Sikkerhetsselskapet Menlo Security har analysert sikkerhetstilstanden til de 1 million største nettstedene i verden og konkluderer med at 46 prosent av disse utgjør en risiko for brukerne. Dette til tross for at det bare er forsiden til alle nettstedene som har blitt gransket.
Mer enn 16 prosent av alle nettstedene ble ansett for å være ondsinnede eller for å integrere eksternt, ondsinnet innhold knyttet til aktiviteter som phishing og spredning av skadevare.
Men mer enn dobbelt så mange, over 35 prosent, står i fare for å havne i den første kategorien ved at de selv kjører sårbar programvare eller integrerer innhold som leveres av programvare med kjente sårbarheter.
Menlo Security anser også nettsteder som risikable dersom de har måttet rydde opp i ett eller flere sikkerhetsbrudd de siste tolv månedene.
Nesten 32 000 nettsteder havnet i denne kategorien, inkludert store og kjente som AOL, Huffington Post, MSN, Telstra og Answers.com. Alle har blitt utnyttet til spredning av skadevare det siste året, enten direkte eller via malvertising.
Utsatte kategorier
Ikke overraskende er pornografi den nettstedkategorien hvor man finner flest nettsteder som bevisst eller ubevisst bidrar til ondsinnet aktivitet. Mer overraskende er det kanskje at kategorien «business and economy» kommer på andre plass, foran gambling.
Når det gjelder nettstedene som bruker programvare med kjente sårbarheter, er «business and economy»-kategorien en klar «vinner», foran samfunnsorienterte nettsteder og personlige nettsteder og blogger.
«Business and economy»-kategorien ligger også på topp blant nettstedene som i løpet av de tolv siste månedene har måttet rydde opp etter sikkerhetsbrudd, foran nettsteder i kategorien «malware sites», samt personlige nettsteder og blogger.
Ser man på tvers av de tre risikofaktorene, er det faktisk nyhets- og medienettsteder som ligger dårlig an. 50 prosent av disse nettstedene er berørt av minst én av de tre risikofaktorene. Nettstedene i kategorien underholdning og kunst ligger rett bak med 49 prosent, foran reisenettsteder, hvor mer enn 42 prosent anses som risikable.
Menlo Security har brukt Chrome-nettleseren og en egenutviklet nettleserutvidelse for risikoanalyse for å analysere de ulike nettstedene. Men selskapet har i liten grad oppgitt hvilke egenskaper og evner dette oppsettet faktisk har.
Sårbar programvare
I rapporten finnes det en liste over hvilken programvare som er mest brukt blant nettstedene med kjente sårbarheter. Men topplisten inkluderer bare ulike utgaver av vanlig webserverprogramvare som nginx, Microsoft IIS og Apache HTTPD, i tillegg til PHP.
Men dette utgjør langt fra all den programvaren som kan ha betydning for nettstedsikkerheten, for på toppen av den nevnte programvaren, benytter de fleste nettsteder en eller annen form for CMS (Content Management System), som også kan inneholde kjente sårbarheter som kan utnyttes av ondsinnede.
Mange nettsteder oppgir hvilken versjon som benyttes av både operativsystem, webserver og tilleggsprogramvare som PHP. Dette gjør det enkelt for Menlo Security å se hvilke nettsteder som benytter sårbare versjoner, men informasjonen kan også gjøre det enklere for ondsinnede å gjennomføre angrep.
Generelt anbefales det derfor at nettstedadministratorer deaktiverer visningen av slik informasjon.
Et enkel tjeneste for å se responsheaderne til ethvert nettsted, finnes her.
Det er uklart om Menlo Security har benyttet andre metoder for å gjenkjenne sårbar programvare hos nettstedene. Mørketallene kan være store dersom registrering av responsheaderne til webserverne er den eneste metoden som har blitt benyttet.
Rapporten til Menlo Security kan lastes ned via denne siden. Den inneholder også anbefalinger til både nettstedadministratorer og nettleserbrukere. Primært handler dette om å bruke oppdatert programvare og kjente sikkerhetsløsninger og -metoder. Blant annet nevnes Content Security Policy (CSP), en webteknologi som kan bidra til å sikre nettsteder mot visse typer angrep.
Les mer om CSP og flere andre websikkerhetstiltak i denne saken: Slik beskytter du nettstedet mot XSS-angrep (Digi Ekstra)
