Количество мобильных приложений растет стремительно, им доверяют все более важную информацию — личную и финансовую. При этом разработчики часто не задумываются над безопасностью, или, по крайней мере, скорость разработки во многих случаях для них гораздо важнее. Поэтому и новый код, и библиотеки полны прорех, ведь принцип «хорошо, быстро и дешево одновременно не бывает» никто не отменял. К тому же испокон веков программисты «кое-где порой» оставляют после себя «бэкдоры» и снабжают ПО незадекларированными возможностями - когда случайно, когда не очень.

Данные сформированного Solar Security центра мониторинга и реагирования на инциденты в области информационной безопасности говорят о том, что риски в последнее время значительно выросли, более 60% успешных кибератак, нацеленных на внешние приложения, реализуются через уязвимости в ПО.

Именно поэтому в Solar первоначально сконцентрировались на анализе онлайновых приложений, написанных на самых популярных языках — Java, Scala, PHP, Objective C, Java for Android. В дальнейшем планируется научиться анализировать программы, написанные на JavaScript, PL/SQL,1С и С#.

Solar inCode должен помочь службам безопасности мониторить программные системы на предмет ошибок и закладок. Для этого достаточно загрузить в сканер исполняемые файлы, а в случае мобильных приложений – просто скопировать в сканер ссылку из App Store или Google Play.

Технологии декомпиляции, реализованные в inCode, как утверждают в Solar Security, позволяют восстанавливать исходный код с высокой степенью точности, даже если к нему были применены обфусцирующие (то есть запутывающие) преобразования. Для повышения качества анализа кода используются четыре различные технологии, включая сопоставление данных с конкретными участками кода, которые были исполнены при их обработке, а для снижения количества ложных срабатываний – технологический модуль Fuzzy Logic Engine с авторскими алгоритмами фильтрации уязвимостей. Именно возможность находить уязвимости в отсутствие исходного кода Игорь Ляпунов, глава Solar, отмечает как основное преимущество разработки компании.

Еще одно важное отличие in Code от продуктов конкурентов, по словам Ляпунова, состоит в его целевой аудитории. Обычно такие продукты предназначены для самих разработчиков, а новая разработка Solar Security — для специалистов по безопасности, которые должны получать указания на «прорехи», а также рекомендации по их устранению в простом и явном виде.

Есть в продукте, впрочем, и средства помощи разработчикам — описание выявленных уязвимостей со ссылками на соответствующие участки кода и рекомендации по их устранению путем внесения изменений в код, что существенно упрощает задачи разработки.

В ходе представления программы в Solar продемонстрировали ее работу на примере приложения, размещенного на GitHub (анализировался исходный код) и мобильного приложения с Google Play, принадлежащего «одному индийскому банку» (индийский код почитается самым запутанным). inCode нашел в обоих много ошибок: и ссылки на небезопасные библиотеки, и явно позаимствованные, но непроверенные куски чужого кода, и даже потенциальные «закладки». Приложение с GitHib, предназначенное для создания форума, получило 3,7 балла по пятибалльной шкале, банковское — 1,8. Первая оценка соответствует, в представлении специалистов Solar, нижней границе оценки «хорошо».

Solar inCode будет предлагаться в двух вариантах — как отдельный продукт и в виде облачного сервиса. В последнем случае, говорит Ляпунов, плата будет взиматься «за трафик» — объем проверяемого кода. В первом стоимость будет определяться в зависимости от масштаба проекта по внедрению inCode. В любом случае, заверил глава Solar, стоимость будет сопоставима со стоимостью конкурирующих российских решений.

Декомпиляция — процесс, не приветствуемый производителями программ; как правило, пользовательское соглашение содержит прямой запрет на это действие. А значит, на производителей продуктов для осуществления этого действия могут косо посмотреть многие гранды ИТ-индустрии. Однако, по мнению Ляпунова, его компания, выпуская inCode, остается в правовом поле: покупатель сам выбирает, что ему декомпилировать.

Российский рынок средств проверки приложений Ляпунов оценивает в 60-100 млн руб., мировой — в 1,5 млрд долл. Поэтому компания, реализовав некоторое количество проектов в нашей стране (продуктом уже пользуются два банка — «Балтика» и «Образование», а также «Яндекс.Деньги» и компания «М Софт»), намеревается попробовать свои силы за рубежом. В 2016 году планируется «присмотреться» к западному рынку, начать несколько «пилотов», а в 2017-м — приступить к полномасштабной работе на нем.

В конце 2013 года компания «Лукойл-Интер-Кард» («Ликард») запустила обширную программу трансформации ИТ-систем, партнером которой стал системный интегратор «Инфосистемы Джет». 22 октября текущего года участники программы представили ее промежуточные итоги.

«Ликард» — единый процессинговый оператор системы безналичных расчетов за топливо на АЗС нефтяного гиганта ЛУКОЙЛ. Как сообщил руководитель департамента технологического развития «Ликард» Руслан Пузына, терминальное оборудование компании установлено на более чем 2 тыс. АЗС в 65 регионах России. Ее топливными картами пользуются более 70 тыс. корпоративных клиентов и почти 6 млн физических лиц. Первые ежемесячно совершают по картам «Ликард» 4,1 млн транзакций, а вторые — 19,7 млн транзакций. По этим показателям оператор близок к среднему российскому банку.

С 2011-го по 2013 год в «Ликарде» проводилась замена устаревшей системы процессинга на новое решение — Way4 компании OpenWay, у которого тем не менее имелись свои ограничения. В их числе сложная интеграция компонентов системы; отсутствие бизнес-инструментов для управления клиентскими активами; отсутствие централизованного хранилища данных, что в свою очередь затрудняло построение отчетности; перегруженность процессинговой системы несвойственными ей функциями и др.

Руслан Пузына: «Программа трансформации ИТ в компании 'Ликард' нацелена на создание бесшовной архитектуры приложений Oracle для снижения операционных издержек» Источник: «Инфосистемы Джет»

В этой связи в «Ликарде» и задумали свою программу трансформации, основная идея которой, по словам Пузыны, состоит в сквозном использовании архитектуры приложений Oracle для снижения операционных издержек.

Первая фаза двухлетней программы была завершена 1 июля 2015 года. На этой стадии специалисты из «Инфосистем Джет» выполнили для заказчика несколько проектов: построили систему управления отношениями с частными клиентами на базе Oracle Siebel CRM (ранее в «Ликарде» использовали Microsoft Dynamics CRM); создали интерфейсы для единой горячей линии; разработали систему формирования отчетности. При этом для интеграции сервисов, не только внедряемых, но и существующих, была использована шина Oracle Service Bus.

Вторую фазу проекта в «Ликарде» планируют завершить уже к 1 декабря — работы по ней идут полным ходом. На этом этапе в компании будет построена система управления взаимоотношениями с корпоративными клиентами на базе той же Oracle Siebel CRM, а также созданы хранилище данных на базе СУБД Oracle и система бизнес-аналитики на Oracle BI.

Как пояснил Пузына, внедрение системы CRM позволит полностью унифицировать работу с клиентами — один и тот же оператор горячей линии сможет работать без переключения интерфейса как с частными, так и с корпоративными клиентами. Создается дружественный интерфейс, позволяющий в одном окне видеть все нужные атрибуты клиента. Кроме того, система CRM полностью интегрирована с контактным центром компании, поэтому его операторы смогут отслеживать практически всю историю взаимоотношений компании с клиентом — с момента первого контакта до расторжения договора.

Запланированы и другие новшества. В рамках внедрения системы хранения данных и подготовки аналитической отчетности будет обеспечено централизованное хранение всех исторических данных; построение «витрины» данных позволит ускорить формирование аналитических и оперативных отчетов; будет реализован онлайн-контроль всех бизнес-показателей работы компании, а сотрудники смогут воспользоваться удобными инструментами построения отчетов из Oracle BI.

В «Инфосистемах Джет» подчеркивают, что все основные работы по проекту выполняются с применением итеративного подхода. Его суть в том, что специалисты интеграторской компании с учетом собранных требований бизнес-пользователей вначале создают прототип части будущего решения, а затем поэтапно его дорабатывают, тестируют и запускают в продуктивную эксплуатацию.

«Этот подход позволил нам ускорить внедрение новых технологий и гибко реагировать на изменения требований бизнеса. Например, базовый функционал единой горячей линии был реализован всего за три с половиной месяца, – подчеркивает Юлия Кошкина, директор Технического центра компании «Инфосистемы Джет».

Также в рамках программы трансформации ИТ в компании был проведен аудит, подтвердивший соответствие созданного комплекса обслуживания карт и обновленных бизнес-процессов требованиям стандарта PCI DSS. Сейчас эксплуатационные подразделения заказчика и исполнителя работ совместно осуществляют круглосуточный мониторинг инфраструктурных и прикладных систем. При этом отслеживаются не только технические, но и бизнес-параметры, что позволяет разработчикам быстро реагировать на отклонения и совершенствовать запущенные в «Ликарде» системы и процессы.

В апреле этого года компания Solar Security выделилась в самостоятельное предприятие из системного интегратора «Инфосистемы Джет», унаследовав его ключевые разработки в области целевого мониторинга и оперативного управления информационной безопасностью. А уже в сентябре новый участник рынка представил очередную версию системы защиты от утечек данных – Solar Dozor 6.0. Как утверждают ее создатели, это принципиально новый продукт, разработанный с учетом последних тенденций в сфере кибербезопасности.

Генеральный директор компании Игорь Ляпунов подчеркивает, что в отличие от традиционных средств борьбы с утечками конфиденциальных данных (Data Leak Protection, DLP), к которым относятся и предыдущие релизы программы Dozor, ее шестая версия нацелена на борьбу с внутренним фродом и защищает бизнес заказчиков от участившихся случаев мошенничества, совершаемого собственными сотрудниками.

Актуальность этой задачи подтверждают исследования, проведенные Solar Security. По их данным, на фоне общего экономического спада взаимоотношения работодателей с персоналом серьезно обострились. Сокращение фондов заработной платы приводит к тому, что некоторые сотрудники готовы пожертвовать секретами фирмы ради получения дополнительных нелегитимных доходов.

«Видов внутреннего фрода в организациях может быть много, — поясняет Ляпунов. — Это банальные откаты, разные попытки сговора, работа с аффилированными клиентами и поставщиками, оплата счетов за невыполненные работы, использование материальных ресурсов компании в частных целях, передача клиентов конкурентам, и так далее».

Изменение основного вектора внутренних угроз побудило разработчиков Solar Security поменять подходы к защите информации – если ранее система DLP была сфокусирована на обеспечении мониторинга всех возможных каналов обмена данными, то теперь вдобавок к этому решается задача выявления косвенных признаков злоупотреблений и мошеннических схем.

Для этого на предприятиях предложено выделять некоторых сотрудников и объединять их в группы риска. В частности, это могут быть сотрудники, подлежащие скорому увольнению, лица, ответственные за проведение конкурсных закупок, вновь принятые сотрудники, просто нелояльные работники, способные нанести компании экономический ущерб.

Solar Dozor 6.0 контролирует практически все коммуникации таких сотрудников – электронную почту, системы мгновенных сообщений, социальные сети. При этом на каждого сотрудника предприятия в системе можно завести свое досье, загрузить в него сведения об активностях, нетипичных контактах, подозрительных действиях с носителями информации и др. Кроме того, в досье можно импортировать информацию из кадровой системы компании. Благодаря встроенным в Dozor инструментам анализа, корпоративная служба безопасности может в режиме онлайн оценивать уровень доверия к каждому работнику. Анализ данных осуществляется на основе OLAP-технологий с возможностью мгновенной детализации сведений. Если действия корпоративного пользователя значительно отклоняются от стандартного поведенческого профиля, система немедленно выдаст предупреждение.

В шестой версии также реализованы принципиально новые возможности для ускоренного поиска информации о действиях сотрудников или событиях, связанных с инцидентами. Для этого в системе открыта большая библиотека готовых поисковых запросов, параметры которых легко поменять в соответствии с текущими задачами. А для самого поиска создан простой интерфейс в стиле популярных поисковых систем Интернета. Это поможет службе безопасности не только быстро получить информацию о зафиксированном инциденте, но и сразу же приступить к его расследованию.

Интерфейс системы выполнен в эффектном «космическом» стиле. По сути, он представляет собой информационную панель ситуационного центра, куда выводятся основные результаты контроля. Взглянув на экран системы, сотрудник службы безопасности может немедленно оценить оперативную обстановку, выделить приоритетные задачи, отследить все важные показатели работы по предотвращению инцидентов, связанных с внутренним фродом. В прежних версиях системы Dozor пользователи получали нужную информацию в виде отчетов, формируемых по специальным запросам.

Бюджеты на ИТ в большинстве российских компаний падают — причем не только в долларах, но и в рублях. По оценкам специалистов компании «Инфосистемы Джет», озвученным в начале сентября на проведенном ею круглом столе, который был посвящен программно-конфигуруемым центрам обработки данных, 60-70% потенциальных клиентов находятся «в совсем тяжелом положении», оставшиеся 30-40% пытаются так или иначе развивать свои ИТ-системы. Директор Центра сетевых решений «Инфосистем Джет» Сергей Андронов выделил три основных пути развития: линейное расширение — при этом удается сэкономить на инженерной инфраструктуре; переход с дорогих технологий на технологии «попроще» и, наконец, использование оборудования азиатских и, если возможно, отечественных производителей. Третий путь, по его мнению, отнюдь не самый плохой — альтернативные производители быстро прогрессируют по качеству.

Но у уже упомянутых 60-70% заказчиков нет денег даже на эти три сценария (или их комбинации). Поэтому вырос интерес к аренде компьютерных мощностей как у первичных, так и у вторичных провайдеров. Предоставление такого рода услуг — одно из направлений бизнеса «Инфосистем Джет».

В свою очередь увеличивающийся спрос на аренду ЦОД подтолкнул рост интереса к программно-определяемым, или программно-конфигурируемым, центрам обработки данных (Software-Defined Data Center, SDDC, — термин, введенный в оборот компанией VMware), легко перенастраиваемым в зависимости от роста или падения потребления услуг тем или иным клиентом. Интересуются этой технологией и крупные корпоративные заказчики из числа тех, кто может позволить себе создание и развитие собственных центров обработки.

Впрочем, на пути внедрения этой технологии пока немало подводных камней. Во-первых, «SDDC из коробки» пока не существует. На создание такого ЦОД, по оценке специалистов «Инфосистем Джет», уйдет около трех лет — никакой заказчик ждать столько не захочет. Подобный проект может себе позволить очень крупный провайдер вроде Amazon. Вдобавок, у такой организации оборудование уже в достаточной мере унифицировано, тогда как у обычного заказчика в основном весьма разнородные ИТ-системы. Согласовать их между собой и со средствами управления и оркестровки, на которые возложено обеспечение мониторинга, учета и тарификации, автоматизированного изменения конфигурации, планирования ресурсов, согласованной реакции на события смежных систем и т. д., исключительно сложно.

В целом с законченными решениями корпоративного уровня пока в области SDDC довольно плохо, да и в течение ближайших лет пяти они вряд ли появятся, полагает заместитель директора Центра проектирования вычислительных комплексов Андрей Шапошников. Одна из причин в том, что вендорам выгоднее разрабатывать и продавать классические продукты, а службам эксплуатации — собственным заказчика или внешним — их поддерживать. Ну и средства автоматизации и управления SDDC пока дороги и сложны. И наконец, нет общепринятых стандартов на SDDC.

OpenStack, вопреки распространенному мнению, Шапошников считает не готовым продуктом, а набором программных модулей, которые нужно интегрировать «вручную» и которые тоже не соответствуют требованиям корпоративного уровня.

Что касается программно-конфигурируемых систем хранения данных, то они пока уступают не только системам старшего уровня, но и некоторым «средним». Они хорошо подходят лишь для некоторых задач, например для создания распределенного кластера или расширения емкости массивов старшего уровня более дешевыми дисковыми полками.

Еще одна проблема, связанная, впрочем, не только с внедрением SDDC, – уровень соответствия российских дата-центров международным требованиям. Из 187 обследованных «Инфосистемами Джет» ЦОД российских первичных провайдеров большинство удовлетворяет требованиям Tier III по части бесперебойного обеспечения электроэнергией (около 75%, остальные — Tier II) и климатических условий (приблизительно 80 и 20% соответственно). При этом с подсоединением к внешним сетям дело обстоит гораздо хуже (15% ЦОД соответствуют Tier III, остальные — Tier II), а с контролем доступа — охраной, системами доступа, наблюдения и т. д. дело совсем плохо, около 90% удовлетворяют лишь требованиям Tier I. А рвется, как известно, там, где тонко.

Эти данные, как полагают в «Инфосистемах Джет», показывают, насколько важно при выборе провайдера сервисов ЦОД вникать в детали. Компания проводила исследования в процессе поиска первичных провайдеров, на мощностях которых она может оказывать услуги по развертыванию систем заказчиков, в том числе программно-конфигурируемых. С другой стороны, компания готова предоставлять провайдерам различные сервисы как интегратор, а также развернуть виртуальный ЦОД и на мощностях заказчика.

21 мая интегратор подвел итоги деятельности в области защиты данных корпоративных заказчиков и госструктур. Как сообщил директор Центра информационной безопасности «Инфосистемы Джет» Алексей Гришин, компания заключила 670 контрактов и выполнила 205 крупных проектов по данной тематике, при этом выручка от продажи профильных решений и услуг составила 2,2 млрд руб.

Директор  технического  центра «Инфосистемы Джет» Юлия Кошкина отметила, что даже в условиях экономического спада заказчики продолжают инвестировать в средства информационной безопасности – практически все ИТ-проекты, инициируемые сейчас на предприятиях и в организациях, включают в себя работы по созданию или совершенствованию защитных систем.

Гришин добавил, что заказчиков больше интересуют не отдельные продукты для обеспечения безопасности, а их адаптация к специфическим условиям бизнеса клиентов и формирование надежной ИТ-инфраструктуры, для чего в проектах приходится задействовать целый комплекс различных решений. Поэтому за прошедший год число продуктов разных вендоров, использованных при выполнении проектов, выросло в компании в полтора раза.

Но самыми востребованными в 2014 году оказались решения для управления доступом, защиты веб-сервисов и предотвращения утечек. Выручка «Инфосистем Джет» по  этим  направлениям выросла в 2014 году на 98%, 60% и 17% соответственно. Кроме того в компании отметили пятикратное увеличение числа запросов на создание систем защиты от внутреннего и внешнего мошенничества.  Раньше  такие проекты  выполнялись  прежде  всего  в интересах банков, а сейчас большинство инсталляций происходит по заказу торговых сетей.

Гришин отметил, что основными двигателями рынка в прошлом году стали ретейл, топливно-энергетический комплекс и силовые структуры. Число проектов в этих отраслях выросло в полтора-два раза соответственно.

Но если торговые предприятия интересовали продукты для борьбы с фродом, то силовики, наряду с естественными для них вопросами соответствия требованиям законодательства, стали уделять больше внимания повышению защищенности своих ИТ-систем. А предприятия ТЭК проявили активный интерес к системам управления учетными записями и созданию центров обработки инцидентов.

По мнению экспертов из «Инфосистемы Джет», в нынешнем году прирост рынка систем ИТ-безопасности в России может составить 30%, и вероятно такая динамика сохранится в течение ближайших трех лет. Этому будут способствовать: стремление заказчиков автоматизировать процессы обеспечения безопасности, развитие интернет-сервисов и веб-приложений, а также госполитика импортозамещения в ИТ-индустрии.  На  рынке будет усиливаться конкуренция между отдельными продуктами безопасности разных марок, в том числе и потому что в России появляется все  больше  локальных вендоров, а выбор качественных защитных решений становится все шире.