В 7 из 10 проверок серверов компаний обнаруживаются уязвимые приложения

Сегодня установить антивирус, межсетевой экран и средства защиты периметра уже недостаточно. Даже если внешне инфраструктура компании выглядит защищённой, точка входа для злоумышленника может находиться внутри веб-приложения, серверного компонента или программного кода, который используется годами.

По данным RTM Group, как минимум одно уязвимое приложение обнаруживается примерно в 70% проведённых проверок серверного контура организаций.

Рассказываем, где чаще всего находятся опасные уязвимости, к каким последствиям они могут привести и почему проверка безопасности должна охватывать не только внешний периметр.

Критические недостатки специалисты чаще всего выявляют во внутреннем периметре компаний и в веб-приложениях.

Особую опасность представляет сочетание нескольких проблем безопасности. Отдельно каждая из них может выглядеть незначительной, но вместе они способны сформировать полноценную цепочку атаки — от первоначального доступа до компрометации внутренних ресурсов компании.

За последние 12 месяцев RTM Group выполнила более 100 проектов по анализу защищённости и тестированию на проникновение. В рамках этих работ специалисты выявили около 2100 уязвимостей.

Из общего количества обнаруженных недостатков:

Таким образом, около 61% найденных уязвимостей относились к критическому или высокому уровню опасности и могли представлять существенный риск для инфраструктуры и бизнес-процессов заказчиков.

При этом количество уязвимостей само по себе не всегда отражает реальный уровень риска. Одна критическая ошибка в системе удалённого доступа или веб-приложении может оказаться опаснее десятков менее серьёзных недостатков.

Отдельное направление проверок – анализ безопасности программного кода.

За последние 12 месяцев специалисты RTM Group выявили более 600 подтверждённых уязвимостей.

Среди них:

Около 72% недостатков, обнаруженных при анализе кода, относились к критическому или высокому уровню риска.

Такие уязвимости особенно опасны, поскольку они закладываются непосредственно в архитектуру и бизнес-логику приложения. После запуска продукта они могут сохраняться годами, переходить из одной версии системы в другую и оставаться незамеченными стандартными средствами защиты.

Например, ошибка в разграничении прав доступа может позволить обычному пользователю получить административные функции. Недостаточная проверка входящих данных – выполнить нежелательные команды или получить доступ к базе данных. А небезопасная логика работы с сессиями – захватить учётную запись другого пользователя.

Многие компании по-прежнему концентрируются на системах, доступных из интернета. Это важная, но не единственная область риска.

Даже если внешний периметр защищён, злоумышленник может проникнуть во внутреннюю сеть через:

После первоначального проникновения атакующий начинает изучать внутреннюю инфраструктуру, искать дополнительные уязвимости и повышать свои привилегии. Поэтому внутренний пентест часто выявляет риски, которые невозможно обнаружить при проверке только внешних адресов компании.

При планировании аудита безопасности приоритет стоит отдавать системам, компрометация которых может привести к утечке данных, финансовым потерям или остановке бизнес-процессов.

Проверка должна включать не только поиск технических ошибок, но и анализ бизнес-логики, настроек доступа, используемых компонентов и возможных цепочек атак.

Разовая проверка позволяет обнаружить проблемы в конкретный момент времени, однако инфраструктура и программные продукты постоянно меняются. Появляются новые функции, сотрудники, интеграции, серверы и зависимости.

Для новых продуктов анализ кода и тестирование безопасности желательно проводить ещё на этапе разработки. Исправить архитектурную ошибку до запуска обычно проще и дешевле, чем после внедрения системы и появления реальных пользователей.