В Intel заявляют, что уже в ближайшее время предложат заплаты для 90% ее процессоров, выпущенных за последние пять лет, придающие ПК и серверам «иммунитет» к эксплойтам, которые используют бреши Meltdown и Spectre. Заплаты предоставляются в форме обновлений микропрограмм и операционных систем.

Обе бреши связаны с особенностями реализации упреждающего выполнения команд — методики, призванной ускорить работу процессора за счет выполнения инструкций еще до того, как это понадобится программе. Для использования возможностей упреждающего выполнения программе требуется доступ к закрытой области памяти, в которой могут находиться пароли доступа, данные по банковским картам и т. п. Обе бреши позволяют злоумышленнику считать данные из этой области, когда к ней обращается программа. Meltdown позволяет написать эксплойт, крадущий конфиденциальную информацию, но данную брешь можно обойти с помощью программной заплаты. В свою очередь эксплойты, использующие Spectre, могут считывать память других программ, работающих параллельно с ними, и устранить эту брешь гораздо сложнее.

Впервые бреши были обнаружены специалистами по безопасности из группы Google Project Zero. В Intel признались, что были в курсе существования уязвимостей еще с июня 2017 года, и планировали объявить о них в ближайшие недели, когда будут готовы заплаты для большинства систем. Однако ввиду того, что ряд изданий во главе с The Register уже опубликовали сообщения о Meltdown и Spectre, корпорации пришлось распространить официальное подтверждение раньше.

В частности, корпорация опубликовала список своих чипов, подверженных уязвимости: это Core i3, Core i5, Core i7 и чипы семейства Core M (45 и 32 нм); процессоры Core со 2-го по 8-е поколение включительно; чипы серии Core X для платформ Intel X99 и X299; Xeon серий 3400, 3600, 5500, 5600, 6500, 7500; семейства Xeon E3 и E3 v2-v6, E5 и E5 v2-v4, E7 и E7 v2-v4; Xeon Scalable; Xeon Phi серий 3200, 5200 и 7200; Atom серий C, E, A, x3, Z; а также Celeron и Pentium серий J и N.

В Intel утверждают, что уязвимости касаются не только ее процессоров, но также продуктов ARM Holdings и AMD, о чем эти компании уведомлены. Есть и другие поставщики, чьи продукты уязвимы для тех же эксплойтов, в том числе ряд разработчиков операционных систем, добавляют в корпорации.

В AMD, однако, заявляют, что риск для ее процессоров «близок к нулевому». Компания опубликовала таблицу, согласно которой один из трех способов использования бреши, найденных специалистами Google, блокируется с помощью «обновления ПО или ОС с пренебрежимо малым влиянием на производительность», а два других неработоспособны «ввиду архитектурных отличий процессоров AMD».

В ходе селекторного совещания, посвященного бреши, в Intel отметили, что реальные атаки, использующие уязвимость, на сегодня неизвестны. В корпорации также отрицают, что брешь связана с каким-либо конструктивным дефектом процессоров, заявляя, что ее чипы «работают так, как их спроектировали».

Что касается заплат, для Windows исправление, защищающее от эксплойтов Meltdown, вышло еще 3 января; обновления микропрограмм для большинства чипов Intel уже доступны на сайте корпорации; Apple выпустила обновление macOS High Sierra 10.13.2 с необходимыми заплатами 6 декабря; а хромбуки получили защиту 15 декабря с выпуском Chrome OS 63. Существует также метод обхода бреши для браузера Chrome, а разработчики остальных браузеров готовят исправления.

В первоначальных сообщениях о Meltdown и Spectre утверждалось, что программные заплаты против этих уязвимостей способны замедлить работу приложений на 5-30% в зависимости от задачи. В Intel, однако, утверждают, что приложения, работающие в пользовательском пространстве, замедлятся не более чем на 2%. В PC World, проведя тесты на ряде популярных игр, сообщают, что существенного снижения частоты кадров заплаты для Linux и Windows не вызывают. В то же время сообщается, что некоторые приложения, особенно системы виртуализации, облачные нагрузки и задачи центров обработки данных могут пострадать сильнее.

Все, кто имеет доход от Интернета вещей, начиная от производителей устройств и заканчивая провайдерами и специалистами по внедрению непосредственно у клиентов, вносят важный вклад в укрепление безопасности корпоративных систем Интернета вещей.

«Ключевой особенностью устройств Интернета вещей является их подключение к сети, – указал в ходе своего выступления на конференции Security of Things World старший менеджер по развитию бизнеса компании Palo Alto Networks Джемисон Аттер. – Это не просто еще одна вещь на прилавке наподобие тостера. Соответствующее оборудование принимает непосредственное участие в работе сети и приносит ценности бизнесу. СМИ ориентируются прежде всего на потребителя, потому что люди читают их статьи и смотрят новости, но обходят своим вниманием фабрику, на которой производятся потребительские устройства и где находятся те десять или двадцать тысяч роботов и датчиков, приводящих весь Интернет вещей в действие».

То, что у Интернета вещей есть проблемы с безопасностью, давно уже не новость. Сложившуюся ситуацию можно сравнить с Windows 95, в системе безопасности которой присутствовали известные специалистам бреши, поскольку она не разрабатывалась с нуля.

«Теперь мы имеем дело с упрощенными операционными системами, которые работают на упрощенном оборудовании, не предназначенном, как и Windows 95, для обеспечения безопасности», – пояснил Аттер.

Разделение ответственности

Качественно безопасность Интернета вещей ничем не отличается от безопасности других вычислительных устройств. Проблема лишь в масштабах этой категории систем и ограничениях ее вычислительной мощности.

«Согласитесь ли вы с тем, что у автомобиля будет тот же уровень безопасности, что и у датчика, открывающего дверь? – поинтересовался Аттер. – Естественно, нет, ведь это совершенно неприемлемо, не так ли? Абсолютно несопоставимые по ценности активы. Следовательно, для оконечных устройств нужно обеспечивать различные уровни безопасности. Важно укреплять систему безопасности на уровне самого устройства, сети, данных и облака. Проектировать ее надо как можно более целостной, не стремясь откреститься от этих задач и не пытаясь передать их другим».

Основным полем битвы за будущую безопасность Интернета вещей, по мнению Аттера, станет именно сеть. Во многом это связано с вопросами экономики – безопасность многих оконечных узлов просто нельзя обеспечить без существенных дополнительных инвестиций, которые здесь оказываются совершенно неоправданными. Если устройства Интернета вещей с высоким уровнем безопасности или средства доставки для них будут стоить слишком дорого, компании придется менять всю свою модель ведения бизнеса.

«К Интернету вещей нужно относиться несколько иначе, – заметил Аттер. – Сегодня все внимание сосредоточено на оконечных узлах … а между тем, я убежден, что наибольшим потенциалом обладает сеть, поскольку у многих устройств обеспечить высокий уровень безопасности не удастся в силу экономических причин. Крупным операторам мобильных сетей передачи данных в обеспечении безопасности Интернета вещей также отводится важная роль. С учетом растущего использования устройствами Интернета вещей сетей LTE, LoRaWAN и даже 3G операторы могут вносить свой вклад, очищая данные, блокируя вредоносный трафик и принимая другие меры безопасности. Им нужно перестать быть просто средой для передачи информации. Необходимо очищать каналы и проводить другие мероприятия, способствующие тому, чтобы сети становились лучше».

Прозрачность, анализ, автоматизация, повторяемость

Аттер выделяет четыре столпа безопасности Интернета вещей. Прежде всего, это прозрачность, которая не должна ограничиваться одной лишь возможностью просмотра того, какие устройства находятся в сети. Нам нужны ответы на вопросы, «чем на самом деле занимаются эти устройства» и «кто получает отправляемые ими данные».

Нельзя позволять себе оставаться в неведении относительно того, что происходит в сети.

Во-вторых, это анализ, а поскольку дальновидные компании уже сейчас занимаются анализом, извлекая из него дополнительные ценности для бизнеса, распространить анализ на сферу безопасности окажется не так уж сложно. Далее, естественно, идет автоматизация, позволяющая уменьшить участие человека в управлении сетями Интернета вещей.

«Мое твердое убеждение заключается в том, что для вывода безопасности Интернета вещей на тот же уровень, который сегодня присущ финансовой безопасности или безопасности вашей системы ERP, нужно обеспечить согласованность работы сети и функционирующих в ней оконечных узлов, – подчеркнул Аттер. – Предприятия могут повысить безопасность своих сетей Интернета вещей целым рядом различных способов, в том числе и правильным выбором поставщиков. Убедившись в том, что вопросы безопасности у их поставщиков имеют первостепенное значение, и ведя дела с теми, кто относится к этому серьезно, компании могут внести свой вклад в обеспечение безопасности Интернета вещей. Производители также должны понимать, что они заинтересованы в укреплении безопасности. Ведь укрепление безопасности способствует развитию бизнеса их компаний».

Глава комитета Госдумы РФ по финансовым рынкам Анатолий Аксаков предложил создать две конкурирующие системы обеспечения информационной безопасности финансовых организаций, сообщает ТАСС. По его мнению, инфраструктура должна быть создана Банком России по примеру Национальной системы платежных карт. В дальнейшем она будет работать на самоокупаемой основе, оказывая услуги финансовым институтам и нефинансовым организациям, предполагает депутат.

Создание общенациональной системы потребует больших вложений, поэтому решить задачу сможет только крупная структура, обладающая как соответствующими разработками, так и необходимым бюджетом. Ими могут стать ЦБ и Сбербанк, считает Аксаков. По его мнению, идеальным вариантом будет наличие двух конкурирующих систем.

В октябре уже сообщалось, что Комитет Государственной думы по финансовому рынку ведет переговоры с Центробанком о создании инфраструктуры по защите банков от киберугроз.

По данным аналитического центра Национального агентства финансовых исследований, в 2017 году бизнес потерял из-за хакеров 115,97 млрд руб., пишет РБК. Средняя сумма убытков одной российской компании составила 299,9 тыс. руб. Чаще всего кибератаки представляли собой заражение вирусами рабочих компьютеров сотрудников, в том числе с последующим вымогательством денег (20%), взломом почтовых ящиков (12%) и атаках на сайт компании (10%).

Предприниматели недооценивают последствия недостаточной информационной безопасности, сделали вывод в НАФИ. В большинстве российских компаний нет объективной оценки киберугроз, и это препятствует разработке планов действий на случай возможных атак, рассказали в агентстве. В основном бизнесмены ограничиваются установкой антивируса (88% опрошенных). Политика информационной безопасности есть в 47% организаций, ограничивают сотрудникам доступ в Интернет еще в 45% организаций. Регулярное обучение информационной безопасности проводится в 29% предприятий, требование обязательной аттестации в этой сфере есть в 15% компаний.

Данные получены в результате опроса, проведенного в ноябре 2017 года среди 500 руководящих сотрудников предприятий в восьми федеральных округах России.

Что ни день, то очередная брешь в системе защиты данных. Редкая неделя в 2017 году проходила без сообщений о еще одной киберугрозе. Очередной жертвой стал сервис Uber — в ноябре компания признала компрометацию персональной информации 57 млн своих клиентов. Инцидент скрывался более года. И для тех организаций, которые все еще не уделяют достаточного внимания вопросам кибербезопасности, эта последняя атака должна стать тревожным знаком.

Uber не относится к числу компаний, вынужденных работать с унаследованными технологиями. Этот бренд — символ нынешнего цифрового века. А значит, с кражей информации могут столкнуться представители любой отрасли, такое может произойти с компанией любого размера — у 90% всех компаний, акции которых торгуются на бирже, уже обнаруживались те или иные бреши в системе кибербезопасности. Тем не менее достаточно серьезного отношения к киберугрозам мы пока с их стороны не видим.

Киберпреступность – прибыльный, процветающий бизнес, все чаще использующий те же самые технологические инструменты, что и самые инновационные предприятия. Компании больше не сомневаются в том, что их информация рано или поздно может быть скомпрометирована. Вопрос лишь в том, когда именно это произойдет.

В цифровой век мы сталкиваемся с новыми реалиями. И оставлять данные в незашифрованном виде – это сегодня недопустимая небрежность. Осталось выяснить, каких юридических последствий следует ждать компаниям, но, судя по реакции на признание Uber, сомневаться в решительном настрое клиентов не приходится.

Потребители все чаще задают вопрос, каким образом компании защищают свои (и их) данные, и достаточно ли они делают для этого. Подразумевается некое соглашение: «Если я предоставляю вам доступ к своей персональной информации, вы должны позаботиться о ней».

Брешь в системе защиты данных Uber еще раз доказывает, что одного лишь безопасного хранения данные мало – нужен способ сделать их бесполезными в том случае, если хакер все-таки доберется до них. Шифрование конфиденциальной информации должно стать обязательным.

В некоторых организациях такой порядок уже введен, но в целом это происходит пока слишком редко. Недавнее исследование Encryption Trends Study показало, что ключевое препятствие, мешающее шифрованию, для 55% организаций связано с местом размещения этих данных.

Особенно важно шифрование тем компаниям, в которых не проводится инвентаризация данных и не определяются их приоритеты. А между тем, по свидетельству 80% респондентов, наиболее опасные угрозы нарушения конфиденциальности данных возникают вследствие ошибок сотрудников.

Необходимость решения этих вопросов подтверждается мерами властей: на государственном уровне вводятся общенациональные схемы обнаружения брешей в системе защиты данных. Компаниям будет запрещено вести себя так, как Uber, скрывавшая утечку данных от пострадавших клиентов. Информация о брешах в системе кибербезопасности должна как можно быстрее становиться достоянием общественности.

Времени для самоуспокоения больше не осталось. Предприятиям, чтобы сохранить репутационное и финансовое спокойствие и следовать своим обязательствам, очень важно не только соответствовать минимальным стандартам построения надежной системы защиты, но и превосходить их.

Осознание руководством всех негативных последствий небрежного отношения к безопасности данных должно привести к радикальным переменам. Наше исследование показало, что за последние пять лет влияние ИТ-службы на стратегию шифрования данных сократилось вдвое, с 59% до 28%.

Одновременно степень влияния руководителей бизнес-подразделений выросла до 27%. А значит, ответственность за безопасность данных в конечном итоге должна от ИТ-службы перейти к совету директоров. В компании Thales уверены, что это правильная тенденция и позитивный шаг в нужном направлении.

Киберставки сегодня выше, чем когда-либо ранее, и продолжают расти. А поскольку многие компании по-прежнему плохо подготовлены к угрозам для данных, ответственность должна возлагаться на совет директоров, если, конечно, мы хотим, чтобы что-то изменилось. Определенные подвижки уже начались, но сделать предстоит еще очень многое.

Uber – не первая и не последняя компания, которой довелось столкнуться с брешами в системе защиты данных. Но если организации не хотят в следующий раз оказаться в таком же положении, им не следует оставаться в бездействии. На ошибках — пока что чужих — надо учиться.

15 декабря в России впервые была зафиксирована успешная хакерская атака на банк с выводом денег за рубеж через международную межбанковскую систему передачи информации и совершения платежей SWIFT, пишет «Коммерсантъ». В Group-IB рассказали, проникновение в банк произошло через вирус, который рассылался несколько недель назад по банкам, что характерно для группировки Cobalt. В среднем промежуток от проникновения до вывода денег составляет три-четыре недели, средняя сумма хищения — 100 млн руб.

В Банке России считают, что SWIFT, возможно, выбрали потому, что был необходим вывод средств именно за рубеж: деньги ушли в Европу, Азию, Америку. Незадолго до атаки банк прошел проверку ЦБ и получил претензии и рекомендации по информационной безопасности.

Название банка и размер ущерба не раскрываются.

Открывший конференцию доклад Денниса Цикридзиса, президента ученого совета Греческого фонда исследований и инноваций, был посвящен основателю Института системного программирования РАН Виктору Иванникову, одному из разработчиков первых операционных систем, многомашинных вычислительных комплексов и суперкомпьютеров, применявшихся при решении задач федерального масштаба. Рассказывая о своих впечатлениях от общения с Иванниковым, Цикридзис отметил его умение планировать в условиях динамической экономики, управлять требованиями к проектам в условиях рынка, обеспечивая централизованное управление в реалиях мультиполярного мира. Все эти качества чрезвычайно актуальны сегодня и важны для руководителей отечественной науки.

Большой интерес участников конференции вызвал доклад «Угрозы безопасности Интернета вещей и их решения» Асафа Шустера, профессора факультета компьютерных наук Техниона – технологического института Израиля. Шустер особо подчеркнул: «Сегодня все устройства оснащены вычислительными мощностями и подключены к Интернету, однако 'умные' гаджеты могут стать источником не менее 'умных' кибератак». В условиях отсутствия мониторинга, периметра защиты и стандартных протоколов для умных устройств, когда пользователь имеет смутные представления о начинке своих гаджетов, создается благоприятная среда для организации кибератак. Консолидированную армаду сетевых устройств можно сейчас относительно просто направить на достижение неблаговидных целей, реализуя различные сценарии: кража учетных данных; скрытое подключение к каналу; взаимное инфицирование устройств Интернета вещей и др. Как защититься от таких угроз? Вслед за обзором текущего состояния дел в сфере безопасности Шустер сообщил о решении Техниона, призванном справиться с угрозами Интернету вещей.

О будущем системного программирования и возможностях, открывающихся сегодня перед учеными, рассказал Костас Стасопулос, вице-президент IEEE, крупнейшего международного сообщества профессионалов в области ИТ, электроники и электротехники, объединяющего 420 тыс. специалистов по всему миру. В докладе содержался обзор деятельности сообщества с акцентом на поддержку, которую получают студенты и молодые специалистов в области ИТ и электроники, участвуя в международных программах IEEE.

Директор ИСП РАН Арутюн Аветисян отметил: «За год, прошедший после первой конференции ISPRAS Open, повысился статус мероприятия, например тезисы докладов вошли в сборник «Proceedings of Ivannikov ISPRAS Open Conference», материалы которого размещаются в библиотеке IEEE Xplore и индексируются в международных базах научного цитирования Web of Science и Scopus».

Среди решений, создаваемых сегодня в ИСП РАН, Денис Турдаков, начальник отдела информационных систем, выделил Textera, инструмент для автоматического извлечения знаний из различных источников квазиструктурированных данных, таких как «Википедия» и «Викиданные»; «Талисман», систему анализа и мониторинга мультиязычных социальных сетей, новостных сайтов, блогов и др. с целью выявления нерегулярных событий, тенденций и настроений; Svace, статический анализатор кода, используемый в компании Samsung Electronics для повышения качества промышленных программных систем на языках Cи/C++, Java и C#.