Обзор подготовлен

Число уязвимостей в ПО резко сокращается

До недавнего времени компании-разработчики ПО особо не задумывались над вопросами безопасности своих продуктов. Вопрос, который волновал их намного больше, — как произвести большее количество решений и «подсадить» на них большее число пользователей.

Некоторое время такая схема работала: на рынке постоянно появлялись новые версии старых и огромное количество новых продуктов. Изменения, который добавлялись в старые версии продуктов, носили, скорее, косметический характер. Вопросам безопасности уделялось очень мало внимания.

Однако киберпреступники не дремали и выпускали все более изощренные инструменты для взлома компьютерных систем и отдельного программного обеспечения. Увеличивался и поток компьютерных вирусов и червей, которые для «размножения» и саморассылки использовали «дырявое» ПО от небрежных разработчиков.

Такая ситуация не могла продолжаться до бесконечности: экономический ущерб от невнимания к вопросам информационной безопасности рос космическими темпами. Специалисты считают, что перелом наступил в начале 2000-х гг. По времени этот перелом совпал с крахом высокотехнологичных рынков в мире и кризисом в ИТ-сфере. Компании-заказчики мгновенно сократили бюджеты на информационные технологии, уволили большое количество ИТ-специалистов.

Кризис на ИТ-рынке привел к тому, что заказчики перестали постоянно обновлять ПО поскольку кроме косметических новшеств в продуктах не было реальных улучшений. Сокращение заказов вынудило разработчиков переориентироваться с косметической на более детальную доработку своих продуктов. Не последнее место стало отводиться вопросам информационной безопасности в ПО. Инициатива некоторых крупных компаний-разработчиков, направленная на рост осведомленности корпоративных и частных пользователей о современных информационных угрозах и проблемах, только способствовала популяризации решений в сфере ИБ.

Динамика обнаруженных уязвимостей в 1995 — 2004 гг.

Источник: MI2G, 2004

Пик обнаруженных уязвимостей пришелся на 2001 г. Компания mi2g предоставила CNews.ru данные, согласно которым в 2001 г. количество зарегистрированных уязвимостей составило 1506 штук. Спустя 2 года прорех стало в 1,5 раза меньше — 1007. В 2004 г. специалисты ожидают дальнейшего сокращения количества «дыр» — до 635.

Начиная с 2001 г. четко прослеживается тренд на уменьшение количества обнаруженных в ПО уязвимостей. В настоящее время каждая уважающая себя компания-разработчик на одно из первых мест ставит вопросы безопасности, упоминая об этом при каждом удобном случае.

Компании-интеграторы проводят специальные семинары, посвященные тем же вопросам: построение защищенных сетей, совершенствование уровня защиты уже существующих компьютерных сетей и т.д. Практически все указывает на то, что в последующие годы количество «дыр» должно сократиться еще больше. Произойдет ли это на самом деле, покажет время.

Роман Боровко / CNews Analytics

Константин Архипов: В мире наблюдается снижение уровня необходимых навыков пользователей ПК

О тенденциях на мировом и российском рынках ИБ, перспективах развития и современных компьютерных угрозах в интервью CNews.ru рассказал Констанстин Архипов, руководитель компании Panda Software Russia.

CNews.ru: Какие тенденции были ключевыми на рынке защиты информации в России за прошедший год?

Константин Архипов: В минувшем году было зафиксировано очень важное, хотя, на первый взгляд, и незаметное событие. Последние несколько лет наблюдается спад в общем уровне знаний, навыков, профессионализма пользователей ПК. Это связано с тем, что парк компьютеров на предприятиях и дома увеличивается колоссальными темпами. Компьютер и интернет проникает в те сферы нашей жизни, где ещё вчера никто и не помышлял о возможности использования этих умных помощников.

Естественно, что компьютерами всё больше и больше пользуются обычные пользователи, а не профессионалы в сфере компьютерных технологий, как это было два-три года назад. Это здорово, поскольку свидетельствует об объёме компьютерного рынка. Это нормально, поскольку человек не должен думать о том, как работают и как устроены устройства, которыми он пользуется. У меня есть сотовый телефон, но я абсолютно ничего не знаю о стандарте GSM, так же и автослесарь в своем гараже не должен знать ничего о протоколе TCP — пусть машины чинит.

Примерно та же картина наблюдается и на корпоративном рынке. Компьютерный парк на отдельно взятом предприятии вырос в два, в три раза за минувшие год-два. Появились сложные системы, базы данных, какие-то корпоративные приложения. При этом отдел АСУ не увеличился в два раза. В лучшем случае, был принят еще один стажер с перспективой роста. Это, конечно, утрированно, но, в общем, картина именно такая.

Полный текст интервью

Система анализа защищенности

Первый шаг в обеспечении защиты сетевых ресурсов заключается в том, чтобы определить, где хранится информация, какие меры должны быть приняты в местах установки средств защиты, и найти слабые места и несоответствия в настройках, которые подвергают информацию риску. Компания ЭЛВИС-ПЛЮС предлагает решение этих задач на основе продуктов, как собственного производства, так и ряда продуктов компании Cisco и Internet Security Systems, которые позволяют проводить анализ уязвимости на данном этапе.

Продукты компании ЭЛВИС-ПЛЮС:

ЗАСТАВА-Инспектор (анализатор уязвимости и вторжений в сетях Windows) — программный продукт, который является специализированным инструментом анализа защищенности сети Windows, который призван облегчить жизнь администратора безопасности и позволить ему более эффективно выполнять возложенные на него задачи. В классе продуктов информационной безопасности продукт ЗАСТАВА-Инспектор относятся к средствам обнаружения вторжений и атак и предназначено для оперативного автоматизированного мониторинга открытых информационных ресурсов рабочих станций сети Windows, а также выявления и предотвращения событий или действий, создающих угрозы утраты или разглашения сведений ограниченного доступа.

Подробнее