😕 Уязвимости-2024 vs. уязвимости-2025

Наши эксперты рассказали о главных багах безопасности уходящего года и поделились своими прогнозами на предстоящий период. Делимся подробностями.

🕵️ Уязвимости, обнаруженные экспертами PT SWARM (@ptswarm)

За 11 месяцев 2024 года команда PT SWARM (эксперты, исследующие безопасность систем и устройств) помогла устранить 100 уязвимостей нулевого дня в продуктах крупнейших мировых и отечественных производителей. При этом 75 найденных уязвимостей имели высокий или критически высокий уровень опасности.

В российском программном обеспечении специалистами PT SWARM было обнаружено на 39% больше недостатков безопасности, чем в 2023-м. При этом 42% выявленных брешей имеют высокий или критически высокий уровень опасности.

В первую очередь большое количество найденных недостатков связано с возросшим вниманием к кибербезопасности: компании начали активнее искать уязвимости, привлекать специалистов и проводить аудит ПО. Кроме того, увеличилось число исследователей, которые выявляют проблемы и сообщают о них.

Диана Абдурахманова, руководитель группы координированного раскрытия уязвимостей Positive Technologies, отметила:

«В связи с тем, что скорость патч-менеджмента увеличивается, злоумышленники будут еще активнее искать и использовать уязвимости нулевого дня, внимательно отслеживать сведения о свежих багах и создавать для них эксплойты. На фоне импортозамещения продолжит расти количество ошибок в отечественных продуктах».

⚡ Трендовые уязвимости

В этом году наши эксперты отнесли к трендовым более 70 уязвимостей (#втрендеVM): они были обнаружены в операционных системах, прикладном программном обеспечении, системах для резервного копирования, сетевых устройствах и других продуктах. Из них 32 касались продуктов Microsoft.

Больше всего трендовых уязвимостей хакеры использовали для фишинговых атак. Значительная часть этих уязвимостей представляла угрозу сетевой безопасности организаций и могла позволить злоумышленнику проникнуть в инфраструктуру.

Александр Леонов, ведущий эксперт PT Expert Security Center (@ptescalator), рассказал:

«Мы ожидаем, что в 2025 году количество трендовых уязвимостей в продуктах Microsoft сохранится примерно на том же уровне. В связи с импортозамещением предполагается уменьшение влияния ошибок в западных сетевых устройствах на российский ИТ-ландшафт. При этом ожидается увеличение числа трендовых уязвимостей в отечественном ПО: его доля на рынке растет и есть много атакующих, заинтересованных в исследовании и эксплуатации недостатков безопасности в нем».

💻 Уязвимости в аппаратных решениях

С точки зрения безопасности аппаратного обеспечения 2024 год можно назвать годом сложно устранимых и вовсе неустранимых багов, которые затрагивают огромное число пользователей.

Например, используя уязвимость в GigaDevice GD32, обнаруженную нашими экспертами, потенциальный злоумышленник может получить полный доступ к прошивке устройства (подробности в этом посте).

Кроме того, разработчики продолжают повторять старые ошибки. Например, новые SD-картридеры, как выяснили наши эксперты, позволяют подключиться к внутренней шине PCI Express ноутбука с помощью простого эмулятора SD-карты, предоставляя удобную точку входа для DMA-атак (подробности в публикации).

Алексей Усанов, руководитель направления исследований безопасности аппаратных решений Positive Technologies (@positivelabs), отметил:

«Все больше производителей начинают уделять внимание защите своих устройств от атак типа fault injection (атака с внедрением ошибок) и side-channel (атака по сторонним каналам). За последние 5–7 лет оборудование для выполнения таких атак стало относительно недорогим и их количество увеличилось. Теперь очередь за стороной защиты. Мы ожидаем нового раунда противостояния, повышения стоимости подобных атак и ставим на то, что устройства в массе своей станут более защищенными».

👀 О других прогнозах на 2025 год — читайте в материале на нашем сайте.

#PositiveЭксперты
@Positive_Technologies

💵 Компании вкладывают значительные деньги в покупку средств защиты, но достаточно ли этого для обеспечения кибербезопасности?

Спросим у Ярослава Бабина, директора по продуктам для симуляции атак Positive Technologies. В своей колонке для Forbes он отвечает: нет, этого мало. Ведь еще нужно правильно внедрять технические средства защиты, проводить регулярный аудит, вовремя их обновлять и подстраивать под изменения в ИТ-инфраструктуре.

Поэтому нужно не только вооружаться техническими новинками, но и проверять, как они держат удар, с помощью имитации реальных атак. Читайте в статье о том, какие способы «сыграть за хакера» существуют и почему можно доверить эту работу средствам контролируемого автоматического пентеста, таким как PT Dephaze.

#PositiveЭксперты
@Positive_Technologies

🎅 Пока Дед Мороз запрягает своих оленей, составляем список дел пожеланий на 2025 год.

Его пытались взломать хакеры, но мы вовремя все исправили 😎

📞 Чаще разговаривать с мошенниками друзьями и близкими.

✉️ Получать в сообщениях фишинговые ссылки хорошие новости.

🔤 Придумывать только ненадежные пароли.

🫂 Доверять дипфейкам проверенным контактам.

🛡 Не прокачивать цифровую грамотность и быть в неведении курсе действий злоумышленников.

🏗 Строить неустойчивую результативную киберзащиту.

Хороших вам праздников и безопасного Нового года!

Команда @Positive_Technologies 🌟

🐟 Рыба, муха, перо… Нет, это не египетская письменность, а новый конкурс.

Завели себе традицию — дарить свежие номера Positive Research за разгаданные в новогодние каникулы загадки.

В этот раз вам предстоит расшифровать ребусы, нарисованные младшим поколением Positive Technologies — детьми наших коллег. Спасибо всем, кто в этом участвовал, вы — 🔥

Спойлер: это значит, что у журнала появилась новая рубрика — о детской кибербезопасности, но тссс, мы вам ничего не говорили 🤫

Чтобы вам проще было отгадывать, будем давать неочевидные подсказки. Например, практически все мы в детстве занимались тем, что подразумевает сегодняшнее слово.

Уже знаете ответ? Скорее пишите его в комментариях. Журнал (после того, как он выйдет) отправим тому, кто успеет первым.

Удачи!

#PositiveResearch
@Positive_Technologies

😎 За чем-то, что связано с этим словом, гоняются шпионы и суперагенты в кино и книгах.

Это — подсказка к сегодняшнему ребусу, картинки для которого рисовали дети сотрудников нашей компании (❤️).

Сумеете угадать слово и первым написать ответ в комментарии — получите первый посленовогодний выпуск журнала Positive Research.

На старт, внимание, марш!

#PositiveResearch
@Positive_Technologies

😉 Продолжаем проводить каникулы с пользой и разгадывать детские ребусы.

Тому, кто первым напишет в комментариях, какое слово из области ИБ мы зашифровали в сегодняшнем, отправим свежий номер Positive Research сразу после его выпуска.

💡 Подсказка: этот термин некоторым образом связан и с финансовой отраслью, но в сфере безопасности данных появился намного раньше.

Угадали? Ждем ваш ответ.

#PositiveResearch
@Positive_Technologies

😮 Самую сложную задачку мы оставили напоследок!

Подсказки сегодня в эмодзи: 👥🐟 0️⃣3️⃣2️⃣0️⃣2️⃣3️⃣

Сможете узнать, что скрывается в ребусе? За первый правильный ответ в комментариях вручим вам свеженький послепраздничный номер Positive Research.

А уже завтра мы опубликуем все правильные ответы и назовем имена победителей. Не пропустите новый пост!

#PositiveResearch
@Positive_Technologies

😅 Каникулы закончились, а год только начинается.

Не переживаем по этому поводу, ведь впереди столько интересного.

Кстати об этом: обещали опубликовать правильные ответы на ребусы — публикуем.

1️⃣Багхантер

2️⃣ Компрометация

3️⃣ Криптование (да, мы в курсе, что так говорить неправильно, но из ребуса картинку не выкинешь!)

4️⃣ Дедупликация

5️⃣ YoroTrooper


Благодарим всех за участие и поздравляем тех, кто первыми все разгадали ❤️

Вскоре свяжемся с вами, чтобы узнать, куда отправить призы.

Хорошей всем первой короткой рабочей недели и красочного года!

#PositiveResearch
@Positive_Technologies

🔮 Чего ждать от хакеров в 2025 году?

Можно посмотреть в стеклянном шаре, разложить Таро или послушать, что об этом говорят эксперты по кибербезопасности.

Например, Алексей Новиков, управляющий директор Positive Technologies, считает, что:

⬆️ размеры выкупов за расшифровку и непубликацию похищенной информации существенно возрастут;

👥 при этом злоумышленники могут работать в коллаборации и сливать скомпилированные данные, из-за чего расследовать утечки станет сложнее.

Как индустрия может ответить на эти вызовы и что Алексей Новиков хотел бы получить на Новый год от Деда Кибермороза, смотрите в подкасте «ОБИБЭ» (спасибо коллегам, что позвали ❤️).

#PositiveЭксперты
@Positive_Technologies

Следуйте за котиком 🐈‍⬛

В нашем блоге на Хабре наши авторы регулярно публикуют много полезных и интересных статей. Мы благодарны всем, кто их комментирует и ставит свои стрелочки вверх (а с недавних пор еще и эмоциональных мозговых слизней 😍).

Специально для вас к новому году мы подготовили небольшой квест по нашему блогу — уверены, вам понравится поломать голову и поискать ответы на вопросы. А бонусом — первым трем ответившим на все максимально полно мы подарим классные призы 🎁

Ждем ваших ответов — в комментариях на Хабре!

Спойлер: загадки вас ждут даже на картинке к квесту 🔍

@Positive_Technologies

Как безопасность стала ключевым критерием качества приложений 👌

Сегодня красивый интерфейс, удачно расположенные кнопки, полезные функции и быстрая работа еще не означают, что приложение — качественное. По данным нашего исследования, каждая пятая утечка на рынке связана с уязвимостями приложений, а взломанное ПО вместе с деньгами и репутацией быстро теряет клиентов.

Поэтому для заказчиков, разработчиков и пользователей на фоне роста кибератак стало очевидно, что если приложение не киберустойчивое, то оно не может быть качественным. Об этом в интервью изданию PRODELO рассказала Светлана Газизова, руководитель направления построения процессов безопасной разработки в Positive Technologies.

🧐 Чтобы избежать критических последствий, сегодня о защите приложения нужно задумываться задолго до его запуска.

А для этого важно:

1️⃣ Внедрять инструменты, которые проверяют код на уязвимости и слабые места на стадии разработки. Без них сейчас едва ли можно создать безопасное приложение.

2️⃣ Когда инструменты указывают на недостатки, их нужно оперативно устранять — от самых критичных до менее важных. Для этого важно, чтобы разработчики и специалисты по кибербезопасности знали, как работать с этими инструментами.

3️⃣ Быть готовым проверить безопасность приложения с помощью багбаунти.

📲 Подробнее о том, как подготовить приложение к неизбежным кибератакам, читайте в интервью Светланы на сайте PRODELO.

#PositiveЭксперты
@Positive_Technologies