2016-2022 All Rights Reserved.平安財經網.復制必究 聯系QQ 備案號:
本站除標明“本站原創(chuàng)”外所有信息均轉載自互聯網 版權歸原作者所有。
郵箱:toplearningteam#gmail.com (請將#換成@)
瑞士網絡安全公司ImmuniWeb發(fā)布了一份關于全球各大機場網絡安全狀況的深度報告,發(fā)現幾乎所有機場都缺乏足夠的系統來保護其網站、移動應用程序和公共云。
該公司的研究人員在《全球前100大機場的網絡安全狀況》報告中匯編了他們的調查結果。報告稱,只有阿姆斯特丹史基浦機場、赫爾辛基-凡塔機場和都柏林機場三個機場通過了所有測試,沒有檢測出任何重大問題。
另一方面,數十個機場未能通過ImmuniWeb的所有測試,原因是它們的web和移動應用程序存在漏洞、公共云配置錯誤、暗網暴露或代碼存儲庫泄露。在2020年世界經濟論壇強調了這一主題后,ImmuniWeb決定研究機場網絡安全。在1月22日發(fā)布的報告中,世界經濟論壇呼吁機場應對新出現的網絡安全挑戰(zhàn)
“考慮到每天有那么多的人和組織把他們的數據和生活托付給國際機場,這些發(fā)現相當令人擔憂,”ImmuniWeb的首席執(zhí)行官和創(chuàng)始人伊利亞·科洛琴科(Ilia Kolochenko)說。
“作為一個經常飛行的人,坦率地說,我更喜歡通過那些關心網絡安全的機場。網絡犯分子很可能會考慮襲擊不知情的航空樞紐,對旅客或貨物運輸進行連鎖攻擊,以及直接針對機場的攻擊,以破壞關鍵的國家基礎設施,”Kolochenko說。在主要網站的安全方面,只有3個機場獲得了A+,只有15個機場在ImmuniWeb的報告中獲得了A。近四分之一的機場網站獲得了F級,這意味著它們使用的是過時的軟件,它們的CMS系統(如WordPress)或web組件(如jQuery)存在已知的和可利用的安全漏洞。一些網站甚至有幾個脆弱的組件。ImmuniWeb的研究人員發(fā)現,97%的網站使用過時的網絡軟件,24%的網站已經知道并利用了漏洞,另有76%的網站不符合GDPR。將近25%的人沒有SSL加密或者使用現在已經過時的SSLv3。
移動應用程序的安全性甚至更差。研究人員調查了36個機場移動應用程序,發(fā)現了500多個安全和隱私問題,以及288個移動安全漏洞,平均每個應用程序有15個。
他們查看的所有應用程序都至少有5個外部軟件框架和至少兩個漏洞。近34%的移動應用的對外流量根本沒有加密。
ImmuniWeb的研究團隊還發(fā)現,排名前100位的機場中,有66家都暴露在黑暗網絡中,這意味著它們最近泄露了高度機密的數據,如身份證件、財務記錄或生產系統的明文密碼。其他不太重要的風險包括最近機密數據的泄露以及內部敏感數據,如源代碼、文檔和記錄。
“鑒于CI/CD和DevOps在全球的無所不在的擴散,100個機場中有87個機場的一些敏感或內部數據暴露在各種公共代碼庫中,如GitHub或BitBucket。其中,59個機場被查出存在227個關鍵風險代碼泄露。
在325次曝光中,超過70次屬于“嚴重或高風險”,表明存在嚴重違約。近90%的機場的公共代碼存儲庫存在數據泄露,而在3184個泄露的機場中,有503個處于嚴重或高風險狀態(tài),可能會導致數據泄露。3%的被調查機場擁有不受保護的公共云,而且有敏感數據。
在報告的最后,ImmuniWeb的研究人員列出了一份清單,列出了機場可以采取的最佳做法,以解決發(fā)現的一些安全漏洞。他們建議實施一個持續(xù)的安全監(jiān)控系統,通過異常檢測來發(fā)現任何和所有的入侵、釣魚企圖和密碼重用攻擊。
機場應該有網絡安全團隊,他們正在運行持續(xù)的發(fā)現程序,并不斷地對所有的數字資產進行盤點。如果可能的話,應該部署一些程序,使安全團隊能夠看到外部攻擊表面,并使用能夠監(jiān)視暗Web和代碼存儲庫的攻擊表面管理解決方案進行風險暴露。
所有web和移動應用程序,以及api,都需要有完整的支持devsecop的安全程序,這些程序可以測試和修復可能出現的任何問題。機場還需要對他們的供應商和第三方供應商進行深入審計,而不僅僅是傳統的紙質調查問卷,這已經不足以降低復雜的風險。
“今天,當我們的數字基礎設施極其復雜,并與眾多第三方交織在一起時,全面了解您的數字資產和攻擊面是確保您的網絡安全項目成功的關鍵,”Kolochenko補充說。“沒有它,你所有的努力和花費都是徒勞的。”
2016-2022 All Rights Reserved.平安財經網.復制必究 聯系QQ 備案號:
本站除標明“本站原創(chuàng)”外所有信息均轉載自互聯網 版權歸原作者所有。
郵箱:toplearningteam#gmail.com (請將#換成@)