Microsoft SharePoint

Семейство продуктов SharePoint

SharePoint представлен в виде двух основных продуктов:

• Windows SharePoint Services (WSS) и
• Microsoft Office SharePoint Server (MOSS).

Помимо этого, предлагается инструментальное средство Microsoft Office SharePoint Designer (SPD).

Windows SharePoint Services (WSS) — бесплатное приложение к Windows Server. WSS предоставляет базовую инфраструктуру для совместной работы — редактирование, хранение документов, контроль версий и т. д. Также он включает в себя такую функциональность, как «маршруты» движения документов (платформа для документооборота), списки заданий, напоминания, онлайн-дискуссии. Ранее WSS был известен как SharePoint Team Services.ITIL в действии: как ELMA365 Service Desk помогает ИТ-директору навести порядок в ИТ-процессах 21.2 т

Microsoft Office SharePoint Server (MOSS) — платный компонент для интеграции функциональности SharePoint в работу приложений MS Office. Он является надстройкой над WSS и расширяет его возможности. Включает в себя инструменты для бизнес аналитики — Excel Services, Business Data Catalog. MOSS позволяет получить доступ к Microsoft Project Server и к формам Microsoft Office InfoPath через браузер, централизовано, в соответствии с концепцией многомодульного портала. Поддерживает специальные библиотеки, такие как PowerPoint Template Libraries. MOSS ранее был известен как SharePoint Server и SharePoint Portal Server.

Microsoft Office SharePoint Designer (SPD) — HTML-редактор в стиле WYSIWYG (ранее — FrontPage), заточенный под создание SharePoint-страниц и управления документами для WSS сайтов. SPD дает возможность доступа к функциональности своего рендер-движка через Microsoft Expression Web и через среду разработки Microsoft Visual Studio. Весной 2009 года стал бесплатным продуктом.

Преимущества

Панели мониторинга

Одной из самых важных характеристик продукта является предоставление возможности конечным пользователям (как руководителям и менеджерам, так и рядовым сотрудникам) организовывать всю отчетную информацию компании в виде панелей мониторинга и создавать графический интерфейс без привлечения специалистов ИТ-отдела и дополнительного программирования. Причем данные интерактивные приборные панели, создаваемые для упрощения анализа информации, формируются из списков и таблиц различных источников (в том числе, как пространственных, так и аналитических). Конечно, немало важным является способность системы строить так называемое «дерево декомпозиции», которое позволяет разложить отдельный показатель на влияющие факторы (т.е. проследить динамику развития данного показатели во времени, по отдельным сотрудникам, по регионам и т.д.). Среди инструментов визуализации данных MS Share Point можно также отметить наличие индикаторов в виде минимальных датчиков, которые обеспечивают возможность быстро определить состояние одиночного значения данных. Индикаторы можно использовать отдельно на панелях или в отчетах произвольной формы, обычно их применяют в таблицах или матрицах для визуального представления данных в строках или столбцах; также индикаторы позволяют изобразить тренд с использованием изображений. Но самым главным преимуществом продукта является предоставление возможности всем сотрудникам оформлять и использовать важную информацию в наглядном и хорошо понятном виде.

Документы в интеллектуальном хранилище на SharePoint можно структурировать по названию отдела, имени клиента, по их статусу, размеру, виду (счет-фактура, отчет, договор) или даже по сумме договора. Благодаря этому, поиск файлов в общем хранилище занимает минимальное количество времени. При этом для всех данных можно устанавливать разные политики хранения, отмечая, сколько должен существовать тот или иной документ. Также система дает возможность оповещать пользователя при любом изменении того или иного файла. На этом же этапе предусмотрены инструменты контроля рабочих процессов, к примеру, контроля стадий согласования документов и многое другое.

В целом платформа Microsoft SharePoint представляет собой платформу класса ЕСМ, предназначенную для управления корпоративной информацией. SharePoint объединяет в себе возможности портала, системы хранения контента, совместной работы с ним, встроенные средства автоматизации бизнес-процессов, а также мощные средства поиска и бизнес-аналитики. Преимущества этой платформы заключается в том, что весь ее функционал изначально находится «в коробке» и клиент не должен закупать дополнительные опции для реализации каких-либо сервисов. Удобно также, что систему можно обслуживать и развивать силами штатного ИТ-специалиста, а работать с ней можно в том числе с мобильных устройств. Платформа является мировым лидером рынка ECM по Gartner на сентябрь 2010 года.

Автоматизация бизнес-процессов предприятия на платформе Microsoft SharePoint позволяет не только создавать систему управления взаимоотношений с клиентами, но и системы управления документами предприятия, управления персоналом, технической поддержки, а также управления финансами. При этом система позволяет снизить операционные затраты, навести порядок в документах, повысить эффективность работы с клиентами и увеличить производительность труда на предприятии за счет ускорения процесса передачи информации и автоматизации рутинных процессов.

2025

Цепочка уязвимостей в SharePoint позволяет захватить корпоративные порталы и системы документооборота

ФСТЭК в двадцатых числах июля предупредила об обнаружении уязвимости BDU:2025-08714^[1] в Microsoft SharePoint Server, критичность которой получила оценку в 9,8 (из 10) по CVSS. Ее эксплойт опубликован и уже используется злоумышленниками в реальных атаках. Microsoft выпустила исправления для продукта, и его рекомендуется максимально быстро установить, однако специалисты ФСТЭК указывают, что надо использовать для этого только доверенные источники.

Обнаруженная ошибка связана с недостатками механизма десериализации программных объектов, что позволяет реализовать атаку через восстановление в памяти недостоверных кодов с последующим их исполнением (CWE-502). Уязвимость подобного класса позволяет нарушителю, действующему удалённо, выполнить произвольный код. Программная ошибка содержится в сборках ≥ 16.0.0.0 и < 16.0.10417.2002 и была исправлена производителем. Для ее устранения необходимо установить соответствующий пакет обновления. Версии продукта SharePoint Online и Microsoft 365 не являются уязвимыми.

Microsoft SharePoint Server долгое время оставался популярной платформой для организации внутреннего документооборота и совместной работы в российских компаниях, – напомнил TAdviser ситуацию с этим ПО Антон Антропов, технический директор IT Task. – Даже после ухода вендора с рынка небольшая часть крупного бизнеса продолжает использовать локальные инсталляции SharePoint из-за сложности миграции ПО и интеграции с бизнес-процессами. Фактически уязвимость дает возможность захватить контроль над сервером, внедрить вредоносный код или создать закладку с последующим сохранением доступа.

Быстрый переход на отечественные платформы документооборота в больших компаниях выполнить достаточно сложно. Чаще соответствующую систему до завершения процесса импортозамещения просто закрывают внутри защищенного периметра компании и блокируют к ней удаленный доступ. Однако в случае работы с удаленными сотрудниками сделать это эффективно также достаточно сложно.

Microsoft SharePoint Server в РФ сегодня, может быть, и не самый популярный продукт: по открытым источникам, им пользуется не более 10% компаний, – поделился своими сведениями с TAdviser Сергей Полунин, руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис». – Однако это исключительно крупные компании, для которых важна надежность решений и интеграция с другими продуктами Microsoft. Это решение можно встретить везде, от госструктур до крупных телекомов, а вот малый и средний бизнес, как правило, переходит на что-то менее тяжелое.

И именно крупные клиенты как раз являются основными целями для злоумышленников, поэтому распространение информации об этой уязвимости может привести к волне атак на соответствующую инфраструктуру.

𝓲

Фото: Ideogram

В силу того, что уязвимость позволяет злоумышленнику удаленно выполнять код и существуют свидетельства о ее эксплуатации в реальных атаках, она является крайне опасной, – считает Семен Рогачев, руководитель отдела реагирования на инциденты «Бастион». – При этом количество обнаруженных серверов Sharepoint в России вряд ли свидетельствует о том, что эксплуатация данной уязвимости приведёт к массовым атакам в стране.

По данным компании CyberOK, в Рунете обнаружено^[2] около 1,8 тыс. экземпляров SharePoint, из которых, по оценкам экспертов, около 20% являются уязвимыми по BDU:2025-08714. Следует отметить, что поисковики уязвимых серверов, такие как Censys, Shodan, Netlas и российская СКИПА, разработанная CyberOK, сканируют IP-адреса для обнаружения на них экземпляров того или иного ПО. Они используют разные методы определения какие именно приложения расположены по каждому адресу, поэтому и полученные ими данные сильно отличаются. Кроме того, данные по тому, какие IP-адреса принадлежат именно России, также могут отличаться. Так что возможны сильные расхождения по количеству доступных из интернета уязвимых серверов SharePoint в РФ.

Вместе с тем, следует отметить, что SharePoint традиционно используется для внутреннего документооборота – эти сервера обычно недоступны из интернета. Судя по открытой тендерной документации на закупочных площадках, по которой осуществил поиск TAdviser, наиболее крупные закупки SharePoint с момента начала СВО были сделаны «Сетевой Компанией», «Новосибирскэнергосбытом», «Самараэнерго», «Твэлом» и «НПФ «Благосостояние». И в довольно свежих закупках SharePoint упоминается при описании ИТ-инфраструктуры в том числе крупных организаций.

Это говорит о том, что данный продукт также активно используется внутри государственной инфраструктуры, которая недоступна для анализа СКИПА. То есть опубликованные эксплойты для обсуждаемой уязвимости могут использоваться хакерами для горизонтального перемещения внутри уже взломанных информационных систем.

Компания CyberOK уже зафиксировала атаки, которые используют цепочку из трех уязвимостей: BDU:2025-08524^[3], BDU:2025-08436^[4] и BDU:2025-08714, которые совместно позволяют полностью захватить уязвимый для них общедоступный сервер SharePoint. Эксперты компании обнаружили как минимум две волны атак с использованием этой цепочки уязвимостей: первая прошла 18 июля с территории Калифорнии (США), а вторая – 19 июля из Франкфурта-на-Майне (Германия).

Это крайне опасные уязвимости, так как они позволяют злоумышленнику удаленно без аутентификации выполнять произвольный код на уязвимом сервере, – предупредил читателей TAdviser Антон Каргин, эксперт группы анализа ВПО центра исследования киберугроз Solar 4RAYS. – Таким образом, атакующие могут получать доступ к инфраструктуре, частью которой этот сервер является. Проверка концепции этой цепочки опубликована в открытом доступе, и пока еще не все компании обновили серверное ПО, уязвимости могут быть использованы для массовых атак. Такие атаки, например, были в 2021 году, когда обнаружили уязвимость ProxyLogon, позволяющую совершать атаки на серверы Microsoft Exchange.

Для купирования последствий атак Сергей Гордейчик, гендиректор CyberOK, рекомендует владельцам уязвимых серверов SharePoint максимально оперативно выполнить следующие действия:

• Обновиться до актуальной версии;
• Применить рекомендации от Microsoft;
• Изолировать хост, не публиковать в глобальной сети;
• Включить Microsoft Defender вместе с AMSI;
• Отслеживать характерные запросы в логах.

Взлом компаний по всему миру из-за критической уязвимости в SharePoint

Киберпреступники воспользовались критической уязвимостью в серверном программном обеспечении Microsoft SharePoint и провели масштабную атаку на государственные учреждения и корпорации по всему миру. Взломы затронули федеральные агентства США, университеты, энергетические компании и азиатскую телекоммуникационную фирму. Атака была выявлена в июле 2025 года.

Как передает Washington Post, правительство США совместно с партнерами из Канады и Австралии расследует взлом серверов SharePoint, которые обеспечивают платформу для обмена документами и управления ими. Под угрозой находятся десятки тысяч таких серверов по всему миру.

𝓲

Фото: Unsplash

Исследователи отметили, что глобальная хакерская атака на продукты Microsoft затронула США и государственные учреждения. Атака нулевого дня была нацелена на ранее неизвестную уязвимость, что стало очередным ударом по репутации Microsoft в области кибербезопасности.

У любого, у кого есть сервер SharePoint, есть проблема, — заявил старший вице-президент ИБ-компании CrowdStrike Адам Мейерс. - Это серьезная уязвимость.

Эксперт подчеркнул масштаб угрозы для организаций по всему миру, поскольку хакеры взломали американские ведомства и компании, используя критическую уязвимость в программном обеспечении.

Атака затронула только внутренние серверы организаций, а не облачные решения типа Microsoft 365. Компания первоначально предложила пользователям внести изменения в серверные программы или отключить их от интернета. В воскресенье вечером Microsoft выпустила обновление для одной версии программного обеспечения, однако две другие версии остаются уязвимыми.

ФБР подтвердило осведомленность о происшествии и заявило о тесном сотрудничестве с федеральными и частными партнерами. Агентство по кибербезопасности и защите инфраструктуры получило предупреждение о проблеме в пятницу от компании киберразведки и немедленно связалось с Microsoft.^[5]

2018: Возможность совместной работы в смешанной реальности

25 мая 2018 года компания Microsoft объявила о добавлении функций для бизнеса в SharePoint, которые призваны сделать опыт совместной работы более иммерсивным и дать пользователям «умные» возможности благодаря искусственному интеллекту, а также анонсировала SharePoint Server 2019.

Microsoft добавила в SharePoint возможность совместной работы в смешанной реальности

По информации, предоставленной разработчиком, виртуальные среды Microsoft SharePoint Spaces позволят просто и быстро создавать видео в формате 360° и пространства смешанной реальности на основе имеющихся шаблонов с возможностью интуитивно добавлять 3D-объекты, документы и другие необходимые элементы. Поддерживается просмотр с помощью гарнитур Windows Mixed Reality или в браузере без необходимости приобретения специальных устройств. Созданным проектом можно делиться с коллегами и вместе работать в визуальной среде с «полным погружением».

С помощью Microsoft SharePoint Spaces компании смогут создавать кастомизированные приложения, разработка которых с нуля может быть очень дорогостоящей. Они могут использоваться, в частности, для проведения экскурсий для новых сотрудников, обучения персонала, совместной разработки продуктов и многого другого, отметили в компании. В будущем Microsoft планирует включить SharePoint Spaces в пакет Office 365 для коммерческих пользователей.

Согласно заявлению Microsoft, технологии искусственного интеллекта позволят сделать опыт работы максимально персонализированным, а также быстро находить нужные файлы и контакты. Среди представленных ИИ-возможностей:

• «Умный» поиск в мобильном приложении SharePoint, чтобы всегда и везде находить все необходимое;
• Улучшенная стартовая страница Office.com с персонализированными ИИ-рекомендациями файлов;
• Работа с изображениями. Распознавание объектов и текста на фотографиях, а также поиск изображений по ключевым словам в Office 365;
• Когнитивные сервисы для автоматизации бизнес-процессов. Использование Microsoft Flow для ускорения запуска процессов с использованием когнитивных сервисов, таких как распознавание изображений, определение геолокации, извлечение текста и многое другое.

Примечания