CSO

Фишинговые и прочие атаки влекут за собой риски проникновения злоумышленников в ИТ-системы организации и получения доступа к важным ресурсам компании. Предлагаемые рекомендации помогут вам уменьшить эти риски.

Не используйте в личных целях корпоративный аккаунт

Многие сотрудники, пытаясь оптимизировать свои рабочие процессы, загружают и регистрируют приложения потребительского характера. Причем некоторые делают это с использованием адресов и паролей корпоративной электронной почты. Из-за этого возникают дополнительные риски потенциальных атак на корпоративные ресурсы. Если приложение кажется интересным, но не включено в список одобренных для работы, используйте свои личные учетные данные, а не корпоративные.

Не делитесь паролем, ни в коем случае!

После получения доступа к отличному приложению или сервису может возникнуть соблазн поделиться им с друзьями или родственниками, предоставив им свои учетные данные. Но, открывая такой доступ другим пользователям, вы существенно увеличиваете риски. После передачи пароля тем, кто недостаточно информирован в области безопасности, значительно возрастает опасность его утечки. При получении паролей друзьями или родственниками индивидуальные риски превращаются в общую проблему. Короче говоря, держите свои пароли при себе.

Сотрудник уволился полгода назад. Так отключите же его аккаунт, наконец-то!

Кажется очевидной необходимость отключения доступа уволенных сотрудников к приложениям и учетным записям, но на практике этим требованием зачастую пренебрегают. Руководители подразделений должны своевременно информировать ИТ-службу об отключении бывшим сотрудникам доступа к корпоративной электронной почте и к другим приложениям и системам. А ИТ-службе, в свою очередь, нужно следить за учетными записями, выявлять среди них недействительные и удалять их.

Предоставляйте доступ к конфиденциальным данным только тем, кому это это положено

Помимо проверки логина и пароля, процедура идентификации должна контролировать действия пользователя, подавая сигнал тревоги при обнаружении чего-либо подозрительного. Используя биометрические параметры, двухфакторную аутентификацию и поведенческий анализ, организации смогут сохранить свои сети в безопасности и предупреждать пользователей, если кто-то пытается подключиться к системе от их имени.

Не используйте пароль повторно – никогда!

Конечно, менять пароли и запоминать новые не нравится никому, но такова жизнь – нам часто приходится делать не то, что хочется. И новые пароли должны быть надежными – это значительно уменьшит риск их подбора злоумышленниками. Пароли никогда не следует использовать повторно. Ведь кражи учетных записей распространены достаточно широко, и до поры до времени пользователи даже не догадываются об этом. Вспомните об уязвимостях, обнаруженных в сетях LinkedIn, Yahoo, Twitter и прочих. В некоторых случаях люди годами не знали о том, что их пароли используются злоумышленниками для получения доступа к конфиденциальной информации.

При обнаружении брешей компания должна продолжать работать

В случае выявления уязвимостей необходимо как можно быстрее приступить к их ликвидации, не останавливая при этом бизнес-процессы. Поговорите с сотрудниками и примите дополнительные меры безопасности. Особенно важную роль здесь приобретают технологии двухфакторной или многофакторной аутентификации.

Держите привилегированных пользователей под контролем

Привилегированный доступ повышает риск взлома всей корпоративной сети, поэтому за такими учетными записями нужно следить особенно тщательно: своевременно понижать уровень ненужных привилегий и удалять устаревшие аккаунты. Привилегированные учетные записи имеют особую ценность для хакеров, и таким пользователям необходимо соблюдать особо строгие меры безопасности.

– Ryan Francis. Best practices to fight corporate security risks. CSO. Nov 28, 2016

Службе информационной безопасности приходится выстраивать все новые бастионы между физическими и виртуальными стенами своей организации. И конечные пользователи должны принимать непосредственное участие в обеспечении защиты корпоративных данных и систем. Для того чтобы обезопасить себя и свои организации, аналитики компании Wombat Security Technologies рекомендуют удаленным работникам придерживаться десяти правил.

Старайтесь избегать сетей Wi-Fi с открытым доступом

Незащищенные паролем бесплатные сети Wi-Fi не обеспечивают достаточного уровня безопасности при подключении к закрытым системам и передаче конфиденциальной информации. Для безопасного подключения нужно использовать специальные мобильные точки доступа или соответствующие функции своих мобильных устройств.

Защитите домашнюю сеть

Незащищенная домашняя беспроводная сеть также уязвима. Пользователи должны как минимум защитить свои беспроводные сети паролями и включить шифрование (желательно WPA2). А лучше – разработать для удаленных сотрудников набор правил, регламентирующих настройку их систем.

Подключайте все мобильные устройства через VPN

Большинство организаций, у которых есть удаленные сотрудники, используют виртуальную частную сеть – VPN, которая не только защищает устройства компании, но и помогает при использовании концепции BYOD.

Подберите подходящее приложение VPN, попросите сотрудников установить его на свои устройства и объясните, как им пользоваться.

Не путайте свои персональные данные с деловыми

Корпоративные данные не следует передавать с личных устройств, поскольку возрастает риск их утечки. И большая часть ответственности ляжет на конечного пользователя, который выводит данные за пределы контролируемой зоны. Точно так же не следует размещать личные данные на корпоративных устройствах, ведь доступ к ним могут получить и другие лица.

Не распространяйтесь в социальных сетях о работе

Распространение удаленными сотрудниками сведений о своей работе создает дополнительные проблемы их работодателям. Сотрудникам следует понимать, сколь опасно разглашение в социальных сетях сведений о деловых маршрутах – пребывании в аэропортах, гостиницах, ресторанах; повседневных операциях и прочих деталях ведения бизнеса.

Смените, наконец, пароли, установленные по умолчанию!

Удаленные работники часто подключают корпоративные устройства к своим личным сетям и устройствам. Дайте им указание в обязательном порядке сменить пароли на всех устройствах, особенно на беспроводных маршрутизаторах. Пароли по умолчанию легко найти в Интернете, и хакеры используют эту информацию, чтобы подключиться к ресурсам ничего не подозревающих пользователей.

Обновляйте программы регулярно

Киберпреступники активно эксплуатируют также и известные уязвимости в ПО и плагинах – например, в Adobe Flash, Acrobat Reader и Java. Плагины и программное обеспечение – в том числе мобильную операционную систему и доверенные приложения – необходимо регулярно обновлять на всех используемых устройствах.

Путешествуйте с умом

Отправляясь в деловую поездку, конечные пользователи должны брать с собой только самое необходимое, исключив все ненужные электронные устройства и носители конфиденциальных данных, такие как кредитные карты и т. п.

Берегитесь подслушивающих и подглядывающих!

Каким бы ответственным в отношении безопасности ни был удаленный сотрудник, дома его могут навещать посторонние люди, которых не следует посвящать в подробности своей профессиональной и личной жизни. В поездках угроза, исходящая от случайных попутчиков, возрастает многократно. Следует проявлять осторожность обсуждая рабочие вопросы по телефону при посторонних. Конфиденциальные сведения на мониторе, в распечатанном виде или в виде записей в блокноте не должны видеть те, кто не имеет к ним права доступа.

Держите компьютер «на замке»

Дома ограничьте доступ к компьютеру паролем, а документы, когда они не используются, запирайте на замок. Оставлять телефоны и папки без присмотра в гостиницах или в автомобилях ни в коем случае нельзя.

– Ryan Francis. 10 ways to make sure your remote workers are being safe. CSO. November 1, 2016

Почему вопросам безопасности перед слиянием или поглощением (Mergers and Acquisitions, M&A) уделяется так много внимания? Эксперты привели сразу несколько примеров кошмарных сценариев, когда компания с хорошим уровнем кибербезопасности приобретала организацию, у которой уже имелись серьезные бреши. Был случай проникновения к покупателю вредоносного кода из приобретаемой компании. Об этом никто не знал почти год, выяснилось же все только при подсчете нанесенного ущерба. Исходный код был украден, продукт скомпрометирован, репутация пострадала.

Вот еще один пример. Samsung за 250 млн долл. купила компанию LoopPay, средства которой должны были стать ключевым компонентом мобильной платежной системы. На протяжении долгого времени в программном обеспечении LoopPay присутствовала брешь, и обнаружена она была всего за месяц до совершения сделки.

Как приобретающей (или приобретаемой) компании избежать подобных проблем? Вот на что следует обратить внимание до, во время и после приобретения. Советы полезны и при реорганизации и трансформации компаний, в т.ч. и географически распределенных, а также при их консолидации.

Раннее планирование

Перед слиянием специалисты по безопасности из обеих компаний должны поближе познакомиться друг с другом и обсудить сопряженные со сделкой риски. Необходимо разработать общий план как можно быстрее. Есть много областей, которые требуют изучения, а время весьма ограниченно. Необходимо вырабатывать маршруты для планируемых блоков по каждой из задач и заранее согласовывать их с приобретаемой стороной.

Публичная информация может сыграть вам на руку

В начале процесса слияния вы не будете обладать информацией о другой компании, но на первых порах этого и так важно. Общедоступные записи, поиск в Интернете, изучение баз данных, содержащих сведения об угрозах, и изучение социальных медиа – все это окажется весьма полезным для выявления уязвимостей и поиска свидетельств о проблемах с безопасностью в приобретаемой компании.

Целью хакеров может оказаться сама информация о слиянии

Деликатная природа информации о слиянии подразумевает, что добыча таких сведений уже сама по себе может стать целью взлома, поэтому для обеспечения безопасности соответствующих данных нужно разработать специальный план. Вы должны знать, где находятся документы о слиянии, кто имеет к ним доступ, кто обращается к документам и является ли получаемый доступ легитимным.

Предоставление доступа к системам и конфиденциальным данным требует повышенной осторожности. До момента закрытия сделки необходимо контролировать обмен информацией и обеспечивать защищенность конфиденциальных документов и систем.

Задавайте конкретные вопросы

Запрашивайте конкретную информацию, позволяющую получить представление о том, как вел себя потенциальный партнер по слиянию в прошлом:

• Как проводится обучение сотрудников и партнеров по вопросам политик безопасности и снижения рисков при работе с электронной почтой? Какие меры принимаются для снижения рисков?
• Участвуют ли руководители высшего звена в мероприятиях, призванных обеспечить безопасность данных? Вовлечены ли они в разработку процедур повышения безопасности данных?
• Происходили ли случаи кражи конфиденциальных данных? Если да, то что было сделано для исключения подобных повторений?

Все полученные сведения помогут понять, какого рода конфиденциальная информация хранится в другой компании, как организована ее защита и какие коррективы необходимо внести в принимаемые меры безопасности.

Добейтесь максимальной прозрачности

Цель всех вышеперечисленных вопросов – получить полное представление о состоянии обеих сетей перед слиянием. Когда сети связываются друг с другом, вредоносные программы, находящиеся в одной сети, начинают проникать в другую. Зная поведение каждой из сетей, можно выработать представление о том, как должна выглядеть объединенная сеть.

До начала процесса слияния полезно также получить запрашиваемые отзывы, внутреннюю документацию и информацию об инвестициях, с тем чтобы оперативно вносить коррективы при возникновении новых вопросов.

Больше компаний – больше проблем

Процесс слияния затрагивает не только объединяемые компании. Речь идет о банкирах, юристах, поставщиках, подрядчиках, субподрядчиках и прочих участниках по обе стороны сделки. Очень быстро вы обнаружите, что слияние двух корпоративных единиц выливается в слияние двух корпоративных экосистем. И вы получите не только людей, активы, культуру и клиентов, но и унаследованные бреши.

Трудности приобретаемой компании

Зачастую приобретаемая компания находится в затруднительном положении, и у нее нет возможности проводить необходимые инвестиции в критически важные для себя области. Из-за этого нередко выявляются порочные практики, устаревшие и незащищенные активы, а также отсутствие контроля за состоянием активов с точки зрения безопасности.

Документируйте все тщательно и заблаговременно

Отсутствие документации в компании может породить настоящий хаос. Масса неожиданных проблем возникла из-за слабо документированной сети у одной из сторон. Не были стандартизованы технологические процессы, не выдавались даже разрешения на доступ к ресурсам. Когда пришло время объединяться, также выяснилось, что системы не работают так, как было запланировано.

Автоматизируйте свои процессы

Нужно понимать, кто и к каким данным имеет доступ в присоединяемой компании. Для этого необходимо автоматизировать процессы: вы должны создавать роли, политики и процедуры, после введения в действие которых отпала бы потребность постоянно вносить изменения в права доступа.

Унифицированный набор политик безопасности может быть дополнен инструментами автоматизации. Слияния всегда предполагают наличие множества поставщиков и унаследованных политик. Встроенные инструменты управления, как правило, не позволяют составить полное представление о происходящем, и вам понадобятся лучшие решения от независимых поставщиков управляющих платформ.

Кто за что отвечает

Вопросы кибербезопасности по большей части вращаются вокруг контроля за ресурсами, а люди, наделенные полномочиями, не готовы отказаться от них при смене организации. Инвентаризация активов, показывающая, кто к чему имеет доступ, имеет особое значение, и именно ее чаще всего не делают. Вам придется иметь дело с администраторами, которые весьма неохотно пускают кого-либо в свою вотчину, не склонны ослаблять ограничения и даже предпочитают не рассказывать никому о существующих системах. Но для создания единой инфраструктуры в любом случае придется проводить всеобщую инвентаризацию и определять права доступа.

Также рекомендуется использовать специализированные решения для управления привилегированными записями, позволяющие видеть, у кого хранятся «ключи от царства».

Следите за людьми, которые пытаются делать все по-старому

За сохранение прежних порядков будут бороться не только администраторы, но и обычные пользователи. Эти люди будут пытаться делать все так, как привыкли, игнорируя новые правила. Речь может идти, например, о несанкционированном использовании какой-нибудь системы совместного доступа к файлам. Подобные попытки необходимо пресекать.

Держите системы под замком, даже если планируете от них отказаться

План слияния, очевидно, должен предусматривать консолидацию имеющихся систем и вывод части из них из эксплуатации. Но процесс может затянуться, и все это время необходимо заботиться о безопасности систем, даже если вскоре они перестанут использоваться.

Временные меры могут оказаться необходимыми

Возможно, понадобится переходный период, в течение которого обе сети объединяемых компаний будут работать параллельно, и нужно принять меры к тому, чтобы в это время сотрудники не испытывали особых неудобств.

Временный доступ к ресурсам имеет смысл предоставлять таким образом, чтобы не открывать обе сети в полном объеме, а ограничиться лишь минимальными полномочиями, необходимыми для работы. Добиться этого можно, например, путем создания федерации контролируемых пользовательских групп с выделением им ресурсов Citrix, RDP и других технологий удаленного доступа.

Не забывайте о человеческом факторе

Многие интеграционные инициативы проваливались как раз из-за культурных, а не из-за технических различий. Подумайте о так называемом курсе разрушения старой культуры для сотрудников приобретаемой компании — обобщите основные принципы, присущие вашей компании, и поделитесь этим опытом.

В период слияния многие сотрудники опасаются, что их навыки окажутся устаревшими и ненужными, что организацию ждет сокращение кадров. Простейший способ выявить подобные угрозы – мониторинг привилегированных учетных записей.

Следите за утечкой мозгов

Для безопасного функционирования объединенной сети важна преемственность, поэтому необходимо принять меры для предотвращения массового бегства. Чтобы избежать утечки мозгов, нужно использовать все имеющиеся средства и как можно безболезненней интегрировать людей в объединенную компанию. Слияние, выводящее на ведущие роли сотрудников приобретающей компании, скорее всего, закончится тем, что персонал приобретаемой компании начнет уходить. В итоге преемственность, столь необходимую для безопасной деятельности нового предприятия, обеспечить не удастся.

Жизнь вносит коррективы, и их следует учитывать

Вы можете и должны планировать все с самого начала, но в процессе слияния наверняка где-то придется и импровизировать. После объединения компаний многое меняется: руководители, игравшие ведущую стратегическую роль, могут уйти или переключиться на другие задачи, а значит, придется искать новые подходы. Даже при наличии самых лучших намерений перед началом слияния в процессе интеграции происходят изменения, заставляющие организацию пересматривать свою стратегию безопасности.

– Josh Fruhlinger. How to keep IT security at the forefront during a merger. CSO. Sep 19, 2016

Пугающие цифры утечек данных за последние несколько лет говорят о том, что организациям становится все труднее справляться с растущим числом угроз.

Но с недавнего времени появилось новое поколение решений безопасности корпоративного уровня, основанных на машинном обучении. Эти инструменты способны анализировать сети, выяснять их особенности, распознавать аномалии и защищать предприятия от атак.

Но поможет ли машинное обучение решить все проблемы информационной безопасности в современном мире? В компаниях, предлагающих новые продукты, заявляют о росте спроса и утверждают, что первая реакция пользователей — положительная.

«Машинное обучение — крупнейшая тенденция в области безопасности в текущем году, — говорит Эрик Огрен, аналитик 451 Research. — Сегодня любой директор по информационной безопасности знает, что средства поведенческого анализа дают наилучшие шансы остановить атаку, способную обойти статичные защитные системы».

В основе поведенческих инструментов лежат методы машинного обучения. При машинном обучении формируется статистический профиль нормальной активности пользователя, устройства или сайта. Тем самым закладывается основа поведенческой аналитики, которая позволяет предотвратить ущерб от атак, не замеченных стандартными средствами борьбы с угрозами, в том числе основанных на злоупотреблении легитимными верительными данными.

Долгосрочное преимущество машинного обучения — в том, что, осваивая его, организация берет на вооружение вероятностный, прогнозный подход к обеспечению безопасности, который хорошо сочетается с традиционными механизмами. Новые подходы уже окупаются в крупных облачных средах и медиакомпаниях, где защищенность измеряется уровнем снижения риска серьезного подрыва бизнеса и потери дохода.

Потенциальные сложности

Внедрение любых новшеств не обходится без трудностей. Так, может быть непросто оценить качество алгоритмов машинного обучения различных разработчиков. Это возможно лишь по результатам. А чтобы оценить эффективность продукта, рекомендуется в рамках концептуальных проектов обратить особое внимание на несколько изолированных случаев применения, на устройства или веб-сайты.

Машинное обучение позволяет добиться ощутимого усиления информационной безопасности, но это не панацея, отмечает Дэвид Монахан, директор по исследованиям в области безопасности и управления рисками Enterprise Management Associates: «У этой технологии есть свои ограничения и наилучшие области применения. Это, например, отличный инструмент для идентификации событий, выходящих за обычные рамки, и эти события надо проанализировать или расследовать».

В мире информационной безопасности используются два основных типа машинного обучения — с учителем и без. У каждого из методов — свои случаи применения, но в конечном счете оба нужны для поиска аномалий в имеющихся срезах данных. Таким образом, действенность ограничена качеством доступных данных, то есть машинное обучение — это вспомогательная, а не базовая технология.

Главные преимущества

Основные преимущества машинного обучения — возможность быстро распознавать тенденции, закономерности и аномалии в больших разнородных срезах данных: распознавание происходит в режиме реального времени или близком, при этом не нужно подгружать срезы данных пакетно.

Потребность во внедрении машинного обучения обусловлена двумя факторами, отмечает Крис Лавджой, глава подразделения BluVector компании Acuity Solutions. Во-первых, на распознавание компрометации сейчас уходит много времени, во-вторых, во многих случаях, если не в большинстве, в компаниях узнают о взломе от третьей стороны.

«Нереально предвидеть все возможные векторы атак, что не хватит никаких ресурсов на то, чтобы вручную задавать правила распознавания всех мыслимых векторов, — поясняет Майк Пакетт, вице-президент по продуктам Prelert, компании, поставляющей средства безопасности на основе машинного обучения. — Организациям нужны способы автоматизировать анализ протоколов безопасности, позволяющий распознавать атаки в непрерывном режиме».

Обнадеживающие результаты

В компаниях, которые первыми начали применять технологию машинного обучения, сообщают о ее действенности. Так, в Orrstown Bank к новым методам обратились, чтобы бороться с безудержным ростом количества мошенничеств с кредитными и дебетовыми картами.

«Мошенничества с картами участились прежде всего — из-за роста объема утечек, допускаемых продавцами, — отмечает Эндрю Линн, старший вице-президент, директор по безопасности банка. — Традиционные системы распознавания мошенничеств либо обеспечивают лишь примитивные методы идентификации, либо их цена слишком высока для банков небольших размеров».

В банке в целях борьбы с мошенничествами обратились к услугам Prelert. Изначально продукт компании был рассчитан на распознавание аномалий работы ИТ-ресурсов, но выяснилось, что его можно применять и для обнаружения отклонений в использовании банковских карт.

Обычно мошенники вначале делают недорогую покупку, чтобы удостовериться, что карта еще активна. Если тестовая транзакция проходит, злоумышленник быстро проводит серию новых, тратя больше денег.

Система распознавания мошенничеств Prelert позволяет банку обнаружить уже самую первую незаконную транзакцию и заблокировать последующие.

Технология обнаруживает жульничество путем распознавания аномалий использования карт с точки зрения целого ряда параметров (время суток, сумма платежа, местонахождение, продавец и т. п.), а также полагаясь на знания экспертов Orrstown о мошеннических операциях.

Уже первые результаты от нового решения показали, что есть возможность сократить потери от мошенничеств на 50%.

Билеты под защитой

StubHub, оператор сервиса перепродажи билетов, пользуется технологией Distil уже почти полтора года. «С появлением новых угроз безопасности Distil стала неотъемлемой частью нашей общей стратегии безопасности, особенно в борьбе с захватом аккаунтов», — говорит Марти Боос, директор по эксплуатации ИТ-систем StubHub.

Distil запоминает закономерности трафика к сайту StubHub и по отклонениям распознает боты и другие угрозы безопасности, предсказывая их видоизменения.

StubHub и Distil взаимодействуют ежедневно, что позволяет следить за текущей активностью и прогнозировать будущее. «Поскольку боты и другие источники вредоносного трафика быстро эволюционируют, нужны надежные средства предугадывания тактики атакующих, — говорит Боос. — Так как покупка на StubHub обычно сопровождается мгновенной передачей цифрового товара, необходимо тщательно защищать сеть от ботов и других вредоносов».

Human Longevity, разработчик технологии, лежащей в основе крупнейшей в мире базы геномной информации, в 2015 году начала пользоваться системой Enterprise Immune System компании Darktrace, чтобы составить профиль нормальной сетевой активности корпоративных приложений.

«Задача состояла в том, чтобы научиться распознавать аномальную активность и передавать сведения о ней нашим специалистам, которые определяют уровень угрозы, — говорит Том Брандл, директор по информационной безопасности в Human Longevity. — Система Darktrace запоминает закономерности работы нашей среды, чтобы обнаруживать отклонения. При их появлении наши эксперты анализируют уровень опасности и принимают меры». Главным преимуществом новой технологии стало то, что она позволяет составить гораздо более полное понимание происходящего в ИТ-среде.

Участники рынка уверены, что в дальнейшем машинное обучение даст принципиально новые возможности по укреплению безопасности.

«Теоретически ничто не мешает создать искусственный мозг человека, — полагает Ги Каспи, глава Deep Instinct. — Методы глубинного обучения подводят нас к этой цели растущими темпами. Уже в ближайшие годы можно ожидать прорывов, особенно в области обучения без учителя».

Глубинное обучение с успехом применяется в области компьютерного зрения, понимания речи и текста, «но есть еще масса областей, где новые технологии способны произвести настоящую революцию», добавляет Каспи.

«Машинное обучение, — методика, составляющая основу искусственного интеллекта и аналитики данных, она и дальше будет способствовать инновации в этих областях, — убежден Венкат Субраманян, директор по технологиям Dataguise. — Машинное обучение внедряется во всех отраслях, где нужен анализ больших объемов данных. — Именно благодаря растущим масштабам использования Больших Данных развивается применение машинного обучения для аналитических задач. Но особенно полезным машинное обучение будет для распознавания и предотвращения нарушений безопасности и несанкционированного доступа к закрытым сведениям».

– Bob Violino. Machine learning offers new hope against cyber attacks. Network World. Aug 15, 2016

Новые угрозы заставляют финансовые организации переосмыслить подходы к обеспечению ИТ-безопасности

В компаниях финансового сектора начинают осознавать, что подходы к обеспечению информационной безопасности должны трансформироваться в соответствии с быстрыми изменениями ландшафта угроз и появлением новых методов защиты. 77% участников опроса, проведенного компанией 42Future, разделяют мнение, что устаревшие требования к безопасности мешают внедрять новые технологии и подходы к развитию ИТ-инфраструктуры.

По оценкам ЦБ РФ и Сбербанка, в 2015 году российские финансовые организации потеряли от действий киберпреступников более 5 млрд руб. Причем главной целью злоумышленников были сами финансовые учреждения – банки и платежные системы, а не их клиенты. Из-за активизации хакеров в России (как и за рубежом) затраты финансового сектора на обеспечение ИТ-безопасности даже в кризисные годы не сокращаются. В мире, по оценкам PwC, соответствующие расходы растут ежегодно на 3-4%. В России, по данным опроса, проведенного компанией 42Future, почти треть финансовых организаций в 2015 году увеличили расходы на защиту от киберугроз и еще 44% организаций сохранили их на прежнем уровне.

Исследование 42Future (оно осуществлялось по заказу компаний Qrator Labs и Wallarm) охватило 138 банков и 12 платежных систем. Всего было опрошено 150 представителей компаний российского финансового сектора – руководителей ИТ-департаментов и служб безопасности. Выяснилось, что чаще всего банки подвергались атакам, направленным на отказ в обслуживании (DDoS). Такие инциденты зафиксировали 24% из опрошенных финансовых компаний. Подготовка подобных атак удешевляется год от года, и недобросовестные конкуренты все чаще их используют. Как отмечают в Qrator Labs, результативность DDoS-атак очень высока, а затраты на них упали до 5 долл. в час.

Эксперты отмечают, что DDoS-атаки часто предпринимаются, чтобы отвлечь внимание и провести атаки других типов, например для взлома сайта или веб-приложений. Так, попытки взлома приложений зафиксировали у себя 17% опрошенных. Но специалисты Wallarm полагают, что на самом деле число таких инцидентов намного больше – практически каждый публичный ресурс хотя бы раз в месяц подвергается автоматизированным атакам на публичные уязвимости.

Поэтому компании уделяют все больше внимания защите своего периметра. Все без исключения респонденты подтвердили, что осуществляют контроль за ним. Однако в Wallarm говорят: такая мера не гарантирует защиты от взлома, поскольку имеющиеся средства безопасности периметра несовершенны. Это позволяет атакующим использовать приложения как самый простой способ для проникновения и развития атаки внутри сети организации.

Большинство опрошенных (69%) считают самым эффективным средством противодействия атакам DDoS операторские решения. Но, по мнению экспертов Qrator и Wallarm, этот метод тоже нельзя назвать безупречным.

«Решение на стороне оператора уже не может обеспечить защиту от целых классов атак. К тому же такие средства практически никогда не поставляются в комплекте с интегрированным экраном WAF (Web Application Firewall), обеспечивающим защиту от хакерских атак. Точно так же устаревают и теряют реальную эффективность защитные решения, размещаемые на стороне клиента (Customer Premises Equipment, CPE)», – говорит Александр Лямин, генеральный директор Qrator Labs.

По мере развития сетевых технологий и средств виртуализации сетей становится все сложнее обозначить корпоративный периметр

Он также отмечает, что по мере развития сетевых технологий и средств виртуализации сетей становится все сложнее обозначить корпоративный периметр. Поэтому появляются дополнительные риски и требуется переосмыслить политики безопасности. Корпоративная сеть перестает быть четко очерченной границами физических устройств и превращается в совокупность сервисных макросегментов, каждый из которых обозначается собственным периметром безопасности. Ключевая особенность современной ситуации заключается в том, что в сетях общего доступа, таких как Интернет, атакующие могут создавать столько событий безопасности, сколько захотят. Защитные меры в виде блокировок по IP-адресам или подсетям малоэффективны против современных автоматизированных средств, используемых для организации атак.

Одним из способов решить обостряющиеся проблемы с безопасностью банковских ИТ-ресурсов может стать переход к облачной парадигме.

Источник: 42Future, 2016

«Мы разочаровались в услугах сетевой безопасности, которые предоставляют операторы связи и интернет-провайдеры. Для них эта услуга никогда не была профильной, и они не уделяют ей должного внимания, выделяют недостаточно ресурсов на ее поддержание... Между тем банковские веб-сервисы, по мере роста их популярности, привлекают внимание всякого рода маргиналов, и вряд ли стоит бороться с ними в одиночку, имеет смысл прибегнуть к облачной фильтрации трафика», – отмечает Алексей Кислицын, руководитель управления информационной безопасности «Тинькофф Банка».

В компании Qiwi также остановились на геораспределенной облачной сети фильтрации трафика, пока не опробовали другие варианты защитных решений.

«Сетевая безопасность – один из главных аспектов, который влияет на работу компании. Мы используем целый комплекс для защиты от угроз извне и постоянно его совершенствуем. На мой взгляд, облачное решение для фильтрации трафика сегодня является оптимальным способом противодействовать одной из наиболее опасных угроз – DDoS-атакам. Правильнее всего использовать такой инструмент в комплексе с решениями для защиты от хакерских атак, которые часто предпринимаются одновременно с DDoS-атаками», – говорит Кирилл Ермаков, руководитель департамента информационной безопасности группы Qiwi.

В числе других актуальных угроз участвовавшие в опросе финансовые организации называли вирусы, инсайдеров, инциденты, связанные с работой систем дистанционного банковского обслуживания.

Обратили свое внимание эксперты и на новую угрозу – атаки на инфраструктуру сети, рассматривая их как перспективный, с точки зрения хакеров, вектор приложения сил. Более половины (58%) опрошенных экспертов подтверждают: риски такого рода уже представляют собой опасность, и эта угроза будет расти. Однако 40% все еще находятся в неведении и отрицают критичность атак на инфраструктуру сети или протоколы маршрутизации.

Как свидетельствуют данные опроса, финансовые учреждения тоже опасаются утечек персональных данных пользователей и других конфиденциальных данных в результате взлома сервисов на сетевом периметре, что, помимо прочего, может грозить отзывом сертификатов (PCI DSS).

Более трети опрошенных не рассматривают такой риск как первое и главное последствие киберпреступления, полагая, что репутационные и финансовые издержки важнее. Однако абсолютно все респонденты уверены: непредотвращенные инциденты информационной безопасности сегодня оборачиваются серьезными потерями для бизнеса. А 61% опрошенных заявили, что проблемы с безопасностью могут привести к отзыву банковской лицензии, а значит, к полной остановке деятельности финансовой организации.

Зачастую они тихонько стоят себе в углу и пылятся, всеми забытые, превращаясь в весьма удобный объект для атаки. Многие компании не утруждают себя обновлением прошивок старых моделей и не проводят аудит безопасности каждого такого устройства (например, аппарата в кабинете генерального директора). В организациях почему-то думают, что принтеры Epson или HP, едва ли не каждый второй из которых подключен сегодня к сетям Wi-Fi, совершенно не интересуют хакеров.

Принтеры действительно кажутся совершенно безвредными и безобидными, но именно поэтому, по мнению аналитиков, они и несут в себе угрозу. Ведь зачастую наилучшим направлением атаки является то, о котором никто не задумывается. Между тем опрос, проведенный IDC, показал, что 35% всех брешей в системе офисной безопасности связано с незащищенными принтерами и многофункциональными устройствами. И это ежегодно обходится компаниям в среднем примерно в 130 тыс. долл.

Почему угрозу надо воспринимать серьезно

Периферийные устройства, к категории которых относятся принтеры, обычно не являются объектами защиты. Корпоративные средства безопасности следят за состоянием сетей и компьютеров, а устаревшие принтеры, на которых установлена еще заводская прошивка, как правило, не принимаются во внимание.

«Может показаться, что принтеры не представляют опасности, но вы должны помнить, что по своей сути они являются мини-компьютерами, – подчеркнул этичный хакер Крис Викери, занимающийся исследованием вопросов безопасности в компании MacKeeper. – Контроль над принтером позволяет злоумышленнику сформировать плацдарм для будущих атак и занять удобную позицию для последующего проникновения внутрь сети».

Наиболее серьезные угрозы возникают, когда атакующий получает через принтер доступ к сети. Следует помнить и о возможности захвата любого документа, отправленного на принтер. Это способно нанести серьезный урон интеллектуальным ресурсам предприятия. Викери также припомнил недавний инцидент, когда некий документ с информацией экстремистского характера был отправлен на тысячи принтеров, у которых не был заблокирован определенный порт.

Арианна Валентини, занимающаяся исследованием проблем безопасности в IDC, заметила, что, помимо целенаправленного взлома принтера, угрозу представляют и документы, оставленные без присмотра. Во многих старых моделях нет функции, разрешающей печать только после ввода пароля непосредственно на устройстве. Сотрудники выводят документы на печать и забывают про них. В результате похищение документов становится очень легким делом для злоумышленника, который переводит их в цифровую форму и продает секреты компании.

Исследователь вопросов безопасности из Gartner Лоуренс Пингри назвал и еще одну угрозу. В организациях сферы здравоохранения и финансового сектора, где требования регуляторов значительно жестче, на принтеры следует обращать особое внимание. Ведь с ними здесь связаны не меньшие риски нарушения нормативных требований, чем с ноутбуками.По словам Викери, в какой-то степени проблема возникла из-за невнимания (принтеры безмолвно стоят в уголке), а в какой-то — из-за того, что производители не задумались вовремя о защите своих устройств. Одним из главных нововведений, укрепляющих безопасность принтеров, стала парольная защита по умолчанию (устройства поставляются с уже включенными паролями). Но это ничем не поможет миллионам пользователей старых моделей, так и не поменявших прошивки принтеров, в которых пароли не были задействованы.

Эксперты отмечают, что нарушения требований безопасности не являются особенностью каких-то конкретных брендов. Такие проблемы существуют у старых моделей Canon, Xerox, HP и многих других, в которых не используется парольная защита и которые подключены к корпоративным сетям посредством кабельных интерфейсов или Wi-Fi.

В средствах массовой информации появлялись сообщения о недостаточной безопасности принтеров HP, но, возможно, это объясняется просто высокой популярностью бренда. По словам Пингри, в последнее время компания HP заметно укрепила безопасность своих продуктов, решив заранее принять меры для блокирования потенциальной возможности взлома.

Есть информация об уязвимостях в принтерах Ricoh. В каждом из них существует лазейка, позволяющая получить доступ к учетной записи администратора. Чтобы воспользоваться этой возможностью, достаточно пройти авторизацию в качестве супервизора без пароля. После этого меняется пароль основного администратора. А получив доступ к учетной записи администратора, вы можете сменить прошивку, включив в новый вариант собственные троянские модули.

Рекомендации по укреплению безопасности принтеров

Общий совет по укреплению безопасности очень прост: замените устаревшие принтеры новыми моделями с достаточным уровнем защиты. Технологии, используемые в новейших моделях, достигли высокого уровня.

За последние полгода разработчики внедрили целый ряд весьма существенных инноваций. Модели HP PageWide используют новую технологию Sure Start, которая проверяет корректность программы BIOS. А функция HP Whitelisting позволяет убедиться в том, что прошивка не подвергалась взлому.

В марте 2016 года компания Xerox представила новую функцию, использующую шифрование для всех операций печати и сканирования. Еще одна новая функция автоматически удаляет задания на печать при включении питания. Это снижает вероятность того, что хакер сможет атаковать принтер, на котором хранятся старые задания.

«Мы вправе ожидать от производителей принтеров и разработчиков программного обеспечения новых продуктов, которые помогут организациям повысить уровень безопасности своей среды печати», – подчеркнула Валентини.

По мнению Пингри, важно также не забывать, что на самом деле принтер – это еще один сервер со своей операционной системой, подверженный атакам. А значит, о его безопасности нужно заботиться точно так же, как и о безопасности любого другого узла сети, и своевременно устранять выявленные уязвимости.

Легко упустить из виду и еще один момент. Настройкой принтера, как правило, занимается системный администратор, использующий для этого свои широкие полномочия и права доступа. Перехватывая вводимые данные, атакующий может похитить их.

Хотелось бы отметить, что существует очень много вариантов атаки. Это и загрузка неавторизованных прошивок, и захват заданий, отправленных на печать, и даже кража забытых документов из выходного лотка принтера. Важно учитывать любые возможные сценарии, даже если принтер в дальнейшем будет продолжать пылиться в углу.

– John Brandon. Think that printer in the corner isn’t a threat? Think again. CSO. May 3, 2016

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Безопасность и конфиденциальность – это не то, о чем можно забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Кевин Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову

Достучаться до людей Митник пробует в том числе и путем взлома (естественно, получив предварительно разрешение на это). Корпоративное обучение зачастую кажется пользователям слишком скучным. Поэтому Митник просто взламывает системы своих клиентов, демонстрируя, как легко они могут стать жертвами злонамеренных хакеров.

В настоящее время Митник является директором компании KnowBe4 по вопросам взлома и пишет книгу «Искусство невидимости», в которой рассказывает, как обеспечить безопасность и конфиденциальность в нынешнем мире хакеров и эксплойтов. Работая в KnowBe4, Митник помогает компаниям предотвращать и ликвидировать последствия наиболее деструктивных и сложных взломов, организуемых через атаки фишинга.

Фишинг – одна из разновидностей социальной инженерии и приемов, заставляющих получателя электронного письма или сообщения поверить в то, что оно пришло из заслуживающего доверия источника (например, из PayPal или от одного из руководителей компании, в которой работает жертва атаки). Доверившись отправителю, пользователь открывает приложение, загружает файл, в ответ пароль, сообщает и другую важную информацию или посещает веб-сайт, с которого на его компьютер устанавливается вредоносная программа.

Как говорит Митник, «взломать человека гораздо проще, чем компьютер», поскольку компьютеры четко следуют инструкциям и изменить здесь что-либо практически невозможно, а люди эмоциональны, у них многое зависит от настроения и ввести их в заблуждение не так уж сложно, особенно если они ни разу не обжигались.

Смартфоны

Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову. «Человеческая лень открывает перед хакерами самые широкие возможности», – подчеркивает он. Многие люди, разблокируя свой телефон, вместо длинного пароля вводят просто четырехзначный цифровой код. На первом этапе хакер таким образом выбирает себе цель, ведь подобрать четырехзначный цифровой код гораздо проще.

Рекомендации по укреплению безопасности мобильных устройств от Митника просты: лучшая защита против фишинга – не антивирус и не межсетевой экран, а обучение, образование и осведомленность.

Митник использует обычный смартфон, а не телефон с повышенным уровнем защищенности и новейшей системой безопасности – что-то вроде Blackphone 2 или Turing. «Безопасность обеспечивается вашим выбором и поведением, – поясняет он. – А это гораздо важнее даже самого защищенного оборудования».

Митник использует длинный пароль, включающий в себя буквы и цифры, а не четырехзначный цифровой код, как большинство из нас. При опасности принудительного разблокирования телефона, например при возвращении в США из зарубежной поездки, он перезагружает телефон, после чего сенсорный датчик, считывающий отпечаток пальца, становится неактивным (сразу после перезагрузки телефон разблокируется только в случае ввода пароля). В США суд может заставить вас разблокировать телефон, приложив к нему палец, но у него нет права заставить вас сообщить свой пароль.

Но, по признанию Митника, стопроцентно безопасных устройств просто не существует.

Портативные и настольные компьютеры

Митник рассказал, как защитил компьютер своей матери, воспользовавшись преимуществами цифровой подписи Apple.

Раньше мать звонила ему каждую неделю и просила почистить свой компьютер, который то и дело заражался вирусами. Она была настоящим «лакомым кусочком» для атак социальной инженерии, и Митнику приходилось еженедельно переустанавливать операционную систему.

И тогда он купил ей iMac, установил на него антивирусную утилиту и заблокировал компьютер.

Он также изменил настройки безопасности магазина приложений Mac App Store, с тем чтобы она имела возможность загружать только приложения, одобренные Apple. Настройки по умолчанию, говорит Митник, не обеспечивают должной безопасности, ведь «разработчиком можно стать всего за сто баксов».

Таким образом Митник решил проблему загрузки вредоносных программ. Но при этом отметил, что, хотя такое простое решение и обеспечивает защиту от обычных атак фишинга, оно неспособно защитить пользователей от АНБ и других более опытных и целеустремленных хакеров.

Флешки и другие векторы атаки

На конференциях по безопасности Митник охотно демонстрирует хакерское искусство. Например он показал, как, подключив флешку, хакер получает полный контроль над машиной, в том числе над ее камерой и микрофоном, а также возможность запустить любую программу. В процессе демонстрации компьютер распознавал подключаемую флешку как клавиатуру, а не как устройство хранения. Это позволяло хакеру вводить любые последовательности нажатия клавиш, как если бы в руках у него оказалась настоящая клавиатура.

Такой прием был показан потому, что «люди считают USB-устройства безопасными, ведь функция автозапуска у них отключена». На самом же деле компьютер не защищен от флешки.

Многие полагают, что PDF-файлы тоже безопасны. Чтобы развеять эту иллюзию, Митник продемонстрировал визуальные инструменты, с помощью которых хакер, использующий файл PDF, может получить контроль над атакуемой машиной.

Еще один показанный прием моделировал действия хакера в кофейне с бесплатным выходом в Интернет через маршрутизатор Wi-Fi. Хакер подает маршрутизатору команду отключить всех от сети, после чего предлагает пользователям подключиться уже к собственной сети Wi-Fi с тем же именем. После подключения пользователей на их устройства рассылается вредоносный код.

Вы не должны позволять подключать к своему компьютеру чужие флешки и загружать на него PDF-файлы, даже если доверяете источнику (существуют методы социальной инженерии, которые заставят вас ему довериться). И следует избегать публичных точек доступа Wi-Fi.

В то время как специалисты по безопасности заняты изучением хакерского программного кода, Митник делает упор на социальную инженерию. Потому что именно таким образом хакеры получают доступ к вашей системе.

Другими словами, безопасность и конфиденциальность – это не то, о чем вы можете забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, которые владеют соответствующими инструментами, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

Теперь, обладая такими знаниями, вы просто обязаны изменить свое поведение! Будьте благоразумны. Проявляйте осторожность, граничащую с паранойей.

– Mike Elgan. Surprising tips from a super-hacker. Computerworld. March 7, 2016

Киберпреступность стала гораздо более зрелой. Прошло то время, когда российские и китайские преступники исследовали рынок, пытаясь работать индивидуально. Сейчас это организованная преступность, и масштабы ее деятельности впечатляют. Группировки обладают серьезными ресурсами и возможностями и могут себе позволить инвестировать в сложные многоходовые операции, имеющие высокую эффективность.

«Целевые атаки на организации совершались и раньше. Например, “точкой входа” для них являлись мобильные устройства сотрудников, куда засылались вредоносные файлы, а собранная информация использовалась для целевых атак. Просто до некоторых пор про это не знали», – говорит Денис Масленников, старший аналитик IDC. В 2015 году было уже много очень интересных примеров, когда успешные проникновения в сеть компании начинались с атаки на персональные устройства ее топ-менеджеров. Безусловно, такие прецеденты повлияли на то, как компании реагируют на подобные угрозы.

В будущем одним из ключевых факторов роста рынка ИБ станут продукты и сервисы, созданные для анализа специализированных сложных угроз. Коробочные решения не всегда справляются с этой проблемой.

Кибербезопасность играет все возрастающую роль в бизнесе, и ей следует уделять больше внимания. Компании идут по пути цифровой трансформации, меняют свою инфраструктуру и архитектуру. Это влияет на их функционирование в целом, на их безопасность и процедуры управления рисками.

Жертвы экономической нестабильности

Алексей Плешков, начальник управления режима ИБ департамента защиты информации «Газпромбанка»: «Рост целевых атак, особенно на финансовые организации, в первую очередь, обусловлен экономической ситуацией»

«Не секрет, что нынешние киберпреступники хорошо осведомлены и технически подкованы. Они прекрасно понимают, что любая система защиты уязвима – надо лишь найти ее слабые места», – отмечает в ходе конференции IDC Security Roadshow Алексей Плешков, начальник управления режима ИБ департамента защиты информации «Газпромбанка».

По его признанию, специалисты по информационной безопасности сами загнали себя в тяжелую ситуацию. До 2013-2014 годов большинство их полагали, что главное – не быть последним, как в анекдоте про охотников, убегающих от медведя. Предпринимаемый ими минимум действий, позволяющий защититься от атак, не охватывал всего спектра возможных угроз. Но все же, как правило, это позволяло оставаться на плаву. Однако с 2014 года парадигма поменялась: сейчас уже необходимо догонять – и злоумышленников, и другие банки.

«Рост целевых атак, особенно на финансовые организации, обусловлен в первую очередь экономической ситуацией», – уверен Плешков. Идут увольнения ИТ-специалистов – пусть не самых сильных и грамотных, но в любом случае обладающих минимальным набором знаний о существующих уязвимостях приложений и брешах в системах безопасности.

Появляется множество инструкций, в том числе видеороликов, демонстрирующих техники осуществления атак. Люди, оставшиеся без работы, понимают, что им вполне по силам такие же действия. Но главное – это очень быстрые деньги. От просмотра обучающего ролика до получения прибыли, пусть и небольшой, проходит минимум времени. Это мотивирует на более сложные и прибыльные атаки.

Свежий пример актуальных для банков угроз – атаки на платежные терминалы и банкоматы. У них есть общая деталь, которая выясняется в результате расследований: информацией об уязвимостях ПО на конкретных устройствах обладают либо сотрудники технических служб, производящих и обслуживающих терминалы, либо те, кто создают платежные приложения для них. После увольнения эти люди пошли и продали данную информацию.

Но гораздо большую угрозу несут фишинговые атаки на сотрудников крупных финансовых организаций. Основная идея злоумышленников заключается в установке вредоносного ПО на рабочие станции сотрудников и дальнейшей работе в режиме удаленного доступа. Адресатами чаще всего являются сотрудники бухгалтерии, кадровых и юридических служб. Письма составлены так, что провоцируют открывать вложение, – часто они по структуре похожи на внутреннюю рассылку, а их тема вполне близка адресату.

«Информация о структуре писем, о том, кому и как необходимо отсылать файлы, находится внутри атакуемой организации», – подчеркивает Плешков. Рассылка писем с юридическими вопросами в адрес бухгалтера не даст эффекта, но если такое письмо поступит сотруднику юридического отдела, он, скорее всего, откроет прикрепленный файл. Кроме того, участились случаи, когда письма рассылаются помощникам крупных руководителей от лица их босса. Это тоже весьма действенный способ внедрения вирусных вложений.

Свежий пример весьма успешной массовой атаки – рассылка, проведенная злоумышленниками 15 марта от имени FinCERT ЦБ РФ, с инструкциями по противодействию атакам. Письма отправлялись с адреса, имеющего сходство с настоящим адресом FinCERT, и представляли собой инструкцию по запуску вложенного макроса. Рассылка шла не наугад, а с использованием специальной базы, составленной из материалов отраслевых конференций и банковских служебных документов. Каждое письмо начиналось обращением по фамилии, имени и отчеству к конкретному получателю. В течение первого часа после атаки более 20 сотрудников банков запустили вложение.

«Главный способ защиты от таких угроз – это отделение контуров, связанных с обработкой конфиденциальной информации, от внешнего контура с доступом в Интернет», – полагает Плешков. Это старый, но действенный метод: даже если файл попадет внутрь защищенного сегмента и будет запущен, он «не достучится» до своего хозяина.

Не менее важно продолжать обучать сотрудников противодействовать фишингу. Человеческий фактор по-прежнему представляет серьезную угрозу для безопасности компаний.

Профессионалы против виртуозов

До недавнего времени внимание специалистов службы информационной безопасности было главным образом направлено на троянцев, внутренние утечки, сетевые атаки, мошенничество. Сотрудники разных организаций обменивались между собой информацией о том, какие системы противодействия угрозам они внедрили у себя, что повышало эффективность их действий. Однако появление новой проблемы – целевых атак – во многом спутало их карты. Ситуацию усугубляет то, что злоумышленники, в числе которых могут быть бывшие сотрудники, отлично знают инфраструктуру компании-жертвы.

Елена Петрова, начальник управления ИБ «Экономикс-Банка»: «Против специалистов ИБ играет группа профессионалов, каждый из которых – виртуоз, специализирующийся на конкретном направлении. Силы неравны»

«Даже самые современные средства информационной безопасности в коробочном виде совершенно не готовы к целевой атаке, созданной таким образом, чтобы вероятность ее реализации была максимальной», – подчеркивает Елена Петрова, начальник управления ИБ «Экономикс-Банка».

Схема таких атак стандартна. После того как злоумышленник решил, чью систему атакует, он должен найти контактные данные сотрудников организации. Сотрудники бухгалтерских и кадровых служб стали более осмотрительными, поскольку рассылка писем в их адрес участилась, но можно подобрать подразделение, которое совершенно не готово к атаке. Когда нужное подразделение выбрано, подготавливается письмо со ссылкой или вредоносным вложением таким образом, чтобы работник даже не задумался о том, что надо проконсультироваться о его содержимом.

Как получить внутренние контакты сотрудника? Можно походить по конференциям, можно спросить кого-то внутри организации. Ну и «помочь» могут контрагенты, посчитавшие, что скрывать контакты почтовых ящиков, являющихся приватными, совершенно не нужно, и опубликовавшие их в открытом доступе.

Код, будучи внедренным, может затаиться на срок до нескольких месяцев. При этом программа достаточно умна, а потому способна самостоятельно отыскать уязвимую систему.

По мнению Петровой, в связи с появлением новых угроз следует радикально изменить подход к безопасности. «Сегодня в большинстве случаев используются шаблонные решения, а контроль событий настроен на типовые сценарии. Малозначимые события практически не анализируются, иначе число сообщений о них будет столь велико, что не будет поддаваться анализу. Кроме того, практически отсутствует контроль действий администраторов», – констатирует она.

Во-первых, предлагается задействовать несколько средств безопасности. В дополнение к основной крупной системе – на отдалении использовать малобюджетные дополнительные способы контроля. Злоумышленник увидит и обойдет известное решение, а малоизвестный инструмент, находящийся на отдалении, может не увидеть.

Кроме того, нужно, чтобы реагирование на инциденты зависело от важности системы: контроль критичных систем должен быть более точным. Отследить все события невозможно, но, выделив несколько критичных объектов, можно выявить даже малозначительные изменения в них. А чтобы снизить число ложных тревог, необходимо минимизировать окружение важных систем, изолировать их в подсети и максимально упростить, исключив дополнительные инструменты, которые любят включать интеграторы, – например, автоматический перенос файлов или удаленное управление.

«Сейчас ситуация такова, что против специалистов по информационной безопасности играет группа профессионалов, каждый из которых – виртуоз, специализирующийся на конкретном направлении. Силы неравны», – признает Петрова.

Сотрудникам ИБ требуется помощь. Нужно обмениваться информацией с теми, кто подвергся таргетированным атакам, – конечно, без риска репутационных угроз для передающих информацию. Усилий FinCERT в этой области явно недостаточно.

«Не должно быть страха перед регулятором: успех атаки говорит о хорошей ее подготовке, а не о слабой защите. Иначе придется скрывать данные об атаках, а это ни к чему хорошему не приведет», – считает Петрова.

Ситуация с безопасностью в кредитных организациях и без того сильно зарегулирована, отделы перегружены регламентирующими документами. Если такое будет продолжаться, у служб информационной безопасности не останется времени реагировать на атаки.

Разведка боем

Одна из наиболее эффективных мер профилактики инцидентов – это тестирование на проникновение. Более того, для финансовых корпораций такое тестирование и сопутствующие мероприятия являются критичными с точки зрения регуляторов. Но, как правило, общий, традиционный подход весьма ограничен. Он состоит в четком обозначении границ тестируемой системы и векторов атак, выполняемых в определенные периоды времени, когда на рабочих местах находится персонал служб информационной безопасности и эксплуатации. У этого подхода есть еще одна особенность – так называемый вайтлистинг, когда служба безопасности не реагирует на атакующего, зная о допустимой аномальной активности.

Светлана Архипова, руководитель направления информационной безопасности и ИБ-мониторинга Qiwi: «Мы сильно разочаровались в своих дорогостоящих ИТ-системах. Они замечательно себя показывают в “мирной” эксплуатации, в боевых условиях оказались неэффективными»

«Подход хорош тем, что в плане бизнеса практически никак не влияет на стабильность системы и ее производительность, за редким исключением – может случиться отказ в обслуживании. В целом все проходит довольно гладко», – отмечает Светлана Архипова, руководитель направления информационной безопасности и ИБ-мониторинга Qiwi. Но есть и очевидные минусы. Первый, и очень существенный: так как область тестирования диктуется заказчиком, покрытие угроз может быть неполным. Как правило, ограничиваются наиболее критичными сегментами.

Вторая «ложка дегтя» – ограничение тестирования использованием утилит. Тестирование проводится с помощью распространенных сканеров, после чего результаты обрабатываются. По сути, на выходе получается запись сканера безопасности с комментариями аналитика.

Но самый существенный негатив – отношение к подходу исключительно как к проекту «для галочки», требованию регулятора, а не как к реальной оценке угроз и уровня защищенности. «В итоге все проводимые мероприятия совершенно не похожи на реальные инциденты. Когда команда безопасности сталкивается с реальными проблемами, результат оказывается плачевным», – говорит Архипова.

В Qiwi на протяжении 2014-2015 годов создавался центр безопасности – Qiwi Security Operations Center. Для тестирования созданного центра выбрали кардинально отличающийся от стандартного подход – Red Team, весьма распространенный на Западе. Как можно догадаться из названия, этот термин пришел из военной среды и описывает действия «дружественного» атакующего, целью которого является доступ к критичному оборудованию, захват базы и т. п.

Аналогичный подход использовался в Qiwi для тестирования корпоративной сети и всех процессов ИБ. Его главная отличительная особенность – полное отсутствие ограничений на проникновение в сеть, в том числе временных. Это могут быть внешняя атака, действия инсайдера, физическое проникновение в офис и подключение к сети, а нападение может произойти круглосуточно. Со стороны атакующих работает смешанная высококвалифицированная команда из нескольких поставщиков услуг «белых хакеров».

«Во время тестирования на протяжении нескольких месяцев у нас нет понятия “выходной” и “нерабочие часы”. Это полная эмуляция атаки, которая может произойти», – подчеркивает Архипова.

Со стороны защищающихся – Blue Team – стоит задача сохранить свои ресурсы. Команда не оповещается о старте и окончании тестирования. В лучшем случае известен месяц, когда происходит проверка. Неизвестно, реальная атака идет или дружественная, поэтому реагировать приходится по-настоящему. Для «полного счастья» в команде есть инсайдер – как правило, это директор по информационной безопасности.

Тем не менее ограничение все-таки есть: вывода из строя ключевых систем произойти не должно. Если атакующим удастся зайти столь далеко, они поинтересуются у инсайдера, нужно ли идти дальше. Со своей стороны, инсайдер видит реакцию команды и ее действия. Если атака замечена, она дальше не имеет смысла, и атакующие переходят на другой вектор.

«Плюс данного подхода – полное покрытие систем. Так как целью являются все и каждый, можно многое узнать о системе видеорегистрации, старом забытом сервере, который все боятся выключить, и т. п.», – считает Архипова. Следует помнить, что область тестирования ограничена не только ИТ-системами. Тестируются общие процессы физической безопасности и осведомленность сотрудников. Это отличный способ протестировать команду и используемые инструменты. Например, можно сильно разочароваться в том, как дорогостоящие системы работают под нагрузкой, как моновендорная система ведет себя на стыках между модулями. Но это безопасный способ получить реальные данные о состоянии дел, на основании которых можно принимать меры.

Главный недостаток заключается в том, что такой подход может и будет приводить к отказам в обслуживании неключевых систем и к прочим неудобствам для бизнеса. Все сотрудники, включая топ-менеджмент, также становятся целью для атаки, что чаще всего приводит к массовой блокировке учетных записей. Это вызывает много нареканий, а потому действия следует заранее согласовывать со всеми подразделениями. Из-за круглосуточного характера атак нагрузка на команду безопасности возрастает в несколько раз, и это хорошая проверка на профессионализм и стрессоустойчивость.

Свежий взгляд на безопасность

В прошлом году тестирование в Qiwi проводилось при помощи команд ONSEC и Digital Security и длилось два с половиной месяца. Ключевые цели для атакующих – доступ к любой из критичных систем либо доступ уровня администратора; для команды защиты – 90% атак должно быть зафиксировано и отражено в реальном времени.

«Это были месяцы ада, мы сталкивались с социальной инженерией, переборами паролей, массово заблокированными аккаунтами, экстренно выключали каналы связи, отключали серверы и изолировали отдельные сегменты сети. Находили странные “потерянные” устройства в офисе, обнаруживали подозрительных личностей возле коммутационной, в прямом смысле слова ловя за руку команду атакующих. Часами сидели над событиями в SIEM-системах, анализировали видеозаписи», – вспоминает Архипова.

Это был первый тест, и его результаты оказались неудовлетворительными. Несмотря на то что центр безопасности строился с привлечением известного системного интегратора, уровень фиксации инцидентов системами не превысил 70%. Практика подтвердила, что социальная инженерия и фишинг работают по-прежнему эффективно: самым успешным вектором атак стали фишинговые письма, имитирующие внутреннюю рассылку.

«Мы сильно разочаровались в своих дорогостоящих ИТ-системах. Они замечательно себя показывают в “мирной” эксплуатации, в боевых условиях оказались неэффективными», – признает Архипова. Поэтому от части систем пришлось отказаться, а оставшиеся были доработаны совместно с производителями. На устранение проблем по результатам тестирования ушло около пяти месяцев.

В результате столь жесткого тестирования удалось по-новому взглянуть на системы, политики, регламенты и процедуры. «Не секрет, что при долгой работе над одной системой восприятие притупляется и какие-то недостатки просто не замечаешь. Нас заставили их заметить», – подчеркивает Архипова.

Кроме того, произошел резкий скачок квалификации всех команд безопасности – как физической, так и информационной. Были получены ценнейшие данные о действиях, которые приводят к инцидентам. Их можно повторить и избежать проблем в дальнейшем.

Если компания хорошо проходит подобное тестирование и принимает меры по его результатам, то стоимость атаки на нее существенно возрастает. В мире киберпреступности законы экономики работают так же, как в бизнесе, – скорее всего, от атаки на такую компанию просто откажутся, найдут более дешевую и безопасную цель.

Оценивать состояние информационной безопасности на предприятиях стоит прежде всего с точки зрения защищенности от тех уязвимостей, с помощью которых атакующие уже сумели нанести серьезный ущерб – или вашей организации, или коллегам по отрасли. Если на какое-либо решение полагаются чересчур сильно, то оно само по себе становится слабым местом защиты. Следует искать эффективное сочетание инструментов. В то же время не стоит игнорировать действенные средства только из-за того, что они недостаточно удобны в использовании. Решениям безопасности, делающим акцент на удобстве, но упускающим из виду реальные опасности, нередко доверяют слишком сильно.

Какие системы безопасности делают вас уязвимыми

В компаниях нередко возлагают чересчур большие надежды на решения безопасности, которые в будущем могут не оправдать доверия из-за собственных дыр. Зияющие бреши, способные открыть вход атакующим, были обнаружены не только в OpenSSL, но и в ряде других технологий шифрования.

«Это как если бы у вас был надежнейший дверной замок, а потом выяснилось, что саму дверь можно легко отжать и снять с петель», – говорит Уолтер О’Брайен, эксперт по кибербезопасности, глава компании Scorpion Computer Services, который стал прототипом главного героя в сериале «Скорпион». (В сериале речь идет о группе вундеркиндов и эксцентричном руководителе их команды, работающей на службу национальной безопасности, и их задача – разбираться со сложными угрозами современности. «Скорпион» – это программа, которая помогает героям в получении информации о совершенных преступлениях. – Прим. ред.)

Так, протокол шифрования VoIP-звонков Mikey-Sakke, разработанный в британском Центре правительственной связи – спецслужбе, занимающейся электронной разведкой, имеет специально предусмотренный черный вход, а значит, является ненадежным по определению. Другой пример: в правоохранительных органах сразу двух стран, Голландии и Канады, сообщали об извлечении зашифрованных по алгоритму PGP сообщений электронной почты из специальной модели BlackBerry, отвечающей военным стандартам защищенности. Вряд ли после этого стоит доверять надежности такого шифрования.

Механизмы шифрования, используемые в виртуальных частных сетях, защищают данные в пути между ноутбуками дистанционных работников и корпоративными сетями. Но если сам ноутбук заражен и контролируется атакующим, защищенное соединение становится орудием взломщика, с помощью которого он возьмет под контроль сетевую систему на другом конце соединения и будет атаковать уже с нее, напоминает Эндрю Гинтер, сопредседатель комитета по кибербезопасности Международной ассоциации автоматизации ISA.

Самоконфигурируемые межсетевые экраны – еще один инструмент, обеспечивающий меньше защиты, чем некоторые полагают.

«Установившие такой сетевой экран начинают чувствовать себя в полной безопасности и не думают о том, что еще нужно заботиться о защищенности приложений, баз данных, исходных кодов», – продолжает О’Брайен.

Еще один вид самообмана – когда ограничиваются выбором самых современных решений (скажем, систем испытания на возможность проникновения, отчетности об аномалиях и т. п.). Внедрив их, ошибочно полагают, что этого достаточно.

«Вы видите, что система выдержала десятки тысяч тестов на уязвимость для SQL-инъекций за какой-то период времени, и у вас появляется ложное чувство защищенности, – говорит О’Брайен. – Но подобные тесты нередко просто варианты тех, что существуют уже лет десять или двадцать, а вовсе не новые. Устаревшие тесты не смогут показать, уязвимы ли ваши системы для свежих эксплойтов».

Каким решениям стоит доверять больше

В организациях следует вести учет мест размещения наиболее ценных данных, в том числе облачных сервисов, документировать маршруты и операции передачи данных, точки их входа в сеть и выхода из сети, а также обнаруженные уязвимости. Стоит также внедрять технологии, позволяющие защититься от возможных потерь самой ценной информации.

Целесообразно, в частности, внедрить защитные решения на основе искусственного интеллекта. Такие предлагаются той же Scorpion Computer Services, а также компаниями Lancope, AlienVault и другими – в сочетании с решениями, в полной мере реализующими базовые функции информационной безопасности. Если задействовать такие системы совместно с другими эффективными средствами и отказаться в то же время от решений, не удовлетворяющих современным требованиям, то организация сможет надежнее защититься от вторжений: можно будет более результативно тестировать системы на уязвимости и отмечать аномалии их поведения.

Действенность даже лучшего оружия определяется мастерством того, кто им пользуется, – если у воина связаны руки, он будет бессилен перед нападающим. «У специалиста, к которому поступают предупреждения системы безопасности, должны быть полномочия немедленно принять меры – отключить отдел от сети, отозвать чьи-то привилегии в системе или взять кого-то под стражу, – подчеркивает О’Брайен. – А если все, что вы можете, – это отчитаться в конце квартала, то смысла в ваших защитных системах – никакого».

Некоторые защитные механизмы работают практически без участия человека просто в силу особенностей своего принципа действия

Некоторые защитные механизмы работают практически без участия человека просто в силу особенностей своего принципа действия. В организациях стоит подумать о применении подобных подходов. «Мне, к примеру, по душе однонаправленная связь – шлюзы, которые разрешают прохождение информации только в одном направлении», – отмечает Гинтер.

Это, конечно, не подойдет, если сотрудники могут удаленно заходить в сеть по VPN и работать в режиме двунаправленного обмена данными из дома, как в офисе. Но если есть риск того, что бизнес может погибнуть из-за единственного проникновения в сеть, значит, позволять дистанционный обмен данными с системами, содержащими критически важную информацию, просто недопустимо.

– David Geer. Which security products do enterprises expect too much from? CSO. Feb 11, 2016

Большие Данные рассматриваются отраслевым сообществом как один из ключевых инструментов цифровой трансформации предприятий и организаций. Этот инструмент предоставляет им огромные возможности для обогащения «сырой руды» данных и превращения ее в знания, помогающие совершенствовать деловые и организационные процессы, повышать эффективность бизнеса и конкурентоспособность. Но у каждой продуктивной идеи есть свои ограничения, и применить означенные возможности на практике не так просто, а иногда эти усилия сопряжены с риском компрометации важной информации.

Цифровой дуализм

По мнению Алексея Лукацкого, эксперта Cisco в области информационной безопасности, Большие Данные – это и благо, и зло для любого предприятия, ступившего на путь их освоения. Благо – потому что Большие Данные при должном умении действительно могут дать доступ к таким сведениям, которые нельзя получить при традиционной обработке информации. Зло – потому что мало кто умеет работать с такими данными и извлекать из них ценность.

«Неверные выводы, которые можно сделать на основе Больших Данных, – вот основная проблема при их использовании. И угрозы информационной безопасности обычно уходят в такой ситуации на второй план. Вообще, каких-то особых и новых угроз для Больших Данных нет. Красть такие данные, не имея представления о том, как их можно использовать, смысла нет (да и красть колоссальные объемы данных довольно проблематично). Вносить в них изменения? При условии неопределенности принимаемых на их основе решений – тоже бессмысленно», – рассуждает Лукацкий.

Но это, скорее, концептуальный взгляд на проблему. В реальности же злоумышленники, получив доступ к Большим Данным, могут нанести очень серьезный ущерб их владельцам. Вот, например, какой случай описывает в своей статье известный архитектор встраиваемого программного обеспечения, инженер-консультант компании Emulex Тим Джонс (статья размещена на сайте IBM). Дело было в 2006 году. Тогда компания Netflix в рамках конкурса по совершенствованию рекомендательного сервиса выбора кинофильмов предоставила разработчикам большой пакет данных. Это было нужно для совершенствования поисковых алгоритмов сервиса. В пакете содержались внутренние данные Netflix, из которых предусмотрительно была удалена информация, позволяющая точно идентифицировать клиентов компании. Однако разработчики смогли легко выявить всех клиентов по их идентификаторам в базе данных Netflix, сопоставив анонимные рецензии в предоставленном Netflix пакете и рецензии, опубликованные на одном из специальных сайтов.

«Этот случай наглядно показал, что даже анонимные данные можно отследить вплоть до истинных пользователей, установив взаимосвязь между имеющейся информацией из базы данных и сведениями из других общедоступных источников», – подчеркивает Джонс.

Берегите базы данных

Дмитрий Частухин, директор департамента аудита SAP в компании Digital Security, подтверждает наличие подобных рисков: «Конечно же, основные проблемы у крупных предприятий, реализующих концепцию Больших Данных, начинаются тогда, когда атакующий получает доступ к базам данных и происходит, собственно, нарушение целостности, доступности, конфиденциальности информации. Можно представить, какой простор возможностей по монетизации атак открывается для злоумышленника, например, получившего доступ к данным о работе крупной корпорации за последние десять лет или к предпочтениям людей в выборе продуктов питания».

По словам Частухина, атакующий может реализовывать множество сценариев нападений на Большие Данные, ведь схемы компрометации инфраструктуры, работающей с ними, мало чем отличаются от тех схем, которые применяются во время атак на общую инфраструктуру предприятий. Социотехнические атаки, уязвимости в программном обеспечении, неверно разграниченный доступ и другие уязвимости – все это в конечном итоге может привести к тому, что данные, бережно накапливаемые и хранимые компанией для анализа, окажутся доступны третьим лицам.

Лукацкий же считает: основная проблема в контексте информационной безопасности, встающая перед владельцами Больших Данных, – это приватность. Он приводит в пример известный случай, когда крупный американский магазин сделал вывод о беременности своей покупательницы только по анализу ее поведения в онлайн-магазине.

Впрочем, собираемые по отдельности сведения о человеке могут не представлять большого интереса ни для него самого, ни для злоумышленников. Владелец таких сведений, поскольку считает их малозначащими, может даже не заботиться о защите.

«Только в комбинации с множеством других малозначащих данных они превращаются в мощное оружие (если его умело использовать). И как бороться с нарушением приватности, пока никто не знает. Где та граница, за которой разрозненные данные становятся Большими и важными? Как соблюсти баланс между бизнес-потребностями и предотвращением вторжения в частную жизнь гражданина? Эти вопросы задают сегодня многие специалисты по праву, информационной безопасности, ИТ. И ответа пока что нет. Каждый руководствуется принципом целесообразности, а целесообразность у всех своя», – таков взгляд на проблему эксперта из Cisco.

Опасная масштабируемость

На прикладном же уровне безопасность Больших Данных во многом определяется защищенностью того, что называют их «столпом», а именно – инфраструктурой Hadoop.

Специалисты проверили наиболее распространенные Hadoop-окружения и нашли ряд критичных уязвимостей, способных омрачить репутацию Больших Данных как продуктивного инструмента цифровой трансформации

Якуб Калюжный, старший консультант по ИТ-безопасности компании SecuRing, рассказал на международной конференции ZeroNights, что их специалисты проверили наиболее распространенные Hadoop-окружения и нашли ряд критичных уязвимостей, способных омрачить репутацию Больших Данных как продуктивного инструмента цифровой трансформации. По его словам, злоумышленники могут попытаться скомпрометировать данные, атаковав как внешние, так и внутренние интерфейсы в экосистеме Hadoop, а также ее отдельные элементы, включая каналы связи с базами данных, системы администрирования и т. д. Так, одно из главных преимуществ Hadoop – почти неограниченная масштабируемость – является и одним из главных источников угроз для безопасности. Ведь масштабируемость Hadoop обеспечивается тем, что данные размещаются на множестве узлов обработки, объединенных в кластер. Это серьезно осложняет и администрирование доступа к данным, и их защиту от потерь путем резервного копирования.

Учитывая сложность и масштаб систем на основе Hadoop, можно говорить, что поддержание безопасности в них само по себе является сложнейшей задачей и защитная система, чтобы обеспечить безопасность на надлежащем уровне, должна быть интегрирована со всей инфраструктурой Hadoop, а у нее есть свои природные слабости, подчеркивает Тим Джонс.

В частности, файловая система Hadoop Distributed File System реализуется поверх другой файловой системы (например, ext3). И средства контроля доступа для Hadoop реализуются с использованием разрешений на основе файлов, соответствующих модели разрешений UNIX. Эта модель предоставляет разрешения на уровне файлов в рамках HDFS, однако ей не хватает детализированных средств управления доступом. Недостаточная эффективность системы управления доступом чревата серьезными последствиями для безопасности.

Приоритет – комплексность

Частухин дополняет перечень угроз, специфичных для концепции Больших Данных: «Например, могут быть предприняты атаки на нейронные сети или классификаторы. Не секрет, что Большие Данные обычно хранятся неструктурированными и для работы с ними могут применяться разного рода алгоритмы. Скомпрометировав методы обработки Больших Данных, можно нанести ущерб компании, изменив, допустим, алгоритмы, принимающие решения о выдаче кредитных займов или закупках тех или иных товаров».

В Digital Security полагают, что большинство атак на инфраструктуру Больших Данных имеют направленный характер, преследуют конкретные цели, в основном – преступным путем заработать деньги. Для того чтобы атаковать такого рода системы, злоумышленникам все же необходимо обладать специальными знаниями, впрочем, как и для успешных атак на системы ERP и SCADA. Тем не менее подход к защите Больших Данных должен быть комплексным. Поставив перед собой цель скомпрометировать данные, злоумышленник будет использовать для атаки самые незащищенные элементы системы. Это могут быть программное обеспечение или человеческие ресурсы. Именно поэтому одинаково важно применять на практике как организационные, так и программные механизмы обеспечения безопасности, утверждают эксперты.