Публикации
Новое поколение СХД Fujitsu ETERNUS, статья
Зональное хранение данных, статья
За пределами суперкомпьютеров, статья
Применение Intel® Optane™ DC и Intel® FPGA PAC, статья
Адаптивные HPC/AI-архитектуры для экзаскейл-эры, статья
HPE: легкий путь в IIoT, статья
DAOS: СХД для HPC/BigData/AI приложений в эру экзаскейл_вычислений, статья
IPsec в пост-квантовую эру, статья
Дезагрегированные компонуемые среды для высокопроизводительных задач, статья
HPE Primera: интеллектуальная СХД HPE 3PAR, статья
HPE Elastic Platform for Big Data and Analytics, статья
LiCO: оркестрация гибридныхНРС/AI/BigData_инфраструктур, статья
FusionStorage 8.X: облачное хранилище для ЦОД нового поколения, статья
Микросхемы ускорения вычислений нейросетей, статья
Persistent Memory: новый уровень хранения данных, статья
Как строить озера данных? , статья
End-to-end NVMe AFA-массивы Huawei, статья
Violin Systems: новые решения для новых вызовов, статья
SweRV Core – первое RISC-V процессорное ядро Western Digital, статья
Преимущества использования SCM-кэша в составе внешних СХД HPE, статья
Технологии кэширования данных современных СХД, статья
HPE InfoSight – искусственный интеллект для центров обработки данных, статья
Intel: новые флэш-устройства, статья
 
Обзоры
Все обзоры в Storage News
 
Тематические публикации
Flash-память
Облачные вычисления/сервисы
Специализ. СХД для BI-хранилищ, аналитика "больших данных", интеграция данных
Современные СХД
Информационная безопасность (ИБ), борьба с мошенничеством
Рынки
Positive Technologies: 82% уязвимостей веб-приложений содержится в исходном коде

13, февраль 2020  —  Эксперты Positive Technologies проанализировали состояние защищенности веб-приложений и выяснили, что в 9 случаях из 10 злоумышленники могут атаковать посетителей сайта, 16% приложений содержат уязвимости, позволяющие получить полный контроль над системой, а в 8% случаев — атаковать внутреннюю сеть компании. Кроме того, получив полный доступ к веб-серверу, хакеры могут размещать на атакуемом сайте собственный контент (выполнять дефейс) или даже атаковать его посетителей, например заражая их компьютеры ВПО.

По данным исследования, в 2019 году существенно (на 17 процентных пунктов по сравнению с 2018 годом) снизилась доля веб-приложений, содержащих уязвимости высокого уровня риска. Число уязвимостей, которое в среднем приходится на одно приложение, снизилось по сравнению с прошлым годом почти в полтора раза. Несмотря на это, общий уровень защищенности веб-приложений оценивается как низкий.

82% всех выявленных уязвимостей обусловлены ошибками в коде. По словам экспертов, даже в случае продуктивных систем в каждой второй они находили уязвимости высокого уровня риска. Высокий процент ошибок в исходном коде свидетельствует о том, что код не проходит проверку на наличие уязвимостей на промежуточных этапах его создания, а также что разработчики по-прежнему уделяют недостаточно внимания безопасности, делая ставку на функциональность приложения.

В 45% исследованных веб-приложений эксперты обнаружили недостатки аутентификации (Broken Authentication); многие уязвимости из этой категории критически опасны.

« Большинство атак на аутентификацию связано с тем, что пользователи устанавливают только пароль, — считает Ольга Зиненко, аналитик компании Positive Technologies . — Отсутствие второго фактора делает атаки на аутентификацию простыми в реализации. Эта проблема усугубляется тем, что пользователи стараются придумать пароли попроще. Обход ограничений доступа обычно приводит к несанкционированному разглашению, изменению или уничтожению данных ».

По данным экспертов, 90% веб-приложений подвержены угрозе атак на клиентов. Как и в предыдущие годы, существенную роль в этом играет уязвимость « Межсайтовое выполнение сценариев » (Cross-Site Scripting, XSS). Примерами атак на пользователей могут быть заражение компьютеров вредоносным ПО (доля этого метода атак на частных лиц в третьем квартале года увеличилось до 62% против 50% во втором), фишинговые атаки для получения учетных или других важных данных, а также выполнение действий от имени пользователя с помощью обманной техники clickjacking, в частности для накрутки лайков и просмотров.

Positive Technologies — один из лидеров европейского рынка систем анализа защищенности и соответствия стандартам, а также защиты веб-приложений. Организации во многих странах мира используют решения Positive Technologies для оценки уровня безопасности своих сетей и приложений, для выполнения требований регулирующих организаций и блокирования атак в режиме реального времени. Благодаря многолетним исследованиям специалисты Positive Technologies заслужили репутацию экспертов международного уровня в вопросах защиты SCADA- и ERP-систем, крупнейших банков и телеком-операторов. Подробнее — на ptsecurity.com , facebook.com/ PositiveTechnologies , facebook.com/ PHDays .

Публикации по теме
Информационная безопасность (ИБ), борьба с мошенничеством
 
Новости Positive Technologies

© "Storage News" journal, Russia&CIS
Редакция: 115516, Москва, а/я 88; тел./факс - (495) 233-4935;
www.storagenews.ru; info@storagenews.ru.