Эксперты Positive Technologies рассказали о результатах тестированиий на проникновение, проведенных для организаций в 2023 году. Исследователи верифицировали возможность реализации 90% недопустимых событий, дополнительно обозначенных заказчиками. Эксперты выяснили, что каждая третья выявленная уязвимость имела критический или высокий уровень опасности. Большинство из них связано с наличием устаревшего программного обеспечения в информационных системах компаний.
В ходе проведения внешних пентестов в 2023 году было найдено 423 уязвимости, из которых 34% представляли серьезную опасность. Основными причинами неудовлетворительного состояния защищенности организаций стали устаревшие версии используемого ПО, небезопасная конфигурация компонентов ИТ-систем и недостатки парольной политики. Критически опасные уязвимости, связанные с устаревшими версиями ПО, были выявлены в ходе внутреннего пентеста в 38% организаций. Уязвимости, которые уже используются в кибератаках и те, эксплуатация которых прогнозируется на ближайшее время, называются трендовыми. Их необходимо устранять в первую очередь.
Результаты исследования показали, что основными причинами успешного проникновения во внутреннюю инфраструктуру организаций стали недостатки парольной политики, уязвимости в коде веб-приложений (в том числе сторонних продуктов) и недостатки конфигурации сервисов, находящихся на периметре сети (например, VPN и Citrix).
В подавляющем большинстве проектов были обнаружены векторы атак низкой (38%) и средней (50%) сложности. Кибератаки низкого уровня сложности может проводить нарушитель, который имеет лишь базовые знания и пользуется общедоступными эксплойтами и автоматизированным ПО для проведения атак. Например, в таких векторах можно задействовать две уязвимости в Microsoft Exchange с общедоступными эксплойтами: первую — для удаленного выполнения кода (CVE-2022-41082), вторую — для повышения привилегий (CVE-2022-41080). Эксплуатация такой комбинации уязвимостей позволит злоумышленнику проникнуть внутрь системы и повысить привилегии на узле. Это может привести к реализации недопустимых для организации событий.
Эксперты рекомендуют компаниям уделить особое внимание парольной политике, безопасности веб-приложений и уязвимостям продуктов сторонних вендоров, используемых в информационных системах.
