Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
WordPress — самая популярная система управления контентом в мире. Как очень любят упоминать сами разработчики этой системы, на WordPress построено более 40% веб-сайтов. Однако у этой популярности есть и обратная сторона: такое огромное количество потенциальных мишеней неизбежно притягивает злоумышленников. По той же причине и исследователи кибербезопасности внимательно изучают WordPress и регулярно рассказывают о тех или иных проблемах данной CMS.
В результате достаточно часто можно услышать мнение о том, что WordPress свойственны проблемы с безопасностью. Но у столь пристального внимания есть и позитивная сторона: благодаря ему хорошо известны и сами угрозы, и те методы, с помощью которых с ними можно справляться, чтобы сделать свой WordPress-сайт безопасным. Об этом мы сегодня и поговорим.
1. Уязвимости в плагинах, темах и WordPress core (именно в этом порядке)
Во всех подборках проблем с безопасностью WordPress, которые вы можете найти в интернете, стабильно фигурируют такие вещи, как межсайтовый скриптинг (XSS, cross-site scripting), внедрение SQL-кода (SQLi, SQL injection) и межсайтовая подделка запроса (CSRF, cross-site request forgery). Так вот, все эти атаки — а также ряд других — становятся возможны из-за уязвимостей либо в основном программном обеспечении WordPress (WordPress core), либо в плагинах и темах.
При этом следует иметь в виду, что, по статистике, непосредственно в WordPress core обнаруживают лишь малую часть уязвимостей. К примеру, за весь 2022 год в основном ПО WordPress нашли всего 23 уязвимости — что составляет 1,3% от всех 1779 уязвимостей, найденных в WordPress в прошлом году. Еще 97 багов (5,45%) были обнаружены в темах. Ну а львиная доля приходится на плагины: в них нашли 1659 уязвимостей, то есть аж 93,25% от общего числа.
Стоит заметить, что количество обнаруживаемых в WordPress уязвимостей не должно быть поводом для того, чтобы отказываться от использования этой CMS. Уязвимости есть везде, просто находят их в основном там, где активно ищут, — то есть в наиболее популярном программном обеспечении.
Как повысить безопасность:
Всегда вовремя обновляйте WordPress core — пусть уязвимости в нем находят не так часто, их эксплуатация может быть гораздо более массовой, так что опасно надолго оставлять их незапатченными. Также не забывайте обновлять темы и — в особенности — плагины. Именно плагины ответственны за большинство известных уязвимостей в экосистеме WordPress. Не устанавливайте «лишние» WordPress-плагины, то есть те, которые не требуются для работы вашего сайта. Это поможет существенно снизить количество потенциальных уязвимостей, которые есть на вашем WordPress-сайте. Вовремя деактивируйте или вовсе удаляйте те плагины, которые вам больше не нужны.
Посмотреть статью полностью
-
Автор KL FC Bot
Представьте: встаете вы ночью попить водички, идете по неосвещенному коридору, и тут из темноты на вас кто-то начинает громко орать. Ситуация, согласитесь, крайне неприятная. И в нее вполне можно попасть по вине уязвимого робота-пылесоса — взломщики могут заставить самобеглую железку по их команде накричать на хозяина. Но это еще не все: хакеры могут управлять роботом удаленно и включать с него живые трансляции.
И это совсем не теоретическая опасность: не так давно случаи, когда сетевые хулиганы использовали уязвимые роботы-пылесосы для того, чтобы портить жизнь людям, были зафиксированы, что называется, в дикой природе. Рассказываем обо всем по порядку.
Как устроен робот-пылесос
Начнем с того, что современный робот-пылесос — это полноценный компьютер на колесиках, работающий под управлением Linux. У него есть мощный многоядерный процессор ARM, солидный объем оперативной памяти, вместительный флеш-накопитель, Wi-Fi и Bluetooth.
Любой современный робот-пылесос — это полноценный компьютер на колесиках. Источник
View the full article
-
Автор Dog_coin
Здравствуйте!
Может, кто подскажет как устранить неполадку у робота-пылесоса Honor Choice r2. Погуглил в интернете, так и не нашел путей решения. Проблема следующая - при работе робота-пылесоса начал появляться резкий гул, как будто работает блендер. Убираю турбо-щетку гула нет, или когда он все убрал и едет на док-станцию гул тоже исчезает. Режим уборки делал уже на стандартный, всё равно жутко гудит. Уже чистил всю турбо-щетку, разкручивал робот-пылесос, внутри вроде все нормально, с колесами вроде тоже все хорошо, не раскручивал двигатель, так как боюсь обратно всё не соберу как надо.
Если ранее, кто-то сталкивался с аналогичной проблемой прошу дать решение по её устранению.
Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Технологии и техника". -
Автор KL FC Bot
Драйверы устройств — это приложения, которые написаны специально для определенной операционной системы и конкретного устройства (принтера, внешнего накопителя, мыши и так далее). Драйвер позволяет ОС и приложениям в ней использовать это устройство, он служит «переводчиком» команд на язык конкретного устройства. Функция драйверов незаменима, поэтому мы, признаться, слукавили в заголовке — бороться с драйверами и тем более отказаться от них невозможно. Что хочет Microsoft, так это свести к минимуму число сторонних драйверов, написанных другими компаниями.
Чем плохи сторонние драйверы
Хотя драйверы незаменимы, их применение на практике сопряжено с рядом типичных проблем.
Совместимость. Если установить для устройства неподходящий драйвер, оно будет работать некорректно. Уследить за совместимостью устройств и драйверов с помощью автоматических инструментов возможно не всегда. Стабильность. Поскольку драйвер работает с устройствами напрямую, то он имеет высокие привилегии и зачастую выполняется в режиме ядра ОС. Многие меры защиты и изоляции, применимые к обычным приложениям, использовать с драйверами нереалистично. Поэтому драйвер способен нарушить работу всей системы. Плохо написанные драйверы являются частой причиной зависаний, «синих экранов смерти» и прочих проблем работы компьютера. Безопасность. Благодаря своим высоким привилегиям драйверы интересны злоумышленникам. Если найти плохо написанный, уязвимый драйвер, то можно внедрить в него нужные злоумышленникам функции и выполнять разные действия, обычно зловредам недоступные. Например, останавливать на компьютере системы защиты или скрывать вредоносные файлы от обнаружения. Среди хакеров набрала популярность техника «принеси с собой уязвимый драйвер» (bring your own vulnerable driver, BYOVD), когда зловред устанавливается в системе вместе с конкретным драйвером, через «дыры» которого и выполняются вредоносные действия. Для этого используются самые разные драйверы — от видеокарт до игровых «античит»-драйверов. Редкие обновления. Все описанные проблемы усложняются тем, что производители устройств обновляют драйверы для них в своем ритме. Кто-то раз в месяц, кто-то раз в год, кто-то — никогда. Это усложняет жизнь разработчикам ОС, техподдержке, самим пользователям. Легче от этого только злоумышленникам. Чтобы обойти средства безопасности, они могли бы найти уязвимости в самой операционной системе, но это достаточно сложно, а исправления таких уязвимостей после их обнаружения появляются быстро. А вот уязвимый драйвер часто не получает исправлений и продолжает спокойно работать, его можно долго и успешно эксплуатировать для злых дел.
Посмотреть статью полностью
-
Автор KL FC Bot
Наверняка вы хотя бы раз сталкивались с ситуацией, когда друзья или коллеги присылают вам файлы в формате, который вы не можете открыть. Например, вы просили отправить вам фотографии, рассчитывая получить .JPEG или .PNG, а получили файлы в формате .HEIC. Что делает в таком случае большинство людей? Правильно, обращается к бесплатным онлайн-конвертерам файлов.
Если вы давно читаете блог Kaspersky Daily, то уже наверняка знаете, что самый популярный способ — далеко не всегда правильный и безопасный. Сегодняшний случай в этом плане не уникален. Разберемся вместе, какие угрозы поджидают любителей конвертировать файлы быстро, бесплатно и онлайн и расскажем, как менять форматы безопасно.
Почему это важно? Да потому, что конвертировать файл — это не просто изменить ему расширение, иначе достаточно было бы переименовать нужный документ — например, из epub в mp3. Нет, программа-конвертер должна прочитать файл, понять, что в нем содержится, и пересохранить в другом формате — и на каждом из этих этапов есть свои угрозы.
Слив персональных данных, вредоносное ПО и другие угрозы
Первый риск, который приходит в голову, — слив персональных данных. И если вы сторонник концепции «да кому мои данные нужны», то все равно насторожитесь: ваши фотографии из отпуска, может, и правда никому не нужны, но конфиденциальные документы с работы — другое дело. Когда вы загружаете файл в онлайн-конвертер, вы никогда не можете быть уверены, что сайт не сохранит копию вашего файла для каких-то своих нужд. Загруженные данные могут запросто оказаться в руках мошенников и быть использованы даже для начала атаки на вашу компанию. И если вдруг впоследствии выяснится, что точкой входа злоумышленников в корпоративную сеть стали именно вы, то местная служба информационной безопасности точно не скажет вам спасибо.
И не стоит думать, что эта угроза распространяется только на текстовые или табличные документы, а фото какой-нибудь бухгалтерской ведомости можно спокойно загружать и конвертировать в PDF. OCR (оптическое распознавание символов) придумали еще в прошлом веке, а сейчас, с развитием ИИ, даже мобильные трояны научились вытаскивать из фотографий в галерее смартфона данные, интересующие злоумышленников.
Другая популярная угроза — риск заражения устройства вредоносными программами. Некоторые сомнительные сайты-конвертеры могут изменять ваши файлы или включать вредоносный код в конвертированный файл — без надежной защиты вы об этом узнаете не сразу или не узнаете вовсе. Полученные файлы могут содержать скрипты, трояны, макросы и другие гадости, о которых мы подробно рассказывали уже не раз.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти