У армянских сайтов очень низкий уровень безопасности – X-TECH

Интернет-бизнес в Армении в последние годы динамично развивается. Сайты из визитной карточки частного лица или компании превращаются в реальный источник дохода. Вместе с этим растет важность обеспечения безопасности сайтов. Об уязвимых сторонах армянского сегмента веба и о путях их нейтрализации в интервью Медиамакс рассказал веб-программист и аналитик по интернет-безопасности компании X-TECH Самвел Геворгян.

- Известно, что одним из основных направлений деятельности X-TECH является обеспечение безопасности вебсайтов. С какими уязвимостями армянских сайтов вам приходилось встречаться чаще всего? Как вы в целом охарактеризуете уровень безопасности армянской интернет-среды?

- Уровень безопасности у армянских сайтов в целом очень низкий. Наиболее часто встречающаяся уязвимость - это XSS (Cross site scripting - межсайтовый скриптинг, тип уязвимости интерактивных сайтов, который возникает в результате ввода на сайты пользовательских скриптов), который встречается на интерактивных сайтах, посетители которых могут вводить данные, например, в виде комментариев.

При наличии XSS вы входите на известный вам вебсайт, но переадресуетесь на другую страницу, которая, например, предложит вам где-то зарегистрироваться, ввести ваши данные, получить дополнительную услуги и т.д. Именно этим путем и в основном делается «фишинг» (англ. phishing, средство заполучения конфиденциальных данных пользователя методом введения в заблуждение).

На втором месте по распространенности – проблемы, связанные с внедрением SQL-кода (SQL-injections), что позволяет войти в базу данных сайта, изменить ее и/или произвести иные действия. Эта проблема и вышеупомянутый XSS – самые уязвимые стороны армянских сайтов.

- Армянская интернет-среда периодически подвергается атакам азербайджанских и турецких хакеров. Удалось ли нам извлечь уроки из этих атак и какова ситуация сегодня?

- Довольно долгое время собственники вебсайтов в Армении не относились серьезно к вопросам безопасности, но в последние 2-3 года, когда сайты начали становиться реальным источником дохода, стала наблюдаться четкая положительная тенденция: организации начинают серьезно беспокоиться и заниматься вопросами безопасности сайтов. Хакерские атаки приводят к сокращению доходов тех, кто занимается интернет-бизнесом, заставляя их задумываться о необходимости принятия мер безопасности.

Как следствие, бизнес обеспечения безопасности сайтов в Армении начинает развиваться только сейчас.

- Отмеченные вами проявления сетевых угроз, в основном, связаны с незнанием пользователями элементарных правил Интернет-безопасности. Что бы вы посоветовали компаниям и частным лицам для нейтрализации подобных угроз? 

- Советуем компаниям, имеющим дело с интернетом, постоянно проводить тренинги с сотрудниками, сообщать им, как обстоят дела в мире с точки зрения Интернет-безопасности и каким минимальным правилам безопасности необходимо следовать.

Например, не следует использовать легкие пароли и, по-возможности, необходимо избегать нажатия на различные ссылки. Приведу пример из моего личного опыта: когда на мой адрес эл. почты приходит приглашение на установление связи с сайта Linkedin.com, я никогда не принимаю это приглашение со своего почтового ящика: вместо этого я захожу на Linkedin и проверяю, есть ли там это приглашение или нет. Если да, то подтверждаю запрос, а если нет, значит кто-то пытался переадресовать меня на какой-то другой сайт.

Важно также не пользоваться компьютером в статусе администратора: практически не бывает так, чтобы человеку в каждодневной работе нужны были административные привилегии. Лучше создать одного “рядового” пользователя (account) для ежедневной работы, а в качестве администратора входить в систему лишь в случае необходимости.

- Больше половины армянских веб-сайтов размещены на зарубежных серверах. Не создает ли это дополнительных рисков с точки зрения безопасности, или же наоборот – хостинг в США или России более надежен?

- Размещение сайта на зарубежном сервере делает его более уязвимым, поскольку данные передаются не внутри Армении, а проходят долгий путь, в течение которого возрастает вероятность их утечки.

Если несколько лет назад армянские хостинг-провайдеры были довольно уязвимыми, то сегодня уже очевидны качественные изменения. В любом случае, в течение последних двух лет я не слышал, чтобы один из них “взломали” или установили контроль над размещенными на данном сервере вебсайтами. 

Конечно, между армянскими и зарубежными хостинг-провайдерами пока есть существенная ценовая разница (местные дороже), однако в последнее время все интереснее становится покупать хостинг именно здесь, учитывая повышение качества услуг и решение вопроса обмена локальным трафиком [речь идет о создании фонда обмена Интернет трафиком ARMIX - Медиамакс], в случае чего пользователи очень быстро входят на сайт, который «хостится» в Армении.
 
- В условиях постоянного технологического прогресса условия работы людей постоянно подвергаются изменениям. Например, сейчас активно развиваются «облачные технологии» (cloud computing), когда все цифровые данные компаний хранятся на удаленных серверах. Каким образом откликнется на эти и другие изменения “мир” компьютерных и интернет-угроз?

- Новые и более совершенные угрозы появляются постоянно. Параллельно росту важности интернета и развитию облачных технологий, заметна явная тенденция “миграции” вирусов из компьютеров в веб.

Долгое время считалось, что вирус может навредить только программному обеспечению, но сегодня есть вирусы, которые могут нанести технике и серьезный физический ущерб.

Поток вирусов не остановится по ряду причин. Авторами вирусов обычно являются студенты: как правило, первая созданная ими программа представляет собой именно вирус, что является для молодых людей средством получения “ощутимого результата”.

Кроме того, недавно стало известно, что в Китае действует организация, основной деятельностью которой является именно создание вирусов. Эта организация – мировой лидер по числу “произведенных” вирусов, и неизвестно, кто является их заказчиком. В их числе могут быть даже целые правительства.