Реклама

» » «Ростелеком»: 80% российских компаний не соблюдают базовых требований к паролям

«Ростелеком»: 80% российских компаний не соблюдают базовых требований к паролям

«Ростелеком»: 80% российских компаний не соблюдают базовых требований к паролям


Компания «Ростелеком-Солар», дочерняя структура ПАО «Ростелеком», провела исследование, которое показало, что около 80% компаний не соблюдают базовых правил парольной защиты. При этом практически в каждой тестируемой корпоративной сети специалистам по анализу защищенности удалось получить привилегии администратора. Реальному киберпреступнику это позволило бы скрытно развивать атаку, с большой вероятностью способную привести к краже финансовых средств или конфиденциальной информации.

Эксперты предупреждают: недостатки, связанные с паролями, могут привести к полной компрометации внутренней сети и утечке критически важных для организации конфиденциальных данных. Особенно опасно то, что эксплуатация таких недостатков не требует со стороны злоумышленников специальных технических средств и позволяет им долго оставаться незамеченными внутри корпоративной сети.

В основу исследования «Ростелеком-Солар» легли данные, полученные экспертами компании в ходе киберучений, тестирований на проникновение и проектов по анализу защищенности заказчиков из банковского сектора, сферы производства, информационных технологий, информационной безопасности и других. Имитация атак предполагала два сценария: проникновение в корпоративную сеть извне, а также имитацию действий внутреннего нарушителя.

Самой распространенной ошибкой, выявленной при внешнем тестировании на проникновение, оказались пароли, установленные по умолчанию, слабые и легко подбираемые пароли пользовательских учётных записей (например, «admin/admin», «admin/12345» и т.п.), а также отсутствие блокировок учётных записей, что позволяет проводить атаки на подбор паролей.

Основной недостаток, обнаруженный при внутреннем тестировании на проникновение, – использование сотрудниками одинаковых паролей учётных записей с различными правами. Например, в целях безопасности системным администраторам, как правило, выдаются две учетные записи: пользовательская, в которой он работает по умолчанию, и привилегированная административная, используемая по мере необходимости. Однако часто администраторы в обоих случаях ставят одинаковые пароли, что сводит на нет принятые меры безопасности. Подобные недостатки эксперты «Ростелеком-Солар» эксплуатируют в большинстве исследуемых корпоративных сетей.

Еще одна распространенная ошибка – хранение учетных данных на общедоступных ресурсах в корпоративной сети или на самих ПК. например пароли в груповых политиках или записанные рядовым сотрудником пароли в текстовых файлах на рабочей станциях. В такой ситуации даже случайное попадание вредоносного ПО на машину одного сотрудника становится критической угрозой безопасности всей организации. Если злоумышленник попадает на машину пользователя и находит такой документ, он моментально получает управление привилегированными учётными записями, проникая вглубь компании.

В части организаций выявлены недостатки в парольных политиках для корпоративных учетных записей. В частности, к сотрудникам не предъявляются требования по длине создаваемых паролей и наличию в них спецсимволов (строчных и прописных букв, цифр, знаков). Ряд недостатков связан с частотой смены паролей: такое требование в одних компаниях отсутствует, а в других чрезмерно усилено (например, смена пароля каждый месяц), что обычно провоцирует сотрудников использовать слишком простые сочетания символов и записывать их на ненадёжных носителях.

«Основная причина, которая ведёт к подобным недостаткам – это человеческий фактор. Сотрудники компаний часто обладают недостаточной киберграмотностью и в результате стараются либо упростить пароли, либо хранят их в открытом доступе: в файле на компьютере или на стикере рядом с монитором. С другой стороны, сами системные администраторы порой недостаточно следят за тем, как хранятся учётные данные, или допускают создание пользователями слабых паролей. Нередко при заведении новых учётных записей в них по умолчанию устанавливается простой дефолтный пароль, который потом долго не меняют», – отмечает Александр Колесов, руководитель отдела анализа защищенности компании «Ростелеком-Солар».

Решить проблему, по мнению экспертов компании, можно введением двухфакторной аутентификации пользователей. Однако на данный момент из-за сложности организации и высокой стоимости услуги многие компании этого не делают. Более доступным вариантом является обучение сотрудников основам кибергигиены: объяснение правил создания надёжных паролей и их безопасного хранения, в том числе с использованием специальных баз и программ.


Источник: пресс-служба Липецкого филиала ПАО «Ростелеком»

Комментариев: 0

Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь. Мы рекомендуем Вам зарегистрироваться либо зайти на сайт под своим именем.

Свежие новости

21:48
Исторический зал грязинского поискового военно-исторического клуба «Оплот» посетили юные "катановцы"
21:36
В Грязях к 7 годам заключения приговорён бывший сотрудник полиции - виновник смертельного ДТП
20:30
В Грязинском районе утонули два человека
15:33
Липецких школьников зовут заняться добрыми делами этим летом
13:54
Календарь футбольных игр на выходные
19:40
«Ростелеком» представил уникальное мультисервисное решение «Цифровая экосистема АПК»
19:33
"Оконные Системы - Л": надёжные и качественные изделия из ПВХ и алюминия по низким ценам!
17:02
Грязинский район приступил к уборочной страде
16:53
Семья Вагановых из Грязинского района награждена медалью «За любовь и верность»
12:48
Установка двух дорожных знаков в Грязях признана прокуратурой незаконной
12:23
В городе Грязи проведут капитальный ремонт девяти домов
20:26
Липецкие и грязинские семьи присутствовали на торжественном приёме опекунских и приёмных семей
20:01
Энергетики «Россети Центр Липецкэнерго» оперативно устраняют последствия непогоды
14:42
Грязинскую подозреваемую в убийстве задержали сотрудники вневедомственной охраны управления Росгвардии
13:14
19-летняя жительница Грязей задержана за убийство
19:54
Грязинцы устраивали "вечеринки" среди ночи
Больше новостей