Если вы думаете, что полностью защищены, у меня для вас плохие новости. Вендор Positive Technologies подвел итоги пентестов в 30 компаниях - крупных и не очень.
Оказалось, что 96% протестированных организаций не защищены от проникновения внешнего злоумышленника. Оставшиеся 4% - это одна организация, где неоднократно организовывались тесты на проникновение, результаты которых оперативно обрабатывались.
100% исследованных организаций не защищены от установления внутренним злоумышленником полного контроля над ИТ-инфраструктурой.
Чтобы получить доступ во внутреннюю сеть проверенных организаций, специалистам требовалось около пяти дней.
И что самое главное, в 89% организаций была доказана возможность реализации недопустимых событий. Для того, чтобы продемонстрировать это компании требовалось в среднем всего лишь 9 дней.
То есть за 9 дней преступник мог проникнуть в систему, остановить производство, скомпрометировать компанию, войти в финансовую зону.
В 70% организаций были выявлены критически опасные уязвимости, связанные с недостатками парольной политики, в 67% — уязвимости, связанные с отсутствием актуальных обновлений, а в 53% организаций были обнаружены критически опасные уязвимости в коде веб-приложений.
Вывод?
Пентест - это единственный способ найти уязвимости в инфраструктуре, а значит. и вектор приложения усилий при построении защиты. Чтобы понять, нужен ли вам пентест, попробуйте экспресс-анализ - занимает несколько часов и дает представление об услуге.