 |
Взлом через NPM: как защититься от критической уязвимости?
В популярном пакете Node.js Systeminformation обнаружена критическая уязвимость (RCE — удалённое выполнение кода), что ставит под угрозу безопасность систем, использующих эту библиотеку. Киберэксперт компании «Газинформсервис» Сергей Полунин рекомендует компаниям пересмотреть свои стратегии информационной безопасности и внедрить системы мониторинга безопасности, такие как Security Operations Center (SOC), для обнаружения угроз и реагирования на них в реальном времени.
«Уязвимость в популярном NPM-пакете — это всегда серьёзная проблема. Дело в том, что сегодня почти ничего не пишется с нуля, а разработчики используют огромное количество сторонних библиотек и модулей, зачастую даже не задумываясь об их безопасности. Их тоже можно понять: их в большей степени интересует функционал. Поэтому, когда появляется информация об уязвимости, особенно класса RCE, в библиотеке, которую вы используете, то это повод задуматься о том, как вы вообще проектируете своё программное обеспечение. Я не говорю, что всё нужно делать самому. Это как раз, скорее всего, сделает ваше ПО ещё более уязвимым, а вот использовать наложенные средства при тестировании и развёртывании ваших приложений — это хорошая идея. Подключив своё приложение к тому же SOC, выявлять атаки на эксплуатацию уязвимостей будет довольно просто. А ещё правильнее не допускать их в принципе. Для этого существует методология DevSecOps, которая позволяет на каждом этапе разработки ПО контролировать различные аспекты безопасности», — комментирует руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин.
Напомним, в мае этого года «Газинформсервис» запустил коммерческий SOC, предоставляющий круглосуточный мониторинг и реагирование на инциденты безопасности. В основе решения лежат SIEM-, VM-, XDR- и UEBA-системы, позволяющие эффективно выявлять и нейтрализовывать угрозы, подобные внедрению команд в популярном пакете NPM Systeminformation. Состав решения может быть адаптирован под потребности конкретного заказчика.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 23:38, 27.12.2024
Количество просмотров: 301
Страна: Россия
| UDV Group: энергетику ждет комплексная перестройка ИТ-ландшафта, UDV Group, 00:11, 09.05.2026, Россия835 |
| Перечень типовых отраслевых объектов критической информационной инфраструктуры (КИИ), утвержденный в феврале 2026 года распоряжением Правительства РФ № 360-р, сделал подход к защите КИИ более жестким. Теперь игнорирование документа грозит не только высокими штрафами, но и остановкой бизнеса. |
| «Аксиома-Софт» автоматизировала учет ювелирных изделий в Торговом доме «Культура Дома», ООО "АКСИОМА-СОФТ", 00:07, 09.05.2026, Россия834 |
| «Аксиома-Софт» автоматизировала учет ювелирных изделий в Торговом доме «Культура Дома» с помощью модуля «АКСИОМА: Интеграция с ГИИС ДМДК». Решение упростило работу по нескольким юридическим лицам: автоматическое создание номенклатуры, договоров, спецификаций. Исключено дублирование операций, ускорена передача данных в ГИИС ДМДК. Оптимизирован учет поступлений, оптовых и розничных продаж для 10 пользователей. |
| Юникон Бизнес Солюшнс будет внедрять Arenadata Harmony MDM, Гармония MDM, 23:59, 08.05.2026, Россия851 |  |
| Решения «Гармония», разработчик российского self-service решения для управления мастер-данными, и компания Юникон Бизнес Солюшнс, специализирующаяся на управленческом и ИТ-консалтинге, заключили стратегическое партнерство. |
| В России впервые реализован инструмент анализа мобильных приложений через нейросети, IT-Agency, 23:48, 08.05.2026, Россия161 |
| Сервис для анализа присутствия брендов в AI-поиске «Киберкошка» расширил функциональность: помимо мониторинга AI-видимости брендов, платформа начала анализировать, как мобильные приложения представлены в ответах нейросетей. Это первый на рынке инструмент, который позволяет оценить их роль в формировании пользовательских рекомендаций. |
|
|
