ИТ / Новости
информбезопасность
3.4.2023

Исследование: компаниям РФ не хватает защиты внутренних сетей

За год российские компании укрепили защиту ИТ-периметров, но они по-прежнему недооценивают угрозу внутреннего нарушителя. Это следует из результатов пентестов, проведенных экспертами «РТК-Солар» с марта 2022 по март 2023 года.

Так треть (35%) компаний выдержали испытание внешним пентестом (годом ранее этот показатель составлял только 24%). В то же время цели внутри ИТ-периметров были достигнуты в 100% случаев (год назад — только в 63%). Кроме того, повысился уровень защищенности корпоративных веб-приложений. Если в начале 2022 года низкий уровень отмечался в 53% проектов, то теперь этот показатель составляет 20%.

Однако количество успешных внутренних пентестов значительно выросло. При этом более 90% исследованных инфраструктур были отмечены низким уровнем защищенности. Значит, организации не уделяют должного внимания защите внутреннего периметра, даже несмотря на постоянные кибератаки, сделали вывод эксперты.

Самые распространенные уязвимости внешних периметров связаны со слабыми паролями от учетных записей, недостатками контроля доступа, использованием уязвимостей в известном ПО (например, Bitrix) и возможностью внедрения SQL-кода. Слабые и повторяющиеся пароли также являются ключевой проблемой внутренних сетей. В одной из организаций эта уязвимость позволила реализовать атаку Password Spraying (направлена на подбор учетных данных) и скомпрометировать более 180 доменных учетных записей.

Проблемой абсолютного большинства (более 80%) веб-приложений является некорректная настройка доступа, а самый частый пример – небезопасные прямые ссылки на объекты. Благодаря этой уязвимости злоумышленник может без разрешения администратора получить доступ к объекту и выполнять с ним различные манипуляции. А в 62% приложений раскрывались данные об их структуре, компонентах и особенностях работы.

Изображение: Adobe Stock

Еще по теме

Почему будущих специалистов по информбезопасности разбирают еще со школы

Новые схемы интернет-мошенников и как им противостоять

Почему буксует импортозамещение электронных компонентов

Почему рынок коммерческих дата-центров нуждается в регулировании

Что ждет начинающего тестировщика в 2024 году

Как найти перспективные зарубежные рынки для российских решений

Какие угрозы несет интернет тел человечеству

Успеют ли банки заменить импортный софт и оборудование до 2025 года

Зачем компании вкладывают деньги в ИТ-состязания?

Импортозамещение и внутренняя разработка ПО в страховании

Почему рынок информационных технологий РФ возвращается к классической дистрибуции

Что сделано и не сделано в цифровизации России за 2023 год

Как заботу о вычислениях переложить на вендоров и почему не все к этому готовы

Когда российский бизнес начнет замещать импортное ИТ-оборудование

Чего добились за два года активного импортозамещения ПО