Аналитический центр TAdviser и компания Microsoft провели исследование «Кибербезопасность в российских компаниях». Их аналитики по телефону опросили представителей 450 предприятий среднего и малого бизнеса – руководителей ИТ-подразделений и других лиц, влияющих на принятие решений в области ИТ и информационной безопасности. Респонденты представляли самые разные отрасли экономики — финансов и страхования, ретейла, электронной коммерции, промышленности, транспорта, энергетики и др.

Источник: Microsoft, 2019

По данным Microsoft, 76% предприятий малого и среднего бизнеса сталкивались за последний год с инцидентами кибербезопасности. Больше половины (54%) имели дело с программами-вымогателями, 52% — DDoS-атаками, 39% — АРТ-атаками, 39% — фишингом. Интересно, что при этом 45% в первую очередь боятся АРТ-атак, а вот DDoS-атак – только 31%. Программ-вымогателей опасаются 42% компаний.

Количество DDoS-атак растет, и рост этот объясняется «их относительной дешевизной при высокой эффективности», следует из отчета.

На 37% предприятий рассказали, что целью атак были денежные средства. Еще 32% назвали персональные данные и 31% — учетные.

Основным каналом угроз остается электронная почта (66%), а вот мессенджеры к таким пока не относятся (10%).

Источник: Microsoft, 2019

Подход к оценке ущерба на российском рынке не сформировался. Точные данные представители компаний привести не могут, но 57% оценили свой ущерб до 100 тыс. руб. и назвали его незначительным. Размер затрат на ликвидацию последствий кибератак, как правило, равен самим потерям. На восстановление систем треть опрошенных тратит несколько часов, еще треть – сутки.

Наиболее эффективной мерой защиты от киберпреступлений опрошенные признали тренинги для персонала (48%). С отрывом всего в один процент на втором месте оказалась защищенность каналов (47%). Регулярное обновление ПО находится только на третьем (40%), а использование лицензионного ПО и вовсе на четвертом (34%). Еще 32% надеются на современные устройства (32%).

Руководитель программ информационной безопасности Microsoft в странах Центральной и Восточной Европы Артем Синицын на примере сравнения Windows 7 и Windows 10 советует обращаться к современным операционным системам.

Операционная система Windows 7 разработана более десяти лет назад и потому устарела. В нее, например, не закладывались механизмы по предотвращению компрометации учетных записей и их выгрузки за переделы системы. В скором времени ее техническая поддержка прекратится, и она вообще не сможет обновляться.

Windows 10, как рассказал Синицын Computerworld Россия, основана на комплексном подходе к информационной безопасности: защита строится за счет не только программных компонентов, но и аппаратных возможностей, таких как обеспечение доверенной загрузки компонентов до начала работы самой операционной системы, средства изоляции наиболее критичных компонентов и т.д. Подход реализован в инициативе Secured-core PC на уровне прошивки устройств на Windows 10. Защита ядра предполагает запрет запуска непроверенного программного кода, когда запуск приложений контролируется доверенной средой, и защиту учетных данных от компрометации за счет подсистемы безопасности на базе виртуализации.

АРТ-атаки глазами сотрудников российских компаний

Исследование Positive Technologies «АРТ-атаки глазами сотрудников российских компаний» подняло вопросы противостояния компаний всех размеров сложным целенаправленным атакам (Advanced Persistent Threat, APT). В опросе приняли участие 306 организаций из разных отраслей.

APT-атака, как правило, осуществляется в целях кибершпионажа, саботажа, подрыва репутации или даже дестабилизации политической обстановки. Хакеры, входящие в состав APT-группировок, имеют большой опыт, высокую квалификацию и хорошие технические навыки, сделали вывод исследователи.

Цель такой атаки — остаться в системе как можно дольше незаметным, рассказал директор экспертного центра безопасности PT Expert Security Center Алексей Новиков. Злоумышленники действуют стратегически: проникают в систему и в течение долго времени изучают ее, чтобы потом нанести максимальный урон. Для обхода защитных средств злоумышленники используют легитимные учетные записи и маскируются под стандартную активность ПО. Из-за этого 35% компаний считают, что не подвергались атакам, либо последние не имели успеха. Средний срок присутствия в системе составляет три года, максимальный – восемь лет.

ИТ-компании становятся у злоумышленников все популярнее (32%), акцентируют внимание исследователи. Порой они становятся частью цепочки нападений на другие организации. Однако пока больше всех от АРТ-атак страдает финансовая отрасль (76%). Здесь нападения совершаются ради денег. Следом, почти не отставая, идут госучреждения (75%), системы которых взламываются в целях шпионажа. ТЭК и промышленные компании хакеров интересуют меньше – их назвали 60% и 59% опрошенных. В первом случаем имеет место остановка бизнес-процессов и вывод инфраструктуры из строя, во втором – нарушение производства.

Больше половины опрошенных (58%) в результате АРТ-атак потеряли информацию (утечка), у 43% простаивала инфраструктура, 41% столкнулся с уничтожением или подменой данных. Ущерб репутации понесли 36% компаний, прямые финансовые потери – 29%, потеряли клиентов 23%. Нарушение технологического процесса было у 20%. У среднего и малого бизнеса картина несколько иная и показатели в целом ниже. Так, утечка информация отмечена меньшим количеством компаний (32%), а уничтожение данных стоит на втором месте (23%). Простой инфраструктуры, наоборот, — на третьем (22%). Также были названы такие негативные последствия, как судебные иски, штрафы и потеря контрагентов (по 4%).

Источник: Positive Technologies, 2019

Тенденция года – атака, в ходе которой злоумышленники используют расширенные права доверенной компании (подрядчика, партнера, интегратора) для доступа к инфраструктуре жертвы.

Почти все компании (90%) применяют антивирусы, половина (52%) — системы обнаружения и предотвращения вторжений (IPS/IDS), 43% — межсетевые экраны. У среднего и малого бизнеса соответствующие показатели чуть ниже. Например, антивирусы получили 85% голосов, IPS/IDS — 43%, межсетевые экраны — 37%. Помимо этого вслед за ростом угроз даже небольшие компании начинают использовать и такие технологии для защиты, как песочницы и системы глубокого анализа трафика — по 33% и 20% соответственно.

При этом на долю специализированных решений для защиты от APT приходятся 9%.

Каждый пятый респондент заявил об отсутствии расследований инцидентов. Часто это происходит из-за отсутствия соответствующих кадров или финансов. В случае отсутствия сотрудников необходимой квалификации, в Positive Technologies советуют переложить часть задач на внешних специалистов.

Форум по практической информационной безопасности Positive Hack Days 9, по замыслу его организаторов, был призван способствовать «безопасному переходу в небезопасную цифровую жизнь». Масштаб мероприятия, которое проводится компанией Positive Technologies с 2011 года и собирает специалистов в области информационной безопасности и ИТ, представителей бизнеса и власти, ставит его в один ряд с такими самыми известными международными конференциями по безопасности, как Black Hat и Defcon (см. также «PHD: в две трети корпоративных сетей в России можно проникнуть извне», Computerworld Россия, 10 июня 2018).

«Цель нашей конференции – собрать различных представителей индустрии информационной безопасности и обсудить с ними стратегию действий в условиях потенциальной возможности взлома практически любой системы», — заявил Борис Симис, заместитель генерального директора Positive Technologies.

Активное внедрение новейших информационных технологий в деятельность госструктур и коммерческих компаний, которое происходит под «зонтиком» цифровизации, совершенствование комплексов автоматизированного управления производственными процессами, появление огромного числа смартфонов в руках неподготовленных пользователей — все это требует повышенного внимания к безопасности корпоративных информационных ресурсов, совершенствования методов обнаружения атак злоумышленников, предоставления средств защиты личной информации, подчеркивали участники форума.

По словам Игоря Ляпунова, вице-президента по информационной безопасности «Ростелекома», классических подходов к защите ИТ-систем недостаточно для того, чтобы противодействовать возникающим сегодня угрозам. Высокая динамика изменения внешних событий, рост сложности информационных систем, увеличение объемов обрабатываемой информации и количества ее источников делают малоэффективными статические конструкции защиты. Современные комплексы информационной безопасности должны реагировать на внешние и внутренние изменения, а также обладать возможностью своевременно обнаруживать вторжения хакеров и вовремя отвечать на них.

«Кибератаки стали настоящим испытанием для многих сфер экономики в начале года», — подчеркнул Алексей Новиков, директор экспертного центра безопасности Positive Technologies. Он отметил, что число уникальных киберинцидентов в первом квартале 2019 года увеличилось более чем на 10% по сравнению с тем же периодом 2018-го.

Исследование, представленное Positive, свидетельствует об увеличении сложности вредоносного кода, нередко сочетающего в себе функции троянов различных типов. Растет число заражений шифровальщиками, в том числе в совокупности с фишингом, отмечено также использование злоумышленниками гибкой модульной архитектуры вредоносов, повышающей их универсальность.

По данным исследования, разрабатывается уникальное шпионское ПО для атак на информационные ресурсы госструктур. Эти атаки осуществляются либо с целью кражи информации, либо для взлома веб-сайтов и последующего заражения их посетителей.

Вредоносные программы, подчеркивают в Positive Technologies, представляют серьезную опасность и для крупных компаний: атаки на них чаще всего связаны с желанием получить доступ к сведениям, составляющим коммерческую тайну.

Многомиллионные утечки учетных данных ставят под угрозу онлайн-сервисы, а атаки на веб-сайты с внедрением вредоносного JavaScript-кода для кражи данных банковских карт несут риски клиентам интернет-магазинов и платежных сервисов.

Авторы исследования обращают также внимание на экономические стимулы деятельности злоумышленников. Так, затраты на приобретение и разработку инструментов для фишинговых рассылок, которые используются подавляющим большинством организаторов целевых атак (Advanced Persistent Threat, APT) и являются эффективным способом проникновения в ИТ-инфраструктуру компаний, окупаются после первой же атаки.

Эти и другие результаты аналитического исследования характеризуют ситуацию в области информационной безопасности в эпоху набирающей обороты цифровой трансформации и обозначают спектр стоящих перед «безопасниками» задач.

«Реальность такова, что сегодня невозможно создать систему безопасности, которая гарантированно защитит что-либо: она, возможно, обнаружит атаку и попытается свести к минимуму ее последствия, но не защитит полностью», — подчеркнул Симис.

Участники дискуссий форума отметили также необходимость изменения роли специалистов в области информационной безопасности, которым следует детально разбираться в работе своих компаний и внедрять технологии защиты, максимально учитывающие специфику их деятельности. Следует акцентировать гораздо больше внимания на самих инцидентах, включая повышение ответственности допустивших их организаций за нанесенный ущерб, а не ограничиваться проверкой формального соблюдения нормативных требований.

Компания Positive Technologies представила данные своих экспертов о состоянии российского рынка информационной безопасности в 2018 году и возможных сценариях угроз, которые могут быть реализованы в 2019-м.

Проанализировав ситуацию в этом сегменте ИТ-рынка и учтя опыт своего взаимодействия с заказчиками, в компании спрогнозировали в 2018-м его 10-процентный рост, заявил Борис Симис, заместитель генерального директора Positive Technologies. С одной стороны, на это должны повлиять крупные федеральные проекты, включая развертывание государственных и муниципальных ИТ-сервисов, цифровизацию городского хозяйства и транспортной отрасли, с другой – заметное повышение активности в области информационной безопасности со стороны крупных организаций и распространения их опыта.

Симис отметил изменение отношения большинства заказчиков в течение последних лет к киберугрозам и повышение интереса бизнес-руководителей к защите ИТ-систем, что в значительной степени происходит под влиянием деятельности регуляторов и государственных инициатив, направленных на усиление защиты критически важных объектов отечественной инфраструктуры.

«Информационные технологии приходят в реальную жизнь и сопровождаются рисками в области безопасности, требуют использования средств выявления атак, устранения их последствий и противодействия активности хакеров», — считает Симис.

В целом, за первые три квартала уходящего года число уникальных инцидентов в области информационной безопасности возросло, по данным компании, более чем на треть, хотя и не наблюдалось массовых эпидемий.

По словам Алексея Новикова, директора экспертного центра безопасности компании, злоумышленникам теперь не нужно обладать высоким уровнем ИТ-знаний: они всего лишь используют предлагаемые в «темном» Интернете готовые инструменты, инструкции по их применению и сервисы.

Специалисты центра отмечают рост на корпоративном рынке числа сложных целенаправленных атак (Advanced Persistent Threat, APT), с которыми в ближайшее время все чаще будут сталкиваться компании. Впервые такие атаки начали преобладать над массовыми, превысив половину от общего их числа во втором и третьем кварталах 2018 года.

В течение последнего года в России и странах СНГ обнаружена активность более десятка различных APT-группировок, которые занимались промышленным шпионажем и стремились поручить доступ к планам стратегического развития компаний и другим документам для служебного пользования

Основным методом проникновения в ИТ-инфраструктуру становится фишинг. Этот вид интернет-мошенничества применялся в первом полугодии 2018 года в 61% атак на банки, в том числе хакерскими группами Cobalt и Silence. Наибольшее внимание злоумышленников привлекали средние банки, руководство которых не готово к необходимым инвестициям в обеспечение собственной безопасности. Участилось также применение фишинга для доступа к личным данным высшего руководства компаний.

Владимир Назаров, руководитель отдела безопасности промышленных систем Positive, сообщил о продолжающемся по сравнению с 2017 годом росте числа уязвимостей, обнаруженных в комплексах АСУ ТП, который превысил 80%.

Специалисты отдела, по его данным, выявили и устранили около трех десятков «промышленных» уязвимостей, а также направили почти сотню уведомлений вендорам для последующего устранения обнаруженных проблем в их программном обеспечении. Более половины найденных уязвимостей характеризуется высокой степенью риска. К примеру, в оборудовании и SCADA-системе одного из производителей обнаружено более полусотни уязвимостей «нулевого дня». Тем не менее, полагают в Positive, производители все еще далеки от того, чтобы встраивать средства защиты в свои продукты уже на первых этапах их разработки.

К негативным сценариям 2019 года в области информационной безопасности в Positive Technologies относят, в частности, инциденты с кибероружием, которые станут возможными, так как в 2018-м обнародованы детали атаки Triton с использованием вредоносного кода для оборудования Schneider Electric.

Ожидаются также серийные взломы банкоматов, поскольку необходимые для этого инструменты продаются вместе с технической поддержкой в Даркнете.

Согласно исследованию Positive Technologies, слабая защищенность трейдинговых приложений способна привести в ближайшие год-полтора к массовым атакам на пользователей бирж и оказать влияние на курсы акций и валют.

Многие организации, вероятно, смогут выявить наличие APT-атак, начавших действовать некоторое время назад, поскольку усилят меры информационной защиты в связи с требованиями закона «О безопасности критической информационной инфраструктуры».

Наряду со всем этим, к нарушению технологических процессов промышленных систем может привести формирование бот-сетей для скрытого майнинга, создающих слишком высокую дополнительную нагрузку на серверы систем управления.

Симис рассматривает ситуацию на рынке информационной безопасности как «очень интересную» и называет 2018 год одним из самых успешных в работе Positive. В завершающемся году в этой компании ожидают по уже полученным результатам 20-процентный рост бизнеса, однако рассчитывают на превышение этого показателя, так как обычно около трети выручки приходится на декабрь.

«Последние пять лет мы инвестировали свои доходы в разработки и теперь располагаем несколькими продуктами, которые дают очень серьезный рост. Мы считаем, что на рынке информационной безопасности выиграет тот, кто научится говорить с бизнесом на языке результата, и идем к этому семимильными шагами», — подчеркнул Симис.

В компании Positive Technologies сообщили о выпуске новой, четвертой версии системы выявления инцидентов информационной безопасности MaxPatrol SIEM (Security Information and Event Management), работающей в реальном времени, сопроводив это сообщение заявлением о намерении занять лидирующие позиции в сегменте SIEM российского ИТ-рынка.

В настоящее время заметен рост интереса отечественных заказчиков к качеству и функциональности средств защиты информационных систем предприятий; причина такого интереса — лавинообразное увеличение числа киберугроз и непрерывным совершенствованием их возможностей.

В Positive Technologies, по словам Максима Филиgпова, директора по развитию бизнеса компании в России, решения SIEM создаются на основе унифицированной платформы, позволяющей «нанизывать» на нее различные технологии.

Одна из наиболее важных новинок MaxPatrol SIEM 4.0, по мнению разработчиков, — регулярное автоматизированное включение в систему алгоритмов, позволяющих выявлять сложные нетипичные атаки. Такие алгоритмы предоставляют фактически в распоряжение пользователей компетенции сотрудников Positive, специализирующихся на обнаружении инцидентов информационной безопасности.

Наборы правил и рекомендаций, формируемые экспертным центром безопасности PT Expert Security Center, объединяются в «пакеты экспертизы» и передаются в базу знаний Positive Technologies Knowledge Base. В конкретных применениях MaxPatrol SIEM такие пакеты могут применяться по усмотрению пользователей. Новые пакеты будут предоставляться заказчикам каждые два месяца, обещают в Positive, а к концу года, как ожидают, — ежемесячно. В случаях же глобальных кибератак, как WannaCry или NotPetya, предусмотрен их оперативный выпуск.

Среди других новых свойств MaxPatrol SIEM – увеличение объема автоматически пополняемых сведений об ИТ-активах, к которым добавились, в том числе, данные о программном и аппаратном обеспечении информационных ресурсов, операционных системах, обновлениях и конфигурациях инфраструктуры; развитие функциональности встроенного компонента Network Sensor, используемого для анализа трафика, в который теперь входит база сигнатур, необходимых для детектирования вредоносного кода.

Модуль PT Security Intelligence Portal, созданнный «в результате тесного сотрудничества с ключевыми клиентами и предоставляющий возможность выстроить диалог службы информационной безопасности и бизнеса», как утверждается, позволит руководству компаний оценить результативность усилий в области информационной безопасности и определить наличие ресурсов для достижения поставленных целей.

Наряду с этим, сообщается об упрощении процесса установки MaxPatrol SIEM 4.0 и сокращения числа действий, необходимых для развертывания системы.

По данным исследования, проведенного аналитиками IDC по заказу Positive Technologies, тройку SIEM-решений, наиболее широко используемых в нашей стране, составляют IBM Qradar, MaxPatrol SIEM и HPE ArcSight. На долю каждой из этих систем приходится приблизительно по четверти данного сегмента рынка (в 2015 году в Positive оценивали свою долю рынка в 10%). В IDC отмечают, что системы трех этих производителей занимают первые места в различных рыночных нишах.

Результаты исследования свидетельствуют также об удовлетворенности почти 70% респондентов эффективностью применяемой ими системы SIEM в выявлении инцидентов. Среди же основных причин недовольства называются зависимость SIEM от экспертов, необходимость слишком больших вложений во внедрение и постоянную поддержку системы, неспособность обнаруживать новые угрозы до возникновения инцидентов. Тем не менее, практически все респонденты (97%) заявили о намерении продолжить применение SIEM.

В Positive Technologies считают, что решение компании развивается в соответствии с такими рекомендациями IDC к функциональности SIEM, как более оперативное выявление инцидентов и снижение потребности в обслуживании системы высококвалифицированными экспертами.

Основными стимулами развития SIEM-бизнеса в компании называют реальные инциденты, требования регуляторов и импортозамещение, рассчитывая на растущий интерес к этим системам и низкий пока еще их уровень проникновения в России (15%, согласно IDC).

Среди факторов, характеризующих состояние своего SIEM-бизнеса, в Positive Technologies называют заметный рост числа пилотных и завершенных проектов, а также количества проектов, выполненных партнерами компании.

В прошлом году продажи MaxPatrol SIEM продемонстрировали, по данным компании, почти двукратный рост. В 2018-м намечено увеличить продажи более чем в четыре раза, что позволит, утверждают в Positive, стать лидером в данном сегменте российского ИТ-рынка.

Полномасштабное внедрение MaxPatrol SIEM оценивается не менее чем в 10 млн руб., а внедрение программно-аппаратного комплекса MaxPatrol SIEM Limited Edition, адаптированного к защите ИТ-инфраструктур небольших организаций, – в 5 млн.

Однако успешное внедрение и эффективное использование SIEM, поясняют в IDC, не только существенно повышает уровень безопасности, но и в долгосрочной перспективе способствует снижению затрат и на информационную безопасность, и на ИТ в целом.

Традиционно программа конференции Positive Hacks Days охватывает практически все аспекты информационной безопасности. Седьмой форум PHD, собравший почти 5 тыс. участников, не стал исключением, но явный акцент был сделан на проблемах, сопровождающих рост Интернета вещей. Прошли и «штабные игры на местности»: команды хакеров и безопасников бились за контроль над построенным в центральном зале выставки макетом города — его городскими службами, предприятиями, коммунальными системами.

Причина внимания Positive к «темной стороне Интернета вещей» — резкий рост распространенности соответствующих решений (прогноз Gartner на 2020 год — 20 млрд устройств Интернета вещей) при почти полном, по словам Антона Тюрина, руководителя группы разработки методов обнаружения атак, игнорировании проблем с безопасностью. Игнорировании как производителями, так и владельцами устройств и ИТ-систем.

Так, практически все маршрутизаторы, а они, по оценке Positive, возглавляют рейтинг самых небезопасных устройств, работают всю свою жизнь под управлением исходной прошивки (примечательно, что в этом ПО находят ежемесячно десяток уязвимостей). Около 15% устройств защищено заводской парой «пароль/логин», в 10% случаев это одна из пяти пар вида admin/admin или user/user.

Поиск незащищенных маршрутизаторов, как и любых других устройств, «в мировом масштабе» — дело несложное и недорогое: например, доступ к поисковику shodan.io, показывающему все подключенные к Сети устройства, стоит полсотни долларов. За эти деньги можно «увидеть» миллионы маршрутизаторов, камер видеонаблюдения, датчиков АСУ ТП и пр.

Вторым по опасности классом устройств в Positive считают видеокамеры и видеорегистраторы. Их в Shodan около 3,5 млн. Доступ к ним можно получить за минуту-другую, причем, по оценке Positive, 90% камер, которые используются для видеонаблюдения в малом и среднем бизнесе, содержат уязвимости и могут быть взломаны. Взломанная камера способна доставить своему обладателю большие неприятности в личной жизни или производственной сфере, а также стать частью бот-сети, такой как, например, ботнет Mirai, охвативший более 400 тыс. маршрутизаторов и камер.

На третьем месте по опасности стоят навигаторы, далее в рейтинге Positive идут беспроводные клавиатуры и мыши (стоимость комплекта для взлома и получения паролей, платежных реквизитов и персональных данных — 300 руб.). Замыкают пятерку умные сети, практически вообще не защищенные. На подходе и иные устройства, например компоненты автоматизированных систем управления технологическими процессами, из которых 160 тыс. уже сейчас доступны через Интернет.

Проблемы с безопасностью усугубляются тем, что производители пока не видят необходимости вкладываться в решение проблем с безопасностью должным образом. Этого от них не требуют ни пользователи, ни отраслевые стандарты, ни государство. В такой ситуации далеко не все вендоры (а лишь, как правило, наиболее известные) задумываются над проблемой, принуждая пользователей при первом запуске устройства менять хотя бы пароль и регулярно обновляя прошивки. А вот купленные «на китайском сайте» изделия неизвестных марок не только избавят своего обладателя от необходимости ломать голову над новым паролем, но и могут содержать закладки «от производителя».

Как полагают в Positive, частично проблему помогли бы решить технические меры (отказ от небезопасных протоколов, введение парольных политик, выпуск регулярных обновлений, отключение в готовых устройствах отладочных механизмов, переход на HTTPS и двухфакторную аутентификацию, внедрение безопасной разработки с использованием анализаторов кода), а также внедрение отраслевых и государственных стандартов безопасности. На сознательность клиентов, будь то частные пользователи или крупные компании, как было отмечено на одной из пленарных дискуссий, надежды никакой.

Пока же, как сказано в отчете одного из прошлогодних конкурсов Positive по поводу отказа ряда посетителей от участия во взломе дрона, «многие боятся браться за что-то новое и непонятное, на этом и держится защищенность современного Интернета вещей».

Показательный пример

Не могли на PHD пройти и мимо эпидемии WannaCry, как примера безответственного подхода к безопасности. Заплата, устраняющая возможность атаки через сервис SMB, которой воспользовался шифровальщик, вышла за два месяца до эпидемии, приблизительно в то же время стало известно про существование соответствующего эксплойта.

Сама процедура атаки была максимально проста — не было писем с зараженными файлами, злоумышленники просто обращались ко всем найденным серверам.Те, в которых по каким-то причинам были открыты TCP-порты 139 и 445, заражались и в свою очередь заражали менее защищенные машины внутри периметра системы безопасности предприятия. Результат налицо: 200 тыс. зараженных компьютеров в 150 странах. Под удар — и в нашей стране, и за рубежом — попали машины достаточно крупных структур.

И, как показывает опыт Positive, это далеко не единичный случай. Во всем мире эксплуатируются устройства с необновляемыми операционными системами; по данным мониторинга, у каждой шестой обследованной компании сервис SMB доступен через Интернет.

Черный ящик. Бесплатно

В ходе форума компания Positive Technologies объявила о запуске публичного бета-тестирования бесплатного онлайн-сервиса PT BlackBox Scanner, предназначенного для обнаружения уязвимостей в веб-приложениях, в том числе находящихся в локальной сети. Воспользоваться им можно после крайне простой авторизации, даже не доказывая, что ты являешься владельцем сайта. Сервис предоставляет отчет о найденных уязвимостях и рекомендации по исправлению. Как надеются в Positive, бесплатное средство тестирования позволит повысить общую безопасность Интернета. При этом, как утверждают в компании, приняты меры, препятствующие тому, чтобы сервисом поиска ошибок могли воспользоваться злоумышленники.

Сотрудники компании выделили несколько основных тезисов, которые описывают главные события индустрии в прошедшем году. Естественно, немало внимания уделено кибератакам с целью кражи личных данных. По данным Positive Technologies, компрометация данных является результатом 46% всех кибератак, а кража денег — лишь 19%. Большинство атак является целевыми (62%), они имеют четкую направленность на корпоративные активы. При этом лишь 10% атак выявляются их жертвами. Получили развитие и различные техники кибератак с целью выкупа, это явление связывают с развитием криптовалют. По мнению экспертов компании, рост подобных атак продолжится и в 2017 году.

В Positive Technologies подвели итоги 2016 года в сфере интернет-безопасности

Опасность для предприятий

Безопасность промышленных систем не повышается. Почти половина уязвимостей, обнаруженных в 2016 году, имеет высокий уровень риска. Только две трети компонентов систем АСУ ТП можно назвать условно защищенными. В такой ситуации неудивительны атаки на различные системы: например, электросети Украины уже были взломаны и после этого без электричества остались тысячи граждан.

Интернет вещей остается незащищенным. К примеру, житель «умного дома» даже не может выявить уязвимость или поставить антивирус, так как это просто не предусмотрено при создании проекта. Неудивительно появление ботнета Mirai из миллионов зараженных веб-камер. Также под угрозой находятся и обладатели Smart TV, прогнозируется рост атак на эти устройства.

«Не храните деньги в банке»

Банки используют устаревшие способы интернет-защиты, поэтому эксперты компании прогнозируют рост атак на финансовые системы как минимум на 30% за год. Интересный факт, что на Западе атаки на клиентов банка равны примерно 60%, а в России взлому подвергаются именно банки. Это связано с тем, что в России по-прежнему покупку чаще оплачивают наличными, чем электронными деньгами. Этот факт ограничивает возможность атаки на клиента банка.

Руководитель отдела безопасности банковских систем Positive Technologies Тимур Юнусов заявляет, что взлом банковской системы может быть осуществлен посредством открытия электронного письма с файлом, который содержит вирус способный заразить все компьютеры сети.

Хакеры продолжают пользоваться достаточно простыми методами взлома (например, фишингом), но при этом усложняется проработанность кибератак и их маскировка.

Не стоит забывать и о взломе банкоматов. Их программное обеспечение имеет немало уязвимостей, которыми умело пользуются хакеры. Например, выявленный в 2014 году троян для банкоматов Tyuokin умел отключать защитную систему Solidcore от McAfee. В 2016 году в Positive Technologies обнаружили, что данная система все еще уязвима.

Классические атаки на сайты

Несмотря на широкое поле деятельности для хакеров, веб-ресурсы остаются главным объектом, служащим целью кибератак.

Госучреждения чаще всех подвергаются атакам

Самыми частыми являются атаки на государственные сайты (более 3 тыс. в день). 2200 атак в день приходится на сайты интернет-магазинов, на банковские сервисы нападают около 1400 раз за день. Интересной «новинкой» 2016 года стала активная кибератака на центр обработки результатов государственных экзаменов.

Большинство атак производится с помощью ПО для поиска уязвимостей. Однако при нападении на сайты госучреждений или интернет-магазинов преобладают ручные атаки.

Защита телекоммуникаций

Подмена GPS-сигнала уже давно не является чем-то удивительным. Такие явления заметны у объектов государственной важности. Эксперт компании по безопасности телекоммуникационных систем Сергей Пузанков приводит в пример перенос точки нахождения в аэропорт Внуково при фактическом нахождении у стен московского Кремля. Он объясняет это защитой от дронов, которым на программном уровне запрещено находиться у аэропортов.

Взломы аккаунтов в Telegram и WhatsApp показали, что использование протоколов SS7 и Diameter по-прежнему актуально и эффективно, несмотря на то, что операторы предпринимают меры для повышения безопасности, а социальные сети (например, Facebook) усложняют системы восстановления пароля.

Android и сверхправа

Широкая распространенность смартфонов на базе операционной системы Android не может не привлекать хакеров. Получение root-прав на Android не является сложной затеей, а опасность могут представлять и легитимные приложения, которые получают повышенные привилегии. Они не выполняют вредоносных действий, но содержат в себе уязвимости, которыми могут воспользоваться хакеры. Широкий спектр уязвимостей несут в себе камер, микрофоны и другие сенсоры, а игры с дополненной реальностью дают большие возможности для вмешательства злоумышленников.

Устройства на платформе Android имеют высокий риск взлома

В 2017 году не исключается рост аппаратных атак, это связано с тем, что вопросы уязвимости самой аппаратуры еще не до конца проработаны, а подобные взломы практически невозможно отследить, и они не требует больших финансовых затрат.

В целом, эксперты Positive Technologies советуют повышать уровень систем обнаружения и расследования атак, а также осведомленности сотрудников организаций, которые подвергаются кибератакам. Отмечается, что даже такие простые меры, как использование сложных паролей или отключение АСУ ТП от глобальной сети, может значительно уменьшить риск атаки. А пользователям мобильных устройств стоит быть внимательнее при скачивании приложений и расширении их прав внутри устройства.

17 мая на конференции Positive Hack Days руководство Positive Technologies объявило итоги первых продаж и планы развития системы сбора и анализа событий информационной безопасности MaxPatrol SIEM (Security Information and Event Management).

Этот продукт был впервые представлен год назад. Как сообщил директор Positive по развитию бизнеса в России Максим Филиппов, готовясь вывести на рынок MaxPatrol SIEM, маркетологи разработали масштабную кампанию по его продвижению. Но необходимость в ней отпала, потому что уже в течение первых двух недель после показа MaxPatrol SIEM целевой аудитории поступило 62 запроса на выполнение пилотных проектов с новой системой.

Старт продукта оказался очень успешным — в течение 2015 года было реализовано 15 коммерческих проектов на сумму 180 млн руб. (стоимость проектов Positive указывает в ценах для заказчиков, по итогам года сама компания заработала на проектах SIEM примерно 100 млн руб. — А.Е.). В число пользователей новой системы, как отмечают ее разработчики, входят правительство Санкт-Петербурга, «Россети», Минтранс, Минобороны и др.

По оценкам специалистов Positive, динамичный старт позволил компании занять 10% российского рынка SIEM, где до сих пор преобладали решения зарубежных вендоров — IBM QRadar, HP ArcSight, McAfee Nitro, RSA enVision.

Кроме того, на базе MaxPatrol SIEM развернут 51 пилотный проект, из которых 26 уже завершены, а 25 находятся в процессе реализации.

Отказавшись от агрессивного рыночного продвижения первой версии MaxPatrol SIEM, в Positive сфокусировались на совершенствовании продукта – необходимость в этом, естественно, проявилась в ходе пилотных проектов.

Важные исправления и дополнения, внесенные разработчиками в продукт, стали мотивом для появления его второй версии. В компании подчеркивают, что данную версию отличают упрощенный подход к формированию корреляционных правил, а также расширенные возможности по расследованию инцидентов, основанному на ретроспективном мониторинге состояния всех активов ИТ-инфраструктуры. Это позволяет значительно сократить число ложных срабатываний системы при работе с большими объемами данных.

В Positive рассчитывают, что в 2016 году на вторую версию MaxPatrol SIEM поступит 60 заявок на выполнение пилотных проектов и более 35 коммерческих заказов, это позволит компании заработать на новом продукте около 500 млн руб. Весь российский рынок SIEM этого года в Positive оценивают в 2,2 млрд руб. и прогнозируют, что в 2017-м и 2018 году он вырастет соответственно до 2,6 млрд и 3,2 млрд руб.

«В 2017 году мы планируем начать продвижение продукта в Европе, где рассчитываем на первые продажи. А задача на 2018 год — стать лидером российского рынка SIEM с собственным оборотом 1,8 млрд руб.», — заявил Филиппов.

Достижению поставленных целей должны способствовать российское происхождение продукта, наличие сертификатов на него от Минобороны и ФСТЭК, а также детальный план развития MaxPatrol SIEM – компания готова объявить клиентам, когда появятся новые релизы продукта и какие новые функции будут в них включены.

В частности, объявлено, что в июле 2016 года будет выпущен тринадцатый релиз MaxPatrol SIEM, в котором появятся расширенные возможности для формирования расписания сканирования и генерации отчетов, улучшены инструменты для работы с топологией сети, а также запущен механизм облачного обновления данных об уязвимостях. В 14-м релизе (его выход намечен на сентябрь) появится возможность глубокой настройки отчетности. А в декабре планируется выпустить релиз 15, в нем будет обеспечена автоматическая генерация правил корреляции на основе векторов атак и другие полезные обновления.

Задача облегчается в некотором смысле ростом как мировой напряженности, так и общего количества киберзлоумышленников, взламывающих все и вся.

О международном положении велась речь на панельной дискуссии с участием представителей госорганов. Со времени прошлогодней аналогичной дискуссии (см. «Цифровой суверенитет», Computerworld Россия, 20 июня 2014) ничего принципиально не изменилось, разве что градус противостояния вырос, и довольно существенно. А, значит, государству нужно будет все больше квалифицированных киберзащитников.

Бизнесу, разумеется, тоже. Если верить результатам исследований Positive, представленных под слоганом «Сколько стоит взломать страну», проблемы с информационной безопасностью чрезвычайно остры (и не только в нашей стране) буквально во всех сферах экономики.

Рост количества проблем понятен — в Сети появляется все больше устройств (иногда их владельцы даже не догадываются, что это оборудование доступно через Интернет), рост личной и корпоративной мобильности, первые ростки Интернета вещей... «Щит», а особенно умение и желание его применять, отстает от «меча». Тем более что зачастую необходимо решать не только чисто технические проблемы, но и организационные.

Уровень защищенности ИТ-систем в Positive оценивают крайне низко: в 67% случаев неприятности доставить может любой внешний нарушитель. Еще в 27% — любой внутренний злоумышленник. 94% систем, исследованных в 2014 году, содержали уязвимости, позволяющие получать доступ к критически важным ресурсам, в 78% критические уязвимости связаны с использованием устаревших версий ПО.

Среди других частых причин взлома в Positive называют доступность интерфейсов управления через Интернет, использование банальных паролей и открытых протоколов передачи данных.

В отраслевом разрезе

Наиболее популярные объекты для атак, как полагают в Positive, — промпредприятия, сети связи, финансовые учреждения. Для распространения вирусов хороши и медийные сайты.

Безопасностью АСУ ТП до относительно недавнего времени вообще мало кто занимался, оттого даже продукты ведущих производителей — Siemens, Schneider Electric, Advantech, General Electric – полны «дыр». Исследователи Positive выяснили, что уязвимы примерно 10% из почти 150 тыс. компонентов АСУ ТП, «видимых» в Сети. Процент уязвимости в разных странах меняется не очень заметно (поскольку в большинстве своем компании используют продукцию одних и тех же вендоров), выделяется лишь Китай — там в Интернете присутствуют около 1000 устройств, но 700 из них могут быть с успехом атакованы через Сеть. Как особо отметили в Positive, лишь 14% уязвимостей исправляются в течение трех месяцев.

На подходе атаки на умные дома, которые будут обслуживать десятки устройств, об их защите никто пока особенно не думает.

Атаки на операторов связи тоже отличаются разнообразием: можно использовать уязвимости SIM-карт (проблемы найдены у 20% исследованных «симок»), можно взламывать 4G-модемы (не устояли 27 из 30 испытанных), уязвимо и операторское оборудование — как на уровне отдельной соты, так и в целом. Если получить доступ к сети SS7 (у нас она называется ОКС-7, «Общий канал сигнализации № 7»), связывающей операторов, то для злоумышленника вообще не останется никаких тайн относительно жизни заинтересовавшего его абонента.

В финансовом секторе дела обстоят не лучше: 78% исследованных систем дистанционного банковского обслуживания содержат критические уязвимости, 42% из них связаны непосредственно с ошибками разработчиков систем защиты. Критически опасные «дыры» найдены в 70% мобильных клиентов для Android и 50% — в iOS. Плюс к тому отсеки с банкоматами, в которых находится управляющие ими компьютеры, как правило, практически не защищены, а ведь, имея доступ к ним, дать команду на выдачу наличности — минутное дело.

С безопасностью медийных сайтов ситуация тоже печальная: 68% имеют высокорисковые уязвимости.

В целом поле деятельности приблизительно для 3 тыс. участников форума PHD совершенно необъятное, и большей частью даже непаханное. Программа форума, насколько это возможно, охватила упомянутые темы, и не только их.