Серьёзные веб-уязвимости встречаются всё реже

Крупные компании, которые занимаются ИБ, периодически публикуют отчёты о состоянии дел с безопасностью в интернете. Почти всегда в этих отчётах много негатива: растёт количество вирусов, количество уязвимостей и так далее. Редкий случай, когда выходит исследование с прямо противоположными выводами: такое исследование несколько дней назад опубликовала компания WhiteHat Security, которая занимается обеспечением безопасности веб-приложений.

По данным WhiteHat Security, количество серьёзных уязвимостей в вебе значительно уменьшилось в последнее время. Они собирают статистику ежегодно, сканируя содержимое нескольких тысяч сайтов в течение всего года. Так, в 2011 году по результатам сканирования более 7000 сайтов (сотни терабайт контента) им удалось обнаружить в среднем 79 серьёзных уязвимостей на каждом сайте. Для сравнения, в 2010 году таковых было 230, в 2009 году — 480, в 2008 году — 795, в 2007 году — 1111, передает xakep.ru.

Серьёзные уязвимости стали гораздо быстрее устранять: в 2011 году среднее время закрытия уязвимости составило 38 дней, тогда как в 2010 голу было 110 дней.

Процент закрываемых уязвимостей в прошлом году тоже вырос с 53% до 63%.

Если рассматривать уязвимости по типам, то на первом месте по популярности остаётся межсайтовый скриптинг (XSS), который встречается на 55% сайтов. Далее следуют утечки информации (53% сайтов), контент-спуфинг (36%), недостаточная авторизация (21%) и межсайтовая подмена запроса (CSRF, 19%). Только на восьмом месте в списке оказались SQL-инъекции: их обнаружили всего на 11% сайтов.

 

 

Рейтинг по абсолютному количеству уязвимостей выглядит несколько иначе: здесь у XSS абсолютное преимущество. Это связано с тем, что на некоторых сайтах могут быть сотни XSS.

По отраслям самыми безопасными признаны банковские сайты: на каждом из них обнаружено всего лишь по 17 уязвимостей. Хуже всего ситуация у интернет-магазинов (121).

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google использует Gmail для отслеживания ваших покупок

Google использует в своих целях электронные письма пользователей сервиса Gmail. Оказалось, что корпорация сканирует письма на наличие онлайн-покупок, которые впоследствии будут отображаться в аккаунте Google.

На интересное поведение Google обратил внимание пользователь, поделившийся своими наблюдениями на площадке Reddit. По словам юзера, страница Purchases его Google-аккаунта содержала информацию о покупках, сделанных им на Amazon, а также в других онлайн-магазинах.

При этом, как заявляет пользователь, для этих покупок даже не использовался Google Pay.

Позднее исследователи решили проверить эту информацию. Один из интересующихся также обнаружил на своей странице Purchases покупки, совершенные им у Dominos, Steam, 1-800-Flowers.com, Amazon, Adidas и в других онлайн-магазинах. И в этом случае также не использовался Google Pay.

Общими усилиями неравнодушные пользователи пришли к заключению, что Google сканирует входящие письма на наличие покупок, а затем извлекает подробную информацию о заказах.

Это заключение подтвердили и сами представители Google в беседе с BleepingComputer. Сотрудники корпорации также отметили, что такой подход реализован, чтобы помочь пользователям быстро находить свои данные.

В Google объяснили, что компания не использует информацию, хранящуюся в письмах пользователей, для отображения рекламы. А для чего тогда Google использует эту информацию? Представители интернет-гиганта на этот вопрос не ответили.

Сотрудники Google подчеркнули, что данные о покупках можно удалить. Однако на практике оказалось, что сделать это довольно проблематично.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru