Пресс-релизы //

Международная статистика уязвимостей WEB-приложений за 2008 год

Эксперты международной организации Web Application Security Consortium (WASC), объединяющей профессионалов в области безопасности Web-приложений, традиционно представили статистику уязвимостей WEB-приложений за 2008 год (WASC Web Application Security Statistics Project 2008).

Обзорная статистика содержит данные, полученные в ходе тестирований на проникновение, аудитов безопасности и других работ, проведенных компаниями, входящими в WASC: Blueinfy, Cenzic, dns, encription limited, HP Application Security Center, Positive Technologies, Veracode и WhiteHat Security.
Статистика получена на основе анализа данных 12-ти тысяч Web-приложений, в которых, в общей сложности, было обнаружено более 97 тысяч уязвимостей различной степени риска.

Как оказалось, более 13% исследованных сайтов могут быть полностью скомпрометировано автоматически, 49% Web-приложений содержат уязвимости высокой степеней риска (Urgent и Critical), обнаруженные при автоматическом сканировании систем, при детальной ручной и автоматизированной оценке методом "белого ящика" вероятность обнаружения уязвимостей высокой степени риска достигает от 80% до 96%.

Проверка на соответствие требованиям стандарта индустрии платежных карт PCI DSS (Payment Card Industry Data Security Standard) показала, что вероятность обнаружения уязвимостей степени риска выше среднего составляет более 86% при любом методе работ, а при проведении глубокого анализа 99% Web-приложений не удовлетворяют требованиям стандарта.

Согласно статистике, наиболее распространенными уязвимостями являются "Межсайтовое выполнение сценариев" (Cross-Site Scripting), различные виды утечки информации (Information Leakage), "Внедрение операторов SQL" (SQL Injection), "Расщепление HTTP-запроса" (HTTP Response Splitting). По сравнению с 2007 годом число сайтов, содержащих SQL Injection, снизилось на 13%, Cross-site Scripting - на 20%, однако число сайтов, содержащих Information Leakage, возросло на 24%, также возросла вероятность автоматической компрометации узлов с 7% до 13%.

Если сравнить данные WASC с российской статистикой за 2008 год, выпущенной компанией Positive Technologies http://www.ptsecurity.ru/news_page.asp?id=47, можно отметить, что ситуация практически не отличается - 83% российских сайтов имеют критичные уязвимости, а одной из наиболее распространенных уязвимостей также является "Межсайтовое выполнение сценариев" (Cross-Site Scripting).

Лидер проекта WASC Web Application Security Statistics Project - Сергей Гордейчик, руководитель отдела консалтинга и аудита компании Positive Technologies, так прокомментировал ситуацию: "Статистика публикуется третий год подряд, и каждый новый выпуск демонстрирует ухудшение с общим состоянием безопасности Web-сайтов. Рост количества уязвимых систем связан с двумя факторами – с улучшением качества автоматизированных средств контроля защищенности и "хакерских" утилит, а также с увеличением доли динамических Web-приложений, которые, как правило, содержат больше проблем с безопасностью".

Полная версия отчета опубликована на страницах: http://www.securitylab.ru/analytics/386759.php (русск.) и http://projects.webappsec.org/Web-Application-Security-Statistics (eng).
____________________________________________________________
Web Application Security Consortium (WASC) www.webappsec.org – международная организация, объединяющая профессионалов в области безопасности Web-приложений. Проект WASC Web Application Security Statistics Project 2008 - совместная инициатива лидеров индустрии защиты Web-приложений, направленная на лучшее понимание природы уязвимостей Web-приложений. Основные цели проекта - идентификация распространенности и вероятности обнаружения уязвимостей различных классов и сравнение распространенных подходов к анализу с целью выявления их сильных и слабых сторон.
____________________________________________________________
Positive Technologies www.ptsecurity.ru - одна из ведущих российских компаний в области информационной безопасности. Основные направления деятельности компании - разработка системы контроля защищенности и соответствия стандартам MaxPatrol и сканера безопасности XSpider; предоставление консалтинговых и сервисных услуг в области информационной безопасности; развитие специализированного портала Securitylab.ru. Positive Technologies - это команда высококвалифицированных разработчиков, консультантов и экспертов, которые обладают большим практическим опытом, являются членами международных организаций и активно участвуют в развитии отрасли.
____________________________________________________________
Контактная информация: тел. +7 (495)744 0144, pr@ptsecurity.ru

Контактное лицо: PR менеджер
Компания: Positive Technologies
Добавлен: 18:01, 20.10.2009 Количество просмотров: 1047

Сердце под контролем: врач УЗ-диагностики отвечает на главные вопросы, НИПК «Электрон», 21:58, 13.10.2026, Россия443

29 сентября отмечается Всемирный день сердца. В нашей стране к этой дате приурочена Национальная неделя здорового сердца.

«ДиалогНаука» получила статус авторизованного сервисного центра Positive Technologies по направлению PT NGFW, АО ДиалогНаука, 21:57, 13.10.2026, Россия444

Компания «ДиалогНаука», системный интегратор в области информационной безопасности, получила статус авторизованного сервисного центра (АСЦ) по направлению NGFW от компании «Позитив Технолоджиз», подтверждающий право оказывать полный спектр услуг по технической поддержке и сопровождению межсетевых экранов нового поколения PT NGFW.

Проект ГК SKY Group вошел в топ-5 крупнейших жилых комплексов - новостроек Новосибирской области., ГК SKY GROUP, 21:56, 13.10.2026, Россия467

Жилой комплекс «Reg Fox», построенный ГК SKY Group в Дзержинском районе Новосибирска, вошел в топ-5 крупнейших жилых комплексов - новостроек Новосибирска по версии ЕРЗ.РФ на первое октября 2026 года.

RedLab вошла в топ-4 Рейтинга Рунета – 2026, RedLab, 21:55, 13.10.2026, Россия442

Компания RedLab заняла 4-е место в основном рейтинге «Аутстаффинг разработчиков» по версии Рейтинга Рунета – 2026, поднявшись сразу на восемь позиций по сравнению с прошлым годом.

РТК-ЦОД и ИИТ подключили платформу ЦФА Токеон к ЕСИА через TrustGate, Инфотекс, 21:55, 13.10.2026, Россия445
В результате время регистрации и верификации новых пользователей Токеона сократилось до нескольких секунд.

Безопасность как драйвер, ИИ как ядро: куда идет российский рынок IBP, Круги Громова, 21:54, 13.10.2026, Россия456

Гибридные модели вместо крайностей, ИИ в ядре продукта, безопасность как драйвер выбора, размывание границ между классами решений и зрелость данных как главный барьер – эти пять трендов сегодня определяют российский рынок решений для интегрированного бизнес-планирования (IBP), систем планирования цепочек поставок (SCP) и финансового планирования (FP&A).

IP-камеры «РУВЕР» доступны теперь клиентам «АРМО-Системы», АРМО-СИСТЕМЫ, 21:54, 13.10.2026, Россия489
Компания «АРМО-Системы» начала поставлять IP-камеры видеонаблюдения и другие продукты российского бренда «РУВЕР» для инфраструктурных объектов

«1С-Рарус» в Екатеринбурге подтвердил статус Центра компетенции по ERP-решениям 1С, 1С-Рарус, 21:52, 13.10.2026, Россия175

Фирма «1С» присвоила екатеринбургскому офису «1С-Рарус» статус «1С:Центр компетенции по ERP-решениям». Подтверждены компетенции команды в комплексной автоматизации производственных предприятий и холдингов. Региональный офис занимает первое место в рейтинге «1С:Центров ERP» Екатеринбурга.

«Хи-Квадрат» расширила линейку утилит XTOOLS новой консолью администрирования, Хи-Квадрат, 21:49, 13.10.2026, Россия123
Компания «Хи-Квадрат», создатель платформы для быстрой разработки приложений и бизнес-систем XSQUARE, выпустила бесплатную утилиту Simple Core.

Офис компании «Первый Бит» «Шоссе Энтузиастов» получил статус «Центр ERP», Первый Бит, 21:48, 13.10.2026, Россия140

Специалисты офиса помогают компаниям автоматизировать ключевые процессы: управление производством, закупками, запасами, продажами, финансами, персоналом и другими направлениями деятельности. Получение статуса «Центр ERP» стало результатом развития компетенций команды, накопленного проектного опыта и соответствия высоким требованиям фирмы «1С».

От экспериментов к реальной пользе: Первый Бит продемонстрировал возможности ИИ-агентов для бизнеса, Первый Бит, 21:48, 13.10.2026, Россия110

Участие во встрече приняли генеральные и финансовые директора, руководители отделов продаж, производства, закупок и ИТ-подразделений. Лейтмотивом стал переход от обсуждения возможностей искусственного интеллекта к его практическому использованию в бизнес-процессах.

ИТ-компания «Андагар» присоединилась к дискуссии о старте карьеры в IT, Андагар, 21:47, 13.10.2026, Россия86

«Российская газета» опубликовала материал о ситуации на рынке начинающих ИТ-специалистов и о том, стоит ли сегодня идти в ИТ и как выпускникам и джунам найти первую работу. В обсуждении приняли участие представители ИТ-компаний и эксперты рынка труда.

МФК «Лайм-Займ» вошла в топ-10 самых популярных МФО в Яндексе за 2026 год, МФК «Лайм-Займ», 21:46, 13.10.2026, Россия91

Аналитики Brobank изучили данные Яндекс. Вордстат за январь – сентябрь 2026 года, сравнив полученные данные с аналогичными за период 2025 года.

МИФИ при поддержке Смарт Текнолоджис покоряют «Битву роботов», Смарт Текнолоджис, 21:44, 13.10.2026, Россия115

Инженерная команда «МИФИческие гонщики» НИЯУ МИФИ, выступающая при поддержке компании «Смарт Текнолоджис», вышла в финальные состязания международного чемпионата «Битва роботов — 2026», одержав победу в отборочном этапе. Финал состоится 31 октября в Казани. Чемпионат, объединивший 144 команды из 10 стран, проводится в рамках ИТ-форума «Цифровые решения» и Kazan Digital Week.

«1С-Рарус» представил отраслевые решения на партнерском семинаре 1С, 1С-Рарус, 21:42, 13.10.2026, Россия65

«1С‑Рарус» провел отраслевой день в рамках традиционного осеннего партнерского семинара фирмы «1С». К трансляции 15 докладов подключились 230 слушателей. Эксперты «1С-Рарус» показали, как ИИ помогает решать повседневные задачи бизнеса. Разобрали, какие процессы и учетные системы нужно изменить для работы с ЭПД и маркированными товарами.