|
|
 |
|
|
 |
Специалисты «Информзащиты» проанализировали более 50 компаний на уязвимости: результаты
За прошедший год специалисты «Информзащиты» провели анализ защищенности более 50 организаций из различных отраслей: ритейл, банки и финансы, девелопмент, государственные учреждения, телеком.
Результаты тестов на проникновение показали следующее: внешний периметр большинства заказчиков является относительно защищенным, и лишь 20% клиентов имеют более серьезные уязвимости. А вот с внутренним периметром, по мнению экспертов «Информзащиты», дела обстоят несколько хуже: здесь встречаются критические уязвимости 2008 года. Эксперты связывают это с тем, что, с одной стороны, клиенты используют старое программное обеспечение, которое более не поддерживается и не проходит тестирование на совместимость с обновлениями безопасности. С другой стороны, осведомленность сотрудников в области ИБ остается по-прежнему низкой, что позволяет злоумышленникам с хорошей фантазией и без специальных знаний получить доступ к внутренней сети, используя методы социальной инженерии.
Захар Федоткин, начальник отдела анализа защищенности компании «Информзащита»: «Более половины компаний относятся к финансовому сектору. Такое распределение объясняется тем, что финансовый сектор в большей степени заинтересован в пентестах по двум причинам: требования регуляторов (в частности, Стандарт PCI DSS) и возможные финансовые потери, напрямую связанные с уровнем защищенности компании».
Наиболее распространенной уязвимостью является Cross-Site Scripting (межсайтовый скриптинг). Данный тип уязвимости встречался в 38% проанализированных приложений, то есть практически в каждом третьем сайте. Вторыми по популярности стали уязвимости типа Using Components with Known Vulnerabilities (использование компонентов с известными уязвимостями) и Security Misconfiguration (небезопасная конфигурация веб-приложения или его окружения), которые были выявлены у 25% клиентов. Наименее распространенной оказалась уязвимость Broken Authentication and Session management (небезопасное использование данных сеанса при работе с веб-приложением), которая обнаружилась у 19% клиентов.
Захар Федоткин: «Уязвимость Cross-Site Scripting до сих пор многие считают несерьезной, не уделяя ей должного внимания. Мы считаем это в корне неверным подходом, поскольку данная уязвимость позволяет получить доступ к чувствительным данным, а также выполнять действия от имени пользователя».
Уязвимость к атаке ARP Cache Poisoning встречалась в 60% проанализированных приложений, в то время как уязвимость к атаке STP Claiming Root Role была выявлена лишь у 20% клиентов.
Захар Федоткин: «60% клиентов не рассматривают всерьез действия потенциального внутреннего злоумышленника. Такая уязвимость делает возможным осуществление атаки типа MITM («человек посередине»)».
При анализе внутреннего периметра чаще всего встречалась уязвимость типа «Использование учетных записей по умолчанию», выявленная у 70% клиентов. Вторая по распространенности уязвимость – SNMP-community строки по умолчанию, выявленная у 50% клиентов. Чуть реже встречалась уязвимость «Открытый доступ к серверу X11» – в 40% случаев. Далее по нисходящей следуют уязвимости MS08-067: уязвимость в сервисе SMB – также 40% и MS09-004: уязвимость СУБД MSSQL – только 30%. При этом уязвимость MS08-067 делает возможным удаленное выполнение кода при получении уязвимой системой специально созданного RPC-запроса. В системах Microsoft Windows 2000, Windows XP и Windows Server 2003 можно воспользоваться этой уязвимостью и запустить произвольный код без прохождения проверки подлинности, а также посредством вирусов-червей или специально созданных средств.
Уязвимость MS09-004 позволяет исполнять произвольный код в рамках ОС и получить полный доступ к ней можно путем эксплуатации некорректной проверки параметров в хранимой процедуре sp_replwritetovarbin.
Остальные, менее значимые, но при этом достаточно распространенные:
•Уязвимость Oracle TNS Listener Poison – выявлена у 30% клиентов;
•Уязвимый сервис VxWorks WDB Debug – выявлена у 30% клиентов;
•Web Proxy Auto Discovery (MITM) – выявлена у 30% клиентов.
Контактное лицо: Ирина Кузнецова (написать письмо автору)
Компания: ЗАО НИП "Информзащита" (все новости этой организации)
Добавлен: 13:43, 21.01.2015
Количество просмотров: 746
| МегаФон ускорит интернет на «Пикнике Афиши», МегаФон, 16:28, 20.06.2026, Россия |
73 |
| Оператор обеспечит высокоскоростным мобильным интернетом десятки тысяч гостей фестиваля «Пикник Афиши», который пройдёт 20 июня в музее-заповеднике «Коломенское». |
|
| «Информтехника» выпустила первую российскую портативную TETRA-радиостанцию МиниКом-АНР-3, ГК «Информтехника», 16:28, 20.06.2026, |
73 |
| Группа компаний «Информтехника», российский разработчик доверенных систем профессиональной связи, объявила о запуске серийного производства первой полностью российской абонентской радиостанции стандарта TETRA — МиниКом-АНР-3. Новинка стала развитием линейки МиниКом-TETRA и ориентирована на использование в критических и технологических сетях радиосвязи. |
|
| 18 лет вместе: Галэкс продлил партнерство с «Код безопасности» на 2026 год, Галэкс, 16:26, 20.06.2026, Россия |
79 |
| Галэкс подтвердил партнерский статус с «Кодом Безопасности» – российским разработчиком сертифицированных средств защиты информации. В 2026 году компания продолжает сотрудничество с вендором, имея статус «Серебряный партнер», который подтверждает сертификацию специалистов Галэкс и наличие у них компетенций для реализации проектов по защите информации. |
 |
| МегаФон выпустил собственный eSIM-роутер, МегаФон, 16:24, 20.06.2026, Россия |
76 |
| МегаФон первым среди операторов создал мобильный роутер, который поддерживает работу с цифровым eSIM-профилем. Это решение позволяет пользователям дистанционно активировать услугу мобильного интернета и оставаться на связи даже в поездках.
|
|
|
|
|
|
|
|
Разделы //
Новости по странам //
Сегодня у нас публикуются //
|
|
