PT Research Lab компании Positive Technologies выпустила ежегодный отчет по статистике уязвимостей веб-приложений за 2009 г.

Positive Technologies проанализировала уязвимости веб-приложений

Исследование PT Research Lab, подразделения компании Positive Technologies показывают, что ошибки в защите веб-приложений по-прежнему остаются одним из наиболее распространенных недостатков обеспечения защиты информации. Подтверждением этого тезиса является многолетняя статистика уязвимостей безопасности веб-приложений, публикуемая компанией.

В этом году были проанализированы данные о 5560 веб-приложениях, протестированных специалистами компании Positive Technologies в ходе предоставления консалтинговых и сервисных услуг по информационной безопасности, таких как: тесты на проникновение, анализ защищенности в рамках стандарта PCI DSS  и мониторинг защищенности внешнего периметра с использованием системы MaxPatrol.

Практически половина проанализированных систем содержали уязвимости. Суммарно во всех приложениях было обнаружено 13434 ошибок различной степени риска, зафиксировано 1412 образцов вредоносного кода, содержащихся на страницах уязвимых систем. Доля скомпрометированных сайтов, распространявших вредоносное программное обеспечение, составила 1,7%. Каждый из таких сайтов содержал уязвимости, позволяющие выполнять команды на сервере, что подтверждает возможность использование этих уязвимостей для компрометации системы.

Основной результат исследования неутешителен. Вероятность обнаружения критичной ошибки в веб-приложении автоматическим сканером составляет около 35% и достигает 80% при детальном экспертном анализе. Этот факт демонстрирует невысокую защищенность современных веб-приложений не только от атак со стороны квалифицированных злоумышленников, но и от действий атакующих, вооруженных готовыми утилитами для «автоматического взлома».

Как и ранее, наиболее распространенными ошибками, допускаемыми разработчиками приложений, являются уязвимости «межсайтовое выполнение сценариев» и «внедрение операторов SQL», на которые пришлось более 19% и 17% всех обнаруженных уязвимостей соответственно.

С точки зрения соответствия требованиям регуляторов (compliance management), ситуация улучшилась незначительно. До 84% веб-приложений не удовлетворяет требованиям стандарта по защите информации в индустрии платежных карт PCI DSS, и 81% не соответствует критериям ASV-сканирования, определенного в стандарте.

Сравнение результатов с отчетами предыдущих четырех лет показал, что ситуация со степенью защищенности веб-приложений в 2009 г. в целом улучшилась. Так, анализ устранения уязвимостей на 768 сайтах, проверявшихся в 2008 и 2009 г., показал, что более 60 процентов владельцев устранили все критичные уязвимости в течение года и существенно повысили защищенность своих ресурсов. В целом, регулярный анализ защищенности веб-приложений и налаженный процесс устранения выявленных недостатков позволяют за год уменьшить число уязвимых сайтов в среднем втрое.

По словам эксперта по информационной безопасности Positive Technologies Дмитрия Евтеева, в этом году, несмотря на развитие методов атак, «щит пересилил меч». Развитие систем контроля защищённости, безопасных платформ и средств разработки, проактивных средств защиты и межсетевых экранов уровня приложения (Web Application Firewall) начинает приносить свои плоды. Однако, как и раньше, большая часть уязвимостей приходится на ошибки администрирования и могла быть устранена использованием безопасных конфигураций систем и приложений и использованием базовых функций защиты.

Теневой ИИ берут под контроль: СберТех представил Platform V SOWA AI

На конференции ЦИПР-2026 компания СберТех объявила о запуске Platform V SOWA AI — решения для централизованного управления доступом к системам искусственного интеллекта внутри организаций. Появление подобных инструментов связано с растущей популярностью ИИ-сервисов в корпоративной среде.

Во многих компаниях различные подразделения самостоятельно подключают большие языковые модели и ИИ-инструменты для решения рабочих задач.

В результате возникает так называемый теневой ИИ — набор разрозненных сервисов, использование которых зачастую остается вне поля зрения служб информационной безопасности.

По задумке разработчика, Platform V SOWA AI должна выступать единой точкой доступа ко всем ИИ-сервисам компании. Через платформу проходят запросы сотрудников к большим языковым моделям, а также ответы, которые эти модели формируют.

Система позволяет контролировать права доступа пользователей, отслеживать обращения к ИИ в режиме реального времени и предотвращать передачу конфиденциальной информации во внешние сервисы. Кроме того, платформа ведет аудит взаимодействия с ИИ и поддерживает применение единых корпоративных политик безопасности.

Еще одна задача решения — упростить подключение новых моделей. Вместо отдельной настройки механизмов аутентификации, аудита и контроля для каждого ИИ-сервиса эти функции переносятся на уровень единого инфраструктурного шлюза.

В компании также заявляют о возможности выявления аномальной активности и попыток обхода установленных ограничений при работе с большими языковыми моделями.

Решение ориентировано на крупные организации из различных отраслей, включая финансовый сектор, телекоммуникации, ретейл и промышленность.

Интерес к подобным платформам закономерен: по мере того как искусственный интеллект становится частью повседневных бизнес-процессов, компании все чаще сталкиваются не столько с вопросом внедрения ИИ, сколько с необходимостью управлять его использованием и связанными с ним рисками. Platform V SOWA AI — один из примеров того, как рынок начинает отвечать на этот запрос.

RSS: Новости на портале Anti-Malware.ru