Vulnerabilità software: Secunia boccia le suite per la sicurezza

Secunia, azienda danese da anni nel campo della sicurezza informatica, ha analizzato dodici suite per la sicurezza con lo scopo di verificarne le abilità nell’individuazione di codici exploit in grado di sfruttare vulnerabilità conosciute del sistema operativo e di molte applicazioni note. I software “antivirus” hanno da sempre evidenziato, secondo Secunia, scarsi risultati in fase di rilevamento di attacchi exploit. Il comportamento è in un certo senso da considerarsi giustificato in quanto l’appellativo “antivirus” pone un limite ben definito al tipo di difesa che viene garantito. E’ per questo, come spiegano da Secunia, che si è deciso di mettere sotto esame le più complete suite per la sicurezza oggi disponibili sul mercato.

Con il termine “exploit” si definiscono quei codici “maligni” che sono in grado di sfruttare un bug o una vulnerabilità presente nel software in uso da parte dell’utente, con lo scopo di compiere azioni potenzialmente pericolose.

Quando ci si riferisce a vulnerabilità ed exploit, il software antivirus tradizionale si rivela spesso molto carente. La minaccia, in questi casi può presentarsi sotto forma di un file, apparentemente innocente, memorizzato in formato .doc o .jpg. Quando un utente apre un file memorizzato in questi formati modificato “ad arte” dall’aggressore per sfruttare una vulnerabilità nota del wordprocessor (ad esempio Word) o del software di grafica, nel caso in cui l’utente stesso non disponga della versione più aggiornata del programma, egli potrebbe rischiare di vedere eseguito del codice dannoso. Inserendo quindi del codice particolare all’interno del file “maligno”, nel caso in cui questo dovesse venire aperto con un’applicazione vulnerabile, l’aggressore riuscirebbe ad eseguire operazioni potenzialmente molto pericolose, con gli stessi diritti dell’utente.

Il test di Secunia è stato condotto su un sistema Windows XP SP2 sprovvisto di alcune patch di sicurezza e sul quale sono state installate versioni vulnerabili, quindi non aggiornate, di alcune applicazioni. La sola suite ZoneAlarm è stata installata su un sistema Windows XP SP3 a causa di problemi di compatibilità con il precedente Service Pack.

La prova pratica è stata suddivisa in due fasi distinte: nella prima, si è tentato di aprire file 144 “maligni” nei formati più comuni (documenti ed immagini); nella seconda i tecnici di Secunia hanno visitato 156 pagine web dannose in grado di sfruttare vulnerabilità conclamate del browser o di componenti ActiveX.

I risultati, purtroppo, sono stati globalmente molto negativi. Stando alle conclusioni del test di Secunia, i vari produttori di suite per la sicurezza ancora non avrebbero seriamente preso a cuore il problema delle vulnerabilità software. La cattiva abitudine degli utenti di non installare tempestivamente gli aggiornamenti di sicurezza rilasciati dai vari produttori software combinata con la scarsa abilità delle suite per la sicurezza nel rilevare simili problematiche, può esporre l’utente – sempre secondo la società danese – a gravi rischi.

E’ apprezzabile lo sforzo di alcuni produttori nell’inserire, nei propri prodotti, strumenti che si occupano di effettuare una scansione dell’intero sistema alla ricerca di applicazioni non aggiornate e quindi vulnerabili (similmente a quanto fa Secunia PSI). Purtuttavia, secondo Secunia, quest’approccio non sarebbe sufficiente.

Per la cronaca, la prova comparativa di Secunia ha riguardato le seguenti suite per la sicurezza: McAfee Internet Security Suite 2009, Norton Internet Security 2009, Windows Live OneCare, ZoneAlarm Security Suite 8, AVG Internet Security 8.0, CA Internet Security Suite 2008, F-secure Internet Security 2009, TrendMicro Internet Security 2008, BitDefender Internet Security Suite 2009, Panda Internet Security 2009, Kaspersky Internet Security 2009 e Norman Security Suite 7.10. La soluzione di Symantec – Norton Internet Security 2009 – ha guadagnato la palma d’oro con un risultato però che Secunia definisce molto modesto (individuati solamente 64 su 300 exploit).

Pesanti critiche sulla metodologia utilizzata per il test da parte di Secunia sono giunte da Panda: per saperne di più, suggeriamo di fare riferimento a questa notizia.