Positive Technologies помогает Яндексу устранить уязвимости

Positive Technologies помогает Яндексу устранить уязвимости

Эксперты Positive Technologies обнаружили в сервисах Яндекса ряд серьезных уязвимостей, доступ к отдельным частям внутренней сети компании. Поиск недостатков безопасности проходил в конце 2012 года в рамках второго этапа программы Yandex Bug Bounty, которую на постоянной основе проводит крупнейшая российская поисковая система.

Объектами для поиска уязвимостей стали большинство ресурсов Яндекса, а также мобильные приложения: Яндекс.Карты, Яндекс.Навигатор, Яндекс.Музыка, Яндекс.Почта и Яндекс.Маркет.

Как выяснили специалисты группы анализа защищенности веб-приложений Positive Technologies, проблемы с безопасностью есть на Яндекс.Паспорте, Яндекс.Почте, Яндекс.Картах, серверах wiki.yandex.ru, school.yandex.ruи других ресурсах интернет-портала. Всего специалистами Positive Technologies было обнаружено несколько десятков уязвимостей различного уровня опасности, включая Memory Disclosure, XSS, Open Redirect, Response Splitting и CSRF.

Самой серьезной, по словам специалистов Positive Technologies, стала ошибка безопасности на сервисе Яндекс.Вебмастер, который оказался уязвимым для внедрения внешних сущностей XML (XML External Entity) через XSD-схемы. Эксплуатация данной уязвимости могла открыть доступ к соседним хостам во внутренней сети Яндекса и представлять потенциальную опасность для пользовательских данных.

Благодаря профессиональной работе специалистов компании Яндекс недостатки защищенности в популярных сервисах были оперативно устранены.

Компания Positive Technologies не в первый раз сотрудничает с ведущими российскими и зарубежными компаниями, владеющими поисковыми сервисами. В 2010 году имена нескольких экспертов Positive Technologies были внесены в виртуальный «Зал славы» Google в качестве благодарности за помощь в повышении защищенности. В ноябре 2012 года Артем Чайкин обнаружил две критические уязвимости браузера Chrome для платформы Google Android, которые могли поставить под угрозу безопасность большинства новейших смартфонов и планшетов. Весной 2012 года эксперт Positive Technologies Дмитрий Серебрянников обнаружил критическую уязвимость на сайте Google, за что был награжден премией в рамках Vulnerability Reward Program.

Открытые программы bug bounty (англ. «отлов багов»), направленные на поиск уязвимостей и поддержку исследователей в области ИБ, — распространенная мировая практикой крупных IT-компаний. Конкурсы по поиску уязвимостей и ошибок проводят Facebook, Google, MicrosoftMozilla, Nokia, PayPal, The avast! и др.

Денис Баранов, руководитель группы анализа защищенности веб-приложений Positive Technologies, отметил: «Компания Positive Technologies приветствует участие своих специалистов в подобных конкурсах, где любой желающий может опробовать свои силы в поиске уязвимостей. Подобные программы эффективно повышают защищенность сервисов и продуктов, которыми ежедневно пользуются миллионы людей. Интернет — бесценный источник информации и мощное средство коммуникации, и мы рады, что компания Яндекс для обеспечения безопасности его российского сегмента использует самые прогрессивные методы, включая краудсорсинг в bounty-инициативах».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В InfoWatch ARMA Стена 4.7 появились новые функции управления и шифрования

Компания InfoWatch представила новую версию своего межсетевого экрана нового поколения — InfoWatch ARMA Стена (NGFW) 4.7. В обновлении появились дополнительные возможности для управления защитой прямо из пользовательского интерфейса и расширен контроль промышленных сетей.

По словам разработчиков, регулярные обновления ARMA Стена направлены на адаптацию к растущим киберугрозам и требованиям регуляторов, а также на упрощение работы администраторов и специалистов по ИБ.

Расширенный контроль промышленных протоколов

В новой версии реализована поддержка и детализированный контроль ключевых промышленных протоколов — Alpha.Link, Ethernet/IP (CIP), OPC UA и Modbus. Появился конфигуратор, который позволяет централизованно управлять защитой этих протоколов и контролировать команды напрямую из интерфейса, без обращения к командной строке.

Теперь можно блокировать не только приложения, но и отдельные домены, добавлять их вручную, загружать списки или автоматически находить связанные адреса конкретных приложений.

Новые функции интерфейса

Администраторы получили возможность добавлять пользовательские правила для системы обнаружения и предотвращения вторжений (IDS/IPS) прямо в интерфейсе, без редактирования конфигурационных файлов. Также теперь можно вручную блокировать или разблокировать учетные записи при подозрительной активности и завершать все активные пользовательские сессии.

Повышенная безопасность конфигураций

По запросу заказчиков реализовано шифрование конфигурационного файла с поддержкой SCP (Secure Copy Protocol) — безопасного сетевого протокола для передачи файлов между хостами. Это позволяет проще интегрировать продукт с корпоративными системами, где SCP используется как стандарт.

Старший менеджер по продукту InfoWatch ARMA Стас Румянцев отметил, что версия 4.7 делает систему более гибкой для промышленных предприятий, где важно сочетание защищённости и удобства управления, особенно в распределённых инфраструктурах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru