Белые хакеры захватили данные компаний за 13 минут

Воспользовавшись автоматизирванным пентестом этичные хакеры за 13 минут смогли захватить оборудование и получить доступ к важным приложениям и данным в 60% компаний.

Об автоматизированном тестировании на проникновение Positive Technologies Dephaze пишет «КоммерсантЪ». В более чем половине случаев у хакеров получилось захватить компьютер или сервер, получить доступ к важным приложениям и данным либо взять под контроль службу, через которую управляют пользователями и их правами во всей организации.

В 90% случаев сделать это удавалось, используя учетные данные (56%) и механизмы аутентификации (35%). В Positive Technologies отметили, только в 6% ситуаций хакеры использовали программную уязвимость.

У 96% компаний были в свободном доступе логины, у 77% — пароли. Ошибок в конфигурациях в два раза больше, уязвимостей. В ИБ-компании подчеркнули:

Такой масштаб указывает на то, что потенциально полезные для атакующего данные сохраняются в разных компонентах инфраструктуры: в конфигурациях, служебных файлах, системных хранилищах, памяти процессов и результатах работы прикладного ПО.

Руководитель департамента по работе с уязвимостями и инцидентами ИБ компании «Бастион» Дмитрий Калинин отметил:

Основная причина распространенности простых уязвимостей заключается в том, что сложность современной ИТ-инфраструктуры растет быстрее, чем способность организаций контролировать все изменения.

Также он подчеркнул:

Главное преимущество автоматизированного пентеста — возможность проводить проверки регулярно, а не раз в год или после существенных изменений инфраструктуры.

Автоматизированный пентест рассматривают и другие компании на ИБ-рынке. Там считают, такое решение снизит порог входа компаниям, которые ранее не могли использовать проверку из-за высокой стоимости работы команды пентестеров. Теперь проверять защищенность получится чаще, как и сократить время между появлением опасной ошибки и ее обнаружением.

изображение magnific