Digital Security
Диджитал Секьюрити

Компания

width=200px
300px

Активы

+ Digital Security (Диджитал Секьюрити)

Digital Security – одна из российских консалтинговых компаний в области аудита информационной безопасности, в том числе в области аудита бизнес-приложений и ERP-систем, проведения тестов на проникновение, а также разработки систем управления ИБ в соответствии с ISO 27001. Компания обладает сертификатами PCI и PA-DSS. В 2009 году Digital Security совместно с АРЧЕ создала PCIDSS.RU – Сообщество профессионалов в области стандарта PCI DSS.

Digital Security обладает исследовательским центром DSecRG по поиску и анализу уязвимостей в различных приложениях и системах, а также ведет деятельность в банковской сфере по аудиту Банк-Клиентов и АБС, сотрудничая с АРЧЕ и публикуя найденные уязвимости на закрытом форуме Ассоциации.

История

2016: Обнаружено 159 уязвимостей, в то числе критические в E-Business Suite

Cпециалистами Digital Security было обнаружено 159 уязвимостей в различных системах. Уведомления о 96 брешах были отправлены разработчикам в рамках программ по поиску уязвимостей, а 50 уязвимостей были переданы западным вендорам в закрытом порядке. Исследователи Digital Security нашли проблемы безопасности разной степени критичности в ресурсах компаний Яндекс, Mail.ru, Yahoo, Facebook, Qiwi, VK, Twitter, а также 13 уязвимостей в продуктах таких вендоров, как Oracle, JetBrains, Zabbix, Cisco, Asus, Lenovo.

В частности, эксперты компании обнаружили в E-Business Suite, ключевом ПО для бизнеса Oracle, критичные уязвимости, эксплуатация которых позволяет полностью захватить контроль на системой, которая зачастую является главнейшей бизнес-системой компаний. Исследователи были удостоены официальной благодарности вендора.

В 2016 г. публике было представлено 11 исследований, в том числе:

  • распознавание DGA доменов;
  • Control Flow Guard,
  • принцип работы и методы обхода на примере Adobe Flash Player,
  • безопасность железных дорог из открытых источников,
  • архитектура JETPLOW,
  • браузеры и app specific security mitigation,
  • Internet Explorer & Edge,
  • исследование безопасности SAP NetWeaver,
  • безопасность прошивок на примере подсистемы IntelManagement Engine,
  • Cisco Smart Install, возможности для пентестера,
  • безопасность Oracle EBS.

В 2016 г. экспертами Digital Security было представлено 38 докладов на 30 конференциях в нашей стране (21) и за рубежом (9).

R&D центра работает по нескольким направлениям с 2007 г., включая Application Security, Business Applications, SAP, мобильная безопасность, безопасность телекоммуникационного оборудования и процессоров, BIOS, IoT и прошивок, АСУ ТП и ИБ банковского сектора. За несколько лет эксперты подготовили ряд исследований, вызвавших серьезный резонанс в сфере ИБ.

2011: Обнаружение критической уязвимости в ядре SAP ERP

В июле 2011 г. стало известно, что Digital Security (разрабатывает сканер безопасности SAP) обнаружила критическую уязвимость в ядре ERP-системы немецкого вендора[1]. Она позволяет без авторизации двумя запросами создать в системе нового пользователя и дать ему права администратора. Так как для суперпользователя в системе нет запретов, то после этого становится доступной информация всех модулей ERP, включая финансовые.

Как пояснил CNews технический директор Digital Security Александр Поляков, хотя ошибка найдена в механизме авторизации и она есть в любой инсталляции этой ERP, но для реализации атаки должен быть установлен Java-движок, поставляемый с целым рядом модулей. Среди них SAP Netweaver Portal для создания общего портала заказчика, а также модули для работы с ERP с мобильных устройств и интеграции с системами других вендоров (XI). Все они работают через браузер, запросы для добавления пользователя и изменения его прав вводятся в адресную строку.

Если злоумышленник находится вне локальной сети компании, то для работы по такой схеме ему потребуется установленный в компании и открытый в Сеть общего пользования SAP Netweaver Portal. При стандартной установке такой модуль можно найти обычными поисковиками. Например, через запрос в Google "inurl:/irj/portal". Так находятся системы испанского производителя военных кораблей Portal Empresarial de Navantia и индийской автомобильной компании Tata Motors.

Сами запросы для создания пользователя и изменения его прав исследователи не называют, т.к. для уязвимости еще не готов патч. "Мы нашли эту уязвимость 3-4 месяца назад и сразу же сообщили о ней в SAP, - говорит Поляков. - Цикл создания патча у вендора долог, он занимает от нескольких месяцев до 1,5 лет".

Проверялось наличие уязвимости на собственных установках ERP и решении у одного из заказчиков, добавляет он. Для таких проверок на проникновение (penetration testing) в компании была написана программа, которая находит серверы SAP в Сети через запрос в Google и проверяет их на уязвимость. `В результате оказалось, что взломать можно более половины из доступных серверов` - оценивают исследователи.

"Обход механизма аутентификации происходит без атаки по типу `переполнение буфера`, - поясняет Поляков. - В случае ERP она не слишком полезна злоумышленнику. Из-за большого числа версий с ее помощью удается лишь обрушить систему, но не получить права суперпользователя".
"Digital Security, как партнеры SAP, получают для исследования исходные коды, - говорит CNews гендиректор занимающейся аналогичным аудитом "Диалог-науки" Виктор Сердюк. - В результате ошибок разработчиков или неверной настройки уязвимости есть в промышленных продуктов любого вендора, в этом SAP не уникален. У большинства российских установок Portal не выводится в внешнюю сеть, в интранете работодатель может контролировать действия сотрудников. Несмотря на серьезность проблемы не нужно переоценивать степень ее критичности".

Примечания


ПЕРСОНЫ (16) ПРОЕКТЫ (22) ПРОДУКТ (2)
СТАТУСЫ (1) ПАРТНЕРЫ (2) СМ. ТАКЖЕ (9)

Проекты на базе технологии ИБ_-_Антивирусы (21)
ЗаказчикПродуктТехнологияГодПроект
- Linxdatacenter (Связь ВСД)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2018.11Описание проекта
- Open Trading Network (OTN Foundation)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2017.09Описание проекта
- Uniteller
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2017.04Описание проекта
- ТАСС
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2016.05Описание проекта
- Рапида (Rapida)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2016.04Описание проекта
- Россельхозбанк (РСХБ)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2016.04Описание проекта
- JetBrains
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2016.02Описание проекта
- Западно-Сибирский коммерческий банк (Запсибкомбанк)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2015.09Описание проекта
- Сбербанк
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2015.09Описание проекта
- ВТБ24
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2015.08Описание проекта
- Центр Финансовых Технологий (ЦФТ)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2015.02Описание проекта
- Московский Индустриальный банк (МИнБанк)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2014.07Описание проекта
- Mail.ru Group
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2014.02Описание проекта
- СМП Банк (Северный морской путь)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2014.02Описание проекта
- Цеппелин Русланд (Zeppelin Russland)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2014.02Описание проекта
- Мирантис (Mirantis)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2013.10Описание проекта
- Коммерцбанк АГ (Commerzbank AG)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2013.02Описание проекта
- Сургутнефтегазбанк (СНГБ)
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2012.03Описание проекта
- СИАБ (Санкт-Петербургский Индустриальный Акционерный Банк) SIAB
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2011.12Описание проекта
- Балтика Пивоваренная компания
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2011.09Описание проекта
- Деньги Online
Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)ИБ - Антивирусы, ИБ - Антиспам, ИБ - Аутентификация, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Резервное копирование и хранение данных, ИБ - Средства шифрования2011.04Описание проекта