全球100个最大的机场中有97个存在巨大的网络安全风险

瑞士网络安全公司ImmuniWeb发布了一份关于全球各大机场网络安全状况的深度报告，发现几乎所有机场都缺乏足够的系统来保护其网站、移动应用程序和公共云。

该公司的研究人员在《全球前100大机场的网络安全状况》报告中汇编了他们的调查结果。报告称，只有阿姆斯特丹史基浦机场、赫尔辛基-凡塔机场和都柏林机场三个机场通过了所有测试，没有检测出任何重大问题。

另一方面，数十个机场未能通过ImmuniWeb的所有测试，原因是它们的web和移动应用程序存在漏洞、公共云配置错误、暗网暴露或代码存储库泄露。在2020年世界经济论坛强调了这一主题后，ImmuniWeb决定研究机场网络安全。在1月22日发布的报告中，世界经济论坛呼吁机场应对新出现的网络安全挑战

“考虑到每天有那么多的人和组织把他们的数据和生活托付给国际机场，这些发现相当令人担忧，”ImmuniWeb的首席执行官和创始人伊利亚·科洛琴科(Ilia Kolochenko)说。

“作为一个经常飞行的人，坦率地说，我更喜欢通过那些关心网络安全的机场。网络犯分子很可能会考虑袭击不知情的航空枢纽，对旅客或货物运输进行连锁攻击，以及直接针对机场的攻击，以破坏关键的国家基础设施，”Kolochenko说。在主要网站的安全方面，只有3个机场获得了A+，只有15个机场在ImmuniWeb的报告中获得了A。近四分之一的机场网站获得了F级，这意味着它们使用的是过时的软件，它们的CMS系统(如WordPress)或web组件(如jQuery)存在已知的和可利用的安全漏洞。一些网站甚至有几个脆弱的组件。ImmuniWeb的研究人员发现，97%的网站使用过时的网络软件，24%的网站已经知道并利用了漏洞，另有76%的网站不符合GDPR。将近25%的人没有SSL加密或者使用现在已经过时的SSLv3。

移动应用程序的安全性甚至更差。研究人员调查了36个机场移动应用程序，发现了500多个安全和隐私问题，以及288个移动安全漏洞，平均每个应用程序有15个。

他们查看的所有应用程序都至少有5个外部软件框架和至少两个漏洞。近34%的移动应用的对外流量根本没有加密。

ImmuniWeb的研究团队还发现，排名前100位的机场中，有66家都暴露在黑暗网络中，这意味着它们最近泄露了高度机密的数据，如身份证件、财务记录或生产系统的明文密码。其他不太重要的风险包括最近机密数据的泄露以及内部敏感数据，如源代码、文档和记录。

“鉴于CI/CD和DevOps在全球的无所不在的扩散，100个机场中有87个机场的一些敏感或内部数据暴露在各种公共代码库中，如GitHub或BitBucket。其中，59个机场被查出存在227个关键风险代码泄露。

在325次曝光中，超过70次属于“严重或高风险”，表明存在严重违约。近90%的机场的公共代码存储库存在数据泄露，而在3184个泄露的机场中，有503个处于严重或高风险状态，可能会导致数据泄露。3%的被调查机场拥有不受保护的公共云，而且有敏感数据。

在报告的最后，ImmuniWeb的研究人员列出了一份清单，列出了机场可以采取的最佳做法，以解决发现的一些安全漏洞。他们建议实施一个持续的安全监控系统，通过异常检测来发现任何和所有的入侵、钓鱼企图和密码重用攻击。

机场应该有网络安全团队，他们正在运行持续的发现程序，并不断地对所有的数字资产进行盘点。如果可能的话，应该部署一些程序，使安全团队能够看到外部攻击表面，并使用能够监视暗Web和代码存储库的攻击表面管理解决方案进行风险暴露。

所有web和移动应用程序，以及api，都需要有完整的支持devsecop的安全程序，这些程序可以测试和修复可能出现的任何问题。机场还需要对他们的供应商和第三方供应商进行深入审计，而不仅仅是传统的纸质调查问卷，这已经不足以降低复杂的风险。

“今天，当我们的数字基础设施极其复杂，并与众多第三方交织在一起时，全面了解您的数字资产和攻击面是确保您的网络安全项目成功的关键，”Kolochenko补充说。“没有它，你所有的努力和花费都是徒劳的。”