Cisco про ИБ
Компания Cisco опубликовала очередной ежегодный отчет по информационной безопасности. Этому была посвящена пресс-конференция, на которой с обширным докладом выступил Алексей Лукацкий, эксперт Cisco по вопросам ИБ.
В прошлом году вендор объединил все департаменты, работа которых была связана с ИБ, в подразделение Cisco Talos. Туда же вошли четыре купленные за последние два года ИБ-компании. Теперь это подразделение занимается всеми вопросами, связанными с ИБ, в том числе составлением ежегодного отчета. Вторую часть отчета составили результаты опроса сотрудников 1700 компаний, которые занимаются этой темой.
Отмечено, в частности, что на протяжении последних лет действия злоумышленников становятся более изощренными. Если два-три года назад популярными были массированные рассылки, то теперь злоумышленники стараются быть максимально незамеченными и, как следствие, предпочитают распределенные атаки. Примером может служить угроза snow-shoes или «снегоступ», когда небольшими порциями (по одному-два сообщения) из большого числа доверенных источников, входящих в белый список, рассылается спам, который проходит через все защитные фильтры. Злоумышленники теперь не стараются заманить пользователя на какой-то свой подставной сайт, они уверенно ломают доверенные сайты страховых компаний, метеобюро, бизнес-новостей, сайты по продаже билетов и др. Одно дело – заманить 100 пользователей в сутки на подставной сайт, и другое – когда взломан сайт по продаже билетов и за день получено несколько сот тысяч потенциальных жертв.
Тенденцией стала и следующая технология: если раньше атаки осуществлялись в течение нескольких дней, то теперь уходят месяцы только на подготовку к атаке. Злоумышленники в этом случае выполняют роль IT-департаментов со знаком минус: на специальных стендах тщательно тестируют способы обхода средств защиты, после чего начинают атаковать значительно более эффективно и атака при этом занимает всего несколько минут.
Еще одна тенденция, с каждым годом только нарастающая, – превращение киберпреступности в индустрию. Появился даже термин Crime-as-a-Service, когда отдельные сервисы преступников начинают продаваться, сдаваться в аренду. Например, сдача в аренду серверов, через которые очень сложно отследить источник атаки, или бот-сетей, с которых можно осуществлять DDOS-атаки, продажа сервисов, позволяющих проверить, может ли вредоносная программа быть обнаружена десятками различных антивирусов. Существуют сайты с месячной абонентской оплатой, на которых злоумышленники могут проверить свой вредоносный код на предмет обхода 50-60 антивирусных программ. При этом киберпреступность начинает полностью копировать привычную бизнес-среду и стандартные бизнес-модели: службу поддержки, абонентское обслуживание, выезд курьеров, возврат денег, если клиент недоволен. Для противопоставления этой бизнес-среде в 2015 году планируется создание различных альянсов по ИБ, государственно-частных партнерств и межгосударственных соглашений в данной области.
Еще одна тенденция 2014 года, отметил Алексей Лукацкий, использование недостатков в настройке пользовательских ПК, приложений, а также того факта, что люди много часов в день сидят в Интернете. Для этого используются уязвимости или некорректно настроенные браузеры либо электронная почта. Стоит отметить, что в последние месяцы активно атакуют продукцию Apple. При этом множество пользователей получают сообщение, в котором за небольшую плату (1000–2000 рублей) предлагается разблокировать телефон-планшет-ноутбук, в противном случае все данные будут уничтожены. Как осуществляется данная атака? Взламывается почтовый ящик либо через уязвимость в браузере, либо заставляя пользователя зайти по фишинговой ссылке и ввести свой логин-пароль какому-то почтовому сервису. Затем перехватывается управление почтовым ящиком, на который обычно зарегистрировано Apple-id, и с помощью сервиса Apple («найди свой iPhone») блокируется устройство, а в почтовом ящике ставится фильтр, который не позволяет получать всю почту от компании Apple. Когда пользователь пытается зайти на сайт Apple, чтобы обнулить свой пароль или отправить ссылку на его восстановление, там таких сообщений не получают – их не пропускает тот самый фильтр. Пользователь вынужденно платит деньги, но ему никакого доступа не возвращают, а начинают раз за разом требовать очередную тысячу рублей…
В 2014 году киберпреступники начали серьезно заниматься лингвистикой. Было обнаружено сообщение, которое имело 95 вариантов написания: чтобы обойти традиционные фильтры, применялись разные форматы, кодировки, латиница, кириллица и т. д. Таким образом, один-два ИБ-продукта уже не справляются с таким наплывом спама.
Алексей Лукацкий также отметил, что еще несколько лет назад злоумышленники активно пользовались прорехами в технологии Java. Разработчики за два последних года уделили серьезное внимание безопасности этого продукта, в результате число угроз снизилось. Количество угроз на pdf- и флеш-ролики за год не изменилось. Эти угрозы остались одними из самых популярных. Усилились атаки и на технологию SilverLife от Microsoft для демонстрации видео. Cisco отмечает взрывной рост использования злоумышленниками баннеров, с которыми очень сложно бороться рядовому пользователю.
Если говорить о российской ИБ-специфике, то наша страна мало чем отличается от большинства других. Рынок российской киберпреступности оценивается примерно в 1,5% от общемирового, который составляет порядка $115 млрд. Кстати, у большинства мировых отраслей Россия составляет от 0,5 до 2,0% мирового бизнеса.
Человеческий фактор становится одним из ключевых. Рядовой корпоративный пользователь находится между молотом и наковальней: между службами ИБ и злоумышленниками. А специалистов в области ИБ не хватает около 1 млн по всему миру и 50 с лишним тысяч в России. Причем потребность за 2014 год выросла в 12 раз. Вузы и учебные центры неспособны с такой скоростью выдавать на-гора столько специалистов.
Кстати, на Всемирном экономическом форуме генеральный директор Cisco Джон Чемберс (John Chambers) сказал, что имеется два типа компаний: те, что уже взломали, и те, кто об этом еще не знает. И в отчете, опубликованном в преддверии форума, три из десяти ключевых глобальных рисков касаются ИБ, тогда как в предыдущем году – только один из десяти.
В России наиболее серьезно выглядит разрыв между реальной и «бумажной» безопасностью: ни в одной стране мира нет такого числа нормативных актов. Важна и фрагментация защиты: по данным исследования, в среднестатистической крупной компании используется продукция 50 вендоров по ИБ. Это разрозненные продукты между собой никак не связанные, нет интерфейсов по обмену информацией между ними. Нет и интерфейса для управления всеми этими продуктами.
Кстати, число стартапов в этой области за два года выросло на порядок. На российском рынке таких стартапов в 2013 году было 20, а в 2014 году – уже 37. Стоит серьезная задача обмена информации между различными ИБ-продуктами. Cisco в конце 2014 года анонсировала несколько продуктов, разработанных совместно с российскими компаниями Positive Technologies, «Фактор ТС», «Инфотекс», «Элвис Плюс».
Существует еще одна проблема – перенос акцента с качества продуктов на их маркетинг. Слишком быстро выпущенные продукты страдают большим количеством уязвимостей, это в большой степени касается открытых протоколов и open-source-решений. Одной из тенденций, отмеченных в середине 2014 года, стало внедрение SDLC, или защищенного программирования не только в области ИБ.
Опубликовано 05.02.2015