Атаки на веб-приложения — один из наиболее популярных методов кибератак.

Скомпрометированные сайты злоумышленники могут использовать в различных целях:
🔺 для распространения вредоносного ПО
🔺 кражи конфиденциальных данных
🔺 несанкционированного внедрения информации
🔺 для мошенничества или проникновения во внутреннюю инфраструктуру компании.
Все вышеперечисленное — прямая угроза для функционирования и репутации организаций, поэтому веб-приложения нужно 1️⃣ защищать и 2️⃣ не оставлять слабых мест при их разработке.
Доли веб-приложений с уязвимостями различной степени риска за разные годы можно увидеть на рис. 1 📊.
Самые распространенные уязвимости распределились следующим образом (см. рис. 2 📊):
🔸 A01 — Недостатки контроля доступа — 100%
🔸 A05 — Некорректная настройка параметров безопасности — 83%
🔸 A07 — Недостатки идентификации и аутентификации — 79%
🔸 A04 — Небезопасное проектирование — 79%
🔸 A03 — Внедрение — 66%
🔸 A02 — Криптографические недостатки — 48%
🔸 A06 — Уязвимые и устаревшие компоненты — 34%
🔸 A08 — Недостатки проверки целостности ПО и данных — 21%
🔸 A09 — Недостатки журналирования и мониторинга — 17%
🔸 A10 — Подделка запроса со стороны сервера (SSRF) — 16%
Уязвимости, связанные с нарушениями контроля доступа, стали наиболее актуальными за прошедшие два года
Уязвимости, связанные с недостатками контроля доступа (Broken Access Control), см. рис. 3 📊:
🔸 Некорректная авторизация (CWE-285) — 34%
🔸 Разглашение важной информации лицам без соответствующих прав (CWE-200) — 27%
🔸 Обход авторизации c использованием ключа пользователя (CWE-639) — 15%
🔸 Подделка межсайтового запроса (CSRF) (CWE-352) — 11%
🔸 Раскрытие конфиденциальных персональных данных неуполномоченным лицам (CWE-359) — 2%
🔸 Другое — 11%
Во всех веб-приложениях, исследованных в 2020–2021 гг., были выявлены уязвимости, относящиеся к классу нарушения контроля доступа (Broken Access Control). Наличие подобных уязвимостей в веб-приложении может стать причиной несанкционированного доступа к конфиденциальной информации, модификации или удаления данных, а также несанкционированного доступа к личному кабинету или функциональности приложения.
Среди уязвимостей высокого уровня риска первое и второе места занимают некорректная авторизация пользователей и обход авторизации с использованием ключа пользователя; замыкает тройку некорректная аутентификация (см. рис. 4 📊):
🔸 Некорректная авторизация (CWE-285) — 44%
🔸 Обход авторизации c использованием ключа пользователя (CWE-639) — 20%
🔸 Некорректная аутентификация (CWE-287) — 8%
🔸 Внешняя ссылка, ведущая на недопустимый ресурс (CWE-610) — 5%
🔸 Некорректная нейтрализация специальных элементов, используемых в SQL-командах (Внедрение SQL-кода) (CWE-89) — 5%
🔸 Десериализация недоверенных данных (CWE-502) — 4%
🔸 Некорректное управление генерированием кода (Внедрение кода) (CWE-94) — 2%
🔸 Некорректная проверка наличия нестандартных условий или исключений (CWE-754) — 2%
🔸 Другие — 10%
Распространенные угрозы веб-приложений (доля веб-приложений), см. рис. 5 📊:
🔸 Атаки на клиентов — 98%
🔸 Утечка важных данных — 91%
🔸 Несанкционированный доступ к приложению — 84%
🔸 Несанкционированный доступ к функциональности или контенту — 72%
🔸 Раскрытие конфигурационной информации — 67%
🔸 Отказ в обслуживании — 31%
🔸 Атаки на ресурсы ЛВС — 17%
🔸 Выполнение команд ОС на сервере — 17%
Наиболее опасны атаки на локальные вычислительные сети организации и выполнение команд операционной системы на сервере. Такие действия злоумышленников могут привести к разглашению важных данных, получению доступа к исходным кодам приложения, и самое главное — к получению доступа к ресурсам локальной сети и развитию атаки на другие узлы инфраструктуры.
Утечка важных данных (см. рис. 6 📊):
🔸 Идентификаторы пользователей — 84%
🔸 Персональные данные — 60%
🔸 Учетные данные — 47%
🔸 Идентификаторы сессии — 31%
🔸 Исходный код — 14%
Утечки важных данных являются второй по актуальности угрозой безопасности исследованных веб-приложений.
По итогу прошедших двух лет, можно сказать, что уровень безопасности веб-приложений все еще оставляет желать лучшего, однако наблюдается положительная тенденцию снижения среднего числа уязвимостей высокого и среднего уровня риска на одно приложение, что может свидетельствовать о распространении подхода безопасной разработки и более серьезного отношения к защите веб-приложений.
Полный отчет исследования: 🔹 https://www.ptsecurity.com/ru-ru/research/analytics/web-vulnerabilities-2020-2021/ Понимаем, что достичь высокого уровня защищенности сложно, к тому же надо еще поддерживать этот уровень, а это не менее трудоемкий процесс. Начинать можно с небольших шагов:
1️⃣ Настроить правильную защиту сайта 👉 https://glabit.ru/www 2️⃣ Дополнительно защитить сайт от DDoS 👉 https://glabit.ru/ddos 3️⃣ Собирать события со всех имеющихся средств защиты водном месте для оперативного реагирования на возможный инцидент 👉 https://glabit.ru/collect 4️⃣ Или полностью делегировать весь процесс защиты профессионалам 👉 https://glabit.ru/outsourcing Подписывайтесь на нас в Телеграм — https://t.me/ibvdushe #исследование #приложения #вебприложения #Гладиаторы #сайт