ГК «Солар» предложила проверять open source-решения из облака. Positive Technologies открыла портал, на котором аккумулируются данные об уязвимостях. Растет количество DDoS-атак.
Импортозамещение уязвимостей
Импортозамещение дошло и до баз данных об общеизвестных уязвимостях. Компания Positive Technologies открыла портал , на котором аккумулируются данные об уязвимостях в программном обеспечении и оборудовании производителей со всего мира. Регулярно обновляемая база позволит этичным хакерам, специалистам по ИБ и компаниям всегда быть в курсе актуальных «дыр» в обеспечении безопасности. Уже сейчас на площадке можно найти сведения о 317 тыс. уязвимостей, о выявивших их исследователях, а также рекомендации вендоров по устранению пробелов в защите.
Решение своевременное, особенно если учесть, что в популярные зарубежные базы National Vulnerability Database (NVD) и Common Vulnerabilities and Exposures (CVE) попадают не все данные от российских исследователей. Кроме того, периодически появляются новости об остановке обновлений этих баз и о сокращении финансирования работы MITRE, которая присваивает уязвимостям унифицированные идентификаторы.
Такие задержки дают фору злоумышленникам, открывая возможность использования еще не устраненных уязвимостей. Портал Positive Technologies позволит компаниям вовремя выявить слабые места и обновить инфраструктуру, а разработчикам — добавить в СЗИ соответствующие сигнатуры для выявления актуальных атак.
Ключевое отличие портала от других известных в мировой индустрии кибербезопасности баз — в объеме и качестве данных: специалисты Positive Technologies агрегируют информацию о каждой уязвимости из множества источников (баз CVE и NVD, с площадок Reddit, X.com, Telegram), затем с помощью LLM готовят сводное описание, более подробное по сравнению с существующими базами.
Проверим open source из облака
Решения open source активно используются разработчиками ПО, помогают компаниям быстро выводить на рынок новые продукты, что особенно важно в России, поскольку необходимо заменять решения зарубежных компаний. По данным аналитики Solar appScreener, до 80% кода современных приложений составляют сторонние и open source-компоненты.
Массовое использование open source-библиотек несет в себе риски: 79% сторонних библиотек не обновляются, в них отсутствует контроль зависимостей, регулярно выявляются критические уязвимости. Чтобы снизить такие риски, ГК «Солар» предложила облачное решение на базе продукта Solar appScreener для анализа безопасности open source-компонентов. Продукт ориентирован на команды разработки внутри компаний, ИT-компании, работающие в контуре корпораций, и стартапы из сферы заказной разработки.
Решение анализирует open source-библиотеки и зависимости на наличие уязвимостей и снижает риск использования уязвимых компонентов в коде приложения. Также в продукт включен анализ лицензионных рисков, который отслеживает политики при использовании, информирует о критичности применения той или иной библиотеки.
DDoS-атак становится больше
Продолжает расти число DDoS-атак. Согласно отчету компании CURATOR, общее число атак во II квартале 2025 г. увеличилось на 43% по сравнению со II кварталом 2024-го. При этом количество атак на уровне приложений (L7) выросло еще больше – на 74%.
Чаще всего во II квартале 2025 г. DDoS-атаки на сетевом и транспортном уровне (L3–L4) были нацелены на финтех (22,6%), сегмент электронной коммерции (20,6%), а также на ИТ и телеком (16,1%).
Самая продолжительная во II квартале 2025 г. DDoS-атака была зафиксирована в микросегменте онлайн-букмекеров: она длилась 96,5 часов. А наиболее интенсивная атака, ставшая также рекордсменом всего первого полугодия, произошла 3 апреля. Это была атака на организацию из сегмента «Онлайн-букмекеры», которая в пике достигала 965 Гбит/с, что лишь немногим меньше максимума прошлого года (1140 Гбит/с).
16 мая 2025 г. зафиксирована атака ботнета, в ходе отражения которой было заблокировано около 4,6 млн IP-адресов. Атака была направлена на организацию из сегмента «Государственные ресурсы» и продолжалась чуть больше часа.
Разработка в MAX станет безопаснее
После того как в июне 2025 г. президент РФ подписал закон о создании национального мессенджера, российский мессенджер MAX оказался в центре внимания СМИ. Это неудивительно, ведь уже сегодня через иностранные мессенджеры запрещено общаться с клиентами госслужащим, сотрудникам финансовых организаций, телекоммуникационных компаний и торговых площадок.
Разрабатываемое VK решение пока «сырое» (я не смог запустить веб-версию — не пришел код по смс) и доступно только в бета-версии. Но заявленный функционал интересный.
В частности, разработчики смогут создавать на платформе MAX свои мини-приложения. Видимо, на них ориентирована интеграция в платформу системы автоматического анализа кода VK Security Gate, о чем объявила компания. В решение внедрены технологии искусственного интеллекта, которые помогают осуществлять мониторинг и предлагают улучшения кода.