Da qualche giorno il team X-Force di IBM ha reso disponibile il Mid-Year Trend and Risk Report.

Tale report viene pubblicato due volte l’anno (a metà ed a fine anno) e fornisce dei dati statistici circa tutti gli aspetti di minacce riconducibili alla sicurezza informatica incluso vulnerabilità, exploiting, malware, phishing, attacchi web-based ed in generale al cybercrime e alle sue dinamiche. Il report appena pubblicato si riferisce al primo semestre 2010.

Un primo aspetto particolarmente allarmante riguarda un sensibile aumento nella divulgazione delle vulnerabilità. Nel periodo di osservazione X-Force ha identificato 4.396 nuove vulnerabilità (cioè +36% rispetto ad analogo periodo 2009). Per oltre la metà delle vulnerabilità totali (55%) divulgate al termine del periodo non erano ancora state rilasciate le relative patch (+3% rispetto ad analogo periodo 2009).

Se da una parte le vulnerabilità della applicazioni web-based si confermano come maggiore minaccia e criticità dall’altra si registra l’aumento della complessità e della frequenza degli attacchi nascosti in PDF (grazie anche all’ausilio di botnet come Zeus e Pushdo) e Javascript (obfuscation).

Il phishing sembra essere diminuito ma gli istituti finanziari continuano ad essere i bersagli preferiti.

Nota positiva: viene segnalato un maggiore e proficuo impegno da parte delle organizzazioni nell’identificazione e

pubblicazione delle vulnerabilità di sicurezza con ricadute positive per l’abbattimento del tempo in cui una postazione rimane potenzialmente attaccabile (se, dall’altra parte venissero rilasciate tempestivamente le relative patch).

Estremamente importante e chiara la tabella “Best & Worse  patchers” ovvero la classifica dei dieci vendor con maggior numero di vulnerabilità (1°colonna) e vulnerabilità critiche (2° colonna) non sanate:

Per le tendenze per l’immediato futuro il team X-Force segnala non a sorpresa i rischi connessi alla virtualizzazione ed al cloud computing.

Per gli addetti ai lavori e per chi volesse leggere il report, è disponibile qui previa registrazione gratuita. Inoltre, se volete approfondire le modalità di funzionamento della botnet Zeus non perdetevi la sezione apposita nel paper.