Автоматизированное тестирование корпоративных сетей показало, что доступ к важным информационным системам можно получить за считаные минуты. По результатам испытаний Positive Technologies, в 60% проверенных организаций специалисты смогли реализовать сценарии компрометации инфраструктуры.
Российская компания Positive Technologies представила результаты проверок защищённости корпоративных информационных систем. В ходе автоматизированного тестирования на проникновение специалистам в половине успешных сценариев потребовалось не более 13 минут, чтобы получить доступ к важным системам или данным.
Как сообщил «Коммерсантъ», исследование проводилось с использованием платформы PT Dephaze. В выборку вошли результаты пилотных проектов примерно в 100 организациях за 2025–2026 годы.
В 60% проверенных компаний удалось реализовать по меньшей мере один существенный сценарий компрометации. Речь могла идти о получении контроля над компьютером или сервером, доступе к важным приложениям и данным либо захвате службы управления учётными записями пользователей.
При этом результаты получены в ходе разрешённых проверок безопасности. Исследование не свидетельствует о том, что эти организации действительно подверглись атакам преступников или потеряли информацию.
Одной из наиболее распространённых причин возникновения опасных сценариев стали недостатки защиты учётных записей. По данным Positive Technologies, 56% реализованных путей атаки опирались на действующие учётные данные, а в 35% случаев использовались механизмы перенаправления аутентификации.
Специалисты также обнаружили пароли в открытом виде во время 77% проверок. Ошибки настройки инфраструктуры встречались более чем вдвое чаще, чем программные уязвимости, связанные с недостатками самого программного обеспечения.
Как разъясняет Positive Technologies на официальном сайте продукта PT Dephaze, автоматизированное тестирование имитирует действия возможного нарушителя и позволяет оценивать, какие системы могут оказаться доступны при использовании обнаруженных слабых мест.
Другие участники рынка информационной безопасности также развивают инструменты автоматизации таких проверок. Представители BI.ZONE и компании «Бастион» отмечают, что они позволяют проводить тестирование чаще и выявлять опасные изменения в конфигурации информационных систем.
Результаты исследования относятся к организациям, участвовавшим в пилотных проектах. Их нельзя автоматически распространять на все компании России. В частности, показатель 13 минут не означает, что любую корпоративную сеть можно взломать за такое время.