 |
Взлом через NPM: как защититься от критической уязвимости?
В популярном пакете Node.js Systeminformation обнаружена критическая уязвимость (RCE — удалённое выполнение кода), что ставит под угрозу безопасность систем, использующих эту библиотеку. Киберэксперт компании «Газинформсервис» Сергей Полунин рекомендует компаниям пересмотреть свои стратегии информационной безопасности и внедрить системы мониторинга безопасности, такие как Security Operations Center (SOC), для обнаружения угроз и реагирования на них в реальном времени.
«Уязвимость в популярном NPM-пакете — это всегда серьёзная проблема. Дело в том, что сегодня почти ничего не пишется с нуля, а разработчики используют огромное количество сторонних библиотек и модулей, зачастую даже не задумываясь об их безопасности. Их тоже можно понять: их в большей степени интересует функционал. Поэтому, когда появляется информация об уязвимости, особенно класса RCE, в библиотеке, которую вы используете, то это повод задуматься о том, как вы вообще проектируете своё программное обеспечение. Я не говорю, что всё нужно делать самому. Это как раз, скорее всего, сделает ваше ПО ещё более уязвимым, а вот использовать наложенные средства при тестировании и развёртывании ваших приложений — это хорошая идея. Подключив своё приложение к тому же SOC, выявлять атаки на эксплуатацию уязвимостей будет довольно просто. А ещё правильнее не допускать их в принципе. Для этого существует методология DevSecOps, которая позволяет на каждом этапе разработки ПО контролировать различные аспекты безопасности», — комментирует руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин.
Напомним, в мае этого года «Газинформсервис» запустил коммерческий SOC, предоставляющий круглосуточный мониторинг и реагирование на инциденты безопасности. В основе решения лежат SIEM-, VM-, XDR- и UEBA-системы, позволяющие эффективно выявлять и нейтрализовывать угрозы, подобные внедрению команд в популярном пакете NPM Systeminformation. Состав решения может быть адаптирован под потребности конкретного заказчика.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 23:38, 27.12.2024
Количество просмотров: 213
Страна: Россия
| SIMETRA разработала транспортную модель Ульяновска, Simetra, 17:26, 12.07.2025, Россия122 |  |
| Группа компаний SIMETRA выполнила проект в области транспортного планирования и разработала транспортную модель города Ульяновска. Цифровая модель обеспечит эффективность при принятии решений, связанных с инфраструктурными проектами, а также необходимую гибкость при управлении дорожным движением в городе. |
| TYMY, ИТ-компания TYMY запустила сервис Public API для взаимодействия финтеха и банков-партнеров платформы, 17:09, 12.07.2025, Россия82 |
| Технология Public API от TYMY предусматривает взаимодействие сервисов с крупными банками-партнерами SaaS-платформы TYMY по API. Сервис начал работу в июне 2025 года. |
| Триллионы для малого и среднего бизнеса, ГК "Юнайт", 16:59, 12.07.2025, Россия86 |
| Потенциал докапитализации российского малого и среднего бизнеса за счет нематериальных активов (НМА) оценивается экспертами в 20–30 триллионов рублей. Это сопоставимо с капитализацией крупнейших госкорпораций и открывает перед МСП новые горизонты для роста и привлечения инвестиций. |
| Стартап ВИШ: Измеритель снега — не имеющий аналогов в России, ФГАОУ ВО Российский университет транспорта, Высшая инженерная школа, 16:49, 12.07.2025, Россия55 |
| Студенты Высшей инженерной школы образовательной программы «Системы мобильной связи и сетевые технологии на транспорте» разработали прототип уникального устройства, позволяющего автоматически измерять уровень снежного покрова при подготовке горнолыжных трасс. Аналогов этой технологии на российском рынке не существует. |
|
|
