Веб-приложения банков наиболее уязвимы

Веб-приложения банков наиболее уязвимы

Специалисты Positive Technologies подготовили статистику по уязвимостям веб-приложений, которые были исследованы в рамках работ по автоматизированному анализу защищенности с применением PT Application Inspector в 2017 году.

По результатам автоматизированного анализа исходного кода было установлено, что все веб-приложения имеют уязвимости, причем всего лишь в 6% исследованных систем отсутствуют уязвимости высокой степени риска.

Наибольшему риску, как и следовало ожидать, подвержен финансовый сектор (его доля составляет 46% от общего количества исследованных веб-приложений). Во всех приложениях банков и других финансовых организаций были найдены уязвимости высокой степени риска.

Финансовые, а также государственные организации, отмечают эксперты Positive Technologies, наиболее заинтересованы в анализе исходного кода, так как их веб-ресурсы являются приоритетными целями для злоумышленников, что подтверждается регулярными аналитическими отчетами компании.

Автоматизированный анализ защищенности с применением PT AI показал, что все протестированные веб-приложения содержат уязвимости различной степени риска. При классификации уязвимостей по степени риска было установлено, что большая их часть (65%) относится к среднему уровню опасности, 27% — к высокому.

Самой распространенной уязвимостью, выявляемой при автоматизированном анализе исходного кода приложений, является «Межсайтовое выполнение сценариев», с помощью которой злоумышленник может проводить фишинговые атаки на клиентов веб-приложения или заражать их рабочие станции вредоносным программным обеспечением (встречается в 82% протестированных систем).

На основании анализа последствий от эксплуатации выявленных в веб-приложениях уязвимостей специалисты Positive Technologies составили рейтинг угроз безопасности. Самая распространенная угроза — это возможность проведения атак на пользователей веб-приложения (ей подвержены 87% банков и все без исключения государственные учреждения).

При этом важно отметить, что большинство пользователей таких веб-ресурсов очень плохо осведомлены в вопросах информационной безопасности и легко могут стать жертвами злоумышленников. Кроме того, среди веб-ресурсов госучреждений распространены и другие критически опасные уязвимости. Например, при исследовании веб-приложения администрации одного из муниципальных образований была обнаружена уязвимость высокой степени риска «Внедрение SQL-кода», с помощью эксплуатации которой возможно получить чувствительную информацию из базы данных.

Уязвимости, проводящие к отказу в обслуживании, представляют наибольшую проблему для интернет-магазинов, так как сбой в работе веб-приложения для организации, занимающейся электронной торговлей, напрямую связан с финансовыми потерями. Кроме того, чем популярнее интернет-магазин, тем больше клиентов посещают его каждый день и тем вероятней, что злоумышленник попытается использовать уязвимости данного веб-ресурса для атак на его пользователей.

«Веб-приложения являются одной из основных мишеней для злоумышленников, потому что большое число неисправленных уязвимостей и простота их эксплуатации помогают атакующим успешно достигать своих целей — от кражи чувствительной информации до доступа к внутренним ресурсам локальной вычислительной сети, — говорит аналитик Positive Technologies Анастасия Гришина. — Важно понимать, что большинство уязвимостей можно выявить задолго до атаки, а анализ исходного кода веб-приложений позволяет обнаружить в несколько раз больше критически опасных уязвимостей, чем тестирование систем без исследования кода».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сотрудники часто переоценивают свои знания о кибербезопасности

Как выяснили аналитики антивирусной компании «Лаборатория Касперского», зачастую сотрудники организаций переоценивают свои знания о кибербезопасности. Такой вывод эксперты сделали по результатам курса «Безопасность во время пандемии в жизни и бизнесе» в рамках программы Kaspersky Security Awareness.

34% пользователей, проходивших обучение по курсу Kaspersky и Area9 Lyceum, ошибались при принятии решений, при этом в 90% случаев сотрудники даже не сомневались в том, что они действуют правильно.

Чаще всего участники «сыпались» на вопросах по поводу безопасного использования браузеров (45%), преимущества применения виртуальных машин (60%), а также корпоративных ИТ-ресурсов (почты, облачных хранилищ и т. п.) для работы из дома (52%).

Помимо этого, пользователи скверно проявили себя, когда речь зашла о грамотном обновлении программ — 50% ответили неверно на связанные с апдейтами вопросы. В этом случае 92% проходивших задания участников были убеждены в наличии у себя всех необходимых навыков.

«Если сотрудник не видит рисков, которые создаёт, например, хранение корпоративной информации на личных ресурсах, он вряд ли будет обсуждать эти практики с системным администратором. Проблема в том, что далее это перейдёт в привычку и уже станет одной из главных причин киберинцидента внутри организации», — объяснил результаты Денис Баринов, руководитель Kaspersky Academy.

«Это называется "неосознанная некомпетентность", поэтому важно всегда повышать цифровую грамотность сотрудников и проводить специальные тестирования».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru