Забывают обновиться

IT-системы крупных российских структур, среди которых промышленные компании, госорганы, банки и телекоммуникационные операторы, в 40 % случаев содержат критически опасные уязвимости, связанные с недостатками конфигурации, следует из отчета Positive Technologies за 2016 г. 27 % систем обладают критически опасными уязвимостями, связанными с ошибками в коде веб-приложений, 20 % — уязвимостями из-за не установки обновлений софта.
При этом информация о самой старой из обнаруженных уязвимостей, а также обновление, решающее проблему с ней, были опубликованы более 17 лет назад. Средний возраст наиболее устаревших неустановленных обновлений по системам, где такие уязвимости были обнаружены, составляет 9 лет, следует из отчета.
В ходе тестов выяснилось, что в 55 % случаев внешний нарушитель, обладающий минимальными знаниями и довольно низкой квалификацией, способен преодолеть периметр и получить доступ к ресурсам в локальной сети компании. Для этого в среднем необходимо найти только две уязвимости в используемом компанией ПО.
В 77 % работ сетевой периметр удалось преодолеть из-за уязвимостей веб-приложений, а в 23 % — из-за уязвимостей, связанных с использованием словарных паролей. В результате, более чем в половине случаев от лица внешнего нарушителя удалось получить полный контроль над критически важными ресурсами компаний, такими как система Active Directory, СУБД, ERP-система и др.