Аналитика

Киберпреступники все чаще используют методы социальной инженерии для проникновения в инфраструктуру организации при целевой атаке. Человеческий фактор по-прежнему остается слабым звеном в любой системе защиты, поэтому сегодня как никогда возрастает потребность в обучении сотрудников основам информационной безопасности. Продуктивный способ научиться противостоять кибермошенникам — реальная практика, которая предполагает воспроизведение действий потенциального нарушителя без ущерба корпоративной инфраструктуре. Эксперты Positive Technologies регулярно выполняют работы по оценке осведомленности сотрудников в вопросах ИБ для крупнейших компаний в России и за рубежом. В этом исследовании представлена статистика и аналитические данные по результатам 10 наиболее показательных проектов за 2016 и 2017 годы, а также примеры успешных сценариев атак на сотрудников организаций. Такие работы основаны на использовании различных методов социальной инженерии и, как правило, связаны с рассылкой электронных писем, телефонным взаимодействием, а также общением через социальные сети.

Представленный отчет содержит статистику по уязвимостям 33 веб-приложений, которые были исследованы в рамках работ по автоматизированному анализу защищенности с применением PT Application Inspector в 2017 году. Оценка защищенности проводилась методом белого ящика в автоматизированном режиме с применением анализатора исходных кодов PT AI. Метод заключается в том, что для оценки защищенности информационной системы используются все необходимые данные о ней, включая исходный код приложений. Было установлено, что все веб-приложения имеют уязвимости, причем всего лишь в 6% исследованных систем отсутствуют уязвимости высокой степени риска. В 85% протестированных веб-приложений присутствуют уязвимости, которые позволяют проводить атаки на пользователей. Используя данные уязвимости, злоумышленник может похищать cookie пользователей, проводить фишинговые атаки или заражать их рабочие станции вредоносным программным обеспечением.

В данном исследовании представлена статистика атак на веб-приложения за IV квартал 2017 года. В отчете рассмотрены наиболее распространенные типы атак, цели атак, их источники, а также интенсивность и распределение во времени. Кроме того, приводится статистика по отдельным отраслям экономики. Исследование атак позволяет оценить текущие тенденции в области безопасности веб-приложений, выявить актуальные угрозы и выделить
факторы, на которые прежде всего следует обратить внимание при разработке веб-приложения и построении системы защиты. Приведенные в отчете примеры атак были проверены вручную на предмет ложных срабатываний и являются достоверными.

На протяжении года мы ежеквартально делились информацией об актуальных угрозах информационной безопасности, выделяли современные техники и механизмы реализации атак и рассказывали, как правильно организовать защиту от киберпреступников. В этом отчете мы подведем итоги 2017 года и рассмотрим, как менялось поведение злоумышленников, как отличались методы их действий в зависимости от отрасли и чего нам ждать от 2018 года.

По разным оценкам, объем инвестиций, привлеченных с помощью Initial Coin Offering (ICO) в 2017 году, превысил 5 млрд долл. США. Специалисты Positive Technologies в 2017 году реализовали множество проектов по анализу безопасности и защите от киберпреступников как процедуры ICO, так и внедрения блокчейн-технологий в банках в России и за рубежом. Проекты охватывали анализ безопасности инфраструктуры, веб-ресурсов, защиты от атак на организаторов и социальной инженерии в адрес инвесторов, поиск уязвимостей в смарт-контрактах и в методах аутентификации. Мы проанализировали результаты проведенных проектов и выяснили, где у ICO самые проблемные места.