Накануне международной выставки «Иннопром-2025» Центр кибербезопасности УЦСБ провел анализ защищенности федеральной цифровой платформы «Космос». Специалисты осуществили комплексное тестирование на проникновение, включавшее оценку защищенности с позиций внешнего атакующего, внутреннего нарушителя и повторную проверку корректности устранения уязвимостей, которые были выявлены на предыдущих этапах.
Экосистема «Космос» — это флагманский проект Свердловской области для развития производства и бизнеса. Модель экосистемы строится на взаимодействии участников между собой через цифровую платформу, которая объединяет инструменты для поддержки компаний и включает в себя цифровой офис, маркетплейс услуг, каналы продвижения, инструменты для кооперации, а также доступ к технологиям, финансовой поддержке и обучению.
Масштабная выставка «Иннопром» выводила платформу «Космос» на федеральный уровень, что требовало особых гарантий безопасности. Критические уязвимости могли использоваться злоумышленниками и привести к потере контроля над платформой и недоступности сервисов экосистемы. Репутационные риски на этапе запуска ставили под угрозу доверие пользователей к проекту.
Основной задачей тестирования на проникновение стало выявление потенциальных уязвимостей и ошибок конфигурации, которые могли бы быть использованы нарушителем для получения неавторизованного доступа к системе, кражи критичных данных, получения доступа к серверу и его ресурсам для дальнейшей эскалации атаки во внутреннюю подсеть.
В процессе проверки, которая заняла две недели, использовались методы выявления уязвимостей из списка OWASP Top 10 — приоритезированного перечня наиболее распространенных уязвимостей веб-приложений, включающего: нарушение контроля доступа, недочеты криптографии, инъекции, небезопасный дизайн и конфигурацию, использование уязвимых или устаревших компонентов, ошибки идентификации и аутентификации, нарушения целостности программного обеспечения и данных, ошибки логирования и мониторинга безопасности, фальшивые запросы с сервера на другие внутренние или внешние ресурсы (SSRF). По итогам проверки был составлен детальный отчет с оценкой рисков и дальнейшими рекомендациями.
«После «Иннопрома» вырос интерес к экосистеме «Космос» со стороны бизнеса, мы резко переросли в платформу федерального значения, вышли на новый уровень масштаба. Успешное завершение проекта не только обеспечило безопасность во время ключевого мероприятия, но и заложило основу для сотрудничества и дальнейшего укрепления системы безопасности новой платформы», — Анна Белошейкина, директор по цифровому развитию УК Экосистемы «Космос».
«Безопасность современных цифровых продуктов должна быть обеспечена на всех этапах жизненного цикла — не только на этапе разработки и тестирования, но и в ходе эксплуатации. Это помогает предотвратить потенциальные угрозы и укрепляет доверие пользователей к платформе. Только всесторонняя оценка защищенности может гарантировать безопасность данных и сохранить репутацию компании в условиях быстро меняющегося цифрового мира», — отметил Прохор Садков, заместитель директора Аналитического центра УЦСБ.Планируя развитие и масштабирование бизнеса, важно продумать вопросы ИБ заранее. Эксперты УЦСБ подготовили риск-ориентированные рекомендации для растущего бизнеса:
- Архитектура и процессы. Разделяйте доступы по принципу наименьших привилегий, используйте сегментацию сетей и контролируйте взаимодействие между средами (dev, test, prod). Внедряйте политики безопасности, включая шаблоны конфигураций.
- Управление доступом и идентификацией. Используйте централизованную систему управления идентификацией и внедряйте многофакторную аутентификацию для критически важных сервисов. Регулярно проводите аудит прав и удаляйте устаревшие учетные записи.
- Защита данных. Шифруйте данные при передаче, контролируйте копирование и перемещение конфиденциальной информации. Разрабатывайте политики хранения и удаления данных.
- Мониторинг и реагирование. Настройте централизованный сбор логов (SIEM), реализуйте оповещения о подозрительной активности. Разработайте план реагирования на инциденты (IRP).
- Культура и обучение. Обучайте сотрудников основам информационной гигиены: как распознавать фишинг, правильно работать с паролями и использовать корпоративные устройства. Создавайте атмосферу, в которой сотрудники без страха сообщают о подозрительных действиях.
- Юридические и комплаенс-аспекты. Включайте в договоры с провайдерами SLA по безопасности. Регулярно проводите аудиты и/или пентесты.
Эти рекомендации основаны на практическом опыте УЦСБ в области защиты ИТ-инфраструктуры. Эксперты подчеркивают, что внедрение этих мер до масштабирования значительно снижает затраты на безопасность и минимизирует операционные риски.