2022軟件安全年終大考成績公布：95%軟件都有漏洞，你是那5%嗎？
新思科技（Synopsys）近日發(fā)布了《2022年軟件漏洞報告》。該報告對2,700多個目標(biāo)軟件進(jìn)行了4,300多次安全測試，并對結(jié)果進(jìn)行了審查。 報告顯示，在4,300多次測試中：
-
95%的目標(biāo)應(yīng)用存在某種形式的漏洞，比去年減少2%
-
20%存在高危漏洞，比去年減少10%
-
4.5%存在嚴(yán)重漏洞，比去年減少1.5%
?22%的目標(biāo)測試暴露于跨站點腳本（XSS）漏洞。這是影響Web應(yīng)用最普遍和最具破壞性的高/嚴(yán)重風(fēng)險漏洞之一。許多XSS漏洞發(fā)生在應(yīng)用運行時。好消息是，今年的調(diào)查結(jié)果中發(fā)現(xiàn)的風(fēng)險比去年低6%。這意味著企業(yè)正在采取積極措施，以減少其應(yīng)用中的XSS漏洞。
78%的目標(biāo)應(yīng)用中發(fā)現(xiàn)了OWASP排名前10的漏洞。其中，應(yīng)用和服務(wù)器配置錯誤占測試中發(fā)現(xiàn)的總體漏洞的18%（比去年的調(diào)查結(jié)果減少 3%），以O(shè)WASP “A05:2021 - 安全配置錯誤”為主。發(fā)現(xiàn)的漏洞總數(shù)中有18%可歸為2021 OWASP Top 10中的“A01:2021 – 訪問控制失效”（比去年減少1%）。
21%的滲透測試中發(fā)現(xiàn)了易受攻擊的第三方庫（比去年的調(diào)查結(jié)果增加了3%）。這對應(yīng)于2021年OWASP排名前10名中的“A06:2021-易受攻擊和過時的組件”。大多數(shù)企業(yè)混合使用定制代碼、商業(yè)現(xiàn)成代碼和開源組件來創(chuàng)建他們在銷售或內(nèi)部使用的軟件。這些企業(yè)通常有非正式的（或沒有）物料清單，不能詳細(xì)說明他們的軟件正在使用哪些組件，以及這些組件的許可證、版本和補丁狀態(tài)。許多公司在使用數(shù)百個應(yīng)用或軟件系統(tǒng)，每個公司本身可能有成百上千個不同的第三方和開源組件。因此，他們迫切需要準(zhǔn)確、最新的軟件物料清單（SBOM），以有效追蹤這些組件。
72%的漏洞被認(rèn)為是低風(fēng)險或中等風(fēng)險。也就是說，攻擊者無法直接利用發(fā)現(xiàn)的漏洞來訪問系統(tǒng)或敏感數(shù)據(jù)。盡管如此，這些漏洞風(fēng)險不容小覷，因為不法分子甚至可以利用風(fēng)險較低的漏洞來發(fā)起攻擊。例如，冗長的服務(wù)器Banner信息（在49%的DAST測試和42%的滲透測試中發(fā)現(xiàn)）提供了服務(wù)器名稱、類型和版本號等信息，攻擊者可以利用這些信息對特定技術(shù)棧發(fā)起有針對性的攻擊。所以說，低風(fēng)險漏洞同樣不容小覷，也會被利用以發(fā)起攻擊。
此研究報告強調(diào)，采用諸如DAST和滲透測試等侵入式黑盒測試技術(shù)，可以有效發(fā)現(xiàn)軟件開發(fā)生命周期中的漏洞。一個全面的應(yīng)用安全測試方案應(yīng)該將這類安全工具納入其中。 Girish Janardhanudu軟件質(zhì)量與安全部門安全咨詢副總裁新思科技
?本報告中的大多數(shù)安全測試是侵入式“黑盒”或“灰盒”測試，包括滲透測試、動態(tài)應(yīng)用安全測試（DAST）和移動應(yīng)用安全測試（MAST），旨在探測在真實環(huán)境不法分子會如何攻擊正在運行的應(yīng)用。參與測試的行業(yè)包括軟件和互聯(lián)網(wǎng)、金融服務(wù)、商業(yè)服務(wù)、制造業(yè)、消費者服務(wù)和醫(yī)療保健。其中82%的測試目標(biāo)是Web應(yīng)用或系統(tǒng)，13%是移動應(yīng)用，其余則是源代碼或網(wǎng)絡(luò)系統(tǒng)/應(yīng)用。安全測試的最佳方法是利用廣泛的可用工具，包括靜態(tài)分析、動態(tài)分析和軟件組成分析，以幫助確保應(yīng)用或系統(tǒng)沒有漏洞。
掃描下方二維碼，查看完整報告
原文標(biāo)題：2022軟件安全年終大考成績公布：95%軟件都有漏洞，你是那5%嗎？
文章出處：【微信公眾號：新思科技】歡迎添加關(guān)注！文章轉(zhuǎn)載請注明出處。
聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
新思科技
+關(guān)注
關(guān)注
5文章
865瀏覽量
51496
原文標(biāo)題：2022軟件安全年終大考成績公布：95%軟件都有漏洞，你是那5%嗎？
文章出處：【微信號：Synopsys_CN，微信公眾號：新思科技】歡迎添加關(guān)注！文章轉(zhuǎn)載請注明出處。
發(fā)布評論請先 登錄
相關(guān)推薦
熱點推薦
戴爾科技如何幫助用戶應(yīng)對數(shù)據(jù)安全風(fēng)險
我們的安全檢測軟件已覆蓋了95%的數(shù)據(jù)資產(chǎn)，本季度，我們在45次嚴(yán)謹(jǐn)?shù)臋z測中修復(fù)了12個漏洞，新安全策略執(zhí)行率達(dá)100%，沒錯，報表上的數(shù)字
萬里紅推出供應(yīng)鏈軟件安全解決方案
現(xiàn)代軟件已不再是孤立的代碼，而是一條由無數(shù)環(huán)節(jié)組成的鏈條，任何一個環(huán)節(jié)的漏洞，都可能成為整個生態(tài)系統(tǒng)的災(zāi)難入口。以數(shù)字安全能力助力共護(hù)數(shù)字時代信息安全，近日，萬里紅在第12屆中國國際警
學(xué)硬件好還是學(xué)軟件好？
理解硬件和軟件之間的交互。因此，無論你選擇學(xué)習(xí)硬件還是軟件，都有可能在未來職業(yè)生涯中接觸到另一個領(lǐng)域的知識。
總的來說，選擇學(xué)習(xí)硬件還是軟件
發(fā)表于 04-07 15:27
如何利用iptables修復(fù)安全漏洞
隨著網(wǎng)絡(luò)安全威脅的不斷增加，安全中心掃描越來越頻繁。尤其是在大數(shù)據(jù)安全中心的漏洞報告中，許多漏洞在生產(chǎn)環(huán)境中無法通過服務(wù)升級來修復(fù)。
無法在Raspberry Pi 4中通過PyPI OpenVINO?安裝2022年運行時軟件包，為什么？
無法在 Raspberry* Pi 4 中通過 PyPI* 安裝OpenVINO? 2022 運行時軟件包。
發(fā)表于 03-05 07:31
開源安全領(lǐng)航者！華為云 CodeArts Governance 構(gòu)建更安全的軟件開發(fā)生命周期
華為云 CodeArts Governance開源治理服務(wù)是針對軟件研發(fā)提供的一站式開源軟件治理平臺，從合法合規(guī)、網(wǎng)絡(luò)安全、供應(yīng)安全等維度消減開源軟
微軟Outlook曝高危安全漏洞
近日，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)發(fā)布了一項緊急安全公告，揭示了微軟Outlook中存在的一個高危遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2024-21413)。該
OTA軟件升級管理系統(tǒng)
OTA(Over-the-Air Technology，空中下載技術(shù))是通過空中下載的方式對車輛中的軟件進(jìn)行遠(yuǎn)程升級。經(jīng)緯恒潤OTA軟件升級管理系統(tǒng)基于軟件架構(gòu)、應(yīng)用架構(gòu)、業(yè)務(wù)架構(gòu)和技術(shù)架構(gòu)，為整車提供云-管-端-屏完整OTA解
RAID 5 硬件與軟件 RAID 的區(qū)別
RAID 5硬件RAID與軟件RAID之間存在顯著的差異，這些差異主要體現(xiàn)在實現(xiàn)方式、性能、數(shù)據(jù)安全性、靈活性以及成本等方面。 一、實現(xiàn)方式 硬件RAID ： 依賴于專用的硬件RAID控制器來管理
普華基礎(chǔ)軟件通過軟件能力成熟度5級認(rèn)證
近日，普華基礎(chǔ)軟件正式通過軟件能力成熟度5級(CMMI DEV 3.0，Maturity Level 5)認(rèn)證，標(biāo)志著公司在軟件研發(fā)、項目管
RT-Thread出席2024汽車軟件與安全技術(shù)周！
背景ATC作為汽車技術(shù)會議領(lǐng)域的領(lǐng)先平臺，專注于汽車電子與軟件版塊的技術(shù)交流將近10年歷程，深耕行業(yè)問題，觸達(dá)客戶需求。并于2022年8月首次推出“汽車軟件與安全技術(shù)周”，2023年8
工商網(wǎng)監(jiān)
評論