 |
Взлом через NPM: как защититься от критической уязвимости?
В популярном пакете Node.js Systeminformation обнаружена критическая уязвимость (RCE — удалённое выполнение кода), что ставит под угрозу безопасность систем, использующих эту библиотеку. Киберэксперт компании «Газинформсервис» Сергей Полунин рекомендует компаниям пересмотреть свои стратегии информационной безопасности и внедрить системы мониторинга безопасности, такие как Security Operations Center (SOC), для обнаружения угроз и реагирования на них в реальном времени.
«Уязвимость в популярном NPM-пакете — это всегда серьёзная проблема. Дело в том, что сегодня почти ничего не пишется с нуля, а разработчики используют огромное количество сторонних библиотек и модулей, зачастую даже не задумываясь об их безопасности. Их тоже можно понять: их в большей степени интересует функционал. Поэтому, когда появляется информация об уязвимости, особенно класса RCE, в библиотеке, которую вы используете, то это повод задуматься о том, как вы вообще проектируете своё программное обеспечение. Я не говорю, что всё нужно делать самому. Это как раз, скорее всего, сделает ваше ПО ещё более уязвимым, а вот использовать наложенные средства при тестировании и развёртывании ваших приложений — это хорошая идея. Подключив своё приложение к тому же SOC, выявлять атаки на эксплуатацию уязвимостей будет довольно просто. А ещё правильнее не допускать их в принципе. Для этого существует методология DevSecOps, которая позволяет на каждом этапе разработки ПО контролировать различные аспекты безопасности», — комментирует руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин.
Напомним, в мае этого года «Газинформсервис» запустил коммерческий SOC, предоставляющий круглосуточный мониторинг и реагирование на инциденты безопасности. В основе решения лежат SIEM-, VM-, XDR- и UEBA-системы, позволяющие эффективно выявлять и нейтрализовывать угрозы, подобные внедрению команд в популярном пакете NPM Systeminformation. Состав решения может быть адаптирован под потребности конкретного заказчика.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 23:38, 27.12.2024
Количество просмотров: 167
Страна: Россия
| Fork-Tech вступил в ассоциацию «РУССОФТ», Fork-Tech, 02:18, 29.12.2024, Россия17 |  |
| Финтех разработчик и интегратор Fork-Tech присоединился к Некоммерческому партнерству разработчиков программного обеспечения «РУССОФТ». О вхождении компании в ассоциацию было официально объявлено 25 декабря 2024 года. |
| Завершены работы по сопровождению информационной системы генерирующей компании, Акционерное общество "Национальное бюро информатизации", 01:57, 29.12.2024, Россия30 |  |
| Специалисты АО «НБИ» выполнили работы по сопровождению информационной системы оптимизации работы на ОРЭМ для одной из крупнейших генерирующих компаний с целью обеспечения работоспособности и производительности в соответствии с заданными показателями качества и поддержки пользователей. |
| DатаРу увеличила объем выручки в два раза и стала группой компаний, ДатаРу, 17:47, 28.12.2024, Россия97 |  |
| В ГК DатаРу подвели итоги работы за 2024 год. В недавно преобразованной группе компаний ожидают двукратного роста выручки за счет масштабирования бизнеса, а также расширения продуктового портфеля как собственными разработками, так и партнерскими ИТ-решениями. |
| «Гармония МDМ» — в «Круге Громова» по НСИ, Гармония MDM, 17:09, 28.12.2024, Россия102 |  |
| Система управления нормативно-справочной информацией (НСИ) «Гармония MDM» вошла в первый «MDM Круг Громова». Это подтверждает лидирующие позиции компании на рынке MDM в России. По мнению экспертов, повышенный интерес к сегменту управления НСИ объясняется существенным ростом рынка — не менее чем на 25-30% за последний год. |
| Киберэксперт Полунин предупреждает: хакеры могут получить полный контроль над системой, ООО "Газинформсервис", 17:05, 28.12.2024, Россия104 |
| Обнаружена критическая уязвимость в широко используемой библиотеке libxml2, которая обрабатывает XML-данные в миллионах приложений и систем. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин рекомендует использовать специализированные средства анализа безопасности и поведенческого анализа, такие как Ankey ASAP, чтобы выявить потенциальные уязвимости и аномалии в работе систем. |
|
|
