На основе анализа проектов по выявлению уязвимостей внешнего периметра компаний в 2022–2023 гг. Angara Security составила рейтинг наиболее часто встречающихся уязвимостей в защите корпоративной инфраструктуры российских компаний.
Самые слабые места во внешнем периметре компаний:
- поддержка протокола TLS версии 1.0/1.1;
- использование нестойких алгоритмов шифрования в SSL;
- истечение срока действия сертификата SSL.
Эти уязвимости приводят к тому, что канал подключения к удаленному ресурсу, например, вебсайту, будет незащищен, либо современные браузеры будут оповещать пользователей, что ресурс небезопасен, что в итоге может привести к оттоку клиентов.
Также в антирейтинг вошли:
- самоподписанные сертификаты SSL;
- отсутствие применения заголовка HSTS (RFC 6797);
- использование в SSL/TLS модуля Диффи-Хеллмана <= 1024 бит (Logjam);
- подпись SSL-сертификата нестойким алгоритмом хеширования.
Кроме перечисленных уязвимостей в топ-10 фигурируют:
- использование неподдерживаемой версии веб-сервера;
- поддержка слабого набора шифров RC4;
- цепочка SSL-сертификатов, которая содержит ключи RSA размером менее 2048 бит.
Сотрудники службы информационной безопасности могут просто не знать о новых сервисах, развернутых ИТ-подразделением. Для этого необходимо регулярно проводить инвентаризацию внешнего периметра: ежедневно, еженедельно. Уязвимости могут стать как причиной невыстроенного процесса Vulnerability Management (управления уязвимостями), так и следствием исключения DevSecOps в процессе разработки цифровых сервисов.
Среди рекомендаций Angara Security отмечает использование сервисов непрерывного мониторинга защищенности внешнего периметра. С одной стороны, это позволяет выявлять в режиме реального времени атакуемые цифровые активы, с другой, верифицировать критичность киберугроз по различным показателям в автоматическом режиме.
