НКЦКИ озаботился защитой пользователей от атак через веб-приложения

НКЦКИ озаботился защитой пользователей от атак через веб-приложения

НКЦКИ озаботился защитой пользователей от атак через веб-приложения

Ввиду роста количества атак в рунете Национальный координационный центр по компьютерным инцидентам (НКЦКИ) опубликовал рекомендации по повышению уровня защищенности веб-приложений и минимизации рисков для пользователей.

При проведении атак на пользователей веб-приложений злоумышленники зачастую используют зависимости в коде, обеспечивающие взаимодействие со страницами сайта на стороне клиента, — подключаемые JavaScript-библиотеки, фреймворки CSS, информационные, аналитические и защитные плагины, а также шрифты, подгружаемые со сторонних серверов. Подмена таких модулей позволяет авторам атак размещать на сайтах вредоносные скрипты, собирать конфиденциальные данные посредством фишинга, перенаправлять пользователей на потенциально опасные ресурсы.

Для повышения безопасности веб-приложений и предотвращения злонамеренного вмешательства в их работу НКЦКИ рекомендует (PDF) принять следующие меры:

  1. Предоставить законным пользователям возможность самостоятельно завершать сеансы работы в веб-приложении.
  2. Обеспечить гарантированное удаление идентификатора сессии по ее завершении на стороне клиента.
  3. Ввести обязательную аутентификацию для доступа к защищенным ресурсам веб-приложений и внесения изменений в профили пользователя.
  4. Обеспечить криптозащиту аутентификационных данных пользователей при хранении.
  5. Исключить хранение аутентификационных данных и информации о структуре каталогов на сервере в файлах, доступных по URL.
  6. Запретить использование заголовка REFERER в качестве основного механизма авторизации.
  7. Использовать параметризованные запросы к базам данных SQL, либо применить санацию пользовательского ввода.
  8. Использовать фильтрацию входного потока данных.
  9. Запретить использование HTML-тегов <img> и <table> в пользовательском вводе.
  10. Очистить сообщения об ошибках от такой информации, как данные о структуре файловой системы, фрагменты кода, подробности обращения к СУБД; ввести в обиход страницу-заглушку с кодом ошибки 200.
  11. Использовать надежные протоколы для аутентификации пользователей (Kerberos, TLS 1.2 и выше).
  12. Использовать POST-запросы для передачи аутентификационных данных на сервер.
  13. Исключить использование внешних сущностей, внешних параметров сущностей и внешних описаний типа документа при обработке данных в формате XML.
  14. Запретить кеширование конфиденциальных данных, вводимых в веб-формы, ограничить доступ к содержимому куки-файлов с помощью атрибутов HTTPOnly и secure.
  15. Обеспечить проверку корректности вводимых пользователем данных и на стороне клиента, и на стороне сервера.
  16. Включить в HTTP-заголовки сведения об используемой кодировке и запретить ее замену для всех источников входных данных.
  17. Ввести проверку благонадежности стороннего JavaScript-кода перед его использованием.
  18. Регулярно проверять хеш-суммы файлов JavaScript; при обнаружении изменений следует немедленно прекратить использование кода и повторно проверить функциональность.
  19. Отказаться от использования динамически формируемых JavaScript.
  20. Отдавать предпочтение загрузке внешних зависимостей из контролируемых источников.
  21. Разработать и поддерживать в актуальном состоянии планы реагирования на DDoS-атаки, утечки, дефейс сайта, несанкционированный доступ к интерфейсу управления.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

78% промышленных компаний заместили менее 70% ПО для работы с данными

Согласно совместному исследованию К2Тех и Arenadata, 22% российских промышленных компаний достигли высокого уровня замещения (более 70%), а 78% — заместили менее 70% ПО.

В исследовании приняли участие 97 руководителей и директоров компаний из различных отраслей промышленности.

Как показал опрос, 82% промышленных предприятий стали больше доверять отечественному ПО для работы с данными. 40% готовы внедрять такие решения в процессы планирования, аналитики и оптимизации производственных процессов.

Доля отечественного ПО на предприятиях пока относительно невысокая. 78% предприятий заместили менее 70% решений по работе с данными. При этом большинство из них находятся в диапазоне замещения от 31% до 50%.

Ключевые критерии решений для обработки Big Data — безопасность решения (59% респондентов), функциональность (51%) и цена обслуживания (44%). Высокий показатель по безопасности связан с тем, что значительная часть респондентов подпадает под регулирование объектов критической критической информационной инфраструктуры.

Основные препятствия для внедрения решений по работе с данными, в том числе отечественных, по мнению респондентов, — высокая стоимость (19%), кадровый дефицит (19%), неготовность инфраструктуры (12%) и низкое качество имеющегося на рынке ПО (12%).

Из реальных эффектов 40% заказчиков надеются на увеличение прибыли. 30% намерены снизить издержки, а 28% — получить информацию для принятия обоснованных управленческих решений. Но заказчики не питают иллюзий к сверхскоростному возврату инвестиций в проекты с применением Big Data. 44% компаний ожидают возврата инвестиций в течение 3-4 лет, 23% — в течение 5 лет.

«Ситуация по импортозамещению решений по большим данным в промышленности, которую показало исследование, практически точно попадает под закон Парето. 22% компаний заместили более 70% решений по работе с данными. В основном это крупные предприятия, которые имели возможность быстро приступить к миграции и выделять на это достаточный бюджет. И именно эти 22% дают импульс для импортозамещения оставшихся 78%. Наличие на рынке промышленности реальных проектов с применением отечественного ПО по работе с данными позволяет российским вендорам получать обратную связь по своим решениям и дорабатывать их под запросы рынка, а для других предприятий-заказчиков такие кейсы — реальный пример экономических эффектов от решений с Big Data, повышающий доверие к российскому ПО», — отметил заместитель генерального директора К2Тех Игорь Зельдец.

«Данные — важный актив для промышленных предприятий, и лидеры отрасли это понимают. Поэтому все чаще запускают полноценные проекты по работе с данными, разворачивают пилоты. Исследование показывает, что промышленники представляют, какие бизнес-эффекты может принести внедрение технологий Big Data, и активно взаимодействуют с вендорами, у которых уже есть успешные кейсы внедрения их решений», — пояснил директор департамента Группы Arenadata по работе с промышленным сектором Максим Власюк.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru