Trend Micro

Цепочки поставок — привлекательная мишень для распространителей вирусов-вымогателей. Они могут оказаться одним из плохо защищенных направлений для проникновения, а также дать возможность заражения через одного поставщика сразу нескольких компаний, говорится в докладе, опубликованном фирмой Trend Micro. 79% участников опроса руководителей и других лиц, принимающих решения в сфере ИТ, полагают, что из-за партнеров и клиентов их компания подвергается большему риску вымогательских атак.

Одним из примеров атаки через партнеров может служить взлом в 2021 году систем компании Kaseya, разрабатывающей программы для управления инфраструктурой ИТ. Взломщикам удалось использовать уязвимость для рассылки клиентам Kaseya зараженных пакетов обновлений. Всего же, по оценкам NCC Group, с июля по декабрь 2021 года количество кибератак на цепочки поставок выросло на 51%.

Безопасность цепочек поставок можно повысить, увеличив прозрачность в отношении рисков, считают в Trend Micro. Но только 47% компаний, представители которых участвовали в опросе, делятся информацией об атаках вирусов-вымогателей с поставщиками, а 25% не сообщают партнерам даже потенциально полезной информации об угрозах — возможно, потому, что и сами ее не имеют. Уровень выявления вирусов-вымогателей остается низким.

Сотрудники центров обеспечения безопасности (SOC) и отделов ИБ подвергаются стрессу даже в нерабочее время. Одной из основных причин называется слишком большое количество предупреждений, генерируемых системами кибербезопасности.

В ходе исследования Trend Micro было опрошено более 2 тыс. руководителей, ответственных за отделы ИБ и SOC в компаниях разного размера. 70% респондентов заявили, что на их жизнь и эмоциональное состояние вне работы влияет нагрузка, связанная с обработкой предупреждений о потенциальных угрозах кибербезопасности. 51% опрошенных при этом считает, что их команда специалистов получает слишком большое количество предупреждений, а 55% признают, что не совсем уверены в своей способности правильно расставлять приоритеты и реагировать на полученные от системы уведомления. В этой связи не кажется удивительным, что команды тратят до 27% своего времени на отработку ложных срабатываний систем ИБ.

Такие выводы подтверждает и недавнее исследование Forrester, в котором указано, что отделы ИБ явно укомплектованы недостаточно для того, чтобы обеспечить эффективное реагирование на инциденты, при этом количество атак постоянно растет. Центры обеспечения безопасности нуждаются в более эффективных методах обнаружения и реагирования.

Из-за большого количества предупреждений многие менеджеры SOC не могут расслабиться вне работы и срывают раздражение на друзьях и семье. А в рабочее время они отключают предупреждения (43% делают это время от времени или достаточно часто), покидают свое рабочее место (43%), надеются, что с предупреждением разберется другой член команды (50%), или полностью игнорируют предупреждения (40%).

Аналитики подчеркивают, что слишком часто людей изображают как часть проблемы или уязвимость, а не как актив, и технический аспект защиты оказывается важнее человеческих возможностей. Следует понимать важность инвестиции в человеческие ресурсы в сфере ИБ. Это означает, что следует позаботиться о коллегах и их командах и предоставить им инструменты, которые помогут сосредоточиться на задачах, с которыми лучше всего справляются именно люди.

Trend Micro опубликовала доклад «Динамика изменений подпольных рынков: прошлое, настоящее и будущее» (Shifts in Underground Markets: Past, Present, and Future), в котором приводятся данные о киберпреступных операциях и схемах купли-продажи товаров и услуг среди киберкриминальных группировок. Его авторы пришли к выводу, что подрыв взаимного доверия в этой среде закономерно повлек за собой переход к платформам электронной коммерции и общению через такие сервисы, как Discord, позволяющие повышать уровень анонимности пользователей.

В докладе говорится, что предпринимаемые правоохранительными органами усилия, по-видимому, оказывают существенное влияние на киберпреступные группировки. Несколько форумов были закрыты по решению правоохранительных структур глобального уровня, в то время, как на остальных форумах наблюдаются проблемы с входом в систему и на них постоянно ведутся DDoS-атаки, что влияет на степень полезности подобных ресурсов.

Потеря доверия привела к созданию нового сайта под названием DarkNet Trust, который предназначен для проверки поставщиков и повышения анонимности пользователей. На других подпольных рынках были введены новые меры безопасности, в частности, платежи напрямую от покупателя к поставщику, многоуровневая политика идентификации при совершении сделок с криптовалютой, шифрование сообщений и запрет на JavaScript.

Помимо этого, аналитики раскрывают изменения рыночных тенденций в отношении товаров и услуг киберпреступников с 2015 года. Коммерциализация привела к снижению цен на большинство товаров. К примеру, стоимость услуг шифрования упала с 1 тыс. долл. в месяц до 20 долл., в то время как стоимость универсальных ботнетов упала с 200 до 5 долларов в день. Цены на другие товары, включая программы-вымогатели, трояны удаленного доступа (RAT), учетные данные онлайн-аккаунтов и спам-сервисы, оставались стабильными, что свидетельствует о сохраняющемся спросе на подобного рода продукты.

Тем не менее, исследование наглядно показало высокий спрос на другие услуги, такие как ботнеты, образованные устройствами интернета вещей с новыми не обнаруживаемыми вариантами вредоносного ПО — они продаются за 5 тыс. долл. Также особой популярностью пользуются фальшивые новости и услуги киберпропаганды, где базы данных избирателей продаются за сотни долларов, а аккаунты игроков в такие игры, как Fortnite, могут принести в среднем около 1 тыс. долл.

К числу представляющих значимость выводов исследования можно отнести и появление рынков для:

• сервисов с поддержкой синтеза изображений (Deepfake), используемых для шантажа посредством разоблачения частной жизни интимного характера или обхода требований проверки фотографий на некоторых сайтах;
• игровых ботов на основе искусственного интеллекта, предназначенных для прогнозирования схем бросков костей и комплексного взлома Roblox CAPTCHA;
• предоставления доступа как услуги к взломанным устройствам и корпоративным сетям — стоимость для компаний из списка Fortune 500 может достигать 10 тыс. долл., и некоторые такие сервисы включают предоставление доступа с правами чтения и записи;
• учетных записей пользователей носимых устройств, доступ к которым может позволить киберпреступникам реализовывать мошеннические схемы с гарантией на устройства посредством направления владельцам фальшивых запросов на их замену.

Тенденции в киберпреступном подполье, вероятно, продолжат изменяться в течение нескольких месяцев после окончания пандемии COVID-19 в мире, поскольку возможности для атак продолжают развиваться.

Trend Micro опубликовала результаты исследования Threats and Consequences: A Security Analysis of Smart Manufacturing Systems, посвященного атакам на промышленные объекты. В нем описывается, как современные хакеры могут использовать нестандартные векторы атаки, чтобы выводить из строя «умное» оборудование на производстве.

В прошлом киберпреступники применяли для атак на производственное оборудование традиционное вредоносное ПО, которое можно было обезвредить при помощи обычных средств защиты сетевой инфраструктуры и конечных устройств. Современные же хакеры предпочитают разрабатывать специализированные инструменты, чтобы избежать обнаружения. В ходе работы над исследованием аналитики выявили, что есть целый ряд возможных векторов атак, целью которых станут подобные уязвимости объектов Индустрии 4.0. В результате промышленным предприятиям может быть нанесен ощутимый ущерб, как финансовый, так и репутационный. Для борьбы с этими новыми атаками порекомендуются специализированные решения для промышленного интернета вещей, которые способны выявлять и устранять сложные целевые угрозы.

В ключевых объектах «умного» производства в основном используются проприетарные системы, но по своей вычислительной мощности они вполне сравнимы с традиционным ИТ-оборудованием. Это значит, что возможности таких систем во много раз превышают необходимые для выполнения целей, для которых они были развернуты, и злоумышленники могут обратить эти «лишние» мощности себе на пользу. Хотя в таких системах чаще всего используются проприетарные языки, они, как и в случае с атаками на ИТ-системы, могут применяться для ввода вредоносного кода, получения доступа к другим объектам сети или кражи конфиденциальной информации без риска обнаружения.

«Умные» производственные системы изначально проектируются и развертываются как изолированные объекты, но эта изоляция разрушается по мере роста взаимодействия между информационными и операционными технологиями в производстве. Из-за применения этого подхода такие системы по умолчанию почти лишены механизмов для борьбы с вредоносным ПО и проведения проверок целостности.

К числу систем и оборудования, уязвимых для взлома, относятся, например, системы управления производством (MES), интерфейсы «человек-машина» (HMI) и настраиваемые объекты промышленного интернета вещей. Они являются слабым звеном в системе безопасности производственного объекта, которое хакеры могут использовать, чтобы повредить изготавливаемые товары, вызвать неисправности оборудования или внести изменения в рабочие процессы, что приведёт к выпуску бракованной продукции.

В исследовании предлагаются комплексные меры для защиты от атак и снижения их негативного воздействия, включая:

• глубокую инспекцию пакетов, которая поддерживает протоколы операционных технологий и способна выявить аномальные пакеты данных на уровне сети;
• регулярные проверки целостности, которые помогут обнаружить измененные хакерами компоненты ПО на конечных устройствах;
• использование подписи исполняемого кода в устройствах промышленного интернета вещей, включая зависимые объекты и ПО, например, библиотеки от сторонних производителей;
• анализ рисков, который затрагивает не только физическую безопасность производства, но и ПО для его автоматизации;
• цепочки сертификатов для всех данных и программного обеспечения в «умных» производственных средах;
• применение инструментов для обнаружения и распознавания уязвимостей и «программных закладок» в сложном производственном оборудовании;
• применение «песочниц» и разделение привилегий для ПО промышленного оборудования.

   

Trend Micro опубликовала данные своего исследования, посвященного безопасности облачных сред. В первую очередь в этой работе рассматривается влияние человеческого фактора и сложных развертываний на рост числа ошибок, которые дают киберпреступникам новые векторы для атак.

По прогнозам Gartner, к 2021 году более 75% средних и крупных организаций начнут активно использовать гибридные ИТ-стратегии и различные облачные службы. По мере роста числа облачных платформ ИТ-специалисты и DevOps-команды будут сталкиваться со все большим количеством проблем и вопросов, связанных с обеспечением безопасности их облачных сред.

Главным источником этих проблем станут ошибки конфигурации. Платформа Trend Micro Cloud One – Conformity уже сейчас ежедневно выявляет 230 млн таких ошибок, что подтверждает масштабы и широкую распространенность этого фактора риска.

Как отмечают в Trend Micro, перевод инфраструктуры в облако стал вполне обычным делом для организаций, и киберпреступники научились использовать ошибки в конфигурации и управлении облачными средами в своих интересах. Миграция в облачную среду может помочь решить все проблемы с безопасностью за счет переосмысления периметра корпоративной сети и пересмотра подхода к защите ее конечных устройств. Но этот подход сработает только в случае, если организации будут строго следовать принципу общей ответственности за безопасность облачных сред. Полный контроль над своими данными в облаке крайне важен для их эффективной защиты.

В ходе исследования обнаружился целый ряд угроз и слабых мест в системах безопасности, которые отвечают за защиту облачных вычислений. Эти уязвимости позволяют хакерам получить доступ к конфиденциальной информации и учетным данным пользователей. В частности, киберпреступники благодаря ошибкам конфигурации получают возможность внедрять в инфраструктуру программы-вымогатели, ПО для майнинга криптовалют, скимминга и кражи данных.

Еще одной причиной неправильной конфигурации учетных данных и сертификатов в облаке могут стать сетевые учебные пособия, содержащие вводящую в заблуждение информацию. ИТ-отделы могут использовать интегрированные в само облако инструменты, чтобы снизить риск возникновения подобных ошибок, но им не стоит полагаться исключительно на них, заключают авторы исследования.

Trend Micro рекомендует ряд эффективных шагов для обеспечения безопасности облачных развертываний:

• жесткий контроль прав доступа: доступ к данным и инфраструктуре только для круга лиц, которым они действительно необходимы;
• понимание модели общей ответственности: несмотря на то, что владельцы облачных платформ применяют собственные встроенные инструменты для обеспечения безопасности, их клиенты также несут ответственность за защиту своих данных;
• отслеживание неправильно настроенных или незащищенных сред: специализированные инструменты способны быстро и эффективно выявить ошибки конфигурации в облачных средах;
• кибербезопасность как часть культуры DevOps: безопасность должна стать частью процессов DevOps на всех этапах интеграции разработки и эксплуатации ПО.

Согласно результатам проведенного опроса, руководство компаний знает о принципах, которые заложены в документе, более того, 85% подробно изучили его требования. Кроме того, 79% компаний уверены, что их данные находятся в полной безопасности. Однако по прогнозам Gartner менее 50% предприятий будут соответствовать требованиям GDPR. В исследовательской компании считают, что подготовку надо начинать сейчас, фокусируясь на пяти ключевых изменениях.

Несмотря на такой высокий уровень осведомленности, руководство по-прежнему не всегда знает, какие именно персональные данные должны быть защищены. Среди опрошенных 64% не знали, что дата рождения клиентов относится к категории персональных данных. 42% респондентов не относят к этой категории маркетинговые базы данных адресов электронной почты, 32% таковыми не считают физические адреса, а 21% – почтовые адреса клиентов. Эти результаты доказывают, что организации не настолько готовы или защищены, как сами считают. Подобной информации хакерам достаточно, чтобы украсть другие персональные данные пользователей. Любая компания, которая не защищает должным образом эту информацию, рискует получить штраф.

Цена несоответствия

Согласно опросу, 66% респондентов спокойно относятся к сумме штрафа за отсутствие требуемых мер по защите данных. Только 33% признают, что эта сумма может составить до 4% их годового оборота. Большинство опрошенных считают, что ущерб репутации и бренду является самым серьезным последствием утечки данных. При этом 46% отмечают, что подобные инциденты оказывают наибольший эффект именно на существующих клиентов организации. Больше всего руководство опасается, что компанию могут закрыть из-за утечки данных.

Ответственные стороны

Как выяснилось, компании не знают точно, кто должен нести ответственность за потерю данных пользователей на территории ЕС американским поставщиком услуг. Только 14% могут дать правильный ответ – за потерю персональных данных отвечают обе стороны. При этом 51% сегодня считают, что штраф должен выплатить владелец данных на территории ЕС, а 24% полагают, что вина полностью ложится на американского поставщика услуг.

Кроме того, в ходе исследования выяснилось, что компании точно не знают, кто должен взять на себя ответственность за соблюдение требований GDPR. 31% опрошенных полагают, что ответственность за соблюдение правил несет руководитель компании (CEO), а 27% − начальник отдела информационной безопасности и его команда. Однако только в 21% компаний высшее руководство вовлечено в процесс подготовки к принятию акта – в 65% компаний этим занимается ИТ-департамент.

Технологические требования

Угрозы становятся все более изощренными, поэтому бизнесу часто не хватает опыта для борьбы с ними. Кроме того, для обеспечения безопасности сегодня нужна многоуровневая технология защиты данных. Согласно акту GDPR, компаниям придется внедрить самые современные решения для противостояния киберугрозам. До сих пор только 34% компаний внедрили продвинутые решения для обнаружения вторжений, 33% инвестировали в системы защиты от утечек данных, а 31% − в технологии шифрования.

Если раньше основной целью киберпреступников были банки, финансовые и медицинские учреждения, то теперь злоумышленники нацелены и на совершенно другие сферы, в частности, на предприятия добывающей промышленности. При этом проблема кибератак в этой отрасли также тесно связана с возрастающей степенью автоматизации ее процессов. На смену ручному труду и простым механизмам пришли электронные устройства, которые контролируются централизованно с помощью специального ПО. Оно обнаруживает изменения в производственном процессе и управляет ими. При этом во многих организациях такие системы в лучшем случае слабо защищены от возможных кибератак. А все большее проникновение в отрасль облачных вычислений, систем бизнес-аналитики и Интернета вещей дает злоумышленникам широкий доступ к компонентам систем и критически важным процессам.

Важным фактором является и то, что большинство промышленных систем управления, которые используются сегодня, были разработаны десятилетия назад. В связи с новыми требованиями (например, использованием удаленного доступа), их разработчики, как правило, адаптируют решения для упрощения интеграции и снижения затрат на разработку. Однако это приводит к возникновению целого ряда новых уязвимостей.

Приводятся примеры некоторых крупных кибератак в добывающей промышленности:

• В апреле и мае 2015 года канадская золотодобывающая компания Detour Gold Corp. подверглась атаке хакерской группировки, которая называла себя Angels_Of_Truth. В результате злоумышленниками было украдено более 100 Гбайт ценной информации. 18 Гбайт из них были размещены на торрент-трекере.

• В феврале 2016 года Департамент промышленности, ресурсов и энергетики Нового Южного Уэльса подвергся атаке хакеров. Злоумышленники безуспешно пытались получить доступ к конфиденциальной информации, касающейся разрешения на добычу полезных ископаемых.

• В апреле 2016 года в канадской золотодобывающей компании Goldcorp произошла крупная утечка данных. Злоумышленники обнародовали 14,8 Гбайт данных, разместив соответствующий документ на Pastebin, популярном сайте для хранения и общего использования данных, с ссылкой на его скачивание. Архив содержал персональные данные работников и финансовую информацию.

Кибератаки в промышленности совершаются, в основном, для того, чтобы получить определенные технические знания для конкурентного преимущества, ослабить экономику другого государства, заполучить определенные данные или даже с целью протеста против компаний в добывающей отрасли, как источника загрязнения окружающей среды. При этом среди тех, кто является инициатором таких атак, можно выделить иностранные государства, организованные киберпреступные синдикаты, конкурентов компаний, хактивистов.

Кибератаки действительно способны оказывать большое влияние на бизнес компании, например, приводить к ухудшению финансовых показателей, краже интеллектуальной собственности, потере конкурентного преимущества и т.д. Все это становится возможным из-за способности киберпреступников получить доступ к необходимой информации. При этом в добывающей промышленности злоумышленников интересуют, прежде всего, данные по ценообразованию, интеллектуальная собственность, информация о государственной политике и процессах принятия решений, данные о новых месторождениях, информация о запасах руды и производственном процессе, а также данные систем мониторинга шахт.

Стоит отдельно отметить, что кибератаки в добывающей промышленности не только могут быть причиной потерь из-за простоев на производстве, но и оказать негативное влияние на стоимость акций компании, а также нанести ущерб экономике страны или региона, если она сильно зависит от подобного предприятия.

Наиболее часто используемыми методами совершения кибератак на сегодняшний являются:

• фишинг и социальная инженерия;

• эксплуатация уязвимостей;

• заражение сайтов, посещаемых сотрудниками;

• скрытая загрузка;

• компрометация сторонних вендоров;

• атака «человек посередине», связанная с перехватом и подменой сообщений;

• заражение оборудования;

• инсайдеры.

Сегодня большинство предприятий добывающей промышленности не осознают важность защиты от кибератак, а тем временем в их деятельности обнаруживаются все новые уязвимости, которыми могут воспользоваться злоумышленники. Отдельное внимание специалистам по кибербезопасности стоит уделить крупным добывающим компаниям, чья деятельность напрямую связана с состоянием экономики отдельных регионов или стран. Им прежде всего необходимо внедрять передовые методы защиты на всех уровнях управления предприятием.