Выявить и отразить
В последние годы целевые атаки стали из редко встречающейся в практике «страшилки» серьезным фактором, влияющим на многие сферы, вплоть до международной политики. Уже лет 5 они рассматриваются бизнесом как угроза, последствия которой сопоставимы с ростом международной напряженности и глобальными экономическими тенденциями.
Ларри Эллисон, основатель и технологический директор компании Oracle, не так давно сказал: «Компании проигрывают кибервойну, и с каждым годом ситуация становится все хуже. Они должны защищаться от государств и использующих очень изощренные методы киберпреступников, которые крадут данные». И в своих оценках он совсем не одинок. Практически каждый день на ленты информагентств приходят новости о том, что выявлена кибератака против той или иной компании, государственного ведомства, общественной организации или отдельной значимой персоны, будь то политик, крупный бизнесмен или какая-то медийная фигура. По данным опроса «Лаборатории Касперского»[1], за последний год с целевыми атаками столкнулись 21,5% российских организаций.
Важной тенденцией последних лет является то, что хакерские инструменты начинают активно использовать также традиционная преступность. Благо что соответствующие сообщества все чаще сами предоставляют свои наработки в аренду всем желающим, да и готовых инструментов для проведения атак все больше, и пользоваться ими не так уж сложно. С другой стороны, и криминал, и спецслужбы, как государственные, так и корпоративные, а такие тоже есть, и даже политические группировки, в том числе террористические, тоже обзаводятся своими штатными хакерами или привлекают кибернаемников. Впрочем, по мнению многих специалистов, хактивисты являются наименее квалифицированными среди хакеров, что, однако, не мешает им «брать числом».
По оценке профессора Джоджтаунского университета (США) Тайвиша Вайди, эта ситуация сложилась к 2009 году. Хотя случаи атак на ИТ-инфраструктуру были и раньше. Но до начала мирового кризиса в 2007 году большие массы людей с соответствующими навыками могли сравнительно легко найти хорошо оплачиваемую работу, и шли по криминальной дороге лишь единицы явных социопатов. Но уже к рубежу 2007-2008 годов образовалась большая масса невостребованных ИТ-специалистов, многие из которых начали использовать свои навыки во зло.
При этом атаки, целью которых является шпионаж, могут длиться очень долго. Эксперты «Лаборатории Касперского» оценивают средний срок выявления целевой атаки в компании – более полугода. В России это время несколько больше, от 9 месяцев. Но есть примеры и того, что активность злоумышленников оставалась незамеченной годы. Абсолютным рекордом является период в пять лет. Впрочем, это не относится к той ситуации, когда целью атаки была прямая кража, не важно, денег или какой-то важной информации, или диверсия.
Размер при этом не имеет значения. Во-первых, небольшие компании часто используются как трамплин для атаки на крупные корпорации или банки, чьими партнерами они являются. Во-вторых, многие группировки продолжают «бить по площадям», действуя по принципу из анекдота: «пять старушек – уже рубль». Есть и такие атаки, где организаторам важнее пропагандистский эффект, чем прямой материальный мотив. Целью обычно являются совсем незащищенные объекты.
Успеху злоумышленников, ведущих целевые кибератаки, способствует целый ряд факторов. Основными из них являются следующие: ·
-
недостаточная для существующих угроз система защиты;
-
недостаточная ИБ-грамотность - осведомленность сотрудников, включая руководителей и привилегированных пользователей (администраторов, специалистов внешних ИТ-подрядчиков, аудиторов и т.п.);
-
конвергентность, непрозрачность ИТ-среды, «зоопарк» решений;
-
устаревшее ПО, включая прошивки программно-аппаратных комплексов;
-
отсутствие у специалистов по безопасности знаний в области исследования вредоносных программ, реагирования на инциденты и аналитики киберугроз.
Не стоит также забывать о так называемых «уязвимостях нулевого дня»: когда хакеры находят и используют проблемные места в ПО, естественно, не сообщая об этом разработчикам этого ПО. Эти же угрозы используются и в кибероружии, применяемом спецслужбами разных стран. Тем более, не так давно арсенал АНБ оказался похищен одной из хакерских группировок и сначала выставлен на продажу, а затем и вовсе оказался в свободном доступе, так что сейчас такого рода средства оказались в распоряжении буквально всех желающих. И хотя в этом случае производители оперативно закрывают уязвимости, пользователи, особенно корпоративные, не очень-то торопятся «накатывать» обновления на свои системы.
Еще одним средством достижения целей являются манипулятивные технологии или социальная инженерия. Весьма незатейливые приемы позволяют злоумышленникам выведывать данные, которые превращают взлом во вполне тривиальную задачу. Таким образом, например, можно узнать данные о действующих учетных записях или внедрить вредоносное ПО на нужный компьютер. Ничего не мешает заставить сделать то же самое и другими методами, например, с помощью шантажа или других средств давления. Как показывает практика, 86% пользователей переходят на фишинговые ресурсы, а половину удается заманить на поддельные странички, что позволит заразить их ПК вредоносным ПО или выманить данные, например, кредитной карты.
Решение для защиты от атак должно быть комплексным – метод «огородиться надежным безопасным периметром и сидеть за ним», увы, не работает в сегодняшних реалиях. Защитные системы, даже лучшие в своем классе, внедренные без стратегического плана и учета всех возможных факторов, могут оказаться малоэффективными, способными отразить лишь наиболее простые массовые атаки. Кроме того, необходимо выявлять и анализировать множество взаимосвязанных событий, чего разрозненные системы делать не могут. Так что нужна будет как минимум система мониторинга и корреляции событий в области безопасности (SIEM), которая бы консолидировала данные с разных систем защиты и вела их анализ, причем в рамках единого комплексного процесса.
Не лишним будет внедрение ситуационного центра по безопасности (SOC), который представляет собой аналитическое решение, работающее поверх SIEM.
При этом стоит иметь в виду, что многие решения, которые позиционируются на рынке как средства для борьбы со сложными угрозами, представляют собой обычные «песочницы». При этом злоумышленники научились их обходить, например, активируя основные вредоносные функции со значительной задержкой во времени. Не секрет, что 80% «песочниц» считают код безопасным, если он не проявлял подозрительной активности в течение 3 бизнес-дней.
SOC также далеко не всегда является панацеей. Вполне может оказаться и так, что выбранное решение просто не будет справляться с нагрузкой. Нельзя исключить риск того, что атаку не смогут вовремя обнаружить сотрудники из-за нехватки квалификации. Да и злоумышленники вполне могут пользоваться перехваченными логинами реальных сотрудников, а в таком случае даже самые лучшие средства не обратят на это внимания. Плюс ко всему, как показывает практика, как минимум 70% по-настоящему серьезных атак проводятся с использованием специально разработанного для этого заказного вредоносного ПО, а не массовых зловредов.
Поэтому так важно выстраивать комплексную, адаптивную и «умную» систему безопасности, которая сможет выстраивать модели нормальной работы всех систем и выявлять аномалии. Кроме того, не лишним будет использовать систему уровня EDR (Endpoint Detection and Response) для моментального выявления угроз и реагирования на киберинциденты на конечных устройствах. При этом сами по себе защитные решения не будут полностью эффективны в изоляции, если не «подпитывать» их внешними экспертными данными и оперативной информацией об актуальных киберугрозах.
Так что необходимо, с одной стороны, использовать решения от лидеров рынка, и, с другой, не стесняться использовать услуги внешних подрядчиков. Так, последние разработки «Лаборатории Касперского» для обнаружения и противодействия таргетированным атакам – Kaspersky Anti Targeted Attack Platform (КАТА) и Kaspersky Endpoint Detection and Response (KEDR) сочетают в себе новейшие технологии вендора и более чем 20-летним опытом экспертов. Эти системы созданы на основе комплекса, который сама «Лаборатория Касперского» успешно применяет уже более десяти лет. Не без помощи KATA удалось успешно отразить далеко не одну атаку, за которыми стояли опытные кибергруппировки. В том числе именно с помощью Kaspersky Anti Targeted Attack Platform (во время внутреннего бета-теста) была обнаружена нашумевшая таргетированная атака на саму «Лабораторию Касперского» группировкой Duqu 2.0 в 2015 году. Что касается привлечения внешних специалистов, то это лучший способ для решения таких групп задач, как исследование вредоносного ПО, сбор доказательств, реагирование на инциденты, поиск угроз.
текст: Яков Жондоров[1] Источник https://www.kaspersky.ru
Опубликовано 31.05.2018