ГК «Солар» представляет отчет о ключевых уязвимостях в инфраструктурах российских компаний. В его основе - данные, полученные в ходе проектов по анализу защищенности и тестированию на проникновение, проведенных экспертами отдела анализа защищенности центра противодействия кибератакам Solar JSOC в 2024 году.

Отчет содержит сведения о распространенных уязвимостях, угрозах и векторах проникновения в корпоративные сети. Отраслевая принадлежность исследованных компаний разнообразна: телекоммуникации, информационные технологии, маркетинг, энергетика, торговля и т. д. Представленная аналитика базируется на результатах более 200 проектов.

Ключевые тезисы:

  • Внешний периметр 91% компаний оказался уязвим к атакам, успешная реализация которых может привести к проникновению во внутреннюю сеть, компрометации узлов внешнего периметра или получению доступа к чувствительным данным и критичным внешним системам и приложениям. Одними из самых распространенных проблем внешних периметров российских компаний остаются слабые пароли (38%) и устаревшие версии программного обеспечения, подверженные различным уязвимостям (32%);
  • В 91% проектов по внутреннему тестированию были достигнуты поставленные цели: получен контроль над доменом, получен доступ к критичным целевым системам и базам данных во внутренней сети. Слабые пароли (57%) и использование программного обеспечения с известными уязвимостями (37%) остаются самыми актуальными проблемами и для внутренних сетей;
  • Более чем в половине веб-приложений имеются уязвимости и недостатки высокой и средней степени критичности, успешная эксплуатация которых может позволить злоумышленнику нанести существенный ущерб информационным активам и репутации компании;
  • Самым распространенным недостатком веб-приложений оказалось раскрытие отладочной и конфигурационной информации (70%). В уязвимых веб-приложениях раскрываются учетные данные, ключи шифрования JWT токенов, фрагменты исходного кода, внутренние IP-адреса и прочие сведения, позволяющие злоумышленнику повысить привилегии, получить доступ к критичным данным и реализовать прочие угрозы информационной безопасности. В ряде проектов подобная информация предоставляла возможность эксплуатации других имеющихся в приложении уязвимостей. Распространенными остаются недостатки контроля доступа (60%), позволяющие скомпрометировать данные других пользователей и прочую чувствительную информацию, повысить привилегии и выполнить различные действия, недоступные из графического интерфейса;
  • Самые распространенные недостатки серверной части мобильных приложений связаны с раскрытием отладочной и конфигурационной информации (53%) и некорректной реализацией контроля доступа (40%). А основной проблемой клиентской части в 2024 году стало отсутствие обфускации исходного кода мобильного приложения (40%).