Các cuộc tấn công SQL gia tăng trong năm ngoái

SQLattacks take off in last year

Published: 2009-12-14

Theo:http://www.securityfocus.com/brief/1048

Bài được đưa lênInternet ngày: 14/12/2009

Lờingười dịch: Cùng với sự gia tăng hơn 5 lần về cácwebsite độc hại, “Trong một năm rưỡi qua, các tin tặcđã chỉ ra cách làm thế nào sử dụng việc đánh SQLtrên một nền tảng rộng lớn để kiếm tiền” vớitần suất “600,000 cuộc tấn công vào cơ sở dữ liệutrung bình mỗi ngày”. Một con số khổng lồ.

Các cuộc tấn côngtrực tuyến chống lại các cơ sở dữ liệu đã gia tăngtrong 18 tháng qua, theo các dữ liệu được đưa ra bởiđội an ninh X-Force của IBM.

Vào tháng 05/2008, cáckhách hàng của IBM ghi nhận khoảng 2,500 cuộc tấn côngđánh SQL mỗi ngày. Tới giữa màu hè năm 2009, sản phẩmcủa người khổng lồ về công nghệ này đã thấy600,000 cuộc tấn công vào cơ sở dữ liệu trung bình mỗingày, Tom Cross, một nhà nghiên cứu an ninh tại IBM, nói.Các cuộc tấn công mưu toan đánh vào các lệnh theo ngônngữ hỏi có cấu trúc (SQL) hợp pháp vào các phần mềmcơ sở dữ liệu bất kỳ nào chạy cho website nào đó.

“Trong một năm rưỡiqua, các tin tặc đã chỉ ra cách làm thế nào sử dụngviệc đánh SQL trên một nền tảng rộng lớn để kiếmtiền”, Cross nói. Giống như spam, các cuộc tấn côngđánh SQL là một trò chơi số - nếu một người khổnglồ gia tăng theo các cuộc tấn công chỉ đưa ra một ítnhững website bị lây nhiễm, thì các cuộc tấn công vẫncó giá trị với các nỗ lực, ông nói. “Hầu hết trongsố chúng là các cuộc tấn công mà chúng không làm việc”.

Sự gia tăng khổng lồcon số các cuộc tấn công song hành với sự gia tăng hơn5 lần về các website độc hại đã được tạo ra bởinhững kẻ lần mò web khổng lồ về công nghệ này. Crossđã hiểu rằng dữ liệu là không tuyệt hảo. Các kháchhàng mà thường xuyên quét các mạng của họ về các chỗbị tổn thương SQL, ví dụ, sẽ gia tăng một cách tìnhcờ số lượng thấy được các cuộc tấn công chốnglại các hệ thống của họ, ông nói.

Xuhướng này có nghĩa rằng những người lướt web sẽphải ngày một lo lắng hơn về việc bị lây nhiễm bởinhững website hợp pháp mà chúng đã bị tổn thương bởimột cuộc tấn công cơ sở dữ liệu, Cross nói.

“Trong quá khứ, bạncó thể rất thường xuyên thấy mã độc khi bạn ở trêncác site mà bạn gọi là khu Đèn Đỏ của Internet”,Cross nói. “Còn bây giờ, bạn hình như gặp mã độcnhiều hơn chỉ với việc thăm những site thông thường”.

Các dữ liệu thu thậpđược bởi IBM vào nửa cuối năm 2009 hình như sẽ đượcthể hiện trong một báo cáo dự kiến vào tháng 01 nămsau.

Onlineattacks against databases have taken off in the past 18 months,according to data released by IBM’s X-Force security team.

InMay 2008, IBM’s customers encounters about 2,500 SQL injectionattacks every day. By midsummer 2009, the technology giant’sproduct were seeing 600,000 database attacks per day on average, saidTom Cross, a security researcher at IBM. The attacks attempt toinject legitimate structured query language (SQL) commands intowhichever database software runs a particular Web site.

"Inthe past year and half, hackers have figured out how to use SQLinjection on a broad basis to make money," Cross said. Likespam, SQL injection attacks are a numbers game — if a giantincrease in attacks only delivers a few more infected Web sites, theattacks are still worth the effort, he said. "Most of these areattacks that don’t work."

Theenormous increase in the number of attacks parallels a more thanfivefold increase in malicious Web sites encountered by thetechnology giant’s Web crawlers. Cross acknowledged that the datais not perfect. Customers that regularly scan their networks for SQLvulnerabilities, for example, will inadvertently increase theperceived number of attacks against their systems, he said.

Thetrend means that Web surfers will have to increasingly worry aboutbeing infected by legitimate Web sites that have been compromised bya database attack, Cross said.

"Inthe past, you would most often find malicious code when you were onsites that I call the Red Light district of the Internet," Crosssaid. "Now, you are more likely to encounter malicious code justby visiting run-of-the-mill sites."

Datacollected by IBM in the second half of 2009 will likely be presentedin a report due out in late January.

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com