8 июня 2016 / время чтения: 2 мин. / всего просмотров: 2
Большинство web-сервисов имеют как минимум одну опасную уязвимость
Исследователи High-Tech Bridge обнаружили, что свыше 60% web-сервисов или мобильных API содержат как минимум одну опасную уязвимость, позволяющую скомпрометировать базу данных. 35% уязвимых к XSS-атакам сайтов также уязвимы к SQL-инъекциям и XXE-атакам. Такие данные предоставлены в отчете компании об основных киберугрозах за начало 2016 года.
В этом году в 5 раз участились случаи эксплуатации опасных уязвимостей (например, позволяющих осуществить SQL-инъекцию) в ходе атак RansomWeb. Данный способ заключается в том, что злоумышленники шифруют базу данных и требуют выкуп за ее восстановление.
23% сайтов по-прежнему используют спорный протокол SSLv3 (в топ-5 стран входят США, Германия, Великобритания, Франция и Россия). 97% ресурсов используют протокол TLS 1.0 (в топ-5 стран входят США, Россия, Германия, Великобритания и Нидерланды). Совет по стандартам безопасности индустрии платежных карт (Payment Card Industry Security Standards Council, PCI SSC) ввел ограничение на использование данного протокола с июня 2018 года.
23% сайтов содержат уязвимость POODLE, и только 0,43% - Heartbleed. Конфигурация SSL/TLS соответствует требованиям PCI SSC у 24,3% ресурсов, и только у 1,38% сайтов соответствует рекомендациям Национального института стандартов и технологий США (NIST).
79,9% web-серверов имеют неправильно сконфигурированные или небезопасные заголовки HTTP. Все актуальные на сегодняшний день необходимые обновления и исправления установлены только на 27,8% web-серверов.
Web-приложения, защищенные межсетевыми экранами, в среднем содержат на 20% больше уязвимостей, чем незащищенные. Возможность обхода межсетевых экранов существует у 60% приложений.
Наиболее часто мошеннические домены встречаются среди доменов верхнего уровня .com и .org. Лидерами по количеству вредоносных и мошеннических сайтов являются США, Сингапур и Польша.
В этом году в 5 раз участились случаи эксплуатации опасных уязвимостей (например, позволяющих осуществить SQL-инъекцию) в ходе атак RansomWeb. Данный способ заключается в том, что злоумышленники шифруют базу данных и требуют выкуп за ее восстановление.
23% сайтов по-прежнему используют спорный протокол SSLv3 (в топ-5 стран входят США, Германия, Великобритания, Франция и Россия). 97% ресурсов используют протокол TLS 1.0 (в топ-5 стран входят США, Россия, Германия, Великобритания и Нидерланды). Совет по стандартам безопасности индустрии платежных карт (Payment Card Industry Security Standards Council, PCI SSC) ввел ограничение на использование данного протокола с июня 2018 года.
23% сайтов содержат уязвимость POODLE, и только 0,43% - Heartbleed. Конфигурация SSL/TLS соответствует требованиям PCI SSC у 24,3% ресурсов, и только у 1,38% сайтов соответствует рекомендациям Национального института стандартов и технологий США (NIST).
79,9% web-серверов имеют неправильно сконфигурированные или небезопасные заголовки HTTP. Все актуальные на сегодняшний день необходимые обновления и исправления установлены только на 27,8% web-серверов.
Web-приложения, защищенные межсетевыми экранами, в среднем содержат на 20% больше уязвимостей, чем незащищенные. Возможность обхода межсетевых экранов существует у 60% приложений.
Наиболее часто мошеннические домены встречаются среди доменов верхнего уровня .com и .org. Лидерами по количеству вредоносных и мошеннических сайтов являются США, Сингапур и Польша.
Анна Воробьева