ATREX.RU
Пресс релизы коммерческих компаний и общественных организаций
ATREX.RU
» Пресс релизы сегодняшнего дня
» Архив пресс-релизов
» Авторам от редакции
» Добавить пресс-релиз

Самое-самое //
Пресс-релизы // » Добавить пресс-релиз

«Информзащита»: ТОП-10 уязвимостей и недостатков, выявленных при аудитах ИБ в 2014 году

«Информзащита» представила аналитику по результатам более 40 проектов в области комплексных и технических аудитов ИБ, проведенных в 2014 году. Экспертами был определен ТОП-10 самых распространенных уязвимостей и недостатков, выявленных в компаниях из разных областей бизнеса: финансы и телеком, транспортные организации и нефтегазовая промышленность.

Результаты проведенных аудитов показали следующее:

Большинство обнаруженных уязвимостей связано с процессом управления доступом. Так, например, часто встречаются отсутствие или некорректная настройка парольных политик различных компонентов ИТ-инфраструктуры, или использование небезопасных протоколов удаленного доступа. Несмотря на повышение из года в год осведомленности сотрудников в области ИБ, проблемы отсутствия парольных политик и паролей по умолчанию остаются актуальными.

Например, до сих пор часто можно встретить использование протокола TELNET для внутреннего администрирования, что в совокупности с некорректными настройками сетевого оборудования, приводящими к уязвимостям класса «ARP Cache Poisoning», создает риски раскрытия аутентификационных данных сетевых администраторов внутренним злоумышленником.

Использование средств защиты информации не всегда является оптимальным и зачастую используется «для галочки». Так, например, в большинстве компаний для средств обнаружения вторжений не настроены своевременное обновление сигнатур угроз и оповещения в случае обнаружения угрозы; для межсетевых экранов некорректно настроены правила фильтрации сетевого трафика.

Традиционно мало внимания уделяется процессу управления изменениями ИТ-инфраструктуры, и нередко проводимые изменения никак не документируются. Для них также не производится оценка рисков информационной безопасности, что делает невозможным принятие информированных решений о целесообразности проведения изменений, а также о необходимых мерах снижения рисков ИБ. Данный подход зачастую приводит к появлению уязвимостей в информационной инфраструктуре в результате изменений, а также нерациональному расходу ресурсов на приобретение средств защиты.

Замыкает список наиболее часто встречающихся уязвимостей отсутствие корректных настроек политик аудита событий ИБ. Например, отсутствие настройки регистрации событий некоторых компонентов ИТ-инфраструктуры, отсутствие требований к хранению журналов зарегистрированных событий, а также отсутствие централизованного сервера хранения зарегистрированных событий.

Наиболее распространенные уязвимости и недостатки:

Не настроены или некорректно настроены парольные политики.
Администрирование сетевого оборудования с помощью небезопасного протокола TELNET.
Аудит событий не настроен или настроен некорректно.
Межсетевые экраны содержат избыточные правила.
Некорректно проведена сегментация сети, в частности серверные сегменты не отделены от пользовательских сегментов.
Не реализован или некорректно реализован процесс управления обновлениями, в результате чего, например, используется устаревшее ПО, содержащее известные уязвимости
Отсутствие настроек безопасности коммутаторов доступа, в частности, защиты от уязвимости к атакам класса «ARP Cache Poisoning».
Отсутствие обновления сигнатур и настроек оповещения для средства обнаружения вторжений.
Использование небезопасных протоколов для удаленного доступа с помощью технологии VPN.
Некорректно настроены ограничения прав доступа к системным файлам.
Денис Хлапов, архитектор проектов по аудитам:

«Как мы видим, большинство обнаруженных уязвимостей относятся к некорректному управлению доступом и недостаткам безопасности сетевой инфраструктуры. При этом большей частью обнаруженных уязвимостей смогли бы воспользоваться внутренние злоумышленники, тогда как внешний периметр защищен достаточно хорошо. Тем не менее, наиболее распространенные уязвимости являются критичными и могут принести существенный вред бизнесу компаний в случае их эксплуатации злоумышленником. Без сомнения, компаниям нужно больше внимания уделять процессам управления доступом, изменениями и обновлениями. Также необходимо периодически проводить внутренние аудиты ИБ, анализ защищенности периметра и оценку рисков».

Выводы:

Приведенные выше уязвимости могут позволить инсайдеру повысить свои привилегии в инфраструктуре вплоть до административных. Такое положение дел может грозить как компрометацией критичных данных, так и нарушением штатного функционирования бизнес-процессов. Учитывая, что практически в каждом проводимом аудите были обнаружены недостатки настроек регистрации событий информационной безопасности, расследование возможных действий инсайдера будут крайне затруднительны.

В настоящее время видно стремление многих компаний укрепить безопасность внешнего периметра информационной инфраструктуры, при этом далеко не всегда учитываются риски действий инсайдеров. При данном подходе к обеспечению информационной безопасности так же не учитывается понятие «эшелонированности» системы защиты. При компрометации какого-либо внешнего ресурса (например, web-сервера) внешний злоумышленник с гораздо больше вероятностью получит доступ к критичным данным во внутренней сети компании. Проведенные нами аудиты явно демонстрируют пренебрежение компаний внутренней безопасностью ради защиты от атак извне. Такой подход можно понять, но, безусловно, он не является корректным и может привести к существенным потерям при удачных действиях как внешних злоумышленников, так и инсайдеров.

Контактное лицо: Ирина Кузнецова (написать письмо автору)
Компания: ЗАО НИП "Информзащита" (все новости этой организации)
Добавлен: 14:25, 17.02.2015
Количество просмотров: 604

«ПрограмБанк» подвел итоги 2023 года, Компания ПрограмБанк, 23:11, 25.03.2024,
276
Безусловным приоритетом в работе с нашими заказчиками остается поддержка развития бизнес-продуктов и реализация требований Банка России и других регуляторов. В рамках этой задачи мы выполнили более 140 различных проектов.


Открыт прием заявок на литературную премию в области медицины «Здравомыслие», Технологии Доверия, 23:05, 25.03.2024, Россия
263
К участию приглашаются авторы книг, книжные издательства, а также профессиональные медицинские и учебные учреждения.


ИТ АЛЬЯНС теперь на платформе РБК Компании!, "ИТ Альянс", 23:00, 25.03.2024,
284
Компания ИТ АЛЬЯНС, системный интегратор, специализирующийся на поставках ИТ-оборудования, присоединилась к платформе РБК Компании.


AMBER совместим с Postgres Pro, ЭМБЕР, 22:59, 25.03.2024, Россия
266
Компания «ЭМБЕР», разработчик систем и приложений на базе собственной платформы AMBER, сообщает об успешном тестировании на совместимость платформы AMBER и СУБД Postgres Pro, разработанной российским разработчиком Postgres Professional.


В Москве состоялась Первая конференция LegalTech Day, Компания "Гарант", 22:53, 25.03.2024, Россия
45
Организатором конференции о трансформации, автоматизации и усовершенствовании работы юриста LegalTech Day выступила компания "Гарант".


«РусКрипто 2024»: результаты обсуждений могут повлиять на законодательство, Газинформсервис, 22:53, 25.03.2024, Россия
47
21 марта в рамках конференции «РусКрипто 2024» состоялся круглый стол на тему «Электронный документооборот и электронная подпись», в ходе которого советник генерального директора – начальник удостоверяющего центра, «Газинформсервис» Сергей Кирюшкин отметил, что результаты обсуждения могут привести к внесению поправок в законодательство.


«Ростелеком» подключил к интернету 25 новостроек в Кузбассе, Ростелеком, 22:50, 25.03.2024, Россия
51
За 2023 год «Ростелеком» расширил покрытие оптоволоконных сетей связи в новостройках Кемеровской области – интернет появился в 25 многоэтажках.


В Свердловской области впервые в России проведут госэкспертизу только по цифровой информационной модели, Tangl, 22:46, 25.03.2024, Россия
33
Участниками этого пилотного проекта стали Управление государственной экспертизы Свердловской области, Группа «Эталон», компании «Тангл» и «Бим-Кластер»


«DaтaРу Консалтинг» стал партнером по внедрению компании «ЛАНИТ Омни», ДатаРу, 22:42, 25.03.2024, Россия
38
«ЛАНИТ Омни» (входит в группу ЛАНИТ), разработчик low-code платформы BPMSoft для управления бизнес-процессами, заключила партнерское соглашение с «DaтaРу Консалтинг», ведущим интегратором ИТ-решений класса ERP, BI, BPM зарубежных и отечественных вендоров.


Компания «Динамические системы» приняла участие в Интеграционном форуме «AI в производственных системах» в Технограде, ООО «Динамические Системы», 22:35, 25.03.2024,
43
21 апреля 2024 года в Технограде на ВДНХ прошел Интеграционный форум «Artificial Intelligence в производственных системах», который собрал новаторов рынка в области технологий искусственного интеллекта. Эксперты компании «Динамические системы» выступили в двух параллелях.


Разделы //


Новости по странам //
Сегодня у нас публикуются //
Разработано AVart.Стуdия © 2008-2024 atrex.ru
  Rambler's Top100