Черные дыры

Институт SANS совместно с Национальным центром защиты инфраструктуры США (NIPC, входит в состав ФБР) опубликовали свежую версию списка двух десятков самых опасных дыр в программном обеспечении, работающем на компьютерах и устройствах, подключенных к Интернету.

Институт SANS совместно с Национальным центром защиты инфраструктуры США (NIPC, входит в состав ФБР) опубликовали свежую версию списка двух десятков самых опасных дыр в программном обеспечении, работающем на компьютерах и устройствах, подключенных к Интернету. Top 20 составляется уже четвертый год и включает критически важные уязвимости (признанные таковыми экспертами из нескольких стран мира), требующие немедленного устранения.

Последние три выпуска список делится на две равные части, посвященные Windows- и UNIX-системам. В мире UNIX опасностью номер один нынче признаны тонкие места в защите пакета BIND, часто становящиеся мишенью для атак. Среди прочего названо неправильное конфигурирование популярного веб-сервера Apache, широкое использование сервисов, передающих информацию «открытым текстом» (FTP, POP3 и SMTP, telnet, HTTP), а также прорехи в протоколе SSH, который используется для создания защищенных каналов связи.

В мире Windows главной угрозой остаются многочисленные дыры в серверах Microsoft IIS и SQL Server — продуктах, требующих перед использованием обязательного применения всех доступных патчей и тщательного конфигурирования. Остаются опасными почтовые пакеты Outlook и Outlook Express. На общем фоне выделяются программы, используемые в P2P-сетях: KaZaA, Gnutella и прочие клиенты файлообменных систем подвержены сразу трем болезням: «вирусной» (распространение деструктивных программ, замаскированных под обычные документы), «технической» (дыры в P2P-клиентах встречаются не так уж редко) и «юридической» (особенно чреватой для корпораций, которые могут вступить в конфликт с законом по вине рядовых служащих, качающих пиратские MP3). Наконец, и Windows и UNIX-системы подвержены одной и той же общей напасти — слабым паролям (здесь речь идет как о нежелании пользователей придумывать пароли надлежащей сложности, так и о разнообразных недоработках в ПО с парольной защитой). Полностью список размещен на сайте Sans.org.