30% российского ПО на открытом коде можно взломать

30% российского ПО на открытом коде можно взломать

30% российского ПО на открытом коде можно взломать

В прессе опубликовали очередную статистику с выборкой отечественного ПО на базе открытого кода. По данным SwordFish Security, примерно треть ресурсов на OpenSource критически уязвимы. Эксперты считают, что всё зависит от того, кто берется за код.

Материал с цифрами вышел сегодня на портале Газета.ru. Издание приводит исследование компании SwordFish Security — эксперты проверили 300 отечественных ресурсов на базе открытого кода и в 30% случаев смогли их взломать.

Среди уязвимостей часто встречались такие, что позволяют остановить работу сервиса и парализовать деятельность крупной организации, говорит ведущий архитектор Swordfish Security Юрий Шабалин.

Кроме того, специалисты нашли фрагменты открытого кода, которые дают автору доступ к криптовалютным кошелькам пользователей.

Были обнаружены 2,5 тыс. уязвимостей, из которых тысяча оказалась критической, сообщает SwordFish Security. В среднем на каждый “подсвеченный” программный продукт пришлось по 22 бреши. На команду разработчиков — почти по 80 проблем.

Среднее количество “багов” не кажется серьезным, но реальность впечатляет, считают в Swordfish Security. Есть продукты, в которых уязвимостей почти нет. Это значит, что разработчики сразу следят за правильным подбором компонентов, но таких мало. А есть “экземпляры”, в которых практически каждая библиотека несет критические уязвимости.

“Например, в результате проверки одного из сервисов выяснилось, что он содержал в себе библиотеку Log4j уязвимой версии к нашумевшей Log4Shell. Используя ее, злоумышленники могли бы нарушить функционирование систем заказчика и причинить серьезный ущерб бизнесу”.

Уязвимый открытый код встречался в российских продуктах разных категорий: мобильные приложения, десктопные программы и не только. Но чаще всего специалисты находят бреши именно в веб-сервисах.

Это связано с растущим количеством используемых библиотек. Чем больше библиотек с открытым исходным кодом используется, тем вероятнее, что в них будут найдены уязвимости, говорит Шабалин.

Опрошенные эксперты подтверждают потенциальную уязвимость использования открытого кода и объясняют тенденцию “природными условиями”. 

Антон Прокофьев из “Ростелеком-Солар” отмечает сравнительно небольшой рост самих уязвимостей в открытом коде, но сам Open Source сейчас всё чаще используют российские компании, поэтому проблема назрела. Особенно это стало заметно после 24 февраля: из России ушли зарубежные вендоры, иностранное ПО заменяют разработками на базе открытого кода.

“Я не знаю ни одного крупного софта, который бы не использовал Open Source, — комментирует для Anti-Malware.ru новость управляющий директор Positive Technologies Денис Кораблев. — Это может быть библиотека для анализа конфиг, tooling для деплоя — в любом продукте так или иначе присутствует Open Source”. Linux, основная ОС, на которой работает большинство серверных продуктов в мире — всё тот же Open Source.

По словам эксперта, многое зависит от того, кто берется за открытый код. 

Коммерческие компании могут допускать ошибки на этапе верификации по неосторожности или незнанию.

“Но тут есть важное дополнение — насколько компания уделяет внимание информационной безопасности, — добавляет Кораблев. — Если ИБ обеспечена на должном уровне, в компании внедрены и успешно функционируют процессы безопасной разработки, а код сканируется продуктами для статического анализа кода, то вероятность наличия уязвимостей ниже”.

Если же Open Source — это проект “на коленке” энтузиастов, то и риск появление в нем уязвимостей выше.

“Дыры” в открытом коде могут оставлять и намеренно. Более того, российское комьюнити сейчас фиксирует подобные активности.

“В этом самая интересная особенность Open Source, — продолжает эксперт Positive Technologies. — Когда софт набирает популярность в сообществе, вокруг него формируется комьюнити разработчиков, которое начинает следить за его безопасностью. Когда появляется уязвимость, сообщество замотивировано ее как можно скорее исправить”.

Новым проектам с открытым исходным кодом, которые только вышли на рынок, могли бы помочь программы Bug Bounty. Заказчик как раз платит деньги за то, чтобы исследователи искали уязвимости в первых версиях.

Добавим, на этой неделе появилась информация о планах Минцифры узаконить программы Bug Bounty в России.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

62% российских корпораций продолжают использовать зарубежные NGFW

К2 Кибербезопасность (входит в K2Тех) представила результаты исследования о том, как крупные российские компании используют отечественные межсетевые экраны нового поколения (NGFW). В опросе участвовали ИТ- и ИБ-руководители из 113 корпораций — от нефтегаза и финсектора до ретейла, машиностроения и ТЭК.

Экспертами исследования выступили ведущие российские разработчики NGFW: UserGate, «Лаборатория Касперского», Positive Technologies, Ideco и Infotecs.

Картина получилась показательной:

  • 88% компаний активно применяют NGFW.
  • Для 75% внедрение — это усиление киберзащиты, а не просто выполнение требований регуляторов.

При этом иностранные решения по-прежнему занимают значимую долю: 62% корпораций продолжают использовать зарубежные NGFW — полностью (22%) или в гибридной модели вместе с отечественными (40%). Полностью перешли на российские продукты лишь 38% участников.

 

По словам руководителя направления сетевой безопасности К2 Кибербезопасность Александра Шилова, рынок NGFW в России развивается быстро, а более половины компаний (56%) планируют перейти на отечественные решения в течение пяти лет.

Мотиваторы вполне понятные: окончание лицензий на зарубежное ПО, сложности с обновлениями и отсутствие техподдержки. В условиях роста киберугроз компаниим нужна не разовая установка продукта, а долгосрочная стратегия защиты.

Но у импортозамещения есть и препятствия. Основные барьеры — высокая стоимость отечественных решений и сложности с подбором железа, которое могло бы соперничать по эффективности с зарубежными аналогами. Почти половина организаций (46%) привлекают интеграторов для внедрения и обслуживания NGFW.

Интересно, что производительность российских NGFW устраивает подавляющее большинство — 89% пользователей. Однако 49% компаний считают, что решениям не хватает доработок. Запросы касаются в основном базовых вещей: повышения производительности, удобства управления, надежности и расширения функциональности.

Среди дополнительных пожеланий упоминаются улучшение документации, регулярные обновления сигнатур атак, стабильные VPN-клиенты под разные ОС, более развитые средства централизованного управления, функции Zero Trust и улучшение механизмов GeoIP.

Большинство организаций (78%) используют NGFW для защиты периметра, но некоторые комбинируют этот подход с защитой критичных сегментов и отдельных ИС (11%). Среди ключевых функций респонденты выделили удаленный VPN-доступ, поддержку site-to-site VPN, использование ГОСТ-алгоритмов, а также наличие виртуальных контекстов.

 

В целом исследование показывает: интерес к отечественным NGFW растет, компании активно планируют импортозамещение, но ожидают от российских решений большего удобства, стабильности и функциональной зрелости.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru