По данным нового исследования, проведенного компанией Trend Micro, сотрудники центров обеспечения безопасности (SOC) и отделов ИБ подвергаются стрессу даже в нерабочее время. Одной из основных причин называется слишком большое количество предупреждений, генерируемых системами кибербезопасности.

В ходе исследования было опрошено 2303 руководителя, ответственных за отделы ИБ и SOC, в компаниях разного размера из разных отраслей. В ходе опроса 70% респондентов заявили, что на их жизнь и эмоциональное состояние вне работы влияет нагрузка, связанная с обработкой предупреждений о потенциальных угрозах кибербезопасности, и 51% опрошенных считает, что их команда специалистов ИБ получает слишком большое количество предупреждений. В результате 55% заявили, что не совсем уверены в своей способности правильно расставлять приоритеты и реагировать на полученные от системы уведомления. В этой связи не кажется удивительным, что команды тратят до 27% своего времени на отработку ложных срабатываний систем ИБ.

Такие выводы подтверждает и недавнее исследование Forrester «Адаптируйся или умри: о столкновении подхода XDR с традиционными SIEM и SOAR» ('Adapt Or Die: XDR Is On A Collision Course With SIEM And SOAR') , в котором указано, что «отделы ИБ явно укомплектованы недостаточно для того, чтобы обеспечить эффективное реагирование на инциденты, при этом количество атак постоянно растет. Центры обеспечения безопасности нуждаются в более эффективных методах обнаружения и реагирования; таким образом системы расширенного обнаружения и реагирования на угрозы (XDR) обеспечивают совершенно иной подход по сравнению с другими представленными на рынке инструментами».

Из-за большого количества предупреждений многие менеджеры SOC не могут расслабиться вне работы и срывают раздражение на друзьях и домашних. В рабочее время они отключают предупреждения (43% делают это время от времени или достаточно часто), покидают свое рабочее место (43%), надеются, что с предупреждением разберётся другой член команды (50%), или полностью игнорируют предупреждения (40%).

«Мы привыкли к тому, что в описании систем кибербезопасности речь идет о людях, процессах и технологиях, — отметила доктор Виктория Бейнс (Victoria Baines), автор и исследователь в сфере кибербезопасности. — Однако слишком часто людей изображают как часть проблемы или уязвимость, а не как актив, и технический аспект защиты оказывается важнее человеческих возможностей. Нам пора возобновить наши инвестиции в человеческие ресурсы в сфере ИБ. Это означает, что мы должны позаботиться о своих коллегах и их командах и предоставить им инструменты, которые помогут сосредоточиться на задачах, с которыми лучше всего справляются именно люди».

Около 74% респондентов уже сталкивались с успешными кибератаками или будут вынуждены иметь с ними дело в течение года, говорится в исследовании. Предполагаемые средние убытки от каждой такой атаки при этом оцениваются в 235 тыс. долл., а их последствия могут быть катастрофическими.

«Члены команд SOC играют решающую роль в защите инфраструктуры от киберугроз, ведь именно они должны получать предупреждения о потенциальных атаках и расследовать инциденты, чтобы избежать негативных для организации последствий. Но, как показывает это исследование, такое давление иногда приводит к крайне высокому уровню стресса, — отметил Бхарат Мистри (Bharat Mistry), технический директор Trend Micro. — Чтобы не потерять лучших сотрудников из-за их выгорания, организации должны искать более совершенные платформы для обнаружения угроз и реагирования на них. Эти инструменты помогут грамотно соотносить данные из различных источников и расставлять приоритеты при расследовании инцидентов. Такой подход не только повысит общий уровень защищённости системы, но и улучшит продуктивность и уровень удовлетворённости работой у сотрудников ИБ и SOC».

Программное решение Trend Micro Vision One умеет определять приоритетность предупреждений и связывать их данные между собой за счёт того, что обрабатывает информацию, получаемую из всей ИТ-инфраструктуры организации. Благодаря этому сотрудники получают возможность более рационально тратить своё рабочее время. Меньшее количество предупреждений и больший объем полезной информации позволяют им вернуть в рабочий процесс баланс и снизить общий уровень стресса, связанного с вопросами кибербезопасности.

Корпорация Trend Micro представила первый облачный сервис, способный обеспечить эффективный анализ уязвимостей в открытом исходном коде и позволяющий снизить уровень риска разработки приложений и помочь специалистам в принятии правильных решений на основе полученных данных. Новое SaaS-решение создано совместно с компанией Snyk, лидером в сфере безопасности облачных приложений.

Trend Micro Cloud One – Open Source Security by Snyk — это первый на рынке сервис, обеспечивающий специалистам SecOps полную картину уязвимостей программного обеспечения с открытым исходным кодом. Компоненты с открытым исходным кодом используются разработчиками всё чаще, ведь они повышают скорость разработки, универсальны и отличаются высоким уровнем качества и масштабируемости. По данным Snyk, 80% кода приложений сегодня берётся из источников с открытым доступом.

В своём исследовании Market Guide for Software Composition Analysis компания Gartner указывает, что «программное обеспечение с открытым исходным кодом используется практически повсеместно. Это создает риски, связанные с уязвимостями, которые легко использовать, и с огромной «поверхностью» атак, которая позволяет вредоносному ПО и коду получить доступ к проприетарному коду и инфраструктуре. Также имеются правовые риски и проблемы с использованием интеллектуальной собственности».

По данным Snyk, за последние года был отмечен 2,5-кратный рост числа уязвимостей, связанных с открытым исходным кодом. Это значит, что обеспечение безопасности в ходе разработки ПО сейчас приобретает всё большую важность. Однако нестыковки в организации рабочих процессов, несовпадающие инструментарии и проблемы коммуникации между SecOps и DevOps никуда не исчезают сами по себе. И слишком часто это означает, что специалисты по безопасности сталкиваются с трудностями и не способны увидеть все риски, связанные с разработкой приложений. Новый облачный сервис от Trend Micro и Snyk способен устранить давние разногласия между SecOps и DevOps с помощью одного универсального решения, которое обеспечивает прозрачность процессов и рисков на раннем этапе жизненного цикла разработки и помогает эффективно защитить от них весь стек.

«Snyk и Trend Micro стремятся создать будущее индустрии кибербезопасности, в котором SecOps- и DevOps-специалисты эффективно работают вместе, чтобы повысить общий уровень безопасности в своих организациях, — отметила Гева Соломонович (Geva Solomonovich), технический директор направления глобального партнёрства в Snyk. — Появление технологий безопасности Snyk, созданных для разработчиков, в Cloud One компании Trend Micro позволит большему количеству клиентов бороться с рисками использования открытого исходного кода. При этом, его реализация в составе единой платформы сводит к минимуму необходимость в работе с несколькими поставщиками и инструментами. Мы надеемся на дальнейшее сотрудничество с Trend Micro в поиске инновационных и эффективных способов решения ключевых проблем безопасности для наших клиентов».

Практически все приложения, разработанные в мире за последние 25 лет, были созданы с использованием открытого исходного кода. Поскольку потребность в разработке новых облачных приложений продолжает расти, организации часто упускают из виду старые приложения, их компоненты, а также циклы обслуживания и обновления, что создаёт дополнительные сложности и риски.

«С помощью одного этого сервиса мы можем решить сразу несколько проблем и использовать современные технологии для устранения внутренних пробелов в коммуникации, — отметил Кевин Симзер (Kevin Simzer), директор по операционной деятельности Trend Micro. — Оно может сэкономить более 650 часов времени разработки для каждого приложения за счёт возможностей автоматизации, помогает управлять рисками с учётом лицензионных требований и даёт специалистам по безопасности шанс увидеть часть функционального кода нашей платформы, которая ранее была им недоступна».

Trend Micro Cloud One – Open Source Security by Snyk также позволяет SecOps-специалистам выявлять уязвимости и проблемы, связанные с лицензированием. Это даёт возможность более эффективно отслеживать риски, правильно расставлять приоритеты при их обнаружении и своевременно сообщать о возникновении таких рисков в процессе разработки проектов.

Основные преимущества сервиса:

• помощь в принятии решений по безопасности на основе полученных данных;
• непрерывный мониторинг уровней угроз;
• эффективная приоритезация рисков и рекомендации по их устранению.

Встроенные в решение возможности автоматизации также помогают SecOps-специалистам быстро выявлять и получать информацию о непрямых зависимостях в открытом исходном коде, о существовании которых в своих приложениях могут не знать ни службы безопасности, ни разработчики. По данным исследования Forrester «Общий экономический эффект от применения Snyk»  (The Total Economic Impact of Snyk), применение этих возможностей позволяет сэкономить около восьми часов на каждой уязвимости.

Российская розничная сеть «Магнит» выбрала решения Trend Micro для защиты своей распределённой сетевой инфраструктуры от кибератак. Кроме того, компания использует инструменты Trend Micro Deep Discovery Inspector и Deep Discovery Analyzer для первоначального анализа трафика и борьбы с ложными срабатываниями систем киберзащиты, помогая снизить нагрузку на ИТ-специалистов.

Крупные предприятия с разветвлённой и сложной инфраструктурой регулярно становятся целью атак киберпреступников. Для доступа к корпоративной сети злоумышленники используются самые разнообразные методы, включая фишинг, вредоносное ПО и ссылки в электронной почте, а также вирусы-вымогатели. На фоне перевода части сотрудников на режим удалённой работы в 2020 году угроза таких атак только выросла. Теперь киберпреступники могут применять в качестве векторов атаки собственные устройства персонала и их домашние сети, которые обычно защищены намного слабее корпоративных.

«Магнит» — одна из крупнейших российских розничных сетей в сфере торговли продуктами питания и другими товарами. Число сотрудников компании превышает 300 000 человек, а объекты инфраструктуры находятся по всей территотрии РФ. Всего у компании (по состоянию на сентябрь 2020 года) насчитывается более 21 тысячи торговых точек, есть собственные объекты производства, развитая логистическая инфраструктура и три центра обработки данных в Краснодаре, где расположен головной офис «Магнита». Учитывая масштабы инфраструктуры и её распределённый характер, вопросы защиты от кибератак, анализа трафика и данных, и расследования инцидентов встают особенно остро и требуют внушительных ИТ-ресурсов. Для этих целей компанией было принято решение использовать продукты Trend Micro.

«Мы провели анализ представленных на рынке продуктов и разработали скоринговую систему, чтобы определить наиболее подходящих для наших целей вендоров, — отметил Александр Василенко, директор департамента инфраструктуры и защиты безопасности «Магнит». — Основными требованиями к поставщику и решениям были широкие возможности для анализа сетевого трафика, наличие собственной «песочницы» и общее удобство управления. По всем этим параметрам в итоге были выбраны продукты Trend Micro».

Trend Micro Deep Discovery Inspector и Deep Discovery Analyzer используются компанией в рамках общего стека системы кибербезопасности, помогая её усилить и снизить нагрузку на ИТ-специалистов. ПО Deep Discovery Inspector применяется для обнаружения целевых атак и вирусов-вымогателей и способно анализировать данные горизонтального и вертикального трафика от более чем 105 различных протоколов. Шаблоны известных и неизвестных угроз и наличие собственной «песочницы» позволяют ПО эффективно выявлять сложные вредоносные программы. Deep Discovery Analyzer анализирует трафик, используя виртуальные образы конечных точек инфраструктуры и набор инструментов различных поколений. Это даёт возможность выявлять даже комплексные атаки и вредоносное ПО, которое легко скрывает своё присутствие от традиционных систем предотвращения вторжений.

«Наши решения идеально подходят для защиты сетевой инфраструктуры крупных организаций благодаря способности обрабатывать трафик из любых источников и обнаруживать не только ранее идентифицированные, но и неизвестные угрозы, — отметил Денис Перелыгин, менеджер по работе с ключевыми заказчиками Trend Micro в России. — Помимо этого, они легко интегрируются в существующие системы ИБ и позволяют эффективно обмениваться данными с SOC организации, чтобы сэкономить время ИТ-специалистов на расследование инцидентов».

Подробное описание истории сотрудничества Trend Micro и компании «Магнит» можно найти на официальном сайте Trend Micro.

Прошедший год стал серьезным испытанием для многих организаций. Помимо разрешения сложной финансовой ситуации, вызванной пандемическими ограничениями, компаниям пришлось спешно создавать условия для дистанционной работы сотрудников, меняя правила игры на ходу. Это оказалось сложной задачей не только с технологической, но и с человеческой точки зрения. И усугубились эти сложности появлением новых проблем безопасности и угроз. Наиболее полно киберитоги 2020 года представлены в докладе Trend Micro "A Constant State of Flux: Trend Micro 2020 Annual Cybersecurity Report", ну а мы ограничимся наиболее значимыми событиями и тенденциями.

Киберпреступники воспользовались изменениями инфраструктурного ландшафта офисных сетей и глобальными инфоповодами для проведения новых более изощренных атак. Самыми заметными угрозами прошедшего года стало вымогательское ПО, хищение учётных данных с помощью фишинга, беспрецедентные атаки на цепочки поставок, эксплуатация уязвимостей устройств семейства интернета вещей и небезопасных конфигураций облачной инфраструктуры.

Вымогатели поднимают ставки

Современные вымогательские атаки продолжают эволюционировать и становиться всё более профессиональными и опасными. Операторы вымогательского ПО (ransomeware) уже не используют тактику «ковровой бомбардировки», рассылая письма с вредоносной начинкой всем подряд. Вместо этого они сосредоточиваются на богатых компаниях и органах власти, для которых остановка деятельности является крайне критичной.

Количество атак вымогателей на различные отрасли. Самыми популярными среди вымогателей отраслями в 2020 году были органы власти, банки, промышленность и здравоохранение. Источник: Trend Micro

Привычной практикой киберпреступников в 2020 году стало двойное вымогательство: они не только шифровали информацию на всех системах целевой компании, но и похищали все важные документы. Угроза публикации в открытом доступе конфиденциальных сведений использовалась в качестве дополнительного рычага для получения выкупа, а фрагменты похищенных документов, размещённые на специальном ресурсе злоумышленников, служили доказательством успешного взлома.

Результатом такого подхода стал экспоненциальный рост суммы выкупа, который требовали операторы вымогателей у своих жертв. По данным коалиции страховых компаний, только за период с начала 2019-го по первый квартал 2020 года сумма выплат удвоилась.

Хит-парад числа инцидентов с участием программ-вымогателей 2020 года. Источник: Trend Micro

Лидером киберпреступного хит-парада вымогательского ПО стал печально известный WannaCry — он «засветился» более чем в 220 тысячах инцидентов. А по объемам полученных выкупов вперёд с большим отрывом вырвался вымогатель Ryuk, операторы которого получили более 150 млн долларов США.

Ковид-брендированные атаки

Главным инфоповодом, который эксплуатировали злоумышленники в 2020 году, стала пандемия COVID-19. В 2020 году было обнаружено более 16 млн угроз, связанных с коронавирусной инфекцией. Почти 90% из них представляли собой вредоносный спам — популярный среди злоумышленников вектор из-за технически более простой реализации по сравнению с созданием мошеннических сайтов и вредоносных программ.

Распределение COVID-брендированных угроз по типам. Источник: Trend Micro

Распределение COVID-брендированных угроз по странам. Источник: Trend Micro

Большая часть обнаружений пришлась на США, Германию и Францию, которые также были в числе стран, наиболее сильно пострадавших от пандемии.

Организаторы мошеннических атак оперативно адаптировались к текущей ситуации: если в первой половине года они пугали людей симптомами страшной болезни и заманивали фальшивыми компенсациями от правительств, то во второй половине года хитом стали аферы, связанные с вакцинами.

Уязвимая «удаленка»

Пандемия вынудила компании перевести сотрудников на удалённую работу из дома. И хотя это позволило сохранить работу в условиях карантина и даже снизить затраты на инфраструктуру, удалёнка стала источником нового комплекса проблем с точки зрения кибербезопасности.

Необходимость удаленного подключения к офисной сети привело к взрывному росту использования VPN. Но вместе с этим стали выявляться проблемы, связанные с ошибками в различных продуктах.

Случаи эксплуатации уязвимостей в популярных VPN-сервисах в 2020 году. Источник: Trend Micro

Одной из самых заметных и распространенных уязвимостей VPN в 2020 году стала критическая ошибка CVE-2019-11510 в VPN-решении Pulse Connect Secure. В 2020 году было обнаружено 800 000 уязвимых серверов с этим продуктом. Уязвимость использовали киберпреступники в реальных атаках: именно с ее помощью в системы жертв устанавливался вымогатель Sodinokibi.

Переход на удаленную работу также привёл к росту зависимости от таких коммуникационных инструментов, как Zoom, Slack и Discord. Это, в свою очередь, привело к увеличению числа атак, направленных на эти приложения. Одним из самых известных типов атак был «зумбомбинг», при котором посторонние срывали Zoom-встречи сотрудников компаний, учащихся и различных организаций.

Угрозы в облаках и уязвимый Интернет вещей

Облачная инфраструктура в 2020 году продолжала развиваться и стала критически важным условием повседневной деятельности для многих компаний. Однако рост популярности выявил серьёзные риски безопасности, связанные с небезопасной конфигурацией облачных сервисов.

Результатом стал рост числа инцидентов, связанных с поиском и эксплуатацией некорректно настроенных облачных служб. Преступники внедряли в образы виртуальных машин майнеры криптовалюты, устанавливали на сайты вредоносные сценарии для сбора данных пользователей и банковских карт, а также внедряли в корпоративную инфраструктуру вымогательское ПО.

Помимо облачной инфраструктуры ключевую роль в переходе на удалёнку сыграли устройства Интернета вещей, ярким представителем которых стали домашние маршрутизаторы. Неудивительно, что злоумышленники воспользовались ситуацией и стали активно взламывать их, чтобы использовать в качестве плацдармов для проникновения в корпоративные сети и другой вредоносной деятельности.

Количество атак на роутеры в 2020 году выросло почти втрое, количество атакованных роутеров — на 30%, прочие IoT-устройства в 2020 году также атаковали на 30% чаще. Источник: Trend Micro

Количество атак с использованием скомпрометированных роутеров в 2020 году удвоилось по сравнению с 2019 годом, при этом количество взломанных роутеров выросло лишь на 36%. Прочие устройства Интернета вещей использовались для проведения атак в 2020 году на 22% чаще, чем в 2019. Источник: Trend Micro

Учитывая низкий уровень технической грамотности большинства удаленных пользователей, для успешной реализации таких атак не требовалось значительных усилий. Закономерным следствием стал рост общего числа входящих атак на роутеры, который более чем в три раза превысил показатель 2019 года, и удвоение общего числа исходящих атак с использованием роутеров по сравнению с 2019 годом.

Во втором полугодии 2020 года исследователи Forescout обнаружили набор из 33 уязвимостей устройств Интернета вещей, получивший название Amnesia. Эти уязвимости присутствовали в большом количестве устройств Интернета вещей по всему миру, в том числе в промышленных устройствах (IIoT). Использование этих уязвимостей позволяет злоумышленникам захватить контроль над устройствами и использовать их для вредоносных действий.

Ландшафт угроз: резюме

В 2020 году инфраструктура Trend Micro Smart Protection Network защитила пользователей от более чем 62 млрд угроз, в числе которых были вредоносный спам, файлы и сайты.

В тройку самых опасных угроз вошли вымогатель WannaCry, майнер криптовалюты Coinminet и ботнет Emotet:

Самые распространённые угрозы 2020 года. Источник: Trend Micro

Количество новых семейств вымогательского ПО в 2020 году выросло на 34%. Из более чем 11 млн спам-рассылок 2020 года, почти в половине случаев в качестве вредоносного вложения использовались PDF-файлы. Второе и третье место по популярности среди киберпреступников получили XLSX и HTML.

Типы файлов, используемые в качестве вредоносных вложений в спам-кампаниях. Источник: Trend Micro

Большая часть компьютеров, на которых было обнаружено заражение вредоносным ПО, работала под управлением ОС Windows. Однако системы с macOS и Linux также были в числе пострадавших:

ОС компьютеров, заражённых вредоносным ПО в 2020 году. Источник: Trend Micro

Как справиться с угрозами

Преступники используют любые доступные средства для проведения атак, угрожающих безопасности компаний. Все это усугубляется уникальной ситуацией: из-за пандемии многие организации вынуждены защищать как физическое, так и виртуальное рабочее пространство.

В условиях гибридной рабочей среды с размытыми границами между «домом» и «офисом» необходимы многоуровневые технологии обеспечения безопасности, в составе которых должны быть средства обнаружения, расследования и реагирования на угрозы. Эти системы должны обеспечивать комплексную защиту всей среды от электронной почты и конечных устройств до серверов, сетевого оборудования и облачной инфраструктуры.

Предприятия должны сочетать эти технологии с правильными политиками безопасности. Даже с появлением более сложных атак фишинг и социальная инженерия все еще остаются самыми распространёнными векторами заражения. В связи с этим обязательной частью стратегии кибербезопасности должен стать вопрос обучения и тренировки сотрудников навыкам безопасного поведения при фишинговых атаках и противодействия социальной инженерии.

Кроме того, учитывая, что атаки на цепочки поставок регулярно используются злоумышленниками, компаниям следует оценивать безопасность своих поставщиков и других партнеров и, по возможности, объединить усилия для создания надежной защиты от таких атак.

И конечно, невозможно переоценить необходимость своевременного и эффективного управления исправлениями. Уязвимости, такие как Zerologon или появившиеся в 2021 году ProxyLogon, доказывают, что лучшее время для обновления — немедленно.

Однако реальность такова, что установка исправлений сложнее, чем кажется. Обновление всей системы часто занимает значительное время, а наличие уязвимостей нулевого дня еще больше усложняет ситуацию. Решить эту проблему может использование технологий виртуальных исправлений, которые позволят укрепить безопасность в ожидании официального исправления.

Автор — Михаил Кондрашин, технический директор Trend Micro в России и СНГ.

Компания Trend Micro представила результаты исследования состояния промышленной кибербезопасности «The State of Industrial Cybersecurity: Converging IT and OT with People, Process, and Technology», проведенного по ее заказу аналитиками Vanson Bourne. Как выяснилось, примерно три из пяти (61%) производственных компаний сталкивались с инцидентами ИБ, причём в большинстве случаев (75%) их результатом стали системные сбои. В 43% случаев перебои в работе длились более четырёх дней.

«Производственные организации по всему миру удваивают скорость цифровой трансформации, чтобы улучшить работу "умных" фабрик. Разрыв в осведомлённости о кибербезопасности в ИТ и производственных технологиях приводит к дисбалансу между людьми, процессами и технологиями, что даёт злоумышленникам возможность проводить атаки, — отмечает Акихико Омикава (Akihiko Omikawa), исполнительный вице-президент Trend Micro по безопасности Интернета вещей. — Именно поэтому компания Trend Micro объединила аналитику ИТ и производственных технологий, предлагая комплексное решение "от цеха до офиса". Мы помогаем вернуть видимость и постоянный контроль в руки владельцев "умных" фабрик».

Согласно результатам опроса, технологии (78% опрошенных) рассматриваются как самая большая проблема безопасности, хотя люди (68%) и процессы (67%) также входят в число основных проблем. При этом менее половины участников опроса заявили, что принимают технические меры для повышения уровня кибербезопасности.

Визуализация активов (40%) и сегментация (39%) — меры кибербезопасности, вероятность реализации которых самая низкая. Это свидетельствует о том, что такие меры — наиболее технически сложные для выполнения. Организации с высокой степенью сотрудничества производственных и ИТ-подразделений с большей вероятностью внедрят технические меры безопасности, чем организации с меньшей сплочённостью. Особенно большая пропасть пролегла между организациями с высоким уровнем сотрудничества производственников и ИТ-специалистов и организациями, практически не практикующих такое сотрудничество, в использовании межсетевых экранов (66% против 47%), систем предотвращения вторжений (62% против 46%) и сегментации сети (54% против 37%).

Стандарты и методические рекомендации были названы основным фактором расширения сотрудничества и в США (67%), и в Германии (51%), и в Японии (57%). Самыми популярными директивами в этой области стали Концепция кибербезопасности (Cyber Security Framework) американского Национального института стандартов и технологий (NIST) и стандарт ISO 27001 (в отношении Системы менеджмента информационной безопасности — СМИБ), разработанный совместно Международной организацией по стандартизации и Международной электротехнической комиссией.

Самым распространённым организационным изменением, о котором говорили производители во всех трёх странах, было назначение директора по безопасности.

Trend Micro рекомендует трёхэтапный технический подход к обеспечению безопасности «умных» фабрик и поддержанию их работоспособности:

1. предотвращение за счёт снижения рисков вторжения в такие точки обмена данными, как сеть и демилитаризованная зона (DMZ). Эти риски могут включать использование USB-устройств для хранения данных, ноутбуков, привезённых на завод третьими лицами, шлюзы Интернета вещей;
2. обнаружение аномального поведения сети, например, общения с сервером Command & Control (C&C) и множественных сбоев входа в систему. Чем раньше происходит обнаружение, тем проще и быстрее можно остановить атаки с минимальным воздействием на деятельность организации;
3. постоянство имеет решающее значение для защиты «умных» фабрик от любых угроз, которые были пропущены на этапах предотвращения и обнаружения. Решения Trend Micro TXOne Network для защиты промышленных сетей и конечных точек специально созданы для условий производства: они работают в широком диапазоне температур, просты в использовании и минимально влияют на производительность.

По данным компании Trend Micro, в 2020 году целью атак в первую очередь становились работающие из дома сотрудники и сетевая инфраструктура. Этот и другие факты Trend Micro опубликовала в ежегодном обзорном докладе A Constant State of Flux: Trend Micro 2020 Annual Cybersecurity Report («Постоянная изменчивость: доклад Trend Micro о состоянии кибербезопасности за 2020 год»).

В докладе, помимо прочего, рассказывается, что одной из наиболее популярных у киберпреступников целей в прошлом году стали домашние сети. С их помощью злоумышленники стремились получить доступ к корпоративным сетевым ресурсам либо использовать домашние IoT-устройства для своих ботнетов. По оценкам Trend Micro, количество атак на домашние сети выросло на 210 % и достигло почти 2,9 млрд, затронув около 15,5% роутеров. 73% этих атак использовали метод брутфорса, чтобы получить контроль над роутером или «умным» домашним прибором.

Среди 62,6 млрд угроз, заблокированных в прошлом году решениями Trend Micro, в 91% случаев вектором атаки выступала электронная почта. Это говорит о том, что фишинг остаётся крайне популярным у киберпреступников инструментом. Компанией было выявлено 14 млн уникальных ссылок, ведущих на фишинговые страницы в Сети. С их помощью злоумышленники стремились получить информацию у сотрудников, потерявших бдительность за время работы из дома.

«В 2020 году компании столкнулись с беспрецедентным количеством киберугроз, своей обширной инфраструктуре, в том числе в домашних сетях сотрудников. Основными инструментами взлома по-прежнему остаются знакомые нам тактики: фишинг, брутфорс и эксплуатация уязвимостей — эта информация должна помочь при разработке средств защиты, — отметил Джон Клэй (Jon Clay), директор подразделения Trend Micro по информированию о глобальных угрозах. — У организаций по всему миру было время, чтобы оценить операционные риски и риски для кибербезопасности, связанные с пандемией. Новый год даёт им шанс адаптироваться к новым угрозам и применить комплексные облачные системы безопасности, которые помогут защитить распределённую инфраструктуру».

Также в отчёте рассказывается о других заметных тенденциях:

• На 34% выросло количество новых семейств программ-вымогателей, которые используются для атак с «двойным вымогательством»: преступники сперва похищают данные и требуют выкуп, чтобы не публиковать их, и только после этого шифруют. Также набирают популярность целевые атаки на правительственные организации, банки, объекты промышленности и здравоохранения.
• Количество уязвимостей, опубликованных в рамках проекта Zero Day Initiative (ZDI), в 2020 году по сравнению с 2019 годом выросло на 40%. При этом Trend Micro отмечает, что киберпреступники продолжают активно пользоваться уязвимостями, известными ещё с 2005 года.
• В большом количестве атак использовались уязвимости служб VPN удалённо работающих сотрудников. CVE-2019-11510 — критическая уязвимость в Pulse Connect Secure, связанная с доступом к произвольному чтению файлов, —фигурировала в отчётах Trend Micro о 800 тыс. кибератак.
• Неверная конфигурация облачных сервисов также приводила в 2020 году к негативным последствиям. По данным Trend Micro, незащищённые API использовались киберпреступниками в нескольких атаках, связанных с майнингом криптовалют.
• В рамках инициативы ZDI обнародована информация о 1453 новых уязвимостях, почти 80% из которых относятся к критическим или обладающим высоким уровнем опасности.
• И немного о положительных тенденциях: количество выявленных BEC-атак (атаки, связанные с компрометацией деловой почты) в прошлом году снизилось на 17%, при этом компания не располагает данными об уровне успешности этих атак.

Ситуация в России и Европе

Российская Федерация в 2020 году достаточно мало пострадала от атак с применением программ-вымогателей: их количество составило всего 9,6% от общеевропейского показателя и 0,58% от мирового. Тем не менее, по количеству угроз, выявленных в сообщениях электронной почты, Россия находилась на втором месте в Европе и на пятом в мире (1245 млрд). Также высоким оказалось число серверов ботнетов и ссылок, ведущих на вредоносные сайты с хостингом в РФ (3,4 тысячи и почти 6,5 млн соответственно) и количество посещений российскими пользователями подобных сайтов по всему миру (более 14,5 млн). По общему количеству обнаруженного вредоносного ПО Россия находилась на 43 месте в мире с 1,4 млн атак.

BEC- и PoS-атак за прошедший год в стране практически не было выявлено, а вот по количеству атак на мобильные устройства Россия заняла место в мире 11 место — под подозрение решений Trend Micro попало более 5 млн приложений, из которых 21,5 тысяча оказались вредоносными. Также в РФ крайне популярными оказались атаки на домашние сети пользователей. Количество выявленных инструментами Trend Micro событий в этой сфере превысило 358 млн, что вывело Россию на первое место с 12,5% от их общемирового количества.

Компания Trend Micro представила результаты нового крупного исследования в области безопасности подключенных автомобилей — технологии, которая является частью Интернета вещей. В исследовании Cyber Security Risks of Connected Cars («Риски кибербезопасности для подключенных автомобилей») описано несколько сценариев, в которых водители могут столкнуться с атаками, угрожающими их безопасности и безопасности окружающих.

Чтобы оценить риски кибербезопасности, исследователи Trend Micro изучили уже осуществленные попытки атак. Основное внимание компания уделила проведенным удаленно атакам, в результате которых был взломан, как минимум, один электронный блок управления в автомобиле. В частности, компания использовала четыре хорошо изученных случая.

1. В 2015 году злоумышленники обнаружили легкий способ отправлять команды на автомобили Jeep американского производителя Chrysler при помощи технологии Telnet через незащищенный порт. Это привело к отзыву 1,4 млн машин.
2. В 2016 году стало известно о возможности вмешаться в работу компьютерной системы автомобиля Tesla Model S. Обнаружили это эксперты лаборатории Tencent Keen Security Lab, благодаря работе которых производитель исправил ошибки.
3. Спустя год, в 2017 году, ситуация повторилась уже с двумя моделями Tesla: Model S и Model X. Производитель вновь исправил ошибки, обнаруженные сотрудниками Tencent Keen Security Lab.
4. В 2018 году Tencent Keen Security Lab удалось успешно атаковать подключенные автомобили BMW.

В докладе раскрывается масштаб изученных рисков кибербезопасности. Исследователи оценили 29 реальных сценариев атаки согласно модели угроз DREAD, которая позволяет провести качественный анализ рисков. Такие атаки могут удалённо осуществляться против транспортных средств-жертв и/или из них. Вот несколько примеров:

• DDoS-атаки на интеллектуальные транспортные системы (ИТС) могут нарушить связь с автомобилями, и риск этого очень высок;
• открытые и уязвимые подключенные автомобильные системы легко обнаружить, что повышает риск злоупотреблений;
• более 17% всех исследованных векторов атак относились к группе высокого риска: они требуют лишь ограниченного понимания технологии подключённых автомобилей и могут быть выполнены даже злоумышленником с низкой квалификацией.

«Наше исследование показывает, что у злоумышленников есть широкие возможности для злоупотребления технологией подключенных автомобилей, — говорит Райнер Фосселер (Rainer Vosseler), менеджер по исследованию угроз компании Trend Micro. — К счастью, сейчас возможности для атак ограничены, а преступники не нашли надёжных способов их монетизировать. C появлением новых регламентов ООН, предписывающих, чтобы все подключенные автомобили имели встроенные решения для кибербезопасности, а также с подготовкой нового стандарта ISO сегодня настало время для заинтересованных сторон в отрасли обеспечить лучшее выявление и устранение киберрисков, поскольку уже приближается будущее, в котором подключённые и автономные автомобили будут встречаться повсеместно».

«К 2030 году количество подключённых автомобилей достигнет 700 млн, а количество автономных транспортных средств приблизится к 90 млн, — добавляет технический директор Trend Micro в РФ и СНГ Михаил Кондрашин. — Фактически уже сегодня новая автомашина оснащена технологиями для подключения к сети. Поэтому вопрос их защиты актуален прямо сейчас».

По прогнозам, в период с 2018-го по 2022 год по всему миру будет поставлено более 125 млн легковых автомобилей со встроенными возможностями для подключения к Интернету, а также продолжит развиваться направление полностью автономных транспортных средств. Подобный прогресс приведет к появлению сложной экосистемы, которая будет включать облачные решения, интернет вещей, 5G и другие ключевые технологии. Значительно увеличится и поверхность атаки, которая потенциально будет состоять из миллионов конечных точек и конечных пользователей.

По мере развития отрасли появятся многочисленные возможности для монетизации и саботажа для киберпреступников, хактивистов, террористов, национальных государств, инсайдеров и даже недобросовестных операторов, предупреждает отчет. Во всех 29 исследованных векторах атак общий риск успешности кибератак был оценен как средний. Однако по мере того, как приложения SaaS встраиваются в электрическую/электронную архитектуру транспортных средств, а киберпреступники создают новые стратегии монетизации, риски могут значительно возрасти.

Чтобы снизить риски, описанные в исследовании, система безопасности подключенных автомобилей должна охватывать все критические области для защиты сквозной цепочки поставки данных. Компания Trend Micro предлагает такие общие рекомендации по защите подключенных автомобилей:

• оценивать риски компрометации как весьма вероятные и использовать эффективные инструменты для оповещения, сдерживания и смягчения последствий;
• защищать сквозную цепочку передачи данных по электронной сети автомобиля, сетевой инфраструктуре, внутренним серверам и через центр управления безопасностью транспортных средств (Vehicle Security Operations Center — VSOC);
• делать выводы из зафиксированных атак и используйте их для дальнейшего укрепления защиты и предотвращения повторных инцидентов;
• использовать технологии безопасности — межсетевой экран, шифрование, управление устройствами, безопасность приложений, сканер уязвимостей, подпись кода, IDS для CAN, AV для головного устройства и другие.

Компания Trend Micro объявила о выходе специализированной платформы для защиты от угроз Vision One, позволяющей радикально снизить число уведомлений о потенциальных атаках, помогая специалистам по информационной безопасности сконцентрироваться на реальных угрозах. В основе Vision One лежит технология сервисов расширенного обнаружения и реагирования на угрозы (XDR). Кроме того, платформа содержит новые возможности, позволяющие специалистам ИБ охватывать взглядом больше информации об угрозах и быстрее на них реагировать.

Работу организаций сегодня затрудняют, с одной стороны, наличие большого числа разрозненных инструментов и оповещений и, с другой, существование скрытых и комплексных угроз, причём такое положение дел наблюдается и в тех компаниях, где имеется центр управления информационной безопасностью (SOC), и там, где его функции выполняют ИТ-команды, вынужденные работать на пределах своих возможностей. Новая платформа Trend Micro Vision One, являющаяся усовершенствованным XDR-решением, обеспечивает новый уровень визуализации рисков, интеграции со сторонними сервисами и более простое реагирование на оповещения об угрозах на всех уровнях безопасности.

«Раньше нашу команду просто заваливало предупреждениями об угрозах, которым было крайне сложно присвоить определённую приоритетность. Это снижало производительность сотрудников и подвергало организацию дополнительным рискам, — отметил Аарон Каннингхэм (Aaron Cunningham), вице-президент по вопросам ИТ компании Glazer’s Beer and Beverage. — Решение Trend Micro помогает видеть контекст и отсеивать лишние уведомления и в результате оперативно реагировать на реальные угрозы кибербезопасности. Полная же интеграция с нашим SIEM (системой управления информацией и событиями безопасности) означает, что при этом мы не теряем выгоду от уже существующих инвестиций».

Благодаря Trend Micro Vision One организации получают возможность значительно повысить эффективность своих систем кибербезопасности, используя более простые инструменты в качестве составных частей для единой комплексной платформы. Vision One даёт им возможность быстрее анализировать инциденты, выявлять характерные паттерны сложных атак и наиболее опасных угроз, а также понять реальный уровень защищённости инфраструктуры, чтобы превентивно устранять потенциальные риски.

В докладе Gartner Innovation Insight for Extended Detection and Response («Инновации в сфере XDR») от марта 2020 года говорится: «Две крупнейших проблемы для всех организаций, в которых есть службы ИБ, — это наём и удержание технически подкованных сотрудников, а также создание системы, в которой возможна эффективная настройка инструментов для защиты от киберугроз, их быстрое обнаружение и реагирование на атаки. И большинству организаций крайне сложно решить обе проблемы одинаково эффективно».

В числе ключевых возможностей новой платформы Trend Micro особо выделены следующие:

• выявление и анализ угроз: модели для обнаружения угроз на различных уровнях инфраструктуры и аналитические данные Trend Micro позволяют обеспечить видимость рисков кибербезопасности, дают предприятиям возможность выявлять сложные атаки и конкретные точки риска, которые можно не заметить при работе с разрозненными решениями;
• создание специализированных сенсоров: доступна полная интеграция со стеком инструментов Trend Micro для обеспечения безопасности на всех критически важных уровнях инфраструктуры;
• совместимость с существующими решениями: API не требует дополнительной настройки или изменения для интеграции с уже используемыми решениями от сторонних производителей;
• упрощённое управление: поддерживается настройка политики безопасности и реагирования на полученные предупреждения с использованием единой консоль вместо переключения между множеством различных программ.

«Три десятилетия инноваций позволили Trend Micro встать в авангард постоянно развивающегося рынка XDR. Но по мере того, как на нём появляется всё больше решений, мы продолжаем идти дальше и готовы предложить клиентам больше, — отметил Кевин Симзер (Kevin Simzer), исполнительный вице-президент по продажам и маркетингу Trend Micro. — Наша платформа Trend Micro Vision One даёт возможность быстрее выявлять критические угрозы и реагировать на атаки, а также повышает эффективность работы команд ИБ. И она готова изменяться вместе с ландшафтом угроз и инфраструктурой наших клиентов».

В дополнение к многоуровневой системе безопасности Trend Micro клиенты могут использовать новую платформу с любыми другими технологиями от сторонних производителей, включая системы защиты конечных устройств, SIEM и SOAR, например, Fortinet, IBM Qradar и Microsoft Sentinel. Клиенты, которые уже успели поработать с Vision One, готовы выйти за рамки SIEM и SOAR и интегрировать её с межсетевыми экранами, решениями для тикетинга и системами управления идентификацией и доступом пользователей.

Исследование «Кибербезопасность для руководства и совета директоров» ("Cybersecurity in the C-suite and Boardroom"), проведенное аналитиками Enterprise Strategy Group (ESG) при спонсорской поддержке компании Trend Micro, выявило системные трудности в интеграции мер безопасности в бизнес-процессы. Исследование показало, что только 23% организаций уделяют должное внимание согласованию мер безопасности с ключевыми бизнес-инициативами.

Аналитики предложили следующие рекомендации по решению этой важнейшей проблемы:

1. Нанять менеджера службы информационной безопасности (BISO), чтобы улучшить согласованность между бизнесом и безопасностью.
2. Разработать комплексную программу с четкими показателями, которая поможет директорам по информационным технологиям (CISO) наладить общение с советом директоров.
3. Изменить структуру отчетности, чтобы директоры по информационной безопасности отчитывались непосредственно перед генеральным директором.

Также выяснилось, что когда члены совета директоров более образованы и вовлечены в функцию кибербезопасности, они задают сложные вопросы, глубже разбираются в проблемах и с большей вероятностью перейдут от технических к бизнес-вопросам.

Подавляющее большинство (82%) респондентов заявили, что киберриски за последние два года выросли — в первую очередь из-за роста угроз, увеличения масштабов корпоративных атак, а также потому, что бизнес-процессы теперь зависят от технологий более, чем когда-либо.

Несмотря на быстрое внедрение процессов цифровой трансформации в прошлом году, безопасность по-прежнему принято рассматривать в первую очередь (41%) или полностью (21%) как область технологий.

Проблема недостаточного приоритета кибербезопасности особенно актуальна для совета директоров. Хотя 85% респондентов заявили, что на данный момент совет директоров больше вовлечён в принятие решений и формирование стратегии безопасности, чем два года назад, часто это вынужденное вовлечение — из-за серьёзных нарушений, новых требований соответствия или после создания по инициативе CISO программы безопасности.

Фактически 44% респондентов указали, что совет директоров ограниченно участвует во многих критических операциях по кибербезопасности. Такое отсутствие вовлеченности означает, что многие советы директоров готовы финансировать только выполнение минимальных требований по соответствию и защите.

«Стремления обеспечить "приемлемый" уровень безопасности, откровенно говоря, уже недостаточно, учитывая существующую картину киберрисков. В нашем отчете отражены результаты множества моих бесед с CISO, в которых подчеркивается, что отсутствие участия совета директоров может привести к плохой кибергигиене и к тому, что меры безопасности не интегрированы должным образом в бизнес-процессы, — говорит Эд Кабрера (Ed Cabrera), директор по кибербезопасности Trend Micro. — Мы сможем создать культуру кибербезопасности только в том случае, если генеральные и корпоративные директора подадут пример. Это побудит каждого сотрудника поверить в то, что он играет важную роль в защите организации».

Как утверждается в докладе Trend Micro «Меняя ход событий» («Turning the Tide»), главными целями для атак в 2021 году станут домашние сети, программное обеспечение для удалённой работы и облачные системы, причем в качестве основного плацдарма для взлома корпоративных ИТ- и IoT-сетей киберпреступники будут в первую очередь использовать домашние сети.

«В мире, пережившем пандемию, тенденция к переходу на удалённую работу, вероятно, сохранится во многих организациях. Мы прогнозируем, что корпоративные данные и сети будут подвергаться всё более агрессивным атакам, — говорит Джон Клэй (Jon Clay), директор отдела информирования о глобальных угрозах Trend Micro. — Службы ИТ-безопасности будут вынуждены удвоить усилия по обучению пользователей, расширить меры по обнаружению и реагированию на угрозы, а также взять на вооружение адаптивные средства контроля доступа. В 2020 году нашей задачей было выживание. Теперь же настало время развивать бизнес, в чём поможет комплексная система облачной безопасности».

Авторы доклада предупреждают, что наибольшему риску подвергнутся конечные пользователи, регулярно работающие с конфиденциальной информацией: например, специалисты HR-отделов, получающие доступ к персональным данным сотрудников, менеджеры по продажам, работающие с конфиденциальной информацией о клиентах, или руководители высшего звена с допуском высокого уровня к показателям своих организаций. Скорее всего, для атак будут использоваться не уязвимости нулевого дня, а уже известные и обнародованные уязвимости программного обеспечения для совместной работы и повышения производительности труда.

По мере увеличения популярности киберпреступных инструментов в рамках модели «доступ как услуга» объектами атак всё чаще будут становиться домашние сети ценных сотрудников, корпоративные ИТ- и IoT-сети. Отделы ИТ-безопасности должны будут коренным образом изменить политики и средства защиты, связанные с обеспечением работы из дома, чтобы добиться снижения сложности гибридных сред, в которых рабочие и личные данные объединяются на одной машине. Чтобы расширить возможности и уровень защиты удалённых сотрудников, всё чаще будут использоваться модели безопасности с нулевым доверием («Zero Trust»).

В связи с распространением интеграции со сторонними организациями компания Trend Micro также предупреждает, что открытые API-интерфейсы станут одними из самых популярных векторов атаки, так как они позволяют получить доступ к конфиденциальным данным клиентов, исходному коду и внутренним службам.

В 2021 году по-прежнему будут часто использоваться для атаки облачные системы: злоумышленники не оставят попыток захватить облачные серверы для развёртывания вредоносных образов контейнеров, используя как ошибки настройки облачных сред, так и ничего не подозревающих пользователей.

Для предотвращения угроз в 2021 году Trend Micro рекомендует предпринять следующие действия:

• обучать пользователей наиболее эффективным методам обеспечения корпоративной безопасности в домашних сетях, в том числе рекомендовать сотрудникам не применять для работы личные устройства;
• поддерживать строгий контроль доступа как в корпоративных сетях, так и в домашних офисах, в том числе с использованием модели нулевого доверия;
• активно продвигать наиболее эффективные методы и программы для обеспечения безопасности и управления обновлениями;
• расширять возможности обнаружения угроз за счёт расширения компетенций в области безопасности для поддержания постоянной защиты облачных данных, электронной почты, конечных устройств, сетей и серверов.

Киберпреступников по-прежнему будут привлекать наиболее «денежные» места, позволяющие получить максимальную выгоду от атаки. Организации и службы безопасности должны сохранять гибкость и оставаться бдительными, чтобы опередить преступников.