30 000 веб-сайтов взламываются ежедневно с целью хищения личных данных или дальнейшего внедрения в корпоративные сети и дата-центры владельцев. Швейцарская компания High-Tech Bridge предлагает всем желающим заказать на своем сайте 12-часовую аренду команды профессиональных хакеров, которые всего за $990 расскажут заказчику, как быстро можно взломать его личный или корпоративной сайт, и главное – как это можно предотвратить.
Согласно статистике антивирусной компании McAfee и научно-исследовательского центра Center for Strategic and International Studies (CSIS), общий ущерб, нанесённый кибер-преступлениями и интернет-мошенничеством в 2013 году оценивается в 300 миллиардов долларов США. Статистика из Sophos Labs сообщает о 30 000 новых взломах сайтов каждый день, которые распространяют злонамеренный контент и вирусы с целью инфицирования своих посетителей. Многие ИТ-интеграторы поставляют в компании заведомо неэффективные решения по обеспечению ИТ-безопасности, которые приносят им существенный доход, а учитывая немалую загрузку ежедневной работой ИТ отделы зачастую берут тот продукт, который нахваливает интегратор. Немалую роль сыграл и экономический кризис, от которого многие компании еще до сих пор полностью не оправились и продолжают экономить на ИТ, урезая в первую очередь расходы на безопасность. Ситуация усугубляется плохим взаимодействием руководства компаний и ИТ-отделов, которые зачастую «говорят на разных языках» и преследуют разные цели. В итоге, руководство попросту не может достоверно проверить, насколько эффективно защищен их бизнес в Сети.
В последнее время особенно участились атаки на веб-сайты и веб-приложения, которые все чаще становятся «открытой дверью» в корпоративную сеть. Новые технологии все больше используют простые, удобные и понятные веб интерфейсы, защите которых не уделяется должного внимания, что приводит к их взлому и последующей компрометации стоящих за ними баз данных. Очень часто взламываются веб-сайты даже тех компаний, у которых на сайте вообще нет никакой ценной информации и которые полностью изолированы от внутренних корпоративных сетей, в следствии чего безопасности таких сайтов уделяется категорически мало времени. Этим успешно пользуются хакеры, размещая на сайте вредоносный код и отправляя ссылки на инфицированный корпоративный сайт сотрудникам компании, которые с очень большой вероятностью последуют ссылке, ведущей на их сайт. В результате это позволит злоумышленникам проникнуть в их компьютер и «пойти» дальше по корпоративной сети.
Инновационное решение проблемы безопасности веб сайтов анонсировала Швейцарская компания High-Tech Bridge, которая довольно часто мелькала на первых полосах международных СМИ в последнее время. В сентябре 2013 сотрудники компания вынудили американского гиганта Yahoo кардинально пересмотреть программу вознаграждения за найденные уязвимости, когда сообщив Yahoo о 4 уязвимостях позволяющих украсть любой почтовый адрес на Yahoo, они получили взамен 12 долларов и 50 центов. В самом начале 2014 года, имя компании не сходило со страниц журналистов, после того как в США подали многомиллиардный коллективный иск против социальной сети Facebook (Запрещенная в РФ организация), которая, как это ранее смогли доказать исследователи High-Tech Bridge, перехватывает личные сообщения пользователей социальной сети. Недавно, очередное исследование компании встряхнуло Всемирный Экономический Форум (World Economic Forum), организаторы которого получили уведомление от High-Tech Bridge об опасной бреши на своем веб-сайте, раскрывающей десятки тысяч частных email-адресов всех VIP участников форума, и даже не удосужились закрыть уязвимость или ответить на оповещение.
Суть облачного SaaS-решения (Software-as-a-Service) под названием ImmuniWeb® довольно проста: любой желающий может зарегистрировавшись на веб-портале ImmuniWeb и пройдя быструю проверку во избежание фальсификации личности нанять команду профессиональных аудиторов (на западе их называют ethical hackers или этичные хакеры) для проверки своего веб-сайта на уязвимости. Весь процесс заказа, включая безопасную оплату любым типом пластиковой карты или через PayPal, происходит полностью в режиме online с компьютера, планшета, или даже мобильного телефона, не требует никаких звонков, встреч или бумаг, и занимает не более 10 минут. Ключевая особенность ImmuniWeb заключается в том, что это уникальный гибрид человеческого и автоматического тестирования, которые идеально дополняют друг друга.
Илья Колошенко, генеральный директор High-Tech Bridge, комментирует запуск: «Решения которые существовали на рынке были или весьма дорогими, долгими и административно-сложными ручными аудитами (penetration testing), или же быстрым, дешевым, но малоэффективным автоматическим сканированием (vulnerability scanning), который довольно часто пропускает уязвимости (false-negative) или наоборот выдает огромный список якобы найденных уязвимостей, которые таковыми не являются (false-positive). Мы же предлагаем уникальный гибрид, который сочетает в себе скорость и охват автоматической проверки и точность и глубину ручного тестирования. Мы гарантируем полное отсутствие ошибок (false-positive) в отчете и предоставляем индивидуальные рекомендации по устранению каждой найденной уязвимости. ImmuniWeb рассчитан на очень широкий рынок: для среднего и малого бизнеса — это комплексное решение, которое позволит быстро и эффективно найти и устранить все уязвимости веб сайта, в то время как для больших компаний и правительственных организаций ImmuniWeb — это высоко-эффективный инструмент проверки безопасности своих веб сайтов, и соответственно возможность понять, насколько эффективно используются бюджет, выделяемый на защиту данных».
Помимо поиска существующих уязвимостей веб приложения, ImmuniWeb также проверит SSL сертификат, найдет фишинговые домены, которые пытаются имитировать ваш бренд или бизнес. ImmuniWeb Hacking Resource Monitor, который является неотъемлемой частью каждой проверки вебсайта, покажет список всех атак против вашего сайта или уязвимостей найденных на вашем сайте, которые так или иначе «засветились» в интернете, что даст весьма полную картину эффективности обеспечения безопасности веб-сайта в прошлом.
Марсель Низамутдинов, руководитель отдела исследований и разработок, добавляет: «В настоящее время, когда ущербы от незаконной деятельности хакеров превышают уже миллиарды долларов, мы видим очень большое количество людей и компаний, предлагающих свои услуги в области информационной безопасности. Как правило это компании, которые сами в этой области ничего, кроме создания нормативных документов, не умеют. Многие уже сталкивались с ситуацией, когда покупая тест на проникновение или аудит, заказчик получает на руки отчет бесплатного сканера уязвимостей. Отчет, с которым заказчик даже не знает, что делать. Такие отчеты, как правило, полны неточностей (false-positive) и не предлагают вразумительных вариантов решения опасных ситуаций. В отличие от таких услуг, ImmuniWeb — это аудит безопасности, осуществленный людьми — профессиональными аудиторами, которые мыслят, как хакеры. ImmuniWeb — это тест на проникновение, сделанный хакерами. Вы получите не просто формальный отчет, вы получите отчет, в котором не будет ошибок, неточностей и ненужной информации. Отчет с примерами эксплуатации каждой найденной уязвимости, а также детальными рекомендациями по их устранению, «заточенными» под каждого клиента индивидуально. Отчет, в котором не будет 200 страницу лишнего мусора. Отчет, который поймет и программист, и гендиректор. И все — это по цене немного дороже обычного скана».
