防衛省、FSB、FSIN、NPP、メトロおよびフェデラルハイウェイのセキュリティシステムの脆弱性

• 情報セキュリティプロパティ（機密性、完全性、アクセシビリティ）のいずれかの違反の結果として、社会的、政治的、国際的、経済的、財政的またはその他の活動分野で重大な否定的な結果が生じる可能性がある場合、および/または情報システムおよび/またはオペレーター（情報保有者）それらに割り当てられた機能を実行できます。
• メディアそれらに割り当てられた機能の少なくとも1つを実行できます。
• 情報セキュリティプロパティ（機密性、完全性、アクセシビリティ）のいずれかの違反の結果として、社会的、政治的、国際的、経済的、財政的またはその他の活動分野および/または情報システムおよび/またはオペレーター（情報所有者）割り当てられた機能を不十分な効率で実行したり、機能のパフォーマンスを実行したりするには、追加の力と手段が必要です。

• 最高レベルの制御- 最初のものは、署名スタンプ「」で情報を保護するために使用されるソフトウェアに十分です。
• 第2レベルの制御は、署名スタンプ「CC」で情報を保護するために使用されるソフトウェアにとって十分です。
• 第3レベルの制御は、「C」とマークされた情報を保護するために使用されるソフトウェアに十分です。
• 最低レベルの制御-4 番目は 、機密情報を保護するために使用されるソフトウェアに十分です。

「そして、これらの人々は私に鼻をほじることを禁じていますか？」

• 10のシステムのうち9つで、インターネットの一部で動作する外部の侵入者は、内部ネットワークのノードにアクセスできます。 さらに、55％のケースで、外部の攻撃者は攻撃を開発し、会社のインフラストラクチャ全体を完全に制御できます。
• 平均して、ネットワークの境界を克服するには、外部の攻撃者は2つの異なる脆弱性を悪用する必要がありますが、82％のケースでの攻撃には中程度または低レベルの資格があれば十分です。
• 40％のケースでは、内部ネットワークへの侵入ベクトルは弱いパスワード保護に基づいています。 過去2年間と同様に、この脆弱性は最も広範囲であり、調査対象システムの82％のネットワーク境界で発見され、これらの各システムでは、辞書パスワードもWebアプリケーションに存在していました。 67％の企業では、特権アカウントに辞書パスワードが使用されていました。
• 3番目のシステムでは、内部ネットワークへのアクセスはWebアプリケーションの脆弱性を介しています。 したがって、「任意のファイルのロード」や「SQLステートメントの埋め込み」などの脆弱性は、システムの55％で発見されています。 全体として、調査したシステムの93％でWebアプリケーションの脆弱性が検出されました。 この分野のセキュリティの全体的なレベルは、過去2年間と同様、非常に低いままです。
• 2011-2012と比較。 ネットワーク境界の平均セキュリティが低下しました。 システムのシェアは17％増加し、内部ネットワークへのアクセスが可能になりました（74から91％）。 攻撃を実行するために、外部の攻撃者はより低い資格を必要とするようになり、平均して境界を克服するには、より少ない脆弱性を悪用する必要があります（過去2年間で2対3）。 一般的な状況は、使用されている保護手段の開発が最新の攻撃方法よりも遅く、十分に高いレベルのセキュリティを提供できないことを示しています。 そのため、たとえば、ネットワーク境界のノードに最新のセキュリティ更新プログラムがインストールされていないシステムの割合が大幅に増加しています（10から64％）。

• 調査したすべてのシステムで、ネットワークのユーザーセグメントにある特権のない内部侵入者は、何らかの方法で特権を拡大し、重要なリソースへの不正アクセスを取得できます。 さらに、71％のケースで、内部違反者は組織の情報インフラストラクチャ全体を完全に制御できます。
• わずか17％のケースでは、内部攻撃者は重要なリソースにアクセスするための高度な資格を持っている必要がありますが、調査対象のシステムの半分では、内部ネットワークの未熟なユーザーから攻撃が可能です。 平均して、内部ネットワークにアクセスする場合、攻撃者は5つの異なる脆弱性を悪用して重要なリソースを制御する必要があります。
• 内部ネットワークリソースの最も一般的な脆弱性は、システムの92％で見られる脆弱なパスワードの使用です。 次に最も一般的なのは、サービスプロトコル（ARP、STP、CDPなど）のフィルタリングと保護のデメリットであり、トラフィックの傍受とリダイレクト、および重要なデータのクリアなストレージにつながります。 これらの脆弱性は、システムの67％で検出されています。
• 内部ネットワークのセキュリティレベルは、2011年から2012年に比べて低下しています。 調査したシステムの100％で内部ネットワークから重要なリソースを完全に制御できるようになりましたが、以前は84％のケースで同様の結果が得られていました。 外部の攻撃者による攻撃については、攻撃の成功に必要な脆弱性の平均数が7から5に減少しました。攻撃者の必要なスキルも低下しました。攻撃の50％ではスキルがかなり低く、以前はこの資格は40で十分でした％攻撃。 一般に、特定の領域でのいくつかの改善（たとえば、ウイルス対策のレベルが向上した）にもかかわらず、適用されたセキュリティ対策は、現代の攻撃に対抗するには十分ではありません。

• 情報セキュリティの問題に対するユーザーの意識を評価した結果、66％のケースで、1つまたは別の欠陥が発見されました。 3番目のシステムでは、ユーザー認識のレベルが低いと評価されました。これらのシステムでは、フィッシングエミュレーションメーリングリストの受信者の20％以上が提案されたリンクをたどり、提案されたファイルを起動するか、資格情報を入力しました。
• 平均して、ユーザーの10人ごとが提案されたリンクをクリックし、ユーザーの3％がダイアログへの入力を試み、被験者の4％が実行可能ファイルをダウンロードするか、提案された認証フォームに資格情報を入力しました。
• 情報セキュリティの問題に対する従業員の認識レベルが向上しました。 2013年には、3番目のシステムごとに、認識レベルが許容可能と評価されました。

• 重要なインフラストラクチャオブジェクトは、攻撃の対象です。 ロシア連邦の重要なインフラストラクチャの13個のオブジェクトのうち1個の代表者は、特定の目的のために行われたサイバー攻撃の犠牲者であると疑っています。
• ロシアの企業は、重要なインフラストラクチャを保護するために、政府のプログラムよりも独自のリソースに依存しています。 これらのプログラムに対する企業の態度はかなり懐疑的です（回答者の35％がこれを述べています）。 それにもかかわらず、ロシアの重要なインフラ施設は、世界平均よりは程度は低いものの、国家と協力する用意ができています（ほとんどの企業はこれについて中立的または肯定的でした）
• 企業の準備を向上させる可能性。 研究データは以下を示しています。
• ロシア連邦の重要なインフラストラクチャの20％は、情報セキュリティインシデントに適切に対応していません。
• 重要なインフラストラクチャ施設の26％は、資格情報に基づいてインフラストラクチャへのアクセスを制御するための十分な対策を講じていません。
• 重要なインフラストラクチャ施設の30％には、情報システムの災害復旧計画がないか、準備が不十分です。
• 重要なインフラ施設の30％は、Webサイトのセキュリティを確保するための十分な対策を講じていません。
• 重要なインフラ施設の33％は、情報セキュリティを適切に監視していません。
• 重要なインフラ施設の34％は、ネットワークを保護するための十分な対策を講じていません。
• 重要なインフラ施設の35％の経営陣は、情報セキュリティの脅威の重要性を十分に認識していません。
• 重要なインフラ施設の37％は、電子通信のセキュリティを確保するための十分な対策を講じていません。
• 重要なインフラ施設の39％で、安全訓練が適切なレベルで実施されていません。
• 重要なインフラ施設の45％は、十分なセキュリティ監査を実施していません。
• 重要なインフラストラクチャ施設の半分以上（51％）は、エンドポイント（ユーザーの職場のコンピューター、サーバー、端末など）を保護するための不十分な手段を使用または適用していません。つまり、企業の半分以上が保護されていません。
• 情報セキュリティインシデントを監視し、情報漏洩を監視するシステムを改善する必要があります。 この調査では、情報セキュリティの分野での認識と制御のレベルが不十分であることが示されました。回答者の3分の1は、情報システムが攻撃されたかどうか不明です。 システムが攻撃されたほとんどの企業は、これらの攻撃が成功したかどうかを確実に判断することはできません。 さらに、回答者の3分の1は、サイバー攻撃に耐える準備ができているかどうかを確実に言うことができません。
• 世界の情報セキュリティのレベルと比較すると、ロシアはまだやや遅れています。 さまざまなセキュリティ対策のステータスに基づくセキュリティインデックスは、世界で平均+ 7％に対して+ 25％です。 攻撃に対する企業の準備状況に関する当社自身の評価も世界的なものよりも低く、ロシアのサイバー攻撃に耐える準備ができているのは世界の平均70％に対して41％のみです。