Опрос
|
реклама
Быстрый переход
Microsoft хранила пароли и учётные данные сотрудников на незащищённом сервере
10.04.2024 [17:28],
Дмитрий Федоров
Microsoft в очередной раз столкнулась с крупным проколом в области кибербезопасности. Её сервер, связанный с поисковой системой Bing, на котором хранились учётные данные сотрудников для доступа к внутренним системам, содержащиеся в различных скриптах, коде и файлах конфигурации, не был защищён паролем и оставался открытым для свободного доступа из интернета. 
Источник изображения: methodshop / Pixabay Уязвимость была обнаружена 6 февраля тремя специалистами компании SOCRadar, специализирующейся на обнаружении слабых мест в кибербезопасности корпораций, и уже 5 марта Microsoft закрыла доступ к злополучному серверу. Тем не менее, остаётся неясным, успели ли злоумышленники воспользоваться уязвимостью до её устранения. Ситуация вызвала беспокойство среди специалистов по кибербезопасности, поскольку использование злоумышленниками этих учётных данных могло бы открыть им дорогу к более чувствительной информации. Джан Йолери (Can Yoleri), один из специалистов SOCRadar, выразил опасения, что такой инцидент может привести к более значительным утечкам данных и, возможно, скомпрометировать используемые сервисы. В настоящее время Microsoft пересматривает свои практики информационной безопасности и активно работает над усилением защиты своих систем и данных. Проблемы с кибербезопасностью в Microsoft не новы. В начале месяца компания столкнулась с критикой Совета по оценке кибербезопасности (CSRB) США за недостаточную защиту данных. Так, в 2023 году из-за уязвимостей в программном обеспечении Exchange Online китайские хакеры смогли получить доступ к системам электронной почты американского правительства. Ещё один инцидент произошёл в 2022 году, когда сотрудники Microsoft загрузили на платформу GitHub секретные учётные данные для входа в системы Microsoft. Microsoft могла бы помешать китайским хакерам взломать почту правительства США в прошлом году
03.04.2024 [19:22],
Владимир Фетисов
Компания Microsoft могла бы предотвратить прошлогоднюю хакерскую атаку на свои сервисы, в рамках которой злоумышленникам удалось получить доступ к содержимому почтовых ящиков госслужащих США, в том числе работающих в сфере национальной безопасности. Об этом сказано в опубликованном на этой неделе докладе Совета по оценке кибербезопасности (CSRB) США, входящего в состав Министерства внутренней безопасности (DHS). 
Источник изображения: Franz Bachinger / pixabay.com Речь идёт об инциденте, который описывался как «каскад сбоев в системе безопасности» Microsoft и позволил предположительно китайским правительственным хакерам получить доступ к электронным почтовым ящикам сотрудников 22 государственных организаций. В общей сложности инцидент затронул более 500 госслужащих. В сообщении CSRB сказано, что взлом можно было «предотвратить», а ряд принимаемых внутри Microsoft решений способствовал формированию «корпоративной культуры, не придающей приоритетного внимания инвестированию в корпоративную безопасности и принятию жёстких мер по снижению рисков». В ходе той атаки злоумышленники задействовали ключ подписи потребительских аккаунтов Microsoft для генерации поддельных токенов, открывающих доступ к аккаунтам в веб-версии почтового сервиса Outlook (OWA) и Outlook.com. В отчёте CSRB сказано, что Microsoft до сих пор точно не установила, как именно хакерам удалось украсть ключ подписи аккаунтов. По одной из версий, он являлся частью аварийного дампа, но специалисты так и не смогли его найти. Не имея доступа к этому дампу Microsoft не может точно установить, как именно был похищен ключ. «Наша основная гипотеза заключается в том, что в результате операционных ошибок ключ покинул защищённую среду подписания токенов, и позднее к нему был получен доступ в среде отладки через взломанную учётную запись инженера», — говорится в сообщении Microsoft. «Совет считает, что это вторжение можно было предотвратить и оно не должно было произойти. Совет также пришёл к выводу, что культура безопасности Microsoft не отвечает современным требованиям и требует пересмотра, особенно в свете центральной роли компании в технологической экосистеме и уровня доверия клиентов к компании в плане защиты своих данных и операций», — сказано в заявлении CSRB. По данным источника, Microsoft работает над пересмотром системы безопасности в своём программном обеспечении, и эта деятельность началась вскоре после инцидента со взломом почтовых ящиков правительственных чиновников в прошлом году. Новая инициатива Microsoft Secure Future Initiative (SFI) призвана полностью изменить методы проектирования, сборки, тестирования и эксплуатации своего программного обеспечения и услуг. 1,12 млрд записей с данными россиян утекли в интернет в прошлом году — на 60 % больше, чем в 2022 года
11.03.2024 [14:21],
Владимир Фетисов
Объём утёкших персональных данных россиян составил 1,12 млрд записей в 2023 году. Это почти на 60 % больше по сравнению с аналогичным показателем 2022 года, когда было скомпрометировано 702 млн записей. Об этом пишет РБК со ссылкой на данные исследования экспертно-аналитического центра ГК InfoWatch. 
Источник изображения: pixabay.com «Если говорить о количестве инцидентов, то в 2023 году оно сократилось на 15 % и составило 656 эпизодов. Однако это незначительное снижение с лихвой компенсируется растущим ущербом, который организации получают от результативных утечек», — прокомментировал данный вопрос руководитель направления аналитики и спецпроектов экспертно-аналитического центра ГК InfoWatch Андрей Арсентьев. Он также добавил, что среднее количество слитых за один инцидент данных в прошлом году увеличилось почти вдвое, с 0,9 млн до 1,7 млн записей. В общей сложности за год из российских компаний утекли 95 крупных баз данных, что на 28 % больше по сравнению с показателем 2022 года. Результатом кибератак стали более 80 % утечек. При этом каждая десятая утечка напрямую связана с действиями персонала, но относительно 2022 года этот показатель снизился на 45 %. Опрос InfoWatch указывает на то, что 35 % представителей компаний относят утечки, вызванные действиями персонала, к наиболее актуальным угрозам. Масштаб ущерба от утечек персональных данных может быть недооценён, поскольку более чем в 35 % таких случаев объём украденной информации остался неизвестен. По мнению экспертов, эта тенденция связана с появлением крупных хранилищ персональных данных в рамках ускоренной цифровизации экономики страны. В настоящее время основными мишенями для кибератак становятся социальные сервисы, операторы связи, маркетплейсы и другие интернет-платформы. По данным источника, с 2022 года российскую инфраструктуру регулярно атакуют так называемые хактивисты, которые не пытаются извлечь финансовую выгоду, а стремятся скомпрометировать как можно больше данных по политическим мотивам. В последнее время количество таких атак неуклонно растёт. Представители малого и среднего бизнеса наиболее уязвимы перед такими атаками, поскольку в их распоряжении значительно меньше ресурсов для обеспечения информационной безопасности, чем у крупных компаний. На этом фоне аналитики зафиксировали увеличение доли ИП и компаний малого бизнеса в структуре утечек с 18,5 % до 34,1 %. При этом доли крупных и средних игроков снизились с 54,3 % до 47,3 % и с 27,2 % до 18,6 % соответственно. С точки зрения отраслевого распределения за год выросла доля банков с 7,5 % до 10 %. При этом доля компаний из IT-сферы и информационной безопасности сократилась с 27,1 % до 18,8 %. В InfoWatch также отметили увеличение доли утечек государственной тайны в 2023 году с 1,8 % до 6,6 % (из них 73,6 % информации относились к персональным данным). Общий объём утёкших из госорганов данных вырос до 19,2 % (рост на 5,3 % относительно 2022 года). Для обеспечения более надёжной защиты данных в прошлом году 59 % организаций провели обучение сотрудников основам информационной безопасности и цифровой гигиены, 27 % — внедрили системы защиты от кибератак, 17 % — установили DLP-системы, помогающие предотвращать утечки данных. Белый дом рекомендовал отказаться от C и C++ в пользу безопасных языков программирования
29.02.2024 [08:15],
Дмитрий Федоров
Офис национального директора по кибербезопасности (ONCD) Белого дома США призвал разработчиков отказаться от использования языков программирования C и C++ в разработке критически важного ПО. Этот совет основывается на опасениях, связанных с безопасностью управления памятью — аспекте, играющем критическую роль в предотвращении уязвимостей, таких как переполнение буфера и висячие указатели. 
Источник изображения: xusenru / Pixabay Неправильное управление памятью в программном коде может привести к серьёзным уязвимостям, позволяя злоумышленникам осуществлять кибератаки. Языки программирования, такие как Java, благодаря своим механизмам обнаружения ошибок во время выполнения, считаются безопасными в отношении управления памятью. В отличие от них, C и C++ позволяют разработчикам выполнять операции с указателями и обращаться непосредственно к адресам в памяти компьютера. Это включает в себя чтение и запись данных в любом месте памяти, к которому они могут получить доступ через указатель. Однако эти языки не проводят автоматической проверки на то, выходят ли эти операции за пределы выделенного для данных или структур пространства в памяти. Такая проверка называется «проверкой границ». Отсутствие такой проверки означает, что программист может случайно или намеренно записать данные за пределы выделенного блока памяти, что может привести к перезаписи других данных, испорченным данным или, в худшем случае, к уязвимостям безопасности, которые злоумышленники могут использовать для выполнения вредоносного кода или получения контроля над системой. Отчёт ONCD подчёркивает, что около 70 % всех уязвимостей в системе безопасности, выявленных инженерами Microsoft в 2019 году и Google в 2020 году, были связаны именно с нарушениями безопасности памяти. Эта статистика ясно демонстрирует необходимость переосмысления подходов к разработке ПО в контексте нынешней стратегии кибербезопасности США. В отчёте не только указывается на проблемы с C и C++, но и предлагается ряд альтернатив — языков программирования, признанных «безопасными для памяти». Среди рекомендованных Агентством национальной безопасности (NSA) языков находятся: Rust, Go, C#, Java, Swift, JavaScript и Ruby. Эти языки включают в себя механизмы, предотвращающие распространённые типы атак на память, тем самым повышая безопасность разрабатываемых систем. 
Индекс TIOBE на февраль 2024 года (источник изображения: tiobe.com) Анализ популярности языков программирования по версии индекса TIOBE показывает, что из предложенных NSA языков C# занимает пятое место по популярности, Java — четвёртое, JavaScript — шестое, а Go — восьмое. Эти данные указывают на то, что часть рекомендуемых языков уже имеет широкое распространение и признание в профессиональном сообществе разработчиков. Инициатива Белого дома выходит за рамки простого перечисления рекомендаций. Она включает в себя стратегический план по укреплению кибербезопасности на национальном уровне, что отражено в исполнительном приказе президента Джо Байдена (Joe Biden) от марта 2023 года. Этот документ задаёт направление для всестороннего сотрудничества между государственным сектором, технологическими компаниями и общественностью в целях разработки и внедрения безопасного ПО и аппаратных решений. Заключение отчёта ONCD призывает к сознательному выбору языков программирования с учётом их способности обеспечивать безопасное управление памятью. Это не только техническое руководство для разработчиков, но и стратегическое направление для организаций, занимающихся разработкой критически важного ПО. Переход на использование языков программирования, гарантирующих безопасность памяти, может существенно снизить риск возникновения уязвимостей, повысить надёжность и безопасность цифровой инфраструктуры. |
© 1997—2026 Электронное периодическое издание "3ДНьюс" | Свидетельство о регистрации СМИ Эл ФС 77-22224
выдано Федеральной Службой по надзору за соблюдением законодательства в сфере массовых коммуникаций и охране культурного наследия
При цитировании документа ссылка на сайт с указанием автора обязательна. Полное заимствование документа является
нарушением
российского и международного законодательства и возможно только с согласия редакции 3DNews.
MWC 2018
2018
Computex
IFA 2018
