Власти США займутся устранением проблем базы уязвимостей CVE

Власти США займутся устранением проблем базы уязвимостей CVE

Власти США займутся устранением проблем базы уязвимостей CVE

Правительство США хочет принять меры относительно базы данных общеизвестных уязвимостей информационной безопасности CVE (Common Vulnerabilities and Exposures). Известно, что в последнее время база страдает от различного рода проблем.

Напомним, что проект CVE был официально запущен для общественности в сентябре 1999 года. Над ее созданием работала корпорация MITRE, которая использовала средства правительства США.

Эта база содержит так называемые идентификаторы уязвимостей, с помощью которых легче отслеживать проблемы безопасности.

В большинстве современных программ кибербезопасности используются номера CVE для идентификации и отслеживания кибератак, которые используют определенные ошибки в программах (уязвимости). Эти система используется многими странами.

Однако за последние несколько лет система CVE испытывала ряд вполне определенных проблем. Наиболее очевидно это стало в конце 2015 и начале 2016 года. В частности, исследователи в области безопасности сообщали о больших задержках в присвоении идентификационных номеров тем или иным проблемам безопасности.

Некоторые эксперты даже объединились для создания альтернативной базы данных уязвимостей, которая получила название Distributed Weakness Filing (DWF). На тот момент MITRE объяснила задержки увеличением числа поставщиков программного обеспечения по сравнению с поздними 90-ми и ранними 2000-ми годами.

Также свою роль сыграло распространения систем SCADA и IoT.

Оба этих фактора поспособствовали значительному увеличению числа сообщений о новых уязвимостях, которые персонал CVE не был в состоянии оперативно обрабатывать. В конце 2016 года стало известно, что CVE не смогла присвоить идентификаторы 6 000 уязвимостям, которые были обнаружены еще в 2015 году.

После того как эти проблемы уже нельзя был игнорировать, Комитет Сената США по энергетике и торговле начал исследование системы с, это было в конце марта 2017 года. Сенат имеет право исследовать работу системы, так как та получает финансирование непосредственно от властей.

Теперь результаты исследования опубликованы, и Комитет готов предложить способы решения проблем CVE. В итоге был сделан следующий вывод — недостаточное финансирование Министерства внутренней безопасности (МВБ) США стало причиной того, что система CVE скатилась, накопив огромный список уязвимостей, которым не были присвоены идентфиикаторы.

Второй вывод — отсутствие должного надзора за программой CVE также повлекло за собой отставание системы идентификации.

Власти пообещали принять соответствующие меры, чтобы устранить все проблемы, которые в настоящее время мешают CVE быть на уровне.

Сотрудники против: 52% компаний буксуют с переходом на тонкие клиенты

Переход на тонкие клиенты в российских компаниях чаще всего тормозит вовсе не техника, а люди. По данным опроса среди зрителей и участников эфира AM Live «Тонкий клиент: инструмент создания цифровых корпоративных рабочих мест», 52% компаний не могут полноценно перейти на такую модель из-за сопротивления сотрудников, привыкших к обычным компьютерам.

На этом фоне особенно показательно выглядит другая цифра: только 25% компаний уже используют удалённые рабочие места через десктопы или тонкие клиенты.

Иначе говоря, три четверти по-прежнему опираются либо на офисные компьютеры, либо на добросовестность сотрудников, которые работают с собственных устройств. А это, как отмечали участники дискуссии, оставляет бизнес в довольно уязвимом положении: данные и учётные записи оказываются размазаны по множеству конечных точек, и каждая из них потенциально может стать входом в корпоративную сеть.

Идея тонких клиентов как раз в обратном: рабочее место у сотрудника есть, но сами данные и основные процессы остаются внутри защищённой инфраструктуры компании. Директор департамента управления продуктовым портфелем Getmobit Василий Шубин по этому поводу высказался довольно жёстко: когда сотрудникам разрешают работать с личных устройств, компания фактически перекладывает риск на конечного пользователя.

Впрочем, дело не только в привычках. Второй по популярности барьер — поддержка периферии, на неё пожаловались 46% опрошенных. Дальше причины идут уже с заметным отрывом: 32% считают проблемой высокую стоимость внедрения, 28% говорят о несовместимости приложений, 26% — о нехватке экспертизы у ИТ-команд, ещё 22% упомянули ограничения сети и каналов связи.

Некоторых экспертов такой высокий результат у пункта с периферией удивил, но в «Лаборатории Касперского» ничего необычного в этом не увидели. Старший менеджер по продукту Kaspersky Thin Client Михаил Левинский объяснил, что вопрос здесь упирается не только в сами устройства, но и в зрелость поддержки: у кого-то может быть старый монитор или нестандартная периферия, и важно, насколько быстро вендор готов на такие запросы реагировать. При этом, по его словам, сами операционные системы, конечно, должны нормально поддерживать проброс периферийных устройств.

Похожую мысль озвучили и в Uveon — Облачные технологии. Там обратили внимание, что часть проблем, которые пользователи приписывают именно тонким клиентам, на деле относится шире — к тому, как в компании вообще выстроена инфраструктура рабочих мест. Иными словами, не всё здесь упирается в «железку»: многое решается на уровне софта и архитектуры.

При этом в обсуждении прозвучала и осторожно позитивная нота. Генеральный директор «АМ Медиа» Илья Шабанов заметил, что заметно сократилась доля тех, кто считает главным препятствием именно стоимость внедрения. Это может говорить о том, что рынок таких решений в России постепенно взрослеет, а сами технологии перестают восприниматься как что-то слишком дорогое и экзотическое.

RSS: Новости на портале Anti-Malware.ru