Даже без учета "национальных особенностей" много интересной статистики, а главный вывод можно сформулировать так:
Причина подавляющего количества инцидентов не сложные APT-атаки, а эксплуатация уязвимостей в доступных из сети Интернет активах. Сами уязвимости "спровоцированы" давно известными дефектами (CWE) в коде, которые систематически попадает в ежегодные топы самых опасных (инъекции, межсатовый скриптинг, недостаточная проверка ввода и т.п.).
В целом, отчёт однозначно стоит посмотреть: дублировать цифры не буду, а лишь подсвечу ключевые рекомендации, которые CISA транслирует в адрес организаций, закупающих программное обеспечение.
Чтобы оценить безопасность приобретаемого ПО, организациям предлагается задавать следующие вопросы вендорам:
➡️Прост ли процесс установки патчей безопасности и включены ли по умолчанию автоматические обновления?
➡️Предоставляется ли технология единого входа (SSO) бесплатно в базовом пакете поставки?
➡️Настроена ли по умолчанию многофакторная аутентификация, в том числе устойчивая к фишингу?
➡️Отсутствует ли функционал "паролей по умолчанию" или есть ли планы по исключению этого функционала в будущих версиях?
➡️Какие классы уязвимостей производитель уже полностью "искоренил" в своем ПО, и каков его план по устранению оставшихся (есть ли дорожная карта)?
➡️Включены ли журналы безопасности в стандартную поставку продукта (без дополнительной платы)?
➡️Предоставляет ли вендор машиночитаемый SBOM (Software Bill of Materials)?
➡️Насколько точно производитель сопоставляет уязвимости в своих продуктах со справочниками CWE и CPE?
#cisa #vm #vulnerability #cve #cwe #cpe