Более 40% сайтов промышленных компаний уязвимы для хакерских атак

Более 40% сайтов промышленных компаний уязвимы для хакерских атак

Более 40% сайтов промышленных компаний уязвимы для хакерских атак

Более половины современных сайтов содержат критически опасные уязвимости, которые позволяют злоумышленникам проводить различные атаки, включая отказ в обслуживании и кражу персональных данных. Такие выводы содержатся в исследовании компании Positive Technologies на основе работ по анализу защищенности веб-приложений за 2016 год.

Как следует из отчета, практически все исследованные веб-приложения (94%) позволяют осуществлять атаки на пользователей, и неудивительно ― половина уязвимостей, вошедших в десятку самых распространенных, используются именно для таких атак. Доступ к персональным данным был получен в 20% приложений, обрабатывающих такие данные (включая сайты банков и государственных организаций).

Больше всего веб-приложений с уязвимостями высокого уровня риска найдено среди сайтов телекоммуникационных компаний (74%). Если же оценивать уровень защищенности в зависимости от возможных последствий, то хуже всего ситуация в промышленности (43% сайтов отличаются крайне низкой степенью защищенности) и в электронной коммерции (34%).

Исследователи отмечают, что уязвимости публичных сайтов по-прежнему являются популярным способом проникновения во внутреннюю инфраструктуру компании: каждое четвертое веб-приложение позволяет проводить такие атаки. Кроме того, четверть веб-приложений содержат уязвимости, позволяющие стороннему злоумышленнику получить доступ к базам данных.

Еще одно важное наблюдение ― веб-приложения, находящиеся в процессе эксплуатации, оказались более уязвимыми, чем тестовые: критически опасные уязвимости выявлены в 55% продуктивных систем и в 50% тестовых систем.

«Это свидетельствует о том, что необходимо проводить анализ защищенности не только в процессе разработки, но и после внедрения в эксплуатацию, ― комментирует Евгений Гнедин, руководитель отдела аналитики информационной безопасности Positive Technologies. ― Для защиты уже эксплуатируемых приложений рекомендуется использовать межсетевые экраны уровня приложений (web application firewalls)».

В исследовании также представлено сравнение эффективности различных методов анализа защищенности приложений («белый ящик» против «черного ящика») и приведены примеры выявления уязвимостей автоматизированным анализатором кода PT Application Inspector.

«Анализ исходного кода показывает намного более высокие результаты, чем исследование защищенности без доступа к коду приложения, ― отмечает Евгений Гнедин. ― Кроме того, тестирование исходного кода в процессе разработки позволяет значительно повысить защищенность конечного приложения. Для анализа исходного кода на различных стадиях разработки целесообразно применять автоматизированные средства, поскольку это позволяет выявить максимальное число ошибок в кратчайшее время».

Включил смартфон — выбери ИИ: Минцифры меняет правила предустановки ПО

При первом включении смартфона россиянам могут предложить выбрать системного ИИ-помощника — отечественного, зарубежного или никакого. Минцифры РФ подготовило соответствующий проект постановления и вынесло его на общественное обсуждение.

В действующих правилах класс «голосовой помощник» хотят заменить более широким понятием — «системный помощник».

Речь идёт об ИИ-программе, которая взаимодействует с устройством, операционной системой и приложениями через голосовые, текстовые и визуальные команды. Просто поговорить о погоде уже мало, теперь помощнику предлагают дать ключи почти от всего гаджета.

При первом запуске устройства пользователь сможет выбрать программу из списка доступных решений или отказаться от её установки. Конкретный сервис, компанию или платформу проект не навязывает.

Выбранному помощнику обещают те же условия, что и встроенным решениям производителей устройств и операционных систем. Он должен получать обновления, поддерживать пользовательские настройки и отображаться в интерфейсе на равных. Предустановленная версия будет бесплатной, а после обновления или сброса устройства до заводских настроек не должна бесследно исчезать.

Изменения затронут и поисковые сервисы: в перечень смогут включать решения со встроенными технологиями искусственного интеллекта. В Минцифры считают, что это усилит конкуренцию между российскими и зарубежными платформами и сохранит пользователям доступ к современным ИИ-сервисам, даже если отдельные иностранные продукты столкнутся с ограничениями.

Идея проекта проста: производитель больше не должен единолично решать, какой ИИ поселится в смартфоне. Финальное слово хотят оставить владельцу гаджета.

RSS: Новости на портале Anti-Malware.ru