Positive Technologies: 83% сайтов имеют критичные уязвимости

Отчет основан на данных, полученных экспертами компании Positive Technologies при выполнении консалтинговых проектов по заказу российских компаний различных секторов экономики, включая телекоммуникационный, финансовый и нефтегазовый секторы. Часть информации была получена в ходе проекта по мониторингу безопасности веб-приложений, реализованного компаниями Positive Technologies и Хостинг-Центр РБК на базе системы MaxPatrol.

В отчет вошли данные по 10 459 Web-приложениям, доступным из Интернета. Суммарно во всех приложениях была обнаружена 33 931 ошибка различной степени риска. При анализе были задействованы различные методики проведения обследования, обнаруженные уязвимости классифицировались согласно Web Security Threat Classification международной организации Web Application Security Consortium.

По результатам отчета 83% сайтов имеют критичные уязвимости, а в 78-ми случаях из ста в программном обеспечении веб-приложения содержатся уязвимости средней степени риска. Корреляция информации между обнаруженными взломами веб-приложений и использованными при этом уязвимостями показала, что до 20% веб-приложений могут быть инфицированы автоматизированным способом.

Наиболее распространенной уязвимостью, как и в прошлом году, является «межсайтовое выполнение сценариев» (Cross-Site Scripting, XSS) — каждый второй сайт содержит подобную уязвимость, остальное приходится на «внедрение операторов SQL» (SQL Injection), различные варианты утечки информации (Information Leakage), «чтение произвольных файлов» (Path Traversal) и «подбор пароля» (Brute Force).

По сравнению с результатами 2006 и 2007 годов ситуация несколько улучшилась, но уязвимости в веб-приложениях по-прежнему остаются одним из наиболее распространенных недостатков обеспечения защиты информации в организациях, и недооценка связанных с этим рисков является основным фактором текущего низкого состояния защищенности большинства из них.