IJOBIY TEXNOLOGIYALAR: BANK VEB-ILOVALARI ENG ZAIF TOMONIDIR

IJOBIY TEXNOLOGIYALAR: BANK VEB-ILOVALARI ENG ZAIF TOMONIDIR

PT mutaxassislari 2017-yilda PT Application Inspector yordamida avtomatlashtirilgan xavfsizlikni baholash jarayonida tahlil qilingan veb-ilova zaifliklari bo’yicha statistikani to’pladilar.

Positive Technologies mutaxassislari 2017-yilda PT Application Inspector yordamida avtomatlashtirilgan xavfsizlikni baholash jarayonida tahlil qilingan veb-ilova zaifliklari bo’yicha statistikani to’pladilar.

Avtomatlashtirilgan manba kod tahlili shuni ko’rsatdiki, barcha veb-ilovalarda zaifliklar mavjud, tekshirilgan tizimlarning atigi 6 foizi yuqori xavfli zaifliklardan xoli.

Kutilganidek, moliya sektori eng yuqori xavf ostida (tahlil qilingan barcha veb-ilovalarning 46 foizini tashkil qiladi). Banklar va boshqa moliya institutlariga tegishli barcha ilovalarda yuqori xavfli zaifliklar aniqlandi.

Positive Technologies mutaxassislarining ta’kidlashicha, moliyaviy va davlat tashkilotlari manba kodini tahlil qilishga ko’proq qiziqish bildirmoqda, chunki ularning veb-resurslari tajovuzkorlar uchun ustuvor nishon hisoblanadi, bu kompaniyaning muntazam tahliliy hisobotlarida tasdiqlangan.

PT AI yordamida avtomatlashtirilgan xavfsizlik tahlili shuni ko’rsatdiki, barcha sinovdan o’tgan veb-ilovalarda turli darajadagi zaifliklar mavjud. Zaifliklarni jiddiylik bo’yicha tasniflashda ularning aksariyati (65%) o’rtacha, 27% esa yuqori darajadagi zaifliklar ekanligi aniqlandi.

Ilova manba kodini avtomatlashtirilgan tahlil qilish jarayonida aniqlangan eng keng tarqalgan zaiflik bu Cross-Site Scripting bo’lib, u tajovuzkorga veb-ilova mijozlariga фишинг hujumlarini amalga oshirish yoki ish stantsiyalarini zararli dasturlar bilan yuqtirish imkonini beradi (sinovdan o’tgan tizimlarning 82 foizida uchraydi).

Veb-ilovalarda aniqlangan zaifliklardan foydalanishning ta’sirini tahlil qilish asosida Positive Technologies mutaxassislari xavfsizlikka tahdidlar reytingini tuzdilar. Eng keng tarqalgan tahdid veb-ilova foydalanuvchilariga hujum qilish qobiliyatidir (banklarning 87% va barcha davlat muassasalariga ta’sir qiladi).

Shuni ta’kidlash kerakki, bunday veb-saytlarning aksariyat foydalanuvchilari axborot xavfsizligi haqida kam ma’lumotga ega va osongina tajovuzkorlar qurboniga aylanishi mumkin. Bundan tashqari, davlat idoralari veb-saytlari orasida boshqa muhim zaifliklar ham keng tarqalgan. Masalan, bitta munitsipalitet ma’muriyatiga tegishli veb-ilovani tekshirish paytida yuqori xavfli SQL in’ektsiyasi zaifligi aniqlandi, agar u ekspluatatsiya qilinsa, ma’lumotlar bazasidan maxfiy ma’lumotlarni olishga olib kelishi mumkin.

Xizmat ko’rsatishdan bosh tortish zaifliklari onlayn-do’konlar uchun eng katta muammo hisoblanadi, chunki veb-ilovaning ishlamay qolishi elektron tijorat tashkiloti uchun to’g’ridan-to’g’ri moliyaviy yo’qotishlarga olib keladi. Bundan tashqari, onlayn-do’kon qanchalik mashhur bo’lsa, unga har kuni ko’proq mijozlar tashrif buyurishadi va tajovuzkor veb-saytning zaifliklaridan foydalanuvchilarga hujum qilish uchun foydalanishga urinishi ehtimoli shunchalik yuqori.

«Veb-ilovalar hujumchilar uchun asosiy nishon hisoblanadi, chunki ko’p sonli yamalmagan zaifliklar va ulardan foydalanish qulayligi hujumchilarga o’z maqsadlariga muvaffaqiyatli erishish imkonini beradi – maxfiy ma’lumotlarni o’g’irlashdan tortib, ichki mahalliy tarmoq resurslariga kirishgacha», deydi Positive Technologies tahlilchisi Anastasiya Grishina. «Shuni tushunish kerakki, aksariyat zaifliklar hujumdan ancha oldin aniqlanishi mumkin va veb-ilova manba kodini tahlil qilish kodni ko’rib chiqmasdan tizimlarni sinab ko’rishga qaraganda bir necha baravar ko’proq muhim zaifliklarni aniqlashi mumkin.»