Мэр Москвы прокомментировал протестные акции 12 июня
20:57
Росавиация запросила у авиакомпаний информацию по утечке кадров
18:06
Задержан вице-мэр Курска Николай Зайцев
12:49
Организатор убийства Анны Политковской умер в колонии
21:34
Баскетболисты ЦСКА стали чемпионами Единой лиги ВТБ
21:59
Минобрнауки запросило дополнительные 10,9 млрд рублей на строительство школ
21:24
В Москве на акции оппозиции 12 июня были задержаны 136 несовершеннолетних
21:08
Telia планирует продать часть акций «МегаФона»
20:56
Глава Пентагона видит серьезную угрозу США со стороны России
20:38
Reuters сообщил об остановке Катаром производства гелия
20:18
Суд арестовал основателя Red Development Алексея Ковальчука
20:18
Бывший член ЦК КПРФ исключен из партии за создание «антипартийной группы»
20:12
В Мосгордуму внесен законопроект об отмене торгового сбора для аптек в медучреждениях
19:54
Министр обороны Германии заявила о необходимости переговоров с Россией «с позиции силы»
19:42
Виктору Буту могут увеличить срок за нарушение правил тюремной дисциплины
ещё
все новости
Подробно
Фото:
Кристина Кормилицына /
Коммерсантъ
| купить фото
IT-системы российских промышленных компаний, госструктур, банков и телекоммуникационных операторов в 20% случаев содержат критически опасные уязвимости, связанные с необновленным ПО, показало исследование Positive Technologies. При этом обновления, которые игнорируются компаниями, зачастую выпущены уже много лет назад. Получить полный контроль над критически важными ресурсами компаний от лица нарушителя даже с минимальными знаниями удалось более чем в половине проведенных тестов.
IT-системы крупных российских структур, среди которых промышленные компании, госорганы, банки и телекоммуникационные операторы, в 40% случаев содержат критически опасные уязвимости, связанные с недостатками конфигурации, следует из отчета Positive Technologies за 2016 год. 27% систем обладают критически опасными уязвимостями, связанными с ошибками в коде веб-приложений, 20% — уязвимостями из-за неустановки обновлений софта.
При этом информация о самой старой из обнаруженных уязвимостей, а также обновление, решающее проблему с ней, были опубликованы более 17 лет назад. «Уязвимость связана с тем, что DNS-сервер поддерживает рекурсию запросов. В результате эксплуатации данной уязвимости злоумышленник может проводить атаки на отказ в обслуживании»,— утверждают авторы отчета. Средний возраст наиболее устаревших неустановленных обновлений по системам, где такие уязвимости были обнаружены, составляет девять лет, следует из отчета.
В ходе тестов, проведенных Positive Technologies в 2016 году, выяснилось, что в 55% случаев внешний нарушитель, обладающий минимальными знаниями и довольно низкой квалификацией, способен преодолеть периметр и получить доступ к ресурсам в локальной сети компании. Для этого в среднем необходимо найти только две уязвимости в используемом компанией ПО.
«В 77% работ сетевой периметр удалось преодолеть из-за уязвимостей веб-приложений, а в 23% — из-за уязвимостей, связанных с использованием словарных паролей»,— рассказали в компании. В результате более чем в половине случаев от лица внешнего нарушителя удалось получить полный контроль над критически важными ресурсами компаний, такими как система Active Directory, СУБД, ERP-система и др.
В целом объекты критической инфраструктуры, к которой, согласно законопроекту, рассматриваемому Госдумой, предлагается отнести IT-системы банков, телеком-операторов и промышленных предприятий, в 2016 году подверглись 70 млн кибератак, сообщал в январе представитель ФСБ. При этом объем средств, похищенных хакерами только из российских банков, по данным Group-IB, составил за тот же период 5,53 млрд руб. В банке данных угроз безопасности информации, который с марта 2015 года ведет Федеральная служба по техническому и экспортному контролю, на данный момент находится информация о 16,5 тыс. уязвимостей в ПО, используемом при создании государственных IT-систем и автоматизированных систем управления производственными и технологическими процессами критически важных объектов.
Системное или прикладное ПО без необходимых обновлений стоит примерно в девяти из десяти компаний, уверен руководитель аналитического центра Zecurion Владимир Ульянов. «Причин для этого много. В некоторых компаниях боятся, что после обновления какой-то компонент откажется работать или начнет работать неправильно. Принцип “работает — не трожь” до сих пор одна из главных догм системных администраторов»,— поясняет господин Ульянов. Он добавляет, что большое количество оборудования, разнообразие используемых систем, территориально удаленные филиалы и устаревшие системы также приводят к тому, что какие-то компоненты не обслуживаются IT-специалистами должным образом.