CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

Уязвимость нулевого дня Log4Shell возглавила список брешей, которые использовали для кибератак в прошлом году. Такие данные опубликовало сегодня Агентство по кибербезопасности и инфраструктуре США (CISA). В Топ-15 опасностей также вошли ProxyShell, ProxyLogon и ZeroLogon.

CVE

Vulnerability Name

Vendor and Product

Type

CVE-2021-44228

Log4Shell

Apache Log4j

Remote code execution (RCE)

CVE-2021-40539

 

Zoho ManageEngine AD SelfService Plus

RCE

CVE-2021-34523

ProxyShell

Microsoft Exchange Server

Elevation of privilege

CVE-2021-34473

ProxyShell

Microsoft Exchange Server

RCE

CVE-2021-31207

ProxyShell

Microsoft Exchange Server

Security feature bypass

CVE-2021-27065

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26858

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26857

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26855

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26084

 

 

Atlassian Confluence Server and Data Center

Arbitrary code execution

CVE-2021-21972

 

VMware vSphere Client

RCE

CVE-2020-1472

ZeroLogon

Microsoft Netlogon Remote Protocol (MS-NRPC)

Elevation of privilege

CVE-2020-0688

 

Microsoft Exchange Server

RCE

CVE-2019-11510

 

Pulse Secure Pulse Connect Secure

Arbitrary file reading

CVE-2018-13379

 

Fortinet FortiOS and FortiProxy

Path traversal

Другие популярные «дыры»: возможность удаленного выполнения кода в Microsoft Exchange Server (CVE-2020-0688), чтение произвольного файла в Pulse Secure Pulse Connect Secure (CVE-2019-11510), обход пути в Fortinet FortiOS и FortiProxy (CVE-2018-13379).

«Хакеры во всем мире всё активнее нападают на системы с выходом в интернет, – говорится в докладе, – Чаще атакам стали подвергаться email- и VPN-сервисы».

В среднем на разработку обновлений безопасности уходит две недели, это время играет на руку взломщикам.

Уязвимость Log4Shell была обнаружена в декабре 2021 в популярной библиотеке Log4j, входящей в состав Apache Logging Project. Впервые её зафиксировали при отлове багов на серверах Minecraft, но проблема глобальнее. Библиотека Log4j присутствует практически в любых корпоративных приложениях и Java-серверах и грозит атаками на таких гигантов, как Apple, Amazon, Twitter, Cloudflare и тысячам других.

66% компаний теряют эффективность из-за «ручных» заявок

Две трети российских компаний по-прежнему обрабатывают внутренние заявки вручную и теряют из-за этого почти пятую часть эффективности бэк-офисных процессов. К такому выводу пришли аналитики SimpleOne по итогам опроса 62 организаций — интеграторов ESM-платформ и их заказчиков.

По данным исследования, 66,7% компаний до сих пор не используют системный сервисный подход вне ИТ.

В результате бизнес теряет в среднем 19% операционной эффективности. При этом те, кто уже внедрил Enterprise Service Management (ESM), показывают ощутимые результаты: среднее время обработки заявок сокращается с 4,6 до 3,7 часа (–19%), а в ряде случаев ускорение превышает 30%. Инвестиции при этом окупаются примерно за год.

ESM — это подход, при котором разные подразделения компании работают как поставщики услуг: с каталогами, SLA и измеримыми показателями качества. Если раньше такие практики были характерны в основном для ИТ-департаментов, то теперь сервисную модель всё активнее масштабируют на HR, финансы, юридические и административные функции.

Разрыв в зрелости процессов оказался заметным. Компании, внедрившие ESM, в среднем более чем втрое опережают тех, кто работает без единой сервисной платформы — по скорости обработки обращений, уровню автоматизации и масштабу интеграции функций.

При этом барьеры для внедрения остаются вполне приземлёнными. Чаще всего респонденты называют отсутствие бюджета (37%), недостаточную зрелость процессов (22,2%) и непонимание экономической модели за пределами ИТ (14,8%). Дополнительной сложностью становится сопротивление сотрудников изменениям.

Однако после запуска систем приоритеты становятся более прикладными. Помимо автоматизации и сокращения времени обработки заявок, компании начинают фиксировать финансовый эффект и рост удовлетворённости сотрудников. Почти 43% участников исследования вернули инвестиции за 11–12 месяцев, ещё около трети — в течение полутора лет. 31% компаний отметили рост внутренних показателей удовлетворённости (NPS, eNPS) на 15–20%.

Интеграция сервисных функций развивается постепенно, но устойчиво: 81% компаний объединили в рамках ESM ИТ и хотя бы одно бэк-офисное подразделение, а половина — четыре и более функций. Наиболее активно сервисный подход распространяется на HR.

По словам Андрея Вишнякова, директора по бизнес-продуктам SimpleOne, ИТ давно живёт по принципам операционного совершенства — с SLA и измеримым качеством услуг. За пределами ИТ картина часто фрагментирована: одни подразделения автоматизированы, другие продолжают работать «по звонку». Именно этот разрыв и создаёт прямые потери эффективности.

В исследовании приняли участие представители ITFB Group, Angara Security, Outsorsa, ГК «Альфа-Лизинг», МКБ, Schneider Electric (Systeme Electric), сети «Монетка», «Петрович-Тех», FaceReg и других компаний.

RSS: Новости на портале Anti-Malware.ru