Статистика уязвимостей Web 2009

В этом году были проанализированы данные о 5560 веб-приложениях протестированных специалистами компании Positive Technologies в ходе предоставления консалтинговых и сервисных услуг по информационной безопасности, таких как тесты на проникновение, анализ защищенности в рамках стандарта PCI DSS и мониторинг защищенности внешнего периметра с использованием системы MaxPatrol.
Практически половина проанализированных систем содержали уязвимости. Суммарно во всех приложениях было обнаружено 13434 ошибок различной степени риска, зафиксировано 1412 образцов вредоносного кода, содержащихся на страницах уязвимых систем. Доля скомпрометированных сайтов распространявших вредоносное программное обеспечение составила 1,7%. Каждый из таких сайтов содержал уязвимости, позволяющие выполнять команды на сервере, что подтверждает возможность использование этих уязвимостей для компрометации системы.
Основной результат исследования неутешителен. Вероятность обнаружения критичной ошибки в веб-приложении автоматическим сканером составляет около 35% и достигает 80% при детальном экспертном анализе. Этот факт демонстрирует невысокую защищенность современных Web-приложений не только от атак со стороны квалифицированных злоумышленников, но и от действий атакующих, вооруженных готовыми утилитами для «автоматического взлома».
Как и ранее, наиболее распространенными ошибками, допускаемыми разработчиками приложений, являются уязвимости «Межсайтовое выполнение сценариев» и «Внедрение операторов SQL» на которые пришлось более 19% и 17% всех обнаруженных уязвимостей соответственно.
С точки зрения соответствия требованиям регуляторов (compliance management) ситуация улучшилась незначительно. До 84% веб-приложений не удовлетворяет требованиям стандарта по защите информации в индустрии платежных карт PCI DSS и 81% не соответствуют критериям ASV-сканирования, определенного в стандарте.
Сравнение результатов с отчетами предыдущих четырех лет показал, что ситуация со степенью защищенности веб-приложений в 2009 в целом улучшилась. Так, анализ устранения уязвимостей на 768 сайтах проверявшихся в 2008 и 2009 году показал, что более 60 процентов владельцев устранили все критичные уязвимости в течение года и существенно повысили защищенность своих ресурсах. В целом регулярный анализ защищенности веб-приложений и налаженный процесс устранения выявленных недостатков позволяют за год уменьшить число уязвимых сайтов в среднем втрое.


Ссылки: pdf html

Точки доступа. Шифровать или штрафовать?!

Забавная новость из Германии.

Высший уголовный суд Германии вынес постановление, согласно которому все приватные WiFi-сети в стране обязаны быть защищены паролем, чтобы предотвратить вероятность несанкционированного выхода в интернет со стороны третьих лиц.

http://www.securitylab.ru/news/393783.php

http://www.msnbc.msn.com/id/37107291/ns/technology_and_science-security/

Тут же возникают аллюзии с Шнаером (http://www.schneier.com/blog/archives/2008/01/my_open_wireles.html) который со своей криптографической колокольни вообще предлагает открыть все точки из соображений в стиле хиппи.

Providing internet access to guests is kind of like providing heat and electricity, or a hot cup of tea

Собственно две противоположной точки зрения, и я здесь больше на стороне Германского суда.

Прежде всего, потому как проблемы связанные с открытым WiFi доступом несколько шире, чем кажется.
Это и взлом домашних компьютеров, которые "за фаерволом" и мелкий бытовой шпионаж и тривиальная кража трафика и использованием соединения с сетью для всяких неприглядных дел... И потом доказывай, что это это не ты взламывал сайты Пентагона и качал гигабайты защищенного законодательством материала.
Более того, начав предоставлять доступа в интернет мы автоматически попадаем... (или не попадаем, или можем не попасть) по требования 126-ФЗ "О связи" или нарушение договора с оператором, что радует безмерно.
Обо всем этом Шнайер упоминает, но как-то ... легкомысленно. Например его тезис, что он будет защищать свой ноут от врагов в аэропорту конечно правилен, но... Например я особо не буду думать о безопасности медиацентра Iconbit и SOHO NAC на пингвин/самба с которого он показывает медиа... Потому как не поеду с ним в аэропорт :)

Что касается технической стороны, то тут скорее уместен Dynamic PSK или Wireless Provisioning Services от Microsoft (кстати, что с ним?).


PS. Google призналась в сборе данных об открытых городских WiFi-сетях. Просто ужас какой-то. За мной следят со спутника?!

Видео презентаций с Рускрипто 2010

Видеозапись выступления:

Web Application Security Consortium. Перспективы развития




Презентация:
http://sgordey.blogspot.com/2010/04/2010.html

Запись некоторых докладов:

http://video.yandex.ru/users/matros0ff/collection/1/

Еще немного мультиков с CTF

+1 (by Evteev)

Ссылка



+1 +1 (by Matrosoff)

РИФ 2009

Готовясь к новому РИФу наткнулся на прошлогоднее видео.

17.1. Информационная безопасность в Рунете: обзор, статистика, тренды

Ведущий:

Фролов Максим (Лаборатория Касперского)

Рыжиков Сергей (1С-Битрикс)

Участники:

Ярных Андрей
Гордейчик Сергей
Черкашин Павел
Хайретдинов Рустэм
Прозоров Александр

Исходник:

http://www.ok2009.ru/video/

Немного о Рускрипто CTF 2010

Первое место было завоевано командой «CIT», ИТМО, Санкт-Петербург. Второе и третье место распределены между командами «ХакерДом», УрГУ и «Bushwhackers», МГУ, Москва, соответственно.
Команда «SiBears», Томский государственный университет, Томск не вошла в призовую тройку, но заслужила максимальное количество призов в специальных номинациях, получив почетные дипломы как «Лучшие пентестеры», «Защитникам всемирной паутины» и «За бюрократию».
Специальный приз от компании 1С-Битрикс был вручен капитану команды Команда «[Censored]», РГУ им И. Канта, Калининград за защиту Web-приложения, работающего на платформе 1С-Битрикс.

Готовим сайт, а пока фото

+1 private (by Matrosov)

Презентация с Рускрипто 2010

По результатам Рускрипто 2010 публикую презентацию с секции «Интернет и информационная безопасность» (http://www.ruscrypto.ru/conference/program/internet/).

Web Application Security Consortium. Перспективы развития

Сергей Гордейчик, технический директор Positive Technologies, член совета директоров Web Application Security Consortium

Web Application Security Consortium (WASC) - международная организация, объединяющая профессионалов в области безопасности веб-приложений, деятельность которой направлена на консолидацию и распространение передового опыта в области безопасности прикладных систем, использующих Web-технологии. В рамках доклада будет приведен обзор текущих и перспективных проектов WASC, анализ примеров использования разработанных документов и таксономий в реальных проектах.

WASC Project (Ruscripto 2010)

View more presentations from qqlan.