АРПП Отечественный софт представила 680 решений для защиты КИИ

АРПП Отечественный софт представила 680 решений для защиты КИИ

АРПП Отечественный софт представила 680 решений для защиты КИИ

Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» передала в Минцифры и другие государственные ведомства перечень российских программных решений, способных заменить зарубежное ПО на объектах критической информационной инфраструктуры (КИИ).

В списке указаны сведения о программных продуктах, возможных сферах их применения, опыте внедрения, а также наличии сертификатов от регуляторов.

По данным АРПП «Отечественный софт», на 1 января 2025 года лишь 20% объектов КИИ полностью перешли на отечественное программное обеспечение. Еще 15% запланировали миграцию в первой половине 2025 года.

«Для ускоренного перехода критической инфраструктуры на российское ПО мы направили в Минцифры России и другие ведомства перечень из 680 отечественных решений, способных заменить иностранное программное обеспечение. В нем содержатся данные о продуктах, сферах их применения, опыте внедрения и наличии сертификатов ФСТЭК», — говорится в письме, подготовленном ассоциацией.

В документе также отмечается, что предоставленная информация может быть полезна при реализации Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и Указа Президента РФ № 166 «О мерах по обеспечению технологической независимости и безопасности КИИ».

Помимо Минцифры, копии письма были направлены в Минпромторг, Минэкономразвития, Минобрнауки, Минпросвещения, Минстрой, Минздрав, ФСТЭК России, а также в Департамент информационных технологий Москвы, ФГАУ НИИ «Восход», ФГБУ «ЦЭКИ», АНО «Центр компетенций по импортозамещению в сфере ИКТ», АНО «Цифровая экономика» и Ассоциацию КП ПОО.

Впервые АРПП «Отечественный софт» составила перечень программных продуктов для объектов КИИ в 2020 году. С 2022 года список обновляется ежегодно. За этот период его объем увеличился почти в четыре раза.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

WAF-защиту Azure, Cloudflare, Google Cloud можно обойти 1207 способами

Команда исследователей из Северо-Восточного университета и Дартмутского колледжа разработала новый метод обхода фильтров WAF, который использует различия в парсинге HTTP-запросов на файрволах и защищаемых веб-серверах.

Традиционные способы обхода WAF полагаются на обфускацию вредоносной полезной нагрузки. Авторы PoC-атаки WAFFLED не стали трогать пейлоад и сосредоточились на невинных элементах контента — заголовках, сегментах тела запроса.

Для манипуляций были выбраны три широко используемых типа содержимого: multipart/form-data, application/xml и application/json.

Экспериментаторы изменяли набор символов для составного контента, значения параметров boundary и namespace, XML-схемы, декларации DOCTYPE, разделы CDATA, форматирование и вложенные структуры в JSON-объектах, стараясь ввести в заблуждение WAF, но так, чтобы атакуемый сервер при этом смог распарсить пробивший фильтры вредоносный запрос без проблем.

Всего в ходе исследования было обнаружено 1207 вариантов обхода WAF, с помощью которого злоумышленник может получить доступ к конфиденциальным данным. Подобные атаки известны как HTTP request smuggling (HRS).

 

Как оказалось, обход по методу WAFFLED составляет угрозу для четырех из пяти испытанных защитных продуктов (AWS WAF, Microsoft Azure WAF, Google Cloud Armor, Cloudflare WAF и ModSecurity, встроенный в nginx).

Тестирование проводилось в комбинации с веб-приложениями на основе популярных фреймворков, таких как Flask, FastAPI, Gin, Express, Spring Boot, Laravel. Проверка в полевых условиях показала: HRS из-за разницы в интерпретации HTTP-запросов актуален для 90% сайтов.

 

Ознакомившись с результатами исследования, Google признала наличие проблемы, заявила, что будет решать ее в приоритетном порядке, и выплатила вознаграждение. В Cloudflare тоже готовят фикс, Microsoft и ModSecurity-сообщество обновили наборы правил.

По мнению университетских исследователей, от таких уязвимостей избавиться не так уж сложно, главное — неукоснительно следовать рекомендациям RFC. В подтверждение своих слов авторы WAFFLED создали опенсорсный инструмент-прокси, который тщательно проверяет HTTP-запросы и приводит их в соответствие текущим стандартам RFC до передачи на WAF.

Тестирование HTTP-Normalizer показало, что он способен блокировать попытки обхода по методу WAFFLED с эффективностью 100%. Накладные расходы при этом ничтожны.

Тем, кто не в состоянии развернуть дополнительный прокси, советуют установить новейшие наборы правил (Azure DRS 2.1, ModSecurity CRS 3.3), по возможности исключить экзотические типы содержимого и ужесточить проверку заголовков Content-Type, Content-Length и Transfer-Encoding на уровне WAF и приложений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru