Доклад Сергея Борисова посвящен анализу уязвимостей информационных систем, включая статистику публичных уязвимостей и методы их обнаружения, такие как автоматическое сканирование и пентесты. Он подчеркивает растущий спрос на анализ уязвимостей со стороны владельцев и операторов информационных систем и обсуждает регулирования ФСТЭК России в этой области. Также рассмотрены перспективы увеличения практического применения анализа уязвимостей в условиях повышения угроз безопасности.

1. Анализ уязвимостей
информационных систем

2. Докладчик
Сергей Борисов
Заместитель генерального директора по ИБ,
ООО Информационные системы и аутсорсинг
ГК РосИнтеграци
http://isoit.ru/
http://docshell.ru/
s.borisov@krasnodar.pro
Анализ
уязвимостей

3. Статистика публичных уязвимостей.
NIST CVE
Анализ
уязвимостей

4. Статистика публичных уязвимостей.
VULNERS
Анализ
уязвимостей

5. Статистика публичных уязвимостей.
PT TOP 10 2011-2015
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
2011 2012 2013 2014 2015
№1, Cross-Site Scripting №2, Fingerprinting №3, Brute Force №4, Information Leakage №5, SQL Injection
№6, Cross-Site Request Forgery №7, Server Misconfiguration №8, Credential/Session Prediction №9, URL Redirector Abuse №10, Path Traversal
Анализ
уязвимостей

6. Что делали до недавнего времени
• Автоматическое сканирование - часто
• Пентест / аудит – редко
• BugBounty - еденицы
Анализ
уязвимостей

7. Ситуация постепенно меняется
• Анализ уязвимостей в НПА регуляторов
• Появляется больше продуктов в области защиты
приложений
• Спрос со стороны владельцев и операторов ИС
Анализ
уязвимостей

8. РС БР ИББС-2.6-2014
Обеспечение ИБ на стадиях ж.ц. АБС
Анализ
уязвимостей

9. ГОСТ Р 56939-2016
Разработка безопасного ПО
Анализ
уязвимостей

10. Приказ ФСТЭК России №17
Анализ
уязвимостей

11. Приказ ФСТЭК России №17
Анализ
уязвимостей

12. Приказ ФСТЭК России №17
Анализ
уязвимостей

13. Приказ ФСТЭК России №17
Анализ
уязвимостей

14. Приказ ФСТЭК России №17
Анализ
уязвимостей

15. Проект Положения ЦБ РФ №382-П
Защита платежной информации
Анализ
уязвимостей

16. За рамками данного доклада
• ГОСТ Р 56545-2015 Уязвимости информационных систем. Правила
описания уязвимостей
• ГОСТ Р 56546-2015 Уязвимости информационных систем.
Классификация уязвимостей информационных систем
• Планируемый Методический документ ФСТЭК России по анализу
уязвимостей и отсутствию НДВ в ПО
• Методический документ ФСТЭК России «Меры защиты информации в
ГИС»
• Требования к регулярному анализу и устранению уязвимостей,
заложенные во все последние профили защиты СЗИ
• и другие
Анализ
уязвимостей

17. Востребованность анализа
уязвимостей на практике
Оператор или владелец ИС: анализ уязвимостей ИС при
создании, экспертиза кода ПО внешнего разработчика,
регулярный анализ защищенности
Разработчик: первоначальный и регулярный анализ исходного
кода, анализ известных уязвимостей, динамический анализ
Орган по аттестации: анализ известных уязвимостей, анализ
конфигурации СЗИ
Орган по сертификации: анализ исходного кода, анализ
известных уязвимостей
Анализ
уязвимостей