Федеральная служба по техническому и экспортному контролю (ФСТЭК России) разместила на своём официальном сайте методические рекомендации по устранению типовых ошибок конфигурации программного обеспечения. Документ подготовлен по результатам анализа инцидентов информационной безопасности, зафиксированных в 2024–2025 годах, и описывает ошибки настройки общесистемного и прикладного ПО, которые могут быть использованы злоумышленниками при целевых компьютерных атаках.

В рекомендациях рассмотрены двенадцать типовых уязвимостей и способы их устранения.

Первая группа проблем связана с аутентификацией и управлением учётными записями:

• Использование слабых пользовательских паролей, что создаёт угрозу подбора и компрометации учётных записей.
• Отсутствие обязательной аутентификации для доступа к базам данных, что ведёт к риску несанкционированного доступа и утечки информации.
• Наличие учётной записи «Гость» в локальной группе «Администраторы», позволяющее получить повышенные привилегии.
• Хранение учётных данных в открытом виде, приводящее к утечке аутентификационной информации.
• Наличие неиспользуемых учётных записей и учётных записей с избыточными правами.

Вторая категория касается устаревших протоколов и сервисов:

• Использование протокола SMBv1 в операционных системах Windows, создающее угрозу несанкционированного доступа.
• Использование устаревшего протокола NTLMv1.
• Наличие открытых неиспользуемых сетевых портов, которые могут быть задействованы злоумышленниками.
• Активированный автоматический вход пользователя на сервере Windows, повышающий риск доступа внутренним нарушителем.
• Наличие в инфраструктуре неиспользуемых служб и компонентов операционной системы.
• Разрешение входа по паролю и привилегированного доступа на SSH-сервере.
• Отсутствие назначенных прав доступа к файлам и директориям, позволяющее любому пользователю модифицировать их.

Документ носит рекомендательный характер и предназначен для специалистов по информационной безопасности, системных администраторов и руководителей, отвечающих за защиту информационных систем.