Москва
Мероприятия
Блог
Корзина
Регистрация Войти
main-bg
Блог

Половина библиотек для разработки ПО содержит уязвимости. Как защититься от хакеров и какие методы лучше использовать

Около 50% популярных библиотек для разработки ПО с открытом кодом содержат уязвимости, рассказали «Известиям» эксперты. Через них атаки хакеров могут привести к утечке конфиденциальных данных компаний, а также и персональных, приостановить работу внутренней системы либо внести зловред в систему безопасности. Для предотвращения атак эксперты рекомендуют устанавливать антивирусное программное обеспечение и регулярно обновлять приложения.

Как хакеры похищают данные пользователей

Каждая вторая из популярных библиотек для разработки программного обеспечения с открытым кодом (там разработчики берут доступные инструменты для создания новых продуктов) содержала уязвимость в какой-либо из своих версий. Об этом «Известиям» рассказали в AppSec Solutions, которая провела анализ открытых источников. Большинство таких библиотек разрабатываются энтузиастами или небольшими командами, которые зачастую не имеют ресурсов на регулярный аудит безопасности либо не обладают необходимыми навыками в области информационной безопасности, объяснил эксперт направления анализа защищенности Infosecurity (ГК Softline) Олег Уланов.

Фото: ИЗВЕСТИЯ/Эдуард Корниенко

Открытое ПО — это своего рода лотерея, говорит руководитель департамента аудита и консалтинга компании F.A.C.C.T. Евгений Янов. Открытый исходный код дает злоумышленникам возможность тщательно изучить его и найти уязвимости, которые они смогут использовать для неправомерных действий, отметил он.

— Для обычного пользователя опасность заключается в том, что уязвимости могут быть использованы для кражи данных, финансов, заражения устройств вредоносным ПО или других форм атак. Например, если приложение на смартфоне использует уязвимую библиотеку, злоумышленники могут использовать ее и получить полный контроль над данными пользователя, — сказал Олег Уланов.

Для разработчиков риски еще более масштабны — хакеры через них могут атаковать инфраструктуру компаний, что чревато полной компрометацией данных пользователей, нарушением бизнес-процессов вплоть до потери бизнеса, отметил он. Кроме того, эксплуатация злоумышленниками уязвимостей приводит к репутационным потерям, которые обязательно скажутся на финансовом благополучии компании.

Фото: ИЗВЕСТИЯ/Павел Волков

Руководитель направления развития сообществ ИБ Positive Technologies Антон Кутепов считает, что последствия таких уязвимостей могут варьироваться от незначительных до крайне серьезных, в том числе утечки данных. Однако для разработчиков, которые используют открытые библиотеки, важным аспектом всё же остаются репутационные риски. В случае обнаружения уязвимости самое главное — быстро обновить используемую версию, пояснил он.

Microsoft, например, наладила механизм оперативного устранения таких проблем и имеет программу поощрения исследователей, которые сообщают вендору о найденных уязвимостях, добавил эксперт. Всего на сегодняшний день, по данным «Лаборатории Касперского», известно более чем о 12 тыс. уязвимых решений с открытым исходным кодом.

Справка «Известий»

Глава Роскомнадзора Андрей Липов 19 декабря 2024 года заявлял, что за 11 месяцев 2024 года ведомство зафиксировало 127 случаев распространения баз данных в интернете, содержащих более 680 млн личных записей. Закон, который Госдума приняла в конце ноября, ужесточает наказание за утечку персональных данных, напомнили в ведомстве. Новые меры ответственности будут побуждать компании серьезнее относиться к защите персональных данных.

Как обезопасить персональные и корпоративные данные

Современная разработка программного обеспечения редко начинается ‎с нуля‎. В большинстве случаев, чтобы сократить время создания продукта, применяются уже готовые решения, заявил руководитель кластера DevSecOps-платформы «Сфера» (IT-холдинг Т1) Сергей Смирнов. По оценкам экспертов рынка, доля переиспользуемых библиотек в проектах может достигать 80%, подчеркнул эксперт.

— Когда библиотека становится популярной, число ее пользователей растет, что, в свою очередь, увеличивает вероятность выявления уязвимостей как специалистами, так и злоумышленниками, — сказал эксперт.

Фото: ИЗВЕСТИЯ/Эдуард Корниенко

Еще одной причиной большого числа уязвимостей является и снижение качества программирования в целом, считает директор департамента кибербезопасности в IBS Олег Босенко.

— Именно высокое качество программирования, проработка процессов, тестирование программных модулей позволяют исключить уязвимости. Преградой стоит стремление ускорить вывод продукта на рынок. И тогда сырой, непроверенный детально продукт попадает в библиотеку, — пояснил он.

Общий риск очевиден — снижение уровня безопасности в целом, формирование каналов деструктивного воздействия, утечки данных и так далее, подчеркнул эксперт.

По словам Сергея Смирнова, чтобы предотвратить последствия, пользователям необходимо установить антивирусное программное обеспечение и регулярно обновлять приложения. Для разработчиков, в свою очередь, существуют специализированные инструменты, которые позволяют минимизировать риски на этапе разработки, — например, статические, динамические анализаторы кода.

Фото: ИЗВЕСТИЯ/Павел Волков

Аудит применяемых решений крайне важен, добавил Олег Уланов из Infosecurity, проверка кода сторонних и собственных библиотек на безопасность помогает заранее определить слабые места, которые могут быть устранены до использования. Для этого можно привлечь сторонних специалистов по анализу защищенности, которые предоставят подробный отчет с рекомендациями, добавил он. Помимо этого, важно регулярное отслеживание уязвимостей в используемых библиотеках и их обновление, добавил он.

Источник: https://iz.ru/

Новости, истории и события
Смотреть все
Технологический Кластер «СФ ТЕХ» ГК Softline и компания POKKELS объявляют о стратегическом партнерстве
Новости

Технологический Кластер «СФ ТЕХ» ГК Softline и компания POKKELS объявляют о стратегическом партнерстве

13.08.2025

Оборудование производителя лазерных решений VPG LaserONE (кластер «СФ ТЕХ» ГК Softline) включено в реестр российской промышленной продукции
Новости

Оборудование производителя лазерных решений VPG LaserONE (кластер «СФ ТЕХ» ГК Softline) включено в реестр российской промышленной продукции

13.08.2025

«Инферит» (кластер «СФ ТЕХ» ГК Softline) готовит инженеров будущего: студенты МГТУ им. Н.Э. Баумана прошли практику на базе российского ИТ-вендора
Новости

«Инферит» (кластер «СФ ТЕХ» ГК Softline) готовит инженеров будущего: студенты МГТУ им. Н.Э. Баумана прошли практику на базе российского ИТ-вендора

13.08.2025

ГК Softline вошла в рейтинг российских провайдеров IaaS Enterprise 2025
Новости

ГК Softline вошла в рейтинг российских провайдеров IaaS Enterprise 2025

13.08.2025

«Инферит» (кластер «СФ ТЕХ» ГК Softline) и ОКБ САПР подтвердили совместимость ноутбуков INFERIT с решениями «Аккорд» для защищенных ИТ-сред
Новости

«Инферит» (кластер «СФ ТЕХ» ГК Softline) и ОКБ САПР подтвердили совместимость ноутбуков INFERIT с решениями «Аккорд» для защищенных ИТ-сред

12.08.2025

Инвестиционная компания Sk Capital приобретает долю в акционерном капитале ПАО «Софтлайн»
Новости

Инвестиционная компания Sk Capital приобретает долю в акционерном капитале ПАО «Софтлайн»

12.08.2025

Dev Platform от VK Tech внедрила платформу Test IT («Девелоника», кластер FabricaONE.AI (акционер – ГК Softline) для повышения качества разработки ПО
Новости

Dev Platform от VK Tech внедрила платформу Test IT («Девелоника», кластер FabricaONE.AI (акционер – ГК Softline) для повышения качества разработки ПО

11.08.2025

ГК Softline вошла в ТОП-10 крупнейших компаний России
Новости

ГК Softline вошла в ТОП-10 крупнейших компаний России

11.08.2025

Компания SL Soft FabricaONE.AI (акционер – ГК Softline) представила технологию для миграции финансовых моделей из Excel в Polymatica EPM с помощью LLM
Новости

Компания SL Soft FabricaONE.AI (акционер – ГК Softline) представила технологию для миграции финансовых моделей из Excel в Polymatica EPM с помощью LLM

08.08.2025

ГК Softline вошла в рейтинг самых эффективных ИТ-компаний России
Новости

ГК Softline вошла в рейтинг самых эффективных ИТ-компаний России

08.08.2025

ActiveCloud (ГК Softline) помог крупнейшему производителю безалкогольных напитков повысить качество обслуживания клиентов
Новости

ActiveCloud (ГК Softline) помог крупнейшему производителю безалкогольных напитков повысить качество обслуживания клиентов

07.08.2025

Polymatica EPM компании SL Soft FabricaONE.AI (акционер – ГК Softline)  включена в Единый реестр российского программного обеспечения
Новости

Polymatica EPM компании SL Soft FabricaONE.AI (акционер – ГК Softline) включена в Единый реестр российского программного обеспечения

07.08.2025

Академия АйТи FabricaONE.AI (акционер – ГК Softline) обучила российских HR-специалистов навыкам и инструментам для цифровой трансформации компаний
Новости

Академия АйТи FabricaONE.AI (акционер – ГК Softline) обучила российских HR-специалистов навыкам и инструментам для цифровой трансформации компаний

07.08.2025

ГК Softline заняла 2 место в рейтинге крупнейших ИТ-поставщиков в банках
Новости

ГК Softline заняла 2 место в рейтинге крупнейших ИТ-поставщиков в банках

07.08.2025

ГК Softline третий год подряд в топ-3 крупнейших ИТ-групп России — устойчивый лидер инноваций и роста
Новости

ГК Softline третий год подряд в топ-3 крупнейших ИТ-групп России — устойчивый лидер инноваций и роста

07.08.2025

«Газпромтранс» разработал более 70 программных роботов на отечественной платформе для автоматизации бизнес-процессов ROBIN SL Soft FabricaONE.AI (акционер – ГК Softline)
Новости

«Газпромтранс» разработал более 70 программных роботов на отечественной платформе для автоматизации бизнес-процессов ROBIN SL Soft FabricaONE.AI (акционер – ГК Softline)

06.08.2025

Polymatica BI от SL Soft FabricaONE.AI (акционер — ГК Softline) вошла в ТОП-3 BI-решений
Новости

Polymatica BI от SL Soft FabricaONE.AI (акционер — ГК Softline) вошла в ТОП-3 BI-решений

06.08.2025

«Инферит ОС» (кластер «СФ ТЕХ» ГК Softline) подтвердил совместимость ОС «МСВСфера» 9 и платформы корпоративных коммуникаций DION
Новости

«Инферит ОС» (кластер «СФ ТЕХ» ГК Softline) подтвердил совместимость ОС «МСВСфера» 9 и платформы корпоративных коммуникаций DION

06.08.2025

Цифровые лаборатории, VR-анатомия и не только: современные медико-биологические классы
Блог

Цифровые лаборатории, VR-анатомия и не только: современные медико-биологические классы

13.08.2025

Практическое руководство по защите коммерческой тайны в России: пошаговые инструкции и правовые аспекты
Блог

Практическое руководство по защите коммерческой тайны в России: пошаговые инструкции и правовые аспекты

05.08.2025

Импортозамещение в 2025 году
Блог

Импортозамещение в 2025 году

01.08.2025

Искусственный интеллект для медицины: реалии 2025 года
Блог

Искусственный интеллект для медицины: реалии 2025 года

24.07.2025

Топ российских производителей ноутбуков 2025: специализация и ведущие модели
Блог

Топ российских производителей ноутбуков 2025: специализация и ведущие модели

21.07.2025

ИБ-консультанты: кто спасет бизнес от утечек и хакерских атак
Блог

ИБ-консультанты: кто спасет бизнес от утечек и хакерских атак

18.07.2025

TMS-системы: рациональный и интеллектуальный подход к управлению тестированием
Блог

TMS-системы: рациональный и интеллектуальный подход к управлению тестированием

17.07.2025

Востребованные ИТ-профессии в 2025 году
Блог

Востребованные ИТ-профессии в 2025 году

15.07.2025

Без паники: как управлять ИТ-инфраструктурой без SCCM
Блог

Без паники: как управлять ИТ-инфраструктурой без SCCM

07.07.2025

ЦОД: основные компоненты, классификация и системы безопасности
Блог

ЦОД: основные компоненты, классификация и системы безопасности

04.07.2025

Критическая информационная инфраструктура: все, что нужно знать о КИИ
Блог

Критическая информационная инфраструктура: все, что нужно знать о КИИ

01.07.2025

SimpleOne HRMS: автоматизация управления персоналом для повышения лояльности сотрудников и эффективности бизнеса
Блог

SimpleOne HRMS: автоматизация управления персоналом для повышения лояльности сотрудников и эффективности бизнеса

27.06.2025

Технологии умного города: от ИИ до RPA
Блог

Технологии умного города: от ИИ до RPA

25.06.2025

ГК Softline развивает наукоемкое ПО для инженерного анализа (САЕ)
Блог

ГК Softline развивает наукоемкое ПО для инженерного анализа (САЕ)

23.06.2025

Российские облачные сервисы: преимущества, особенности и выбор
Блог

Российские облачные сервисы: преимущества, особенности и выбор

20.06.2025

VPS: что это и когда он необходим бизнесу
Блог

VPS: что это и когда он необходим бизнесу

17.06.2025

Яндекс 360: эволюция решений для цифровой трансформации бизнеса
Блог

Яндекс 360: эволюция решений для цифровой трансформации бизнеса

11.06.2025

Платформизация, безопасность ИИ и активная защита малого бизнеса — «Лаборатория Касперского» об ИБ-рынке
Блог

Платформизация, безопасность ИИ и активная защита малого бизнеса — «Лаборатория Касперского» об ИБ-рынке

09.06.2025

ИТ-решения, кейсы, новости
в Telegram-канале Softline
Подписаться