1/9

Специалисты Positive Technologies опубликовали отчет с результатами пилотных проектов по автоматизированному тестированию на проникновение. Материал основан на тестах 2025–2026 годов, проведенных среди порядка 100 организаций, из которых наиболее широко была представлена сфера промышленности (33% заказчиков), финансовый сектор (14%) и ИТ-компании (12%). Всего проанализировано более 200 запусков автоматизированного пентеста — в среднем 2,7 запуска на одного заказчика.

Аналитики оценили, насколько компании защищены от развития атаки внутри инфраструктуры, условия для дальнейшего развития атаки, время до первой реализованной угрозы.

Ключевые выводы:

• в 60% компаний развитие атаки дошло до реализованной угрозы, отмечается в отчете;
• наиболее распространенным результатом стал полный контроль над отдельным узлом: его удалось получить в 52% организаций. Несанкционированный доступ к важному прикладному ресурсу был получен в 37% организаций, а полный контроль над доменом Active Directory — в 29%. В 78% организаций с реализованной угрозой было получено не менее двух типов таких результатов;
• в наиболее представленных отраслях доля организаций с реализованными угрозами составила от 33% до 79%. В промышленности минимум одна угроза была реализована у 79% заказчиков, в финансовых организациях — у 40%, в ИТ-компаниях — у 33%;
• по данным авторов, 90% путей к реализованной угрозе строились на использовании учетных данных и механизмов аутентификации: в 56% использовались действующие учетные данные, в 35% — перенаправление аутентификации. Только в 6% путей преобладающим механизмом была эксплуатация программной уязвимости;
• в 95% запусков аналитики обнаружили сведения об учетных записях, а в 88% — пароль или его хеш. При этом в 50% запусков найденные учетные данные можно было использовать для аутентификации. В целом логины встречались в 92% запусков, пароли в открытом виде — в 77%, а хеши — в 72%;
• недостатки конфигурации специалисты обнаружили в 2,2 раза чаще уязвимостей — в 84% запусков против 38%;
• медианное время до первой реализованной угрозы составило 13 минут. В течение первого часа результат был достигнут в 65% запусков с реализованной угрозой, в 89% — в течение суток;
• в трех наиболее представленных отраслях медианное время до первой реализованной угрозы не превышало 11 минут. В финансовых организациях оно составило 4 минуты, в ИТ-компаниях — 8 минут, в промышленности — 11 минут. Самые быстрые сценарии занимали от 1 до 4 минут.

Расскажите знакомым: