Positive Technologies проверила безопасность Рунета

Positive Technologies проверила безопасность Рунета

Согласно результатам исследования, проведенного специалистом по информационной безопасности Positive Technologies, две трети российских сайтов содержат критические уязвимости, а 10% заражены. Данные, взятые за основу исследования, собирались на протяжении 2-х лет (2010-11 гг.).

В контрольную выборку вошли 123 портала ключевых представителей государственного (25% сайтов) и финансового сектора (25 и 17% сайтов соответственно), а также телекоммуникационной (26%), ИТ- (13%), промышленной и других отраслей. Оценка защищенности производилась по состоянию веб-приложений, доступных через Сеть. Обнаруженные уязвимости классифицировались по WASC TC (Web Application Security Consortium Threat Classification) версии 2.0. Критичность уязвимости оценивалась согласно системе CVSS (Common Vulnerability Scoring System) версии 2: различались высокий, средний и низкий уровни риска, передает securelist.

В совокупности эксперты обнаружили 1817 уязвимостей разной степени риска. 64% сайтов содержали опасные бреши, 98% ― уязвимости средней тяжести. Лидером по количеству слабозащищенных сайтов оказались телекоммуникационные сервисы: на 88% из них были обнаружены критические уязвимости. Немногим ниже этот показатель в сфере информационных технологий и госсекторе (75 и 65% соответственно). На промышленных предприятиях ситуация лучше (50%), однако Positive Technologies обнаружила здесь ряд ресурсов с очень высокой концентрацией критических уязвимостей, что создает благодатную почву для кибератак, чреватых катастрофическими последствиями. Наиболее благополучным оказался финансовый сектор (43%), а в системах ДБО критичные бреши практически истреблены. Однако в этой сфере присутствуют специфические уязвимости ― CSRF (Cross-Site Request Forgery, найдена в 6% систем ДБО), XSS (Cross-Site Scripting, 18%), которые не представляют большой опасности, но способны облегчить задачу фишерам и банковским грабителям.

По оценке Positive Technologies, наиболее распространенной уязвимостью в веб-приложениях является CSRF, которая обнаружена на 61% ресурсов. Немногим более половины сайтов содержат бреши типа Information Leakage и Brute Force. В TOP 10 вошли также 3 критические уязвимости: SQL Injection (47%), OS Commanding (28%) и Path Traversal (28%). На долю XSS пришлось 40% изученных ресурсов. Исследователи отметили сокращение числа сайтов с высокой и низкой степенью риска в 2011 г. При этом уязвимости типа SQL Injection стали встречаться реже, а доля CSRF возросла.

Самым популярным языком программирования в Рунете является РНР (63% протестированных ресурсов). При этом 81% сайтов, использующих этот язык, содержат критические уязвимости, обусловленные ошибками в программной реализации. В прикладном ПО, написанном на РНР, наиболее часто встречаются такие бреши, как CSRF (73% сайтов), SQL Injection (61%), XSS (43%).

Как оказалось, 92% сайтов, содержащих вредоносный код, написаны на РНР и работают под управлением Apache. Половина зараженных сайтов используют бесплатные CMS (системы управления содержимым). На таких ресурсах чаще прочих присутствуют уязвимости OS Commanding (92% заражений), CSRF (75%), SQL Injection (58%), Improper Filesystem Permissions (50%) и Cross-Site Scripting (42%).

Эксперты допустили новую зачистку российского софта в App Store

Apple удалила из App Store основные приложения холдинга VK, а эксперты уже предупреждают: на этом зачистка российского софта может не закончиться. Основания, которыми объясняются ограничения, подходят далеко не только для сервисов одной компании.

25 июня из магазина исчезли «ВКонтакте», «Одноклассники», «Дзен», VK Видео, VK Музыка, VK Знакомства и Mail.ru.

Ранее та же участь постигла мессенджер МАКС. Его удаление связывали с претензиями к безопасности, а блокировку остальных приложений — с санкциями.

Опрошенные «Коммерсантом» участники рынка считают ситуацию опасным прецедентом. Многие крупные российские платформы работают по одним и тем же законам: взаимодействуют с государственными органами и в предусмотренных случаях передают им данные.

Если этого достаточно для санкций, очередь из кандидатов на вылет из App Store может получиться длинной.

Не слишком убедительным эксперты называют и аргумент об обязательной предустановке МАКС на смартфоны. В России действует целый перечень программ для предустановки, поэтому при желании ту же логику можно распространить на сервисы других разработчиков.

В зоне риска оказываются не только мессенджеры и электронная почта, но и любые крупные цифровые платформы с широкой аудиторией и сложной инфраструктурой. Иными словами, билет из App Store потенциально может получить почти любой заметный российский сервис.

Пока речь идёт лишь об оценках участников рынка: Apple не объявляла о новой массовой волне удалений. Но сигнал получился вполне прозрачным. Сегодня из магазина исчезли VK и МАКС, а завтра кнопка «Недоступно в вашем регионе» может встретить пользователей совсем другого приложения.

RSS: Новости на портале Anti-Malware.ru