Penetrační testy objevily zastaralý software u 80 % firem

Každá firemní IT infrastruktura je specifická, a proto kyberzločinci v mnoha případech zohledňují konkrétní zranitelnosti jednotlivých organizací, aby byly jejich útoky co nejefektivnější. Speciální oddělení společnosti Kaspersky Lab proto každý rok provádí praktické demonstrace pravděpodobných útoků, které mohou firmám po celém světě pomoci odhalit skryté zranitelnosti ve svých sítích. Výroční report s výsledky penetračních testů tak má informovat IT bezpečnostní odborníky o kritických zranitelnostech a kyberzločineckých aktivitách, které se zaměřují na firemní informační systémy.

Výsledky testů za rok 2017 ukazují, že celková úroveň ochrany proti externím útokům je malá až extrémně nízká u 43 % analyzovaných společností. K 73 % úspěšných externích útoků na firemní sítě došlo prostřednictvím zranitelných webových aplikací. Hackeři také často využívali pro nabourání sítě útoky na veřejně dostupná administrátorská rozhraní se slabými nebo přednastavenými přihlašovacími údaji. Ve 29 % penetračních testů se dokonce odborníkům z Kaspersky Lab podařilo získat nejvyšší oprávnění do celé IT infrastruktury včetně administrátorského přístupu k nejdůležitějším podnikovým systémům, serverům a síťovým komponentům i zaměstnaneckým počítačům. A to „útočníci“ přitom dané firmy vůbec neznali.

Na ještě horší úrovni je zabezpečení interní firemní sítě. Ochrana proti útokům zevnitř organizace byla u 93 % analyzovaných společností identifikována jako velmi špatná. U 86 % firem totiž získali odborníci nejvyšší oprávnění v interní síti, přičemž u 42 % z nich stačily k jejich získání pouhé dva kroky. V průměru odborníci identifikovali dvě až tři možné podoby útoků, díky nimž by útočníci získali tato nejvyšší oprávnění.

Zranitelnost MS17-010, kterou útočníci velmi často zneužívají jak v cílených útocích tak i při ransomwarových kampaních, jako byla WannaCry nebo NotPetya/ExPetr, byla detekována u 75 % analyzovaných firem i poté, co už byla veřejně známá. Některé z těchto organizací neaktualizovaly své systémy Windows ani po 7 až 8 měsících, co byly vydány bezpečnostní záplaty. Celkově analýza odhalila zastaralý software v interní síti u 80 % společností. Kvůli nedodržování základních bezpečnostních pravidel se tak mohou firmy stát snadným cílem hackerů.

Z výsledků bezpečnostního hodnocení také vyplývá, že vládní webové aplikace patří k těm nejméně zabezpečeným. Odborníci našli bezpečnostní zranitelnosti u každé takové aplikace, kterou podrobili zkoumání. Naopak aplikace z oblasti e-komerce jsou mnohem lépe zabezpečeny před útoky externích zločinců. Vážné zranitelnosti měla pouze čtvrtina z nich.

„Pro zajištění maximální bezpečnosti firemních sítí je důležité implementovat efektivní a zároveň jednoduchá bezpečnostní pravidla, jako je filtrování sítí a silná hesla. Polovině útoků by tak například mohlo být zabráněno, pokud by firmy omezily přístup do administrátorského rozhraní,“ řekl Sergey Okhotin, bezpečnostní odborník ve společnosti Kaspersky Lab.