Datadog State of DevSecOps 2024 90 Prozent der Java-Dienste sind durch Schwachstellen gefährdet

Anbieter zum Thema

Arctic Wolf Networks Germany GmbH

Die schnelle und umfassende Bereitstellung von sicherem Code ist in der gesamten Softwarebranche eine Herausforderung. Um dieser zu begegnen, setzen Unternehmen zunehmend auf DevSecOps.

Für den Report „State of DevSecOps“ hat der Observability-Anbieter Datadog Zehntausende Anwendungen und Container-Images sowie Tausende von Cloud-Umgebungen analysiert, um die Sicherheitslage heutiger Anwendungen zu bewerten. Das Ergebnis: 90 Prozent der Java-Dienste sind durch eine oder mehrere schwerwiegende Schwachstellen gefährdet, deren Ursache in einer Bibliothek eines Drittanbieters steckt. Bei anderen Technologien sind es im Schnitt lediglich 47 Prozent.

Die Überrepräsentation ist auch dann gegeben, wenn der Fokus auf bestimmten Schwachstellen liegt – so sind beispielsweise 23 Prozent der Java-Dienste für Remote Code Execution (RCE) anfällig – wovon 42 Prozent der Unternehmen betroffen sind. Diese hohen Zahlen lassen sich zum Teil durch die Häufigkeit von Sicherheitslücken in beliebten Java-Bibliotheken erklären, darunter Tomcat, Spring Framework, Apache Struts, Log4j und ActiveMQ. Die häufigsten Schwachstellen sind:

• Spring4Shell (CVE-2022-22965)

• Log4Shell (CVE-2021-45046 und CVE-2021-44228)

• Ein RCE in Apache ActiveMQ (CVE-2023-46604)

Automatisierte Angriffe: Häufig, aber harmlos

Automatisierte Angriffe stellen bei weitem die häufigste Form von Cyberattacken dar. Dabei nutzen Angreifer in der Regel Open-Source-Tools. Beliebte Beispiele für diese Tools sind Nuclei, ZGrab und SQLmap.

Der Report hat festgestellt, dass die überwiegende Mehrheit der automatisierten Angriffe harmlos ist und für die Verteidiger nur ein Rauschen erzeugt. Von zig Millionen bösartigen Anfragen konnten nur 0,0065 Prozent erfolgreich eine Sicherheitslücke ausnutzen. Dies zeigt: Es ist wichtig, ein starkes Rahmenwerk zu haben, um Warnungen zu priorisieren. Auf dessen Basis können die Security Teams rohe Webserver-Protokolle oder Perimeter-WAF-Warnungen (Web Application Firewall) effektiv überwachen.

Die wenigsten Schwachstellen sind wirklich wichtig

Im Jahr 2023 wurden im Rahmen des CVE-Projekts (Common Vulnerabilities and Exposures - Gemeinsame Schwachstellen und Gefährdungen) über 4.000 hohe und 1.000 kritische Schwachstellen identifiziert und inventarisiert. Bei seinen Untersuchungen hat Datadog festgestellt, dass ein Dienst durchschnittlich 19 dieser Schwachstellen besitzt. Jedoch werden nur etwa fünf Prozent der Schwachstellen ausgenutzt.

Auch die EPSS-Bewertung (Exploit Prediction Scoring System) wurde berücksichtigt und Schwachstellen, die bei dieser Kennzahl besser abschneiden, stärker gewichtet. Auf der Grundlage dieser Bewertung sinkt die Anzahl von Unternehmen mit kritischen Schwachstellen gegenüber der CVE-Bewertung um 63 Prozent. Bei 30 Prozent der Unternehmen hat sich die Zahl der kritischen Schwachstellen um die Hälfte oder mehr verringert.

Kleine Container-Images führen zu weniger Sicherheitslücken

Die Analyse mehrerer Tausend Container-Images hat ergeben, dass kleinere Container-Images weniger Angriffspunkte bieten – vermutlich, weil die schlicht weniger Third-Party-Bibliotheken verwenden. Im Durchschnitt weisen Container-Images unter 100 MB 4,4 hohe oder kritische Schwachstellen auf. Ab 250 MB sind es schon 42,2 Schwachstellen und ab 500 MB über 80.

Das verdeutlicht: Kleinere Images minimieren die Angriffsfläche. Es bestehen weniger Abhängigkeiten zu Drittanbietern. Außerdem tragen schlanke Container-Images dazu bei, die Zahl der möglichen Angriffstools, wie curl oder wget, zu minimieren und so die Ausnutzung vieler Arten von Schwachstellen erschweren.

(ID:50016867)