rss Twitter Добавить виджет на Яндекс
Реклама:
     
 

Innostage: 77% организаций в России недостаточно защищены от взлома

(Официальное сообщение компании (пресс-релиз))

Данный материал размещен пользователем сайта. Мнение редакции может не совпадать с мнением автора
Группа анализа защищенности компании Innostage провела тестирование на проникновение (пентест) в российских компаниях и подводит промежуточные итоги. Целью пентеста являлось получение максимально возможных привилегий или выполнение нелегитимного действия по отношению к ИТ-инфраструктуре организации.

В 77% организаций специалистам удалось получить административный доступ к критичным объектам или чувствительной информации, находясь за пределами внешнего периметра.
 
В рамках внутренних пентестов (изнутри ИТ-инфраструктуры) удалось скомпрометировать доменную инфраструктуру 91% организаций-участников. Рекордная по скорости компрометация заняла всего 3 часа.
 
В процессе проведения фишинговых рассылок у каждой второй компании более 10% сотрудников отреагировали на письмо и выполнили соответствующие действия: выслали ответное письмо с запрашиваемой информацией, запустили вредоносное ПО, ввели учетные данные. В одной из компаний этот показатель обратной связи достиг 34%, что явно говорит о недостатке осведомленности сотрудников об атаках с применением социальной инженерии.
 
«Полученные нами результаты говорят, что в 61,5% организаций уровень защищенности недостаточный для противодействия внешнему нарушителю и в 91% – недостаточный для защиты от внутреннего нарушителя», ― рассказывает Александр Борисов, руководитель направления анализа защищенности Innostage.
 
Аналитики Innostage отмечают, что основными уязвимостями, используемыми при преодолении сетевого периметра, являются уязвимости веб-приложений и использование слабых паролей для внешних сетевых сервисов.
 
Использование предсказуемых паролей пользователями не только дает возможность внешнему удаленному злоумышленнику преодолеть сетевой периметр организации, но и делает уязвимым внутреннюю ИТ-инфраструктуру. Зачастую парольная политика в компаниях существует только на бумаге. Дополнительные средства, которые могли бы контролировать ее исполнение, организации не применяли. Используемые компаниями стандартные средства контроля не могли обеспечить достойное соблюдение требований к длине или сложности пароля. В сервисах, не поддерживающих централизованное управление парольной политикой, контроль учетных данных отсутствовал полностью.
 
Кроме использования словарных паролей, аналитики Innostage выделяют избыточные и небезопасные протоколы. При этом в большинстве случаев они не являлись технической необходимостью, представляя собой настройку «по умолчанию».
 
Уязвимости, эксплуатация которых способствовала успешному проведению атак в процессе внутреннего тестирования, и процентное соотношение частоты использования в ходе проведения работ специалистами Innostage представлены ниже:
· использование предсказуемых паролей (87%),
· применение небезопасных протоколов (78%),
· небезопасная конфигурация учетных записей в AD (39%),
· небезопасная конфигурация хостов в домене (39%),
· отсутствие принудительной подписи протоколов (34%),
· небезопасное хранение паролей (30%),
· отсутствие разграничения доступа к информации, размещенной в общих сетевых папках (17%),
· небезопасная конфигурация AD CS (13%).
 
По итогам проведенных работ организации получили рекомендации по повышению уровня защищенности с учетом особенностей импортозамещения.

Автор: Татьяна Алексеева

Рубрики: Безопасность

наверх
 
 
     

А знаете ли Вы что?

     
 

MSKIT.RU: последние новости Москвы и Центра

02.02.2023 На Дальнем Востоке запустили первый дата-центр уровня Tier III

24.01.2023 Будущее профориентации лежит в сфере ИТ

12.01.2023 Рынок ИКТ: рост на фоне падения

12.01.2023 IDC: цены на ПК будут падать

10.01.2023 «Архивное дело» на ЭОС Платформе, версия 6.2: новые возможности для создания электронных архивов в импортонезависимой среде

15.12.2022 Глобальный телеком ждут сложности

13.12.2022 IDC FutureScape: 10 трендов цифровой инфраструктуры будущего

12.12.2022 В РАН представили последние достижения в области системного программирования

NNIT.RU: последние новости Нижнего Новгорода

02.02.2023 На Дальнем Востоке запустили первый дата-центр уровня Tier III

24.01.2023 Будущее профориентации лежит в сфере ИТ

12.01.2023 Рынок ИКТ: рост на фоне падения

12.01.2023 IDC: цены на ПК будут падать

10.01.2023 «Архивное дело» на ЭОС Платформе, версия 6.2: новые возможности для создания электронных архивов в импортонезависимой среде

15.12.2022 Глобальный телеком ждут сложности

13.12.2022 IDC FutureScape: 10 трендов цифровой инфраструктуры будущего

12.12.2022 В РАН представили последние достижения в области системного программирования

ITSZ.RU: последние новости Петербурга

02.02.2023 На Дальнем Востоке запустили первый дата-центр уровня Tier III

24.01.2023 Будущее профориентации лежит в сфере ИТ

12.01.2023 Рынок ИКТ: рост на фоне падения

12.01.2023 IDC: цены на ПК будут падать

10.01.2023 «Архивное дело» на ЭОС Платформе, версия 6.2: новые возможности для создания электронных архивов в импортонезависимой среде

15.12.2022 Глобальный телеком ждут сложности

13.12.2022 IDC FutureScape: 10 трендов цифровой инфраструктуры будущего

12.12.2022 В РАН представили последние достижения в области системного программирования