Киберпоединок брони и снаряда

На прошлой неделе компания Cisco познакомила журналистов со своим ежегодным отчетом, посвященном наиболее распространенным проблемам, возникающим в сфере ИБ. Впервые исследование Cisco базировалось на данных, полученных из опросов не только западных, но и российских специалистов по ИБ. Поэтому цифры, приведенные в отчете относятся, в частности, и к нашей стране. Также впервые отчет выпущен одновременно на двух языках: английском и русском.

В двухчасовом выступлении ведущий мероприятия, бизнес-консультант по безопасности компании Cisco Алексей Лукацкий подробно рассказал о тенденциях в сфере кибербезопасности.  По его словам, сегодня получает распространение новый термин - «цифровизация». Это означает, что появляются новые продукты, технологии, компании, альянсы, стандарты. Данные говорят о том, что за последние три года также сильно возросло количество стартапов в области ИБ.

Сам отчет разбит на три части. Первая посвящена действиям злоумышленников. Вторая – действиям специалистов по ИБ, а третья освещает мировые тренды в индустрии.

Алексей сказал, что основой отчета стали два источника данных: «Для анализа угроз была использована система глобальной телеметрии от компании Cisco. Это огромное количество разбросанных по Интернету сенсоров, которые анализируют трафик и ищут следы противоправной деятельности. Например, в день таким образом анализируется около 500 миллиардов сообщений электронной почты на предмет методик, используемых спаммерами, фишинговых ссылок, вредоносного кода. Через эти ловушки анализируется около 60 миллиардов веб-запросов. Около 20 миллиардов угроз в день блокируется с помощью различных решений компании. Другой источник – опросы среди директоров по ИБ. Как руководство компаний видит безопасность и риски внутри компании и как специалисты по безопасности оценивают свои возможности противостоять угрозам».

В отчете отмечено, что злоумышленники становятся более квалифицированными, а атаки – более незаметными. Растет эффективность проникновения, растут доходы тех, кто организует атаки. При этом специалисты по ИБ теряют уверенность в своих возможностях по защите компаний. Это новая тенденция. В качестве примера Алексей Лукацкий привел вредоносный код Англер (Angler), который отрабатывает 90 тыс. целей в день. Около 40% из этих целей заражается, из них 62% получают полный букет вредоносных программ, что приводит к шифрованию всей информации на жестких дисках. Перед пользователем встает выбор: проститься с данными, попытаться своими силами решить проблему или заплатить злоумышленникам. Разумеется, такая оплата не гарантирует возврат данных. «Статистика Cisco показывает, что пользователь платит выкуп в 3% случаях. Средняя сумма выкупа составляет $300. Соответственно $3-4 миллиона – это доход только одной хакерской компании», - говорит Алексей Лукацкий.

Есть технологии, помогающие вредоносной программе оставаться незаметной как можно дольше, чтобы ее было сложно перехватить, было сложно найти командные сервера. В случае с Англером существовало множество серверов-посредников от зараженного сайта до пользователя. При выходе правоохранительных органов на одного из них, узел исключался из цепи и управление передавалось другому. Источником заражения были рекламные флеш-баннеры, направляющие пользователя на зараженный сайт с которого и загружался вредоносный код Англер. Причем занести эти сайты в черные списки было затруднительно, так как каждый сайт использовался не более десяти раз. Многие средства защиты здесь бессильны.

Еще одна тенденция в ИБ – атаки из Азии. Cisco проанализировала вредоносный трафик с географической позиции и выяснила, что лидерами являются Китай и Гонконг. В этих странах огромное количество зараженных узлов, которые никто не патчит, не отслеживает и не блокирует. Злоумышленники активно пользуются этой никем не контролируемой инфраструктурой.

Следующим популярным трендом, по мнению Алексея Лукацкого, является взлом SSH серверов. Таким образом была создана бот-сеть SSHPsyho или «группа93», в задачи которой входил взлом серверов, находящихся под управлением протокола SSH для удаленного защищенного доступа. «Многие администраторы используют этот протокол, чтобы в случае возникновения каких-либо проблем иметь возможность перезагрузить сервер или поставить обновление удаленно. Но при использовании этого протокола для доступа необходимы только логин и пароль, двухфакторная аутентификация не используется. Поэтому злоумышленниками была создана бот-сеть SSHPsyho, которая пыталась подбирать пароли. Сеть была развернута на территории Китая. И как в известном анекдоте, после миллиардного запроса со стороны Китая, сервер сдался. По данным Cisco на пике действия, более 35% интернет трафика по протоколу SSH принадлежало этой бот-сети. Это стало серьезной проблемой для владельцев серверов, находящихся под управлением SSH», - комментирует Алексей Лукацкий.

Не менее интересная тема связана с WordPress. Известно, что злоумышленники активно пользуются уязвимыми серверами, которых в Интернете существует огромное количество. В том числе на платформе WordPress. «Компании создают свои сайты, а пользователи – свои блоги. По истечении короткого времени многие из этих сайтов и блогов пользователями забрасываются, при этом площадка в Сети функционирует. Злоумышленники сканируют Интернет в поисках этих площадок, перенаправляют пользователей на взломанный сайт через флеш-ролики на базе Java. В итоге компьютер пользователя оказывается заражен шифровальщиком Cryptowall. После чего пользователю поступает предложение оплатить расшифровку через анонимную сеть TOR», -рассказывает Алексей. По данным Cisco c февраля по октябрь 2015 года количество зараженных доменов WordPress выросло на 221%.

Одной из популярных технологий, с помощью которой происходит заражение компьютера является Flash. Поскольку он является встроенным плагином для многих браузеров, этим часто пользуются злоумышленники. Массовое применение и обусловили его популярность в среде хакеров. Использование Flash зафиксировано в 98% случаях хакерских программ.

Следующий тренд состоит в росте интереса злоумышленников к мобильным платформам. По словам Алексея Лукацкого, если до 2015-го года основной мишенью была платформа Андроид, то теперь большой интерес представляет продукция компании Apple. Сейчас эта компания лидирует по числу опубликованных уязвимостей в ИТ-продуктах.

За прошедший год компания Cisco отследила активность трех типов ботнетов. Первые – это многоцелевые ботнеты, которые предназначены для разных задач: для рассылки спама, для организации DDOS атак, для установки вредоносного кода. Второй тип – бот-сети для так называемого «скликивания». Реклама в Интернете – серьезный рынок, для рекламодателей количество заходов на их сайт является показателем эффективности рекламы. Но далеко не всегда это количество соответствует реальности. Иногда в браузер устанавливается незаметный плагин, который также незаметно для пользователя кликает по рекламным баннерам. Таким образом накручивается несуществующий трафик. И третий – банковские ботнеты. «Злоумышленники постоянно обновляют вредоносное ПО для кражи денег в банках. Причем делают это сегментировано: под отдельные страны, отдельные банки и т.д.», - говорит Алексей Лукацкий.

Еще одной проблемой, по словам Алексея, является неконтролируемое использование DNS. Злоумышленники используют DNS протокол для решения трех задач: для управления вредоносным кодом, для утечки данных, для перенаправления трафика, его перехвата и последующего анализа. По данным компании Cisco 90% вредоносного ПО использует DNS для своей деятельности и около 70% организаций вообще не отслеживают DNS протоколы.

По прежнему остается популярным заражение компьютеров через браузеры. Более 85% опрошенных компаний страдают от этих заражений каждый месяц в силу того, что не уделяется необходимого внимания защищенным настройкам пользователей.

Характеризуя популярность  способов проникновения вредоносных программ, Алексей Лукацкий подчеркивает, что на первом месте стоят атаки через социальную сеть Facebook. Именно она является основным рассадником вредоносного кода. На втором месте – использование Java-скрипта, встроенного в веб-сайт. На третьем –различные загрузчики, расширения для Windows, фишинг и т.д.

Кого чаще всего атакуют? В первую четверку входит госсектор, ИТ-компании, медицинский сектор и поставщики профессиональных услуг: юристы, консалтеры и т.д. Секретная информация пользуется большим спросом на черном рынке. А есть спрос – значит будет и предложение.

Вторая часть доклада Алексея Лукацкого была посвящена тому, как специалисты по ИБ оценивают свой уровень защищенности. «К сожалению здесь мы позитивным похвастаться не можем. Уверенность компаний в наличии технологий защиты снижается, - сказал Алексей, - Если в прошлом году около 65% компаний считали себя неуязвимыми, широко используя продукты ИБ, то сегодня их осталось 59%. Также в компаниях снижается уверенность в возможности противостоять атакам, локализовать и нейтрализовать их. Сегодня этот показатель равен 45%». Другие показатели стабильны: 51% компаний уверены, что знают свои слабые места заранее, 54% - что могут противостоять атакам, 54% - что могут подтвердить факт атаки, а 56% регулярно пересматривают политики ИБ. В целом российские ИБ-специалисты скептически относятся к уровню защиты их предприятий.

Один из основных трендов – шифрование трафика. По оценке Сisco сегодня 50% всего мирового трафика является зашифрованным. Основными драйверами здесь являются различные облачные сервисы и службы передачи файлов. Этот тренд с одной стороны позитивен, так как защищает данные пользователя, с другой –вредоносный код тоже начинает использовать шифрование. Кроме того, это усложняет задачу борьбы правоохранительных органов с террористами и экстремистами, которые шифруют свою переписку и скрывают ее от анализа.

Сдерживающие факторы для развития служб ИБ в компаниях традиционны: нехватка денег, проблемы совместимости устройств и продуктов, рост требований по сертификации. Все эти ограничения не зависят от масштаба и зрелости компании.

Чего опасаются CISO в мире и в России? Cisco разделила эти опасения на внутренние и внешние. Они касаются как технических так и организационных моментов. Основные угрозы, по мнению директоров по ИБ – вредоносный код, фишинг, целенаправленные атаки, нарушение внутренней безопасности сотрудниками, уязвимости аппаратного и программного обеспечения. Меняется восприятие рисков: в 2015 году 65% респондентов считает, что их организация находится под угрозой. Если раньше это было уделом служб ИБ или ИТ-департамента, то сегодня об этом начинает думать высший менеджмент компаний. Потому что в публичных документах появляются требования фиксировать важные риски, в том числе и относящиеся к кибербезопасности. Так в России под эти требования Центробанка уже попали банки.

По итогам исследования, компания Cisco сформулировала шесть основных принципов защиты от угроз.

Во-первых, необходимо отказываться от хаотичного использования разрозненных продуктов в пользу архитектуры, единого комплекса, в котором увязаны все технологии и механизмы защиты для решения долгосрочных задач.

Во-вторых, даже лучшие в своем классе технологии в одиночку не способны справляться с современным ландшафтом угроз.

В-третьих, безопасность должна быть интегрирована. Ее нельзя отделять от сети, баз данных, операционных систем. Только так она может бороться с зашифрованной вредоносной активностью. С некоторыми угрозами можно справиться только на самом низком уровне.

В четвертых, нужны открытые API.

В пятых, требуется уменьшить количество компонентов для установки и управления механизмом защиты.

И наконец, в-шестых, это автоматизация и координация. Они помогают снизить время на обнаружение, локализацию и устранение последствий атак.

В заключение, Алексей Лукацкий сказал, что для эффективного противостояния угрозам в первую очередь необходимо сотрудничество. Сотрудничество между компаниями и подразделениями, между продуктами и процессами. Без этого успешная борьба невозможна.