На конференции InfoQ Dev Summit Сороош Ходами озвучил тревожные выводы: большинство разработчиков не готовы к следующей киберугрозе, аналогичной Log4Shell. Эффективные атаки могут исходить из даже небольших ошибок в зависимости, и это предостережение очень актуально в свете последних инцидентов в безопасности.
Контекст киберугроз
Log4Shell, произошедшая в конце 2021 года, позволила хакерам получать доступ ко множеству систем, включая крупные компании и государственные структуры. После этого инцидента многие IT-команды начали пересматривать свои подходы к безопасности, но, как показывает практика, до полноценного понимания угроз ещё далеко.
Ошибка, стоящая миллионы
На своём выступлении Ходами провёл демонстрацию атаки с использованием команд bash, которые могут быть легко скопированы пользователями. Он отметил, что всего одна команда может предоставить хакеру полный доступ к системе. Подобные уязвимости часто связаны с наивным восприятием команд, копируемых из интернета, и отсутствием понимания их возможных последствий.
Значимость программных билетов материалов (SBOM) для предотвращения таких инцидентов остаётся критически важной. Ходами объяснил, что следует строить «левый» подход к безопасности, интегрируя её на ранних этапах разработки, что поможет создать более устойчивую DevSecOps культуру.
Значение для разработчиков
Для российских разработчиков этот контекст служит предупреждением: недооценка киберугроз может стоить не только времени на исправление последствий, но и финансовых потерь. Учитывая, что в 2021 году из-за инцидентов уровня Log4Shell пострадали компании с миллионами пользователей, важно быть готовыми к потенциальным атакам и правильно защищать свои системы.
Следующий шаг — активная работа над внедрением безопасных практик на этапе разработки, чтобы минимизировать риски киберугроз и защитить эти пользователей.