Необновленное ПО, слабые пароли — основные киберуязвимости госсектора

Самые распространенные уязвимости на ИТ-периметрах российских госорганизаций — это слабые пароли и устаревшее ПО, выяснили эксперты отдела анализа защищенности центра противодействия кибератакам Solar JSOC ГК «Солар», архитектора комплексной безопасности. В 2024 году в рамках работ по внешнему тестированию на проникновение эти недостатки были найдены в более чем 60% исследованных инфраструктур. Кроме этого, критичные уязвимости встречаются и в мобильных приложениях для граждан. Они связаны с незашифрованным хранением данных на устройстве, раскрытием отладочной информации, недостатками контроля доступа.

В основе исследования — более 200 пр оектов по анализу защищенности и тестированию на проникновение (пентесту), проведенных в 2024 году. Из них 63% работ относилось к госсектору. В фокусе внимания экспертов также компании из других секторов, включая телеком, энергетику, ИТ, торговлю, транспорт и другие.

Недостатки, связанные с паролями, встретились в трети проектов. При исследовании внешних периметров пентестеры по-прежнему находят простые пароли и пароли по умолчанию: password, user1, demo, простые последовательности чисел, пустые пароли в приложениях «1С» и другие.

Также распространенной проблемой остается использование ПО с известными, но незакрытыми уязвимостями. В частности, речь идет о таком ПО как Liferay, 1С-Битрикс, Pentaho, Microsoft Exchange, Avaya Aura, Jira и другие. Несмотря на то, что обновления безопасности для подобных уязвимостей уже давно доступны для установки, многие компании не применяют их вовремя, что играет на руку киберпреступникам.

В топ уязвимостей внешнего периметра входит и возможность внедрения SQL-кода в запросы к базе данных. Подобная атака позволяет злоумышленнику получить доступ к хранящимся в базах данным и локальным файлам или даже выполнить произвольные команды на атакуемом сервере.

По статистике, полученной по результатам всех проектов 2024 года, в среднем вектор преодоления внешнего периметра в реализованных проектах состоял из двух шагов. А для достижения поставленной заказчиком цели в рамках проекта экспертам требовалось в среднем от 1 до 5 дней.

Также в 2024 году эксперты провели анализ защищенности мобильных приложений для населения. Так, только 20% исследованных в 2024 году приложений имели низкий уровень защищенности. Большая часть (72%) уязвимостей и недостатков была обнаружена в серверной части приложений. Самая частая и критичная проблема — это недостатки контроля доступа, которые позволяют пользователю совершать действия вне установленных для него привилегий. Благодаря такому недостатку хакеры могут, например, получить данные других пользователей или получить повышенные привилегии в приложении, или заставить приложение выполнить незаложенную в него функциональность.

Другая часть недостатков связана с раскрытием отладочной и конфигурационной информации, которая позволяет получить сведения о текущих настройках, окружении и отдельных компонентах приложения.

Недостатков в клиентской части приложений меньше, что обусловлено в первую очередь тем, что для эксплуатация таких уязвимостей требуется физический или удаленный доступ к устройству. Тем не менее, в четверти мобильных приложений данные пользователей сохраняются в незашифрованном виде непосредственно на устройстве. Среди найденной информации были ФИО пользователей, их СНИЛС, даты рождения и прочие сведения. И даже после выхода из профиля или удаления приложения чувствительная информация остается на устройстве.

Александр Колесов

Руководитель отдела анализа защищенности Solar JSOC ГК «Солар»

«Госорганизации традиционно сталкиваются с большим количеством кибератак. По данным нашего сервиса мониторинга Solar JSOC, в 2024 году на госсектор пришлось более половины зафиксированных инцидентов. На этом фоне контроль защищенности и своевременное выявление и устранение уязвимостей становится одной из ключевых составляющих киберзащиты. Эффективность мы видим и на примере наших постоянных заказчиков, чей уровень защищенности после каждого пентеста становится все выше. Поэтому можно смело утверждать, что высокие показатели защищенности — это результат регулярного анализа».