НКЦКИ рассказал о росте количества массированных атак на web-приложения в России

ДАЙДЖЕСТ:

Национальный координационный центр по компьютерном инцидентам (НКЦКИ; создан по указу ФСБ) рассказал о массированных атаках на web-приложения в российском сегменте интернета и о действиях, которые стоит предпринять разработчикам.
В бюллетени говорится, что атаки могут совершаться через внешние компоненты кода интернет-страниц – это подключаемые jаvascript-библиотеки, CSS-фреймворки, плагины защиты от вредоносной активности (CAPTCHA), информационные и аналитические плагины (новостные ленты, интерактивные карты, подсчёт посещений информационного ресурса и т.д.), а также web-шрифты, подгружаемые со сторонних серверов.
Специалисты предупреждают, что кроме типичных атак на компьютеры злоумышленники могут скомпрометировать инфраструктуру размещения легитимного кода сторонних компонентов и заменить его на вредоносный код.

Для защиты от подобных действий в НКЦКИ советуют сделать следующее: авторизованному пользователя web-приложения настроить возможность самостоятельного завершения сеанса работы, обеспечить гарантированное удаление идентификатора сессии клиента после ее завершения.

Также авторизованному пользователю советуют создать защищенный аутентификацией доступ к ресурсам приложения и хранить данные аутентификации под криптографической защитой.

Что касается аккаунтов пользователей в приложениях, то их вход в приложение советуют защищать также с помощью дополнительной аутентификации.

checheninfo.ru