安全审计显示企业网络防御差

大多数企业网络都可以通过相对简单的黑客技术损害，审查2016年度安全审核。

根据积极技术的企业漏洞的白皮书，其中一些技术需要很少的技能，并且可以平均仅在两个步骤中完成。

这些研究结果与前黑客Cal Leeming和Darren Martyn表示的意见一致，他于2017年4月一周告诉计算机，即使是大型且资源丰富的企业甚至在几个网络防守基本领域未能攻击。

积极技术的安全审核，模拟实际攻击者如何尝试穿透公司系统，确定了大量的保护缺陷。

在47％的调查公司系统中检测到关键漏洞。这些高风险漏洞通常与配置错误（40％），Web应用程序代码中的错误（27％），并且无法安装安全更新（20％）。

在Wandacry全局赎金软件攻击之后，突出显示了软件安全更新或修补过程的较差，该攻击软件供应商已经发出了修补程序的Microsoft软件漏洞。

根据白皮书的说法，在安全审计中确定的过日系统中，最旧的卸载更新的平均年龄是九年。

发现（CVE-1999-0024）的最旧漏洞发布于17多年前，并涉及用于递归查询的DNS服务器支持。白皮书说，恶意用户可以利用这种脆弱性来进行拒绝服务（DOS）攻击。

安全审核审查发现，常见的周边漏洞包括字典密码，未加密的数据传输协议（100％），易受害的软件版本（91％）以及远程访问，设备控制和与数据库管理系统的连接的公开接口（91 ％）。

虽然Web应用程序漏洞不是最大的威胁，但它们仍然是危险的，仍然危险，审查显示，Web应用程序漏洞使得可以绕过测试的77％的企业系统上的网络周边。

当作为外部入侵者时，测试人员能够在55％的系统上完全控制企业基础设施，而作为内部入侵者，测试人员分别在2015年的28％和82％的所有系统中取得成功。 。

在测试的所有系统上发现的最常见的内部网络漏洞是网络层和数据链路层协议中的缺陷，导致流量重定向和拦截网络配置信息。

WhitePaper说，2016年，信息安全的员工对信息安全的一半系统非常低，而2015年的25％的系统。此外，在大多数情况下，无线网络安全性也非常差（75％），每个第二系统都可以从Wi-Fi访问局域网（LAN）。

“绝大多数对企业基础设施的攻击涉及泛滥的普遍漏洞和缺陷，”正技术信息安全分析主管Evgeny Gnedin表示。

“公司可以通过应用基本信息安全规则来大大提高其安全立场，避免受害者下降攻击。”

Gnedin建议所有组织的规则是：

Gnedin还注意到单独的防病毒保护是不足以保持高安全性。“为了保护Web应用程序，有必要使用Web应用程序防火墙[WAFS]，安全事件监控系统有助于及时检测攻击，”他说。

Gnedin还敦促组织定期培训员工，以提高信息安全意识，并执行渗透测试，以及时识别新的攻击载体和测试保护方法。

“通过始终如一地应用所有这些措施，公司可以确保有效的保护并证明昂贵的专业安全系统的成本，”他说。