternehmen OT, IT und IoT unter einem konvergenten Sicherheitsmanagement zusammenführen. Betreiber dieser Systeme benötigen einen genauen Überblick über ihre Umgebungen, um Schwachstellen zu managen und ihre Gefährdung zu verringern.

    Die Hälfte der Schwachstellen (50 %) wurde von externen Spezialisten entdeckt, die meisten davon durch Forscher von Cybersicherheitsunternehmen, die ihren Schwerpunkt neben der IT- und IoT-Sicherheitsforschung auf ICS verlagern. Außerdem meldeten 55 neue Forscher Sicherheitslücken.

    Die Zahl der durch interne Experten gemeldeten Schwachstellen stieg in den letzten vier Jahren um 76 Prozent. Dies unterstreicht die wachsende Bedeutung der Disziplin sowie einen höheren Reifegrad bei der Schwachstellenforschung und zeigt, dass die Hersteller immer größere Ressourcen für die Sicherheit ihrer Produkte bereitstellen.

    87 Prozent der Schwachstellen weisen eine geringe Angriffskomplexität auf, d. h. sie erfordern keine speziellen Bedingungen und Angreifer können jedes Mal mit einem wiederholbaren Erfolg rechnen. 70 Prozent erfordern keine besonderen Berechtigungen, um eine Schwachstelle erfolgreich auszunutzen, und 64 Prozent der Schwachstellen bedürfen keiner Benutzerinteraktion.

    63 Prozent sind aus der Ferne ausnutzbar. Dies zeigt, dass die Sicherung von Remote-Verbindungen und Geräten von größter Wichtigkeit ist, zumal der durch die Pandemie beschleunigte Bedarf an sicheren Fernzugriffslösungen ungebrochen ist.

    Clarotys Forschungsabteilung Team82 bleibt führend bei der Erforschung von ICS-Schwachstellen und hat im zweiten Halbjahr 2021 110 Schwachstellen und insgesamt über 260 Schwachstellen aufgedeckt.

    Die verbreitetste potenzielle Auswirkung ist die Remote-Code-Ausführung (bei 53 % der Schwachstellen), gefolgt von Störungen (Denial-of-Service) (42 %), der Umgehung von Schutzmechanismen (37 %) und Möglichkeiten für Angreifer, Anwendungsdaten zu lesen (33 %).

    Zu den wichtigsten Abhilfemaßnahmen gehören Netzwerksegmentierung (empfohlen bei 21 % der Schwachstellen), der Schutz vor Ransomware, Phishing und Spam (15 %) und Beschränkungen des Datenverkehrs (13 %).

    Die vollständigen Ergebnisse, eingehende Analysen und zusätzlichen Maßnahmen zum Schutz vor unzulässigen Zugriffen und Risiken, finden sich im halbjährlichen ICS Risk & Vulnerability Report von Claroty.

    Danksagung
    Die Hauptautorin dieses Berichts ist Chen Fradkin, Sicherheitsforscherin bei Claroty. Zu den Mitwirkenden gehören: Rotem Mesika, Leiter des Sicherheitsforschungsteams, Nadav Erez, Director of Innovation, Sharon Brizinov, Leiterin des Schwachstellenforschungsteams, und Amir Preminger, Vice President of Research bei Claroty. Besonderer Dank gilt dem gesamten Team82 für die herausragende Unterstützung bei verschiedenen Aspekten dieses Berichts und den Forschungsbemühungen, die ihm zugrunde liegen.

    Claroty, die Industrial Cybersecurity Company, hilft ihren weltweiten Kunden, ihre OT-, IoT- und IIoT-Anlagen zu erkennen, zu schützen und zu verwalten. Die umfassende Plattform des Unternehmens lässt sich nahtlos in die bestehende Infrastruktur und Prozesse der Kunden einbinden und bietet eine breite Palette an industriellen Cybersicherheitskontrollen für Transparenz, Bedrohungserkennung, Risiko- und Schwachstellenmanagement sowie sicheren Fernzugriff – bei deutlich reduzierten Gesamtbetriebskosten.

    Claroty wird von führenden Industrieautomationsanbietern unterstützt und eingesetzt, verfügt über ein umfangreiches Partner-Ökosystem und ein preisgekröntes Forschungsteam. Das Unternehmen hat seinen Hauptsitz in New York City und ist in Europa, im asiatisch-pazifischen Raum und in Lateinamerika vertreten und weist Implementierungen auf allen sieben Kontinenten auf. Weitere Informationen unter www.claroty.com

    Firmenkontakt
    Claroty
    Kelly Ferguson
    Maddison Ave 488
    1022 New York
    +1 212-937-9095
    kelly.f@claroty.com
    https://www.claroty.com/

    Pressekontakt
    Weissenbach PR
    Bastian Schink
    Landsberger Str. 155
    80687 München
    089 54 55 82 01
    clarotyPR.DACH@weissenbac-pr.de
    https://www.claroty.com/

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • Revenera Statusreport 2022: Software Supply Chain & Open Source Software (OSS)

    Revenera Statusreport 2022: Software Supply Chain & Open Source Software (OSS)

    Zahl der Compliance-Verstöße und Sicherheitsschwachstellen in Open Source Software steigt / 230.000 kritische Fälle

    Hamburg, 15. Februar 2022 – Revenera, Anbieter von Lösungen für Software-Monetarisierung, Open-Source-Compliance und Installation, hat den neuen “ State of the Software Supply Chain Report“ veröffentlicht. Analysiert wurden Daten aus über 100 Audits, um den Umfang an undokumentierter Open Source Software (OSS) in Unternehmen zu erfassen und potenzielle Compliance- und Sicherheits-Risiken zu identifizieren.

    Für die branchenübergreifende Studie wertete Revenera mehr als 2,6 Milliarden Codezeilen aus. Dabei entdeckten die Audit-Teams insgesamt 230.000 kritische Fälle. Durchschnittlich stießen die Analysten alle 11.500 Codezeilen auf einen Compliance-Verstoß, eine Sicherheitsschwachstelle oder Ähnliches. Pro Audit kommen so im Schnitt 2.200 kritische Fälle ans Licht. Im Vergleich zum Vorjahr (2021: 1.959) stieg die Zahl potentieller Risiken um 12%.

    83% der in den Audits aufgedeckten Risiken war den Unternehmen im Vorfeld der Untersuchung nicht bekannt. Ein häufiger Grund für die Betriebsblindheit in Sachen OSS ist das Fehlen von Software Composition Analyse (SCA)-Tools, die Anwendungen auf Codeebene scannen und Compliance-Verstöße sowie Sicherheitslücken automatisch melden.

    Die wichtigsten Ergebnisse im Überblick:

    – Die Zahl der als kritischer Compliance-Risiken (Prioritätsstufe 1) eingestufter Vorfälle wuchs mit 9.500 um 6% (2021: 9.000). Einen deutlichen Sprung verzeichnete das Audit-Team von Revenera bei Vorfällen der Prioritätsstufe 2 (z. B. sekundäre Probleme mit kommerziellen Lizenzen) und Prioritätsstufe 3 (z. B. Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.) Hier nahm die Zahl jeweils um 50% bzw. 34% zu. Der Anstieg deutet auf eine zunehmende Verbreitung von OSS in Anwendungen und damit auf ein wachsendes Risiko für unterschiedlichste Branchen hin.

    – Die Zahl der Sicherheitslücken auf Codeebene hat sich im Vergleich zum Vorjahr mehr als verdreifacht. Die Revenera-Analysten identifizierten pro Audit durchschnittlich 282 Schwachstellen, ein Anstieg von 217% (2021: 89). Von den aufgedeckten Schwachstellen stellten 27% ein „hohes“ CVSS-Risiko dar (Common Vulnerability Scoring System) und damit eine unmittelbare Bedrohung für IT-Sicherheit und Cyberschutz.

    – Der Anteil von Binärdateien in einer typischen Anwendungscodebasis nahm um 7% weiter zu. Insgesamt stießen die Analysten auf insgesamt 343.000 Binaries, die aus unterschiedlichen Sammlungen von kompiliertem Quellcode stammen. Damit steigt auch die Komplexität des Software-Codes, da automatisch mehr Abhängigkeiten in die Codebasis gelangen.

    Angesichts der wachsende Komplexität von Software-Code rechnet Revenera in den nächsten Jahren mit einer wachsenden Verbreitung von SCA-Lösungen und Prozessen in Unternehmen – zumal sich auch die regulatorischen Rahmenbedingungen entlang der Software Supply Chain zunehmend verschärfen.

    Erst 2021 legte die USA mit einer Executive Order (EO) neue Cybersecurity-Anforderungen fest. Demnach müssen Software-Anbieter eine Software Bill of Materials (SBOM) bereitstellen und automatisierte Tools und Prozesse zur Überprüfung der Code-Integrität implementieren. Die EU-Kommission geht mit ihrer Open-Source-Software-Strategie 2020-2023 in eine ähnliche Richtung. Standardformate wie SPDX (Software Package Data Exchange), CycloneDX und SWID (SoftWare IDentification) sollen helfen, Informationen entlang der Lieferketten weiterzugeben und die Erstellung der SBOM zu vereinheitlichen.

    „Schwachstellen wie Log4Shell haben klar gezeigt, dass die Software Supply Chain besser geschützt werden muss. Nur so sind wir für die Welle an Cyberangriffen in den nächsten Jahren gewappnet“, erklärt Alex Rybak, Director Product Management bei Revenera. „Der Umfang von Open-Source- und Drittanbieter-Komponenten wächst und wächst. Unternehmen brauchen hier branchenweite Standards und sollten sowohl in interne Compliance-Programme als auch in entsprechende SCA-Lösungen investieren, um auf Anfragen ihrer Kunden schnell zu reagieren und Risiken zuverlässig zu entschärfen.“

    Der vollständige Report “ Revenera 2022 State of the Software Supply Chain Report“ steht zum Download bereit.

    Revenera unterstützt Produktverantwortliche, bessere Anwendungen zu entwickeln, die Markteinführungszeit zu verkürzen und Produkte effektiv zu monetarisieren – egal ob On-Premise, Embedded Software, SaaS oder Cloud. Die führenden Lösungen von Revenera ermöglichen es Software- und Technologieunternehmen, ihren Umsatz mit Hilfe moderner Software-Monetarisierung zu steigern. Softwarenutzungsanalysen erlauben tiefe Einblick in die Nutzung von Software und die Einhaltung von Lizenzierungen. Lösungen für Software Composition Analysis garantieren ein hohes Maß an Open-Source-Sicherheit und Lizenzcompliance. Mehr Informationen unter www.revenera.de

    Firmenkontakt
    Revenera / Flexera
    Nicole Segerer
    Paul-Dessau-Strasse 8
    22761 Hamburg
    +49 89 417761 -0
    revenera@lucyturpin.com
    http://www.revenera.de

    Pressekontakt
    Lucy Turpin Communications GmbH
    Sabine Listl
    Prinzregentenstrasse 89
    81675 München
    +49 89 417761 – 0
    revenera@lucyturpin.com
    http://www.lucyturpin.com

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • Flexera 2021 State of IT Visibility Report: Schwachstellen, Software Sprawl und End-of-Life

    Flexera 2021 State of IT Visibility Report: Schwachstellen, Software Sprawl und End-of-Life

    Einblick in aktuelle ITAM-Strategien sowie Zahlen zu EOL/EOS und Software Vulnerabilities

    Hamburg, 22. Juni 2021 – IT-Asset-Daten entwickeln sich für Unternehmen mehr und mehr zur Grundvoraussetzung für sicheres und effektive Management von hybriden IT-Estates. Zu diesem Ergebnis kommt der 2021 State of IT Visibility Report von Flexera. Die Umfrage unter mehr als 300 IT-Verantwortlichen wirft einen Blick auf aktuelle IT-Asset-Management(ITAM)-Strategien und liefert Zahlen zu End-of-Life(EOL)-Anwendungen und Software Vulnerabilities.

    Die rasante Evolution der Unternehmens-IT in den letzten eineinhalb Jahren hat zu einer hybriden Infrastruktur aus Cloud und On-Premise geführt, der es an Transparenz und Kontrolle fehlt. Die Herausforderungen sind gewachsen – insbesondere was das Management komplexer IT-Landschaften und damit verbundener Sicherheitsrisiken angeht. Daher überrascht es nicht, dass rund 50% der befragten Unternehmen Schwachstellen in ihren IT-Assets als derzeit größte Sorge betrachten. Dahinter folgen Software Sprawl, also die unkontrollierte Verbreitung und Nutzung von Anwendungen (23%), und das Produktlebenszyklus-Management (13%), einschließlich EOL-Management.

    Die Mehrheit der IT-Verantwortlichen (71%) investiert bereits in Tools zur Normalisierung und Konsolidierung von IT-Asset-Daten – mit mäßigen Erfolg. In über der Hälfte der Unternehmen (56%) sind weniger als 50% der Bestandsdaten bereits normalisiert, keine Einschätzung möglich oder noch keine Prozesse implementiert. Und obwohl der Großteil der Befragten nach eigenen Angaben einen umfassenden Einblick in die IT besitzt, scheint sich diese Transparenz vor allem auf On-Premise Hardware (74%) und Software (68%) zu beschränken. Bei SaaS- und Cloud-Instanzen sinkt die Sichtbarkeit auf 41% bzw. 46%.

    Die Lücken bei den IT-Asset-Daten spiegeln sich im EOL- und Software Vulnerability Management wider. In zwei Dritteln (67%) der Unternehmen befinden sich noch 30% oder weniger Hardware, die bereits ihr EOL/EOS erreicht hat. Auf Software-Seite sind in 73% der Unternehmen 30% oder weniger EOL-Anwendungen im Einsatz. 55% der Befragten patchen weniger als die Hälfte der Sicherheitslücken in ihren Anwendungen oder sind sich nicht sicher, was sie patchen.

    „CIOs und IT-Manager können ihre IT-Infrastruktur nur dann effektiv schützen und managen, wenn sie einen vollständigen Überblick über alle Systeme und Anwendungen haben – in der Cloud und On-Premise“, erklärt Jim Ryan, Präsident und CEO von Flexera. „Umfassende, klare und leicht zugängliche Informationen zu jedem einzelnen Technologie-Asset sind entscheidend, um Abhängigkeiten zu verstehen und datengetriebene Entscheidungen hinsichtlich der Sicherheit, Kosten und Compliance treffen zu können. Auf dieser Grundlage lassen sich Prozesse im gesamten Unternehmen verbessern und zukunftsorientiert ausrichten.“

    Die wichtigsten Zahlen im Überblick:
    Der Blick auf aktuelle Zahlen aus der Flexera IT-Asset-Datenbank Technopedia und den Software Vulnerabilities von Flexera Secunia Research unterstreicht die Bedeutung von IT-Visibility für Unternehmen.

    – Software Vulnerabilities in 2020-2021: Insgesamt wurden 21.513 Schwachstellen in Anwendungen von über 274 Hersteller entdeckt. Davon werden rund 31% als „sehr kritisch“, 1,5% als „extrem kritisch“ eingestuft.

    – Time to Patch: Für 90% der Schwachstellen stand am Tag der Veröffentlichung ein Sicherheitsupdate verfügbar. Nur 4% aller Schwachstellen blieben länger als einen Tag angreifbar und wurden entweder über ein Hersteller-Patch oder einen Workaround zumindest teilweise behoben.

    – Zero-Day Vulnerabilities: Die Anzahl der im Jahr 2020 entdeckten Zero-Day-Schwachstellen ist mit 29 im Vergleich zum Vorjahr gestiegen (2019: 20). Betroffen waren insgesamt sieben Hersteller und 372 Software-Releases.

    – Schwachstellen in EOL/EOS-Assets nach Herstellern: Unter den Produkten, die 2020-2021 ihr EOL/EOS (End-of-Support) erreichten, fanden sich die meisten Schwachstellen bei Microsoft (35%), IBM (15%) und Atlassian (9%). Microsoft (1.288), Red Hat (184) und Mozilla (180) weisen zudem das größte Volumen an „sehr kritischen“ Schwachstellen auf.

    – Schwachstellen in EOL/EOS-Assets nach Kategorien: Die drei am stärksten gefährdeten Asset-Kategorien umfassen Betriebssysteme (46%), Produktivität (15%) und IT-Management (9%). Die Mehrheit der Vulnerabilities in Betriebssysteme (1038) wurde als „niedrig“ eingestuft. Nur 322 wurden als „sehr kritisch“ bewertet.

    – Angriffsvektor für EOL/EOS: Fast drei Viertel (72%) der Angriffe auf veraltete und nicht mehr unterstützte Software erfolgte über Remote-Zugänge. Rund 20% der Angreifer versuchen über lokale Netzwerke Schwachstellen auszunutzen.

    Flexera unterstützt Führungskräfte Transparenz und Kontrolle über die Technologie-Assets ihres Unternehmens zu behalten. On-Premise oder Cloud – Flexera ermöglicht es Unternehmen, wichtige IT-Erkenntnisse in konkrete Maßnahmen umzusetzen. Mit einem Portfolio an integrierten Lösungen für beispiellose Einblicke in IT-Assets, Ausgabenoptimierung und Flexibilität, können Unternehmen ihren technologischen Ressourcen optimieren, das volle Potential ihrer IT ausschöpfen und Geschäftsprozesse beschleunigen. Seit über 30 Jahren engagieren sich mehr als 1.300 Flexera-Mitarbeiter weltweit für mehr als 80.000 Kunden.

    Firmenkontakt
    Flexera Software GmbH
    Thomas Flütsch
    Paul-Dessau-Straße 8
    DE-22761 Hamburg
    +49 40 788 9990
    flexera@lucyturpin.com
    http://www.flexera.de

    Pressekontakt
    Lucy Turpin Communications GmbH
    Sabine Listl
    Prinzregentenstrasse 89
    81675 München
    +49 89 417761-16
    flexera@lucyturpin.com
    http://www.lucyturpin.com

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • Revenera Statusreport 2021 zu Open Source Lizenzierung und Compliance

    Revenera Statusreport 2021 zu Open Source Lizenzierung und Compliance

    Zahl der Compliance-Verstöße und Sicherheitsschwachstellen in Open Source Software verdreifacht

    Hamburg, 28. Januar 2021 – Revenera, Anbieter von Lösungen für Software-Monetarisierung, Open-Source-Compliance und Installation, hat den neuen State of Open Source License Compliance Report veröffentlicht. Die Experten für Software Composition Analysis analysierten Daten aus Audits in 2020, um den Umfang an undokumentierter Open Source Software (OSS) in Unternehmen zu erfassen und potenzielle Compliance- und Sicherheits-Risiken zu identifizieren.

    Für die branchenübergreifende Studie untersuchte Revenera die identifizierten OSS-Komponenten sowohl auf die Einhaltung der Compliance-Vorgaben als auch auf bekannte Vulnerabilities. Insgesamt werteten die Audit-Teams mehr als 1,2 Milliarden Codezeilen aus und stießen auf 174.334 kritische Fälle. Damit findet sich in Softwareprodukten mit OOS-Komponenten durchschnittlich alle 12.126 Codezeilen ein Compliance-Verstoß oder eine Sicherheitsschwachstelle.

    Die wichtigsten Ergebnisse des Flexera Open Source-Reports 2021 im Überblick:

    – Mehr OSS, mehr Risiko: Bei jedem Audit entdeckten die Analysten im Schnitt 1.959 kritische Fälle. Im Vergleich zu Vorjahr (2019: 662) hat sich die Zahl damit fast verdreifacht (+196%). Der Anstieg ist unter anderem auf die wachsende Beliebtheit von Repositories und Paketsystemen wie Python Package Index (PyPI), npm (Java Script) und RubyGems zurückzuführen, mit denen automatisch mehr Abhängigkeiten in die Codebasis von Entwicklern gelangen. Die Anzahl von Binaries, die aus unterschiedlichen Sammlungen von kompiliertem Quellcode stammen, stieg im Vergleich zum Vorjahr um 58%.

    – Fehleinschätzung bei der OSS-Nutzung: Nach wie vor tun sich Unternehmen schwer das Ausmaß der Open Source-Nutzung richtig einzuschätzen. Während vor Beginn des Auditprozesses gerade einmal 4% bekannt waren, gehen tatsächlich 55% der untersuchten Codebasis auf OSS-Komponenten zurück – eine Steigerung von 10% im Vergleich zum letzten Jahr.

    – Doppelt so viele Sicherheitslücken: Im Rahmen von forensischen sowie Standard-Audits identifizierten die Analysten im Schnitt 89 Schwachstellen pro Audit (2019: 45). Von den aufgedeckten Schwachstellen stellten 46% ein „hohes“ CVSS-Risiko dar (Common Vulnerability Scoring System).

    – Jeder achte Compliance-Verstoß hat Prioritätsstufe 1: Rund 5% der Vorfälle wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft, die damit ein unmittelbares Risiko darstellen und ein schnelles Handeln erfordern. Insgesamt fand das Revenera Audit-Team über 9.000 P1-Verstöße. Pro Audit wurden so 130 Probleme mit der Lizenzeinhaltung aufgedeckt, die die sofortige Aufmerksamkeit der Unternehmen erforderten, darunter schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL.

    – Deep Code Scanning vs. High-Level: Standard Audits, die in der Regel nur explizite P1-Lizenzverstöße und große Komponenten von Drittanbietern untersuchen, identifizierten 37% der kritischen Fälle. Bei tiefergreifenden, forensischen Audits entdeckten die Analysten 28%. Eine Besonderheit zeigt sich bei gezielten Audits, die gewöhnlich nur bestimmte Teilbereiche der Codebasis prüfen: Hier nahm die Anzahl der Audits insbesondere in der zweiten Jahreshälfte 2020 auf Grund verstärkter Merger & Acquisition Aktivitäten zu, wobei 34% der kritischen Fälle ans Licht kamen.

    – Vorsicht bei Copyleft: Die Copyleft Lizenzierung wird oft mit „freier Software“ gleichgesetzt. Tatsächlich verpflichtet die Klausel Lizenznehmer jedoch dazu Änderungen und Erweiterungen unter die Lizenz des ursprünglichen Werks zu stellen. Das gilt nicht nur für Strong Copyleft, sondern unter Umständen auch für Weak Copyleft (eingeschränktem Copyleft-Effekt). Ganze 12% bzw. 20% der untersuchten Codebasis unterliegen Strong bzw. Weak Copyleft.

    „Die Nutzung von Open Source Software steigt seit Jahren. Das hat einen einfachen Grund: Wer sich heute auf seine Kernkompetenzen als Softwareentwickler fokussieren und seine Produkte schnell auf den Markt bringen will, kommt an Open Source Software nicht vorbei. Doch diese Schnelligkeit und Flexibilität birgt auch Risiken“, erklärt Alex Rybak, Director Product Management bei Revenera. „Bei unseren Audits erleben wir immer wieder, wie wichtig ein automatisiertes Open-Source-Management für Unternehmen tatsächlich ist. Bei allen strategischen Vorteilen von OSS braucht es Prozesse und Lösungen, um den Code Churn über den gesamten Entwicklungsprozesses hinweg zu überwachen und alle identifizierten Probleme zu adressieren – sowohl was die Compliance angeht als auch neue Sicherheitslücken.“

    Revenera unterstützt Produktverantwortliche, bessere Anwendungen zu entwickeln, die Markteinführungszeit zu verkürzen und Produkte effektiv zu monetarisieren – egal ob On-Premise, Embedded Software, SaaS oder Cloud. Die führenden Lösungen von Revenera ermöglichen es Software- und Technologieunternehmen, ihren Umsatz mit Hilfe moderner Software-Monetarisierung zu steigern. Softwarenutzungsanalysen erlauben tiefe Einblick in die Nutzung von Software und die Einhaltung von Lizenzierungen. Lösungen für Software Composition Analysis garantieren ein hohes Maß an Open-Source-Sicherheit und Lizenzcompliance. Mehr Informationen unter www.revenera.de

    Firmenkontakt
    Revenera / Flexera
    Nicole Segerer
    Paul-Dessau-Strasse 8
    22761 Hamburg
    +49 89 417761 -0
    revenera@lucyturpin.com
    http://www.revenera.de

    Pressekontakt
    Lucy Turpin Communications GmbH
    Sabine Listl
    Prinzregentenstrasse 89
    81675 München
    +49 89 417761 – 0
    revenera@lucyturpin.com
    http://www.lucyturpin.com

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • Flexera Statusreport 2020 zu Open Source Lizenzierung

    Flexera Statusreport 2020 zu Open Source Lizenzierung

    Wachsender Einsatz von Open Source verschärft Compliance-Risiken: 662 kritische Fälle pro Audit

    München, 27. Februar 2020 – Flexera, Anbieter von Lösungen für Softwarelizenzierung, IT-Security und Installation, hat den neuen “ State of Open Source License Compliance“ Report veröffentlicht. Die Experten für Software Composition Analysis analysierten Daten aus insgesamt 121 Audits weltweit, um den Umfang an undokumentierter Open Source Software in Unternehmen zu erfassen und potentielle Compliance- und Sicherheits-Risiken zu identifizieren.

    Für die branchenübergreifende Studie wertete Flexera mehr als 2,6 Milliarden Codezeilen aus. Die Audit-Teams prüften die identifizierten OSS-Komponenten sowohl auf bekannte Schwachstellen als auch auf die Einhaltung der Compliance-Vorgaben. Dabei entdeckten sie insgesamt 80.157 kritische Fälle – eine Steigerung von 80% im Vergleich zum Vorjahr.

    Die wichtigsten Ergebnisse des Flexera Open Source-Reports 2020 im Überblick:

    – Open Source-Probleme nehmen zu
    Durchschnittlich stießen die Analysten alle 32.600 Codezeilen auf einen Compliance-Verstoß, eine Schwachstelle oder Ähnliches. Bei jedem Audit kommen so im Schnitt 662 kritische Fälle ans Licht. Die Zahl der potenziellen Open Source-Risiken stieg damit im Vergleich zum Vorjahr um 80% ( 2019: 367). Der Anstieg ist unter anderem auf die Anzahl der verwendeten Node.js-Pakete aus NPM-Modulen zurückzuführen ist – ein Trend, der sich 2020 fortsetzen wird.

    – Blind bei der Nutzung von Open Source
    Unternehmen schätzen die Nutzung von Open Source falsch ein. Tatsächlich gehen 45 Prozent der in den Audits untersuchten Codebasis auf Open-Source-Komponenten zurück. Den Unternehmen waren gerade einmal 1 Prozent dieser Komponenten vor Beginn des Auditprozesses bekannt. Das Fehlen von automatisierten Scan- und Monitoring-Prozessen für Open Source-Komponenten sind ein Grund für diese massive Fehleinschätzung.

    – Versäumnisse von Security Scans
    Baseline-Audits und Fast Scans liefern nur unzureichende Ergebnisse. Im Rahmen von forensischen Audits werden pro Audit durchschnittlich 6% mehr Compliance-Risiken entdeckt als bei Standard-Audits. Im Vergleich zu gezielten Audits liegt die Trefferquote um 9% höher.

    – Kritikalität der Compliance-Verstöße
    Rund 17% der Treffer wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft, die damit ein unmittelbares Risiko darstellen und ein schnelles Handeln erfordern. Dazu gehören u.a. schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL betreffen. Weitere 5% der entdeckten OSS-Fälle fielen unter Prioritätsstufe 2 (z. B. sekundäre Probleme mit kommerziellen Lizenzen). 76% der Ergebnisse entsprachen der Prioritätsstufe 3, darunter risikoarme Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.

    – Häufigkeit von Sicherheits-Schwachstellen
    Bei der Auswertung von 91 forensischen und Standard-Audits identifizierten die Analysten im Schnitt 45 Vulnerabilities je Audit. Von den aufgedeckten Schwachstellen stellten 45 Prozent ein „hohes“ CVSS-Risiko dar (Common Vulnerability Scoring System).

    „Der Einsatz von Open Source Software nimmt aus gutem Grund weiter zu. Entwickler können ihre Produktivität steigern, die Markteinführung von Produkten beschleunigen und Kosten senken. Sowohl Softwareanbieter als auch ihre Partner und Kunden müssen genau wissen, welche Open Source-Komponenten wie in welchen Produkten enthalten sind. Die steigende Zahl an Compliance-Verstößen, die wir in Audits entdeckt haben, zeigt, wie wichtig eine ganzheitliche Open-Source-Management-Strategie für die gesamte Supply Chain ist“, erklärt Brent Pietrzak, SVP und General Manager bei Flexera. „Open Source birgt nicht automatisch mehr Risiken als proprietärer Code. Fehlt es jedoch an der richtigen Dokumentation und Verwaltung kann Open Source schnell zu einem echten Sicherheitsrisiko werden.“

    Über Flexera:
    Die Lösungen von Flexera unterstützen Software- und IoT-Unternehmen bei der Umsetzung ihrer digitalen Geschäftsmodelle. Sie ermöglichen die Entwicklung und Bereitstellung sicherer Produkte sowie den Schutz des geistigen Eigentums: Mit den marktführenden Windows- und Multiplattform-Installationsprogrammen demonstrieren Softwareanbieter von Beginn an ihre Expertise. Die Minimierung von Compliance- und Sicherheitsrisiken ermöglicht es ihnen, die Vorteile von Open Source im vollen Umfang zu nutzen und ihr Unternehmen zukunftssicher aufzustellen. Die Implementation flexibler Monetarisierungsmodelle macht Unternehmen zu digitalen Marktführern, die wiederkehrende Umsätze steigern und ihre Kunden im Fokus behalten. Seit über 30 Jahren arbeiten weltweit mehr als 1.300 Teammitglieder mit Leidenschaft daran, den über 50.000 Kunden von Flexera zu helfen, ihren Geschäftserfolg weiter voran zu treiben.

    Über Revulytics
    Revulytics bietet cloudbasierte Analysen der Softwarenutzung. Softwareanbieter erhalten einen tiefen Einblick in die Nutzung aber auch den Missbrauch ihrer Produkte sowie wertvolle Informationen, um Einnahmen zu generieren, die Produktentwicklung zu optimieren und datengestützte Entscheidungen im Unternehmen zu treffen. Die Compliance-Analyse-Lösung und die schlüsselfertigen Dienstleistungen werden von führenden Softwareanbietern genutzt, um Lizenzeinnahmen zu steigern und Softwarepiraterie weltweit zu unterbinden. Die Lösung zur Analyse der Softwarenutzung bietet genaue Einblicke in die Produktnutzung und -umgebung und ermöglicht es Produktmanagern und Entwicklern, bessere Produkte zu entwickeln. Die Software-Nutzungsanalyse von Revulytics unterstützt kundeninterne Compliance-Programme und konnte damit seit 2010 neue Lizenzeinnahmen in Höhe von mehr als 2,8 Milliarden US-Dollar generieren. Revulytics hat seinen Hauptsitz in Waltham, Massachusetts, USA, und betreut Kunden weltweit.

    Firmenkontakt
    Flexera
    Nicole Segerer
    Paul-Dessau-Strasse 8
    22761 Hamburg
    +49 89 417761 -0
    flexera@lucyturpin.com
    http://www.flexerasoftware.de

    Pressekontakt
    Lucy Turpin Communications GmbH
    Sabine Listl
    Prinzregentenstrasse 89
    81675 München
    +49 89 417761 – 0
    flexera@lucyturpin.com
    http://www.lucyturpin.com

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.