 |
Взлом через NPM: как защититься от критической уязвимости?
В популярном пакете Node.js Systeminformation обнаружена критическая уязвимость (RCE — удалённое выполнение кода), что ставит под угрозу безопасность систем, использующих эту библиотеку. Киберэксперт компании «Газинформсервис» Сергей Полунин рекомендует компаниям пересмотреть свои стратегии информационной безопасности и внедрить системы мониторинга безопасности, такие как Security Operations Center (SOC), для обнаружения угроз и реагирования на них в реальном времени.
«Уязвимость в популярном NPM-пакете — это всегда серьёзная проблема. Дело в том, что сегодня почти ничего не пишется с нуля, а разработчики используют огромное количество сторонних библиотек и модулей, зачастую даже не задумываясь об их безопасности. Их тоже можно понять: их в большей степени интересует функционал. Поэтому, когда появляется информация об уязвимости, особенно класса RCE, в библиотеке, которую вы используете, то это повод задуматься о том, как вы вообще проектируете своё программное обеспечение. Я не говорю, что всё нужно делать самому. Это как раз, скорее всего, сделает ваше ПО ещё более уязвимым, а вот использовать наложенные средства при тестировании и развёртывании ваших приложений — это хорошая идея. Подключив своё приложение к тому же SOC, выявлять атаки на эксплуатацию уязвимостей будет довольно просто. А ещё правильнее не допускать их в принципе. Для этого существует методология DevSecOps, которая позволяет на каждом этапе разработки ПО контролировать различные аспекты безопасности», — комментирует руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин.
Напомним, в мае этого года «Газинформсервис» запустил коммерческий SOC, предоставляющий круглосуточный мониторинг и реагирование на инциденты безопасности. В основе решения лежат SIEM-, VM-, XDR- и UEBA-системы, позволяющие эффективно выявлять и нейтрализовывать угрозы, подобные внедрению команд в популярном пакете NPM Systeminformation. Состав решения может быть адаптирован под потребности конкретного заказчика.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 23:38, 27.12.2024
Количество просмотров: 324
Страна: Россия
| Транспортные документы от Платформы ЭПД можно будет подписать в смартфоне, Платформа ОФД, 17:06, 17.08.2026, Россия372 |
| «Платформа ОФД» присоединилась к соглашению Минцифры России о развитии и внедрении мобильной электронной подписи «Госключ». Сотрудничество направлено на проработку новых сценариев использования сервиса, обмен технологической экспертизой и поддержку интеграции в продукты электронного документооборота. |
| UDV Group: банки столкнутся с ИБ-рисками из-за нейросетей без правил, UDV Group, 17:04, 17.08.2026, Россия360 |
| Российский разработчик решений в области киберустойчивости UDV Group прокомментировал рекомендации Банка России по безопасному использованию искусственного интеллекта финансовыми организациями. По оценке эксперта компании, ИИ постепенно становится для банков не только инструментом автоматизации, но и отдельным объектом управления информационной безопасностью. |
| ActiveCloud запустил в России услугу частного облака, ActiveCloud, 20:34, 16.08.2026, Россия440 |
| Облачный провайдер ActiveCloud запустил в России услугу частного облака для размещения критически важных систем, ресурсоемких приложений и инфраструктуры с повышенными требованиями к безопасности. |
| «НОБИЛИС» ПРЕДСТАВИТ ЦИФРОВУЮ ЭКСПЕРТИЗУ В СФЕРЕ КОРПОРАТИВНОГО ЗДОРОВЬЯ НА ВНОТ-2026, Нобилис ООО, 14:07, 14.08.2026, Россия638 |  |
| ООО «Нобилис», разработчик российской платформы управления корпоративным здоровьем TouchMED, объявляет об участии в ключевом отраслевом событии - XI Всероссийской неделе охраны труда (ВНОТ-2026). В фокусе презентации компании - практические инструменты цифровизации медосмотров, в том числе профилактических и предиктивной аналитики для снижения операционных рисков и повышения эффективности персонала. |
| Nexign: российский бизнес не спешит использовать ИИ для поиска аномалий, Nexign, 14:03, 14.08.2026, Россия129 |  |
| Почти 80% российских компаний уже применяют инструменты мониторинга своей ИТ-инфраструктуры, но лишь каждая шестая использует модели машинного обучения для обнаружения аномалий. Мешают нехватка внутренней экспертизы, низкое качество данных и сложность подсчета окупаемости инвестиций. |
| Контроль привилегий под полным управлением: Indeed PAM внедрен в «Расчетные решения», Индид, 14:00, 14.08.2026, Россия214 |
| Компания «Индид», российский разработчик решений в области защиты айдентити, успешно внедрила продукт Indeed Privileged Access Manager (Indeed PAM) в АО «РАСЧЕТНЫЕ РЕШЕНИЯ». Это позволило усилить защиту критически важных ИТ-ресурсов клиента, выстроить централизованное управление привилегированным доступом и повысить прозрачность действий пользователей. |
| Единый платёжный документ - прозрачные расчёты за ЖКУ, ООО "Энергосбыт Волга", 13:59, 14.08.2026, Россия129 |
| В Едином платежном документе (ЕПД) собраны все услуги – от управляющей организации, поставщиков воды, электричества, газа, тепла, оператора по вывозу мусора, а также взносы на капремонт. Вместо нескольких квитанций жители получают один счёт и могут рассчитаться за ЖКУ всего одним платежом. |
|
|
