Почти половина веб-ресурсов крупнейших российских компаний имеют критические уязвимости

1174
Positive Technologies Logo

Компания Positive Technologies опубликовала результаты своего ежегодного аналитического исследования, посвященного уязвимостям веб-приложений. В статистику попали недостатки безопасности, обнаруженные специалистами Positive Technologies в 2012 году в сайтах крупнейших российских организаций из государственной и промышленной отраслей, сферы IТ и телекоммуникаций (банковским системам посвящена отдельная работа).

Предметом исследования стали 67 ресурсов, протестированных в ходе анализа защищенности. Большинство этих веб-приложений можно назвать критически важными: это порталы самообслуживания сотовых операторов, сайты электронного правительства, веб-решения для контроля и управления промышленными объектами и др.

Согласно полученным результатам, все исследованные веб-приложения содержат те или иные уязвимости, при этом в 45% рассмотренных систем обнаружены уязвимости высокой степени риска. Кроме того, 9 из 10 ресурсов содержат уязвимости среднего уровня риска, что близко к результатам прошлых двух лет.

Телеком и промышленность — в зоне повышенного риска

Максимальная концентрация веб-приложений, содержащих уязвимости высокой степени риска, была выявлена в телекоммуникационной отрасли — 78%.

Полученная цифра весьма велика, но все же ниже доли, выявленной в 2010 и 2011 годах (88%). Не в последнюю очередь это связано с возросшим спросом на услуги по анализу кода новых приложений. Крупные операторы связи осознают необходимость оценки степени защищенности, и при заказе новых веб-приложений проводят их аудит до ввода в эксплуатацию.

Как и прежде, профильные для телекоммуникационной отрасли веб-приложения часто подвержены атакам на пользователей (Client-side Attacks), а также насыщены недостатками, которые позволяют межсайтовое выполнение сценариев (Cross-site Scripting). Среди наиболее опасных уязвимостей следует отметить распространенные в веб-приложениях телекома «Обход каталога» (Path Traversal) и «Внедрение SQL-кода» (SQL Injection), а также «Выполнение команд ОС» (OS Commanding) и «Внедрение XML-кода» (XML Injection), которые встречаются немного реже.

В промышленной сфере ровно половина (50%) ресурсов содержит критические недостатки безопасности. Сотрудникам служб ИБ производственных компаний стоит обращать внимание на недостатки «Выполнение команд ОС» и «Внедрение SQL-кода», а также на менее перспективные с точки зрения злоумышленника и при этом весьма многочисленные уязвимости «Межсайтовое выполнение сценариев».

С небольшим отрывом далее следуют сайты IТ- и ИБ-компаний (45%). Особенностью таких компаний является наличие уязвимостей, позволяющих осуществить внедрение операторов XPath. Включение в исследование данных о веб-приложениях ИБ-компаний имело, вероятно, определенное влияние на общую оценку безопасности IТ-организаций, поскольку в 2010 и 2011 годах доля ресурсов с уязвимостями высокого уровня риска составляла 75%.

Что касается государственных организаций, то примерно каждое третье веб-приложение (27%) в этой сфере содержит уязвимость высокого уровня риска. Год назад этот показатель составлял 65%.

Здесь существенно сказались особенности одного крупного государственного проекта, в котором обнаруженные ранее уязвимости успешно устранялись в течение последнего года. Если не рассматривать данные этого проекта, то доля ресурсов с критическими уязвимостями в государственном секторе составит 50% (такой же показатель и в промышленной сфере).

Снижение доли приложений с критическими уязвимостями в госсекторе свидетельствует о позитивной динамике, но процент уязвимых приложений все еще крайне велик, особенно учитывая интенсивный перевод ряда государственных услуг, а значит и огромных объемов конфиденциальной информации, в интернет. При этом большинство веб-приложений госучреждений и промышленной отрасли проходили анализ уже на стадии промышленной эксплуатации и были доступны пользователям. Все это не позволяет утверждать, что ситуация с защищенностью приложений в этих сферах коренным образом изменилась.

Наиболее опасные для сайтов госорганов вектора атак — «Внедрение SQL-кода», «Обход каталога», «Выполнение команд ОС» и «Отказ в обслуживании» (Denial of Service). Кроме того, именно государственным оказался в 2012 году единственный крупный корпоративный сайт, зараженный вирусом.

Уязвимости 2012

Самые распространенные уязвимости

В 2012 году наибольшее распространение получила уязвимость раскрытия информации Fingerprinting, позволяющая идентифицировать программное обеспечение и подготовить плацдарм для атаки: этому недостатку подвержены три четверти исследованных ресурсов (73%). На втором месте с 63% — межсайтовое выполнение сценариев. Почти в половине систем (46%) присутствуют ошибки, позволяющие автоматически подбирать учетные данные и пароли пользователей (Brute Force). В топ-10 вошли также две критические уязвимости — «Внедрение SQL-кода» и «Обход каталога», которым подвержены 33% и 18% исследованных веб-ресурсов соответственно.

Наименее защищены веб-приложения на языке PHP с веб-сервером Apache

Степень уязвимости веб-приложения напрямую зависит от выбора языка программирования и веб-сервера. PHP оказался самым распространенным языком для разработки веб-ресурсов в 2012 году — на нем написано 36% исследованных систем. Обратная сторона популярности — низкий уровень защищенности: 83% сайтов на PHP содержат критические уязвимости. Данный показатель почти в три раза выше, чем у Perl (29%). Что касается веб-приложений, разработанных на языках Java и ASP.NET, то они наименее подвержены ошибкам высокой степени риска — 15% и 10% уязвимых приложений соответственно, однако 85% приложений на Java и 80% на ASP.NET содержат уязвимости средней степени риска, что не позволяет говорить о высоком уровне безопасности.

Разработчикам веб-приложений на PHP стоит обращать пристальное внимание на критические недостатки «Внедрения SQL-кода» и «Выполнение команд ОС», которые обнаружены примерно в каждом втором ресурсе на этом языке. В свою очередь сайты на ASP.NET подвержены уязвимости «Подбор паролей». Этот факт объясняется тем, что данная технология используется, как правило, в коммерческих приложениях, вместе с централизованным хранилищем идентификационных данных пользователей (Active Directory).

В 2012 году наиболее распространенным веб-сервером оказался Nginx (43%), а наиболее подверженным уязвимостям высокой степени риска стал Apache: 88% использующих его веб-ресурсов подвержены критическим недостаткам безопасности. На втором месте Tomcat — 75% ошибок высокого уровня риска. В прошлом году наиболее уязвимыми были веб-серверы Nginx и Apache.

В 2012 году, как и в 2010 и 2011, веб-приложения под управлением серверов Microsoft IIS оказались самыми безопасными: всего 14% исследованных сайтов содержали уязвимости высокой степени риска.

Большинство уязвимостей веб-серверов связаны с ошибками администрирования, самой распространенной из которых является «Утечка информации» (Information Leakage).

Специализированные средства защиты уровня приложений используется только в одном случае из трех

Только 30% протестированных веб-ресурсов использовали Web Application Firewall (WAF). Учитывая, что на каждом из рассмотренных сайтов были обнаружены те или иные уязвимости, наличие такого средства превентивной защиты, как WAF, могло бы снизить риски, однако на сегодняшний день немногие владельцы веб-приложений прибегают к использованию подобных дополнительных инструментов.

В целом по сравнению с 2011 годом средний уровень защищенности веб-приложений стал немного выше: в частности, доля сайтов, содержащих критические уязвимости, уменьшилась на 15% и составила почти 45%. Эксперты Positive Technologies обнаружили только одно зараженное веб-приложение, тогда как ранее 10% сайтов содержали вредоносный код. С другой стороны, есть и признаки стагнации: никак не изменилась доля веб-приложений с уязвимостями высокого уровня риска в промышленной сфере, а сайты телеком-сектора повышают уровень безопасности очень медленно.

Заместитель технического директора Positive Technologies Дмитрий Кузнецов отмечает: «Общая картина защищенности веб-приложений в 2012 году радикально не изменилась. Заметно, что разработчики прикладывают определенные усилия, чтобы делать создаваемые информационные системы более защищенными: увеличился спрос на услуги анализа защищенности веб-приложений, снизилось количество уязвимостей высокого уровня риска, разработчики систем проявляют все больший интерес к средствам анализа исходного кода приложений и WAF. Тем не менее, о серьезном росте уровня защищенности говорить пока не приходится. Выявляемых уязвимостей высокого и среднего уровня опасности по-прежнему достаточно для проведения успешных атак, и веб-приложения по-прежнему остаются наиболее удобной стартовой точкой для преодоления периметра защиты корпоративных и государственных информационных систем».

29 октября 2013

08:00

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

3D-карта Asus Radeon RX Vega 64 Strix в сравнении с референсом работает на больших частотах, но с большим потреблением энергии: Появились тесты Asus Radeon RX Vega 64 Strix4

Apple может стать первой компанией, чьи умные часы массово будут использоваться в медицинских целях: Apple ведёт переговоры с Aetna7

Наушники Apple EarPods и AirPods будут лучше держаться в ушной раковине с аксессуаром Dodocool: Цена набора в данный момент составляет 10 долларов1

Смартфон Doogee BL7000 получил три датчика изображения Samsung ISOCELL и аккумулятор емкостью 7060 мА•ч: На стадии предзаказа смартфон предлагается по цене 160 долларов3

Анонс камеры Nikon D850 ожидается 24 августа: Поставки Nikon D850 могут начаться уже в середине сентября2

Смартфон Samsung Galaxy Note8 «засветился» на сайте производителя: Кроме того, опубликовано два видеоролика с участием Samsung Galaxy Note8

Компания Mercedes-Benz показала роскошный электромобиль Vision Mercedes-Maybach 6 Cabriolet : Запас хода Vision Mercedes-Maybach 6 Cabriolet — 500 км16

Apple продолжает активно расширять офисное пространство, еще не закончив штаб-квартиру Apple Park: С 1998 года штат Apple увеличился на 1500%11

Cмартфон Xiaomi Mi Mix 2 сможет распознавать пользователей по лицам: Анонс Xiaomi Mi Mix 2 ожидается в сентябре3

Передняя панель компьютерного корпуса Sharkoon TG5 изготовлена из закаленного стекла: Корпус Sharkoon TG5 рассчитан на системные платы типоразмера ATX

IP-ядро процессора изображения Pinnacle Denali-MC поддерживает HDR: К достоинствам Denali-MC разработчик относит 16-битное представление данных

Ассортимент EK Water Blocks пополнил водоблок EK-FB GA X299 Gaming RGB Monoblock: Водоблок EK-FB GA X299 Gaming RGB Monoblock стоит 120 евро

Точка доступа EnGenius EAP2200 соответствует спецификации 802.11ac Wave 2: Продажи EAP2200 уже начались по цене $2391

ВИКТОРИНА ASUSTOR

Процессор с какой архитектурой установлен в ASUSTOR AS6302T, благодаря которому производительно выросла на 30% по сравнению с прошлым поколением?
1318

iXBT TV

  • Обзор беззеркальной фотокамеры Fujifilm X-T20

  • Обзор кинотеатрального DLP-проектора BenQ W11000 с эмуляцией разрешения 4К

  • AMD Ryzen Threadripper 1920Х и 1950X — тестирование 12-ядерного и 16-ядерного процессоров

  • Обзор мини-ПК ECS Liva Z на базе процессора Apollo Lake

  • Самый лучший процессор, неудачи Microsoft, гибкие наушники Samsung

  • Обзор цветного МФУ Xerox VersaLink C405 для малых и средних офисов

  • Обзор умного чайника Redmond SkyKettle RK-G200S с подсветкой и нагревом воды до нужной температуры

  • Конфигурируем мини-ПК: изучаем влияние памяти и накопителя на быстродействие системы

  • 3D-карты AMD Radeon RX Vega, цены, спецификации, смартфон Meizu Pro 7

  • Обзор лазерного цветного МФУ Canon imageRunner Advance C3520i, младшего в новой линейке

  • Обзор робота-пылесоса iBoto Aqua V710 с функцией влажной уборки

  • Обзор электрической скороварки Unit USP-1090D: готовим под давлением

1212

Календарь

октябрь
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать