#AppSec_исследование #AppSecHub
Мы провели исследование, в ходе которого рассчитали общую и критическую плотность риска для семи основных языков программирования.
Под плотностью риска безопасности (Security Risk Density) подразумевается в данном случае суммарное число неисправленных уязвимостей в программном обеспечении на 1000 значимых строк кода программ, написанных на конкретном языке программирования.
Java, JavaScript и C# оказались на первых трех местах по уровню критичности. Они максимально уязвимы для хакеров, что негативно отражается на общей безопасности написанных на них проектов.
А вот Python, который с октября 2021 г. удерживает титул самого популярного языка программирования в мире, занял предпоследнее место в этом рейтинге. Более безопасны, чем он, оказался Go, он же Golang, созданный Google. К слову, он, очень полюбился хакерам и вирусмейкерам за то, что позволяет надежно прятать вредоносное ПО внутри полностью легитимных программ и тем самым успешно обходить антивирусную защиту.
Как составлялся рейтинг
Основу для подготовленного экспертами AppSec Solutions рейтинга составили обезличенные и анонимизированные данные нескольких компаний из самых разных сфер. Это представители топливно-энергетического комплекса, телеком-компаний, банков, ИТ-индустрии, различных промышленных предприятий и другие.
При помощи инструмента сбора аналитики и контроля уязвимостей AppSec.Hub был проведен анализ около 140 млн строк кода, 8500 элементов ПО (кодовых баз, артефактов сборки, стендов) и 750 тыс. уязвимостей. Все это было исследовано с целью выявления типичных (средних и медианных) значений плотности риска безопасности языков программирования.
Как результат, язык Java может стать отличным подспорьем для современных киберпреступников всех мастей. «Для создания вредоносного кода злоумышленникам проще пользоваться Java за счет большего количества зависимостей при программировании, – сказал директор продукта AppSec.Hub Кирилл Гаранов.
Представьте себе две компании, в одной из которых трудится 50 человек, а в другой – 500. В какой из них у злоумышленников будет больше возможностей найти «слабое звено»? Примерно таков же принцип работает и с языками программирования. Java и C# доступны во множестве библиотек, где можно найти решения почти под любые задачи и в то же время чрезвычайно популярны у команд разработки.