Тема фрода становится актуальнее день ото дня, и ее ключевые аспекты обсуждались специалистами на конференции AntiFraud Russia 2013, прошедшей в конце ноября в Москве.

Слово «фрод» (fraud) прочно вошло в лексикон специалистов по информационной безопасности, оно также широко используется многими людьми в повседневной жизни. Популярность этого англицизма легко объясняется его современным значением: фродом сейчас называют мошенничество с применением высоких технологий, целью которого является получение материальной или иной выгоды. По данным Международного союза электросвязи, в настоящее время в мире насчитывается более 6 млрд пользователей мобильной связи и более 2,5 млрд пользователей Интернета. Если учесть, что около полутора миллиарда человек сегодня совершает транзакции онлайн (данные «Лаборатории Касперского»), круг заинтересованных в защите от фрода получается очень широким.

В первую очередь, говоря о фроде, подразумевают мошенничество в банковских системах и в меньшей степени – злонамеренные действия в сетях операторов связи. Во-первых, потому, что в финансовых организациях суммы потерь несравнимо выше, чем в телекоме, во-вторых, потому, что в надежде поймать «крупную рыбу», обманув банк, преступники задействуют обширный арсенал технических средств и идут на разные ухищрения. Как только специалисты в области информационной безопасности придумывают эффективное средство борьбы с новым видом угроз, появляются угрозы еще более изощренные.

Характерно, что основная масса выступлений на AntiFraud Russia 2013 была посвящена злоупотреблениям именно в финансовом секторе. По данным компании Group-IB, объемы хищений денежных средств, связанных с фродом, в последние два года в нашей стране несколько сократились. Так, в 2012 году в российских системах интернет-банкинга было похищено около 446 млн долл., тогда как в 2011 году этот показатель составлял 490 млн долл. Однако радоваться пока нечему, ведь, по подсчетам экспертов, ежедневно только в столичных банках происходит до нескольких десятков хищений со стороны интернет-мошенников. Виртной беуальные банки и платежные системы атакуются все чаще, квалификация хакеров растет, противодействовать им все сложнее. В Group-IB утверждают, что в 2013 году зарегистрирована волна новых атак. Теперь целью преступников чаще становятся брокерские системы, POS-терминалы, сайты банков. Развитие систем ДБО и применение мобильных технологий для осуществления платежей спровоцировало всплеск атак в этой сфере.

По оценкам экспертов, мобильные приложения 30 крупнейших российских банков содержат различные уязвимости, позволяющие либо перехватить данные, передающиеся между клиентом и сервером, либо напрямую эксплуатировать уязвимости устройства и самого мобильного приложения. Халатное отношение к безопасности отечественных пользователей разжигает фантазию киберпреступников. Все больше появляется вредоносных программ, «заточенных» непосредственно под iOS, Android, Windows Phone и другие мобильные операционные системы. К примеру, появляются такие экзотические программы, которые позволяют через фронтальную камеру смартфона считывать пароли и коды, а также биометрические данные владельцев.

Но прослеживаются и положительные сигналы в этой области. Если в прошлом году ситуацию с фродом в банковской сфере можно было назвать критической, то сегодня уровень опасности для транзакций несколько понизился. Положительная динамика объясняется действиями финансовых организаций, которые активно внедряют антифрод-системы и переходят на двухфакторную аутентификацию, а также принимают другие меры безопасности.

Кроме того, активную борьбу с киберпреступниками ведут представители госструктур. Например, подразделение «К» МВД при расследовании инцидентов, связанных с хищением денежных средств в виртуальном пространстве, все чаще прибегает к помощи экспертов из коммерческих компаний. Совместная работа приносит успех в поимке преступников. Помимо полиции, свой учет инцидентов в этой сфере ведет и Центробанк.

Если же говорить о предотвращении мошенничества, то здесь требуется совершенствование законодательной базы. Начальник управления департамента национальной платежной системы Банка России Вадим Кузнецов сообщил на конференции, что регулятор готовит предложения по изменению уголовного законодательства, касающегося мошенничества в ИТ-сфере. Центробанк планирует создать специальную систему по обмену данными об инцидентах в этой сфере и о преступниках. Реализации этого замысла, в числе прочего, препятствует закон «О персональных данных», положения которого запрещают обмен персональными данными со сторонними организациями. В принципе, по мнению специалистов, такие данные, как имя, фамилия и дата рождения, можно вывести из-под действия ФЗ либо зашифровать их для дальнейшего использования. Однако инициатором изменений в законе банкиры хотят видеть Центробанк, возлагая на него тяжесть поиска решения и ответственность за последствия.

Нуждается в доработке и ФЗ-161 «О национальной платежной системе», призванный обеспечить безопасность безналичных платежей. Президент некоммерческого партнерства «Национальный платежный совет» Алексей Саватюгин отметил, что совет надеется на принятие в ходе весенней сессии Госдумы предложенных им поправок в этот закон. В случае успеха новая редакция закона позволит усилить контроль за недобросовестными пользователями платежных систем.

18–19 апреля в Москве прошел шестой форум директоров по информационной безопасности, организованный Infor-media. Участие в мероприятии приняли руководители и ведущие специалисты отрасли информационной безопасности, представляющие компании из разных секторов экономики и госструктуры.

По традиции основная часть докладов была посвящена теоретическим и практическим аспектам комплексного обеспечения информационной безопасности, много говорилось также об анализе рисков и необходимости регулярного проведения аудита. Некоторые участники акцентировали внимание собравшихся на важности соблюдения политик персоналом и необходимости обучения сотрудников основным правилам безопасного обращения с информационными ресурсами. В докладах форума звучали такие актуальные сегодня темы, как безопасность в мобильном мире, удаленный доступ и непрерывность бизнеса, предотвращение мошенничества и расследование инцидентов при дистанционном банковском обслуживании.

Перечисленные направления актуальны, о них говорят почти на каждом мероприятии, посвященном информационной безопасности. Детальнее хотелось бы остановиться на работе двух секций: «Безопасность АСУТП: теория и практика» и «Уязвимости и закладки исходного кода».

О безопасности АСУТП начали говорить не так давно, поскольку считалось, что раз системы управления предприятием не имеют выхода в Интернет, то им ничто не угрожает. Правда, некоторое время назад к этой фразе добавилась оговорка: «кроме собственных сотрудников». Участники секции, посвященной безопасности АСУТП, смогли убедиться, что есть и другие угрозы безопасности для таких систем.

Как сообщили докладчики из «Лукойл-Информ» — Александр Желудов, начальник отдела интеграции АСУТП и систем управления производством, и Игорь Косинов, специалист по информационной безопасности, основными функциональными отказами и источниками ущерба при инцидентах информационной безопасности в АСУТП являются: отказ функционального управления технологическим процессом, потеря управления технологическим объектом, потеря информации. Как результат, организация может понести ущерб по следующим пунктам (по одному или сразу по нескольким): нарушения в работе технологического объекта, аварийная остановка объекта, возникновение аварийной ситуации, потеря информации.

Специалисты из «Лукойл-Информ» дали основные рекомендации по обеспечению безопасности в данной области. Если руководство предприятия только начало задумываться о комплексной защите, то сперва стоит провести силами специалистов аудит существующей конфигурации сетей АСУТП, проанализировать необходимость передачи данных между сетью АСУТП и корпоративной сетью, организовать аудит выполнения требований безопасности, предъявляемых к корпоративной сети, защитить периметр сети АСУТП, имеющий общие интерфейсы с корпоративной сетью, а также установить или обновить антивирусное ПО.

В дальнейшем необходимо предпринимать комплексные меры, включающие в себя обеспечение внутренними нормативными документами и контроль над их выполнением, анализ рисков и степени критичности объектов предприятия для бизнеса и определение мер по защите, формирование политик информационной безопасности, ввод в эксплуатацию и модернизацию объектов в строгом соответствии с политиками безопасности АСУТП. Необходимо снабдить организацию современным постоянно обновляемым арсеналом средств предотвращения, обнаружения и устранения угроз безопасности, вести регулярный мониторинг уязвимостей в оборудовании и программном обеспечении АСУТП.

Также интересной оказалась секция «Уязвимости и закладки исходного кода», модератором которой выступил Рустэм Хайретдинов, генеральный директор компании Appercut. Из выступления Ильи Медведовского, генерального директора компании Digital Security, слушатели могли узнать о том, как должен выглядеть идеальный инструмент анализа кода бизнес-приложений.

Так сложилось, что защите на уровне кода не уделяется должного внимания. Между тем различные уязвимости и закладки исходного кода открывают не только канал для попадания в систему вредоносного кода, но и обеспечивают лазейки для злоумышленников. Илья Медведовский рассказал о том, что специалисты ERPScan (дочерняя компания Digital Security) разработали статический анализатор ABAP-кода, позволяющий обнаруживать большое количество уязвимостей, минимизировав при этом число ложных срабатываний. По мнению экспертов компании, именно такими качествами должен обладать эффективный инструмент анализа кода бизнес-приложений. Проанализировав достаточное количество программ на ABAP, в ERPScan составили рейтинг наиболее популярных уязвимостей для ABAP. Вот что получилось. На первом месте — обход каталогов (более 20%), на втором — межсетевой скриптинг (20%), на третьем — отсутствие авторизации (18%), далее: утечка информации (17%), обход авторизации (менее 10%), закладки (менее 10%), инъекция кода (около 4%), SQL-инъекция (примерно 2%).

Медведовский рассказал, что после того как был разработан инструмент анализа кода для языка ABAP, самого сложного на сегодня языка бизнес-приложений, было решено адаптировать этот опыт для других языков. В настоящее время специалисты компании ERPScan заканчивают создание полноценной системы анализа исходного кода, предназначенной для различных бизнес-языков.

Хайретдинов в ходе обсуждения отметил, что сканеры кода с максимальной полнотой поиска уязвимостей стоят гораздо больше тех, что демонстрируют средние результаты. Он уверен, что многие компании готовы платить только за небольшой функционал, и предлагает акцентировать внимание не на количестве найденных брешей в коде, а на доступной цене решений.

Андрей Петухов, научный сотрудник лаборатории безопасности информационных систем ВМК МГУ, со своей стороны отметил, что работа инструмента анализа кода только в том случае может быть эффективной, если она дополняется ручным поиском уязвимостей. Он считает, например, что внутренние веб-приложения на начальном этапе приемлемо анализировать методом «черного ящика». К тому же статический анализ по сигнатурам, написанный по результатам ручного анализа, может обеспечить мониторинг изменений в коде.

Таким образом, инструмент анализа кода с максимальной полнотой поиска при минимальном числе ложных срабатываний должен попасть в руки профессионалу, обладающему серьезной квалификацией в данной области. Только в этом случае решение можно будет назвать идеальным. Что же касается цены, то здесь каждый сам для себя должен решить, что важнее — качество или доступность.

Одним из самых заметных событий конференции «РусКрипто 2013» стала работа секции «Российский и международный опыт построения систем обнаружения и предупреждения компьютерных атак. Путь от частных инициатив и бизнес-проектов к построению глобальных систем». Ее ведущим, а также модератором тематического круглого стола выступил Алексей Лукацкий, эксперт по информационной безопасности и менеджер по развитию бизнеса компании Cisco.

Лукацкий перечислил основные задачи, с которыми, по его мнению, должна справляться современная система обнаружения и предупреждения компьютерных атак. Решение данного класса должно собирать, анализировать и коррелировать данные, обмениваться информацией и своевременно реагировать на угрозы. Необходимо, чтобы система в удобном для пользователей виде визуализировала атаки и инциденты. Информация может отражаться при помощи графиков, виртуальной приборной доски или светофоров, — главное, чтобы «карта» угроз для критичных бизнес-ресурсов или географических точек была полной и наглядной. Например, этот функционал реализован компанией Sophos: на сайте разработчика есть постоянно обновляемая глобальная карта угроз ИБ, с которой может ознакомиться любой желающий. Подобные рейтинги в автоматическом режиме составляются также при использовании систем Seculert Dashboard Qualys Guard и ISACA Compliance Dashboard.

Безопасность с приставкой «кибер»

Лукацкий подчеркнул, что сегодня решения такого класса используются не только в бизнес-среде, но и в государственных учреждениях многих стран. Например, система визуализации уровня информационной безопасности реализована в минобороны США. Эта страна уделяет большое внимание обеспечению информационной безопасности. Докладчик из Центра политических исследований России («ПИР-Центр») в ходе работы секции рассказал, что в США создано специальное подразделение по предотвращению кибератак, обладающее широкими возможностями для защиты критически важных для страны ресурсов.

Центр обнаружения и предупреждения компьютерных атак также работает в Китае. В него стекается информация обо всех киберпроисшествиях, как корпоративных, так и общенациональных. Центр координирует действия по устранению или минимизации ущерба. Кроме того, эта организация занимается просвещением граждан — например, разрабатывает рекомендации по поведению в Интернете для школьников старших классов.

По мнению участников мероприятия, перспектива кибервойны в масштабах планеты с каждым годом становится все реальнее. При этом большинство развитых стран (включая США) сегодня не готовы к адекватным действиям. В качестве доказательства можно привести многочисленные факты успешных атак на государственные информационные ресурсы даже высокоразвитых стран.

Задача государственного масштаба

Для России сегодня задача построения единой системы обнаружения, предупреждения и ликвидации компьютерных атак является одной из приоритетных. Об этом говорится в Указе президента России № 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» от 15 января 2013 года.

Полный цикл работ по реализации этой масштабной задачи поручено осуществить Федеральной службе безопасности РФ. В соответствии с указом единая система государственного масштаба должна решать четыре основные задачи. Первая – прогнозирование ситуации в области обеспечения информационной безопасности РФ. Вторая — обеспечение взаимодействия владельцев информационных ресурсов РФ, операторов связи, иных субъектов, осуществляющих лицензируемую деятельность в области защиты информации, при решении задач, касающихся обнаружения, предупреждения и ликвидации последствий компьютерных атак. Третья — осуществление контроля степени защищенности критической информационной инфраструктуры РФ от компьютерных атак. Четвертая — установление причин компьютерных инцидентов, связанных с функционированием информационных ресурсов РФ.

Алексей Лукацкий не сомневается, что эта законодательная инициатива положит начало активным действиям властей в борьбе с киберугрозами. По оценкам экспертов, на реализацию такого проекта может потребоваться от трех до пяти лет. Лукацкий считает, что правительству необходимо ориентироваться на международный опыт создания систем обнаружения, предупреждения и ликвидации атак. Он предложил представителям российских компаний Digital Security и Positive Technologies обсудить, что и как нужно делать, чтобы создать реально работающую глобальную систему в обозримые сроки.

Илья Медведовский, директор компании Digital Security, уверен, что в нашей стране есть все необходимые ресурсы для решения столь масштабной задачи. По его мнению, соответствующий международный опыт, безусловно, интересен и полезен. Знакомство с ним поможет избежать ошибок на начальном этапе и определить ключевые направления работы. Однако основная деятельность должна вестись российскими специалистами с учетом реалий нашей страны. Именно отечественным экспертам необходимо доверить обеспечение защиты информационной системы государственного масштаба.

Кстати, на днях стало известно, что российские власти уже начали действовать в данном направлении. Чиновники объявили, что в нашей стране скоро появится центр реагирования на киберугрозы. Его создание предусматривается проектом стратегии кибербезопасности РФ, над которой работают Совет Федерации, Минкомсвязи, аппарат правительства и представители отрасли, в том числе РАЭК и Координационный центр национального домена сети Интернет.

Рабочая группа под руководством сенатора Руслана Гаттарова подготовила проект стратегии кибербезопасности России до 2020 года. Среди основных угроз, от которых страдают и могут пострадать граждане, бизнес и государство, в документе называются информационный терроризм, информационная преступность, использование доминирующего положения в инфопространстве в ущерб интересам и безопасности государства, бизнеса и граждан. Стратегия предусматривает мониторинг киберугроз и выработку своевременных ответов на них. Для этого, по мнению авторов, потребуется создать государственный ситуационный центр, функционирующий круглосуточно семь дней в неделю.

По данным компании Zecurion, годовой ущерб от киберпреступлений в России составляет свыше 1 млрд долл. При этом за 2012 год количество хищений денежных средств, совершенных с использованием компьютерных и телекоммуникационных технологий, выросло более чем на 60%.

Первое, о чем узнали журналисты, посетившие 19 марта пресс-конференцию Алексея Митрофанова, председателя комитета Госдумы РФ по информационной политике, информационным технологиям и связи, это тот факт, что ничего нового о законопроектах по борьбе с экстремизмом в Интернете чиновник не расскажет. Даже несмотря на то что эта тема была заявлена как основная. В анонсе пресс-конференции было прямо сказано, что Владимир Путин поручил усилить борьбу с экстремизмом в Интернете. «В комитете Госдумы по информационной политике поддерживают инициативу главы государства», — сообщалось в приглашении на встречу, на которой Алексею Митрофанову предстояло сообщить подробности.

Председатель комитета Госдумы подчеркнул, что правила, регулирующие борьбу с экстремизмом в Сети, в настоящее время дорабатываются в администрации президента. Однако чиновник дал понять представителям прессы, что у властей достаточно тем для интересной беседы вокруг информационной политики, технологий и связи. В частности, Митрофанов отметил, что необходимо ужесточить борьбу с пиратством в нашей стране. Для этого нужно подумать об оснащении кинотеатров аппаратурой, распознающей записывающие устройства во время сеансов. За незаконное копирование и распространение видеоконтента следует ввести серьезные штрафы, считает чиновник. По его мнению, в ближайшие три года при грамотном подходе ситуацию можно изменить.

Не обошел своим вниманием председатель комитета Госдумы и популярную нынче тему отмены национального роуминга. О необходимости отмены «налога на перемещение граждан внутри страны» в последние месяцы много говорит министр связи и массовых коммуникаций Николай Никифоров в свете подготовки нового закона «О связи». Митрофанов считает, что в России европейский сценарий с выравниванием тарифов по всей стране неприменим. Вместо этого сейчас обсуждается переход на «домашние» тарифы: при выезде из своего региона абонент будет пользоваться услугами связи по местным тарифам того региона, где он находится в данный момент. Митрофанов подчеркнул: «Наша задача — все законодательно закрепить и не дать сотовым компаниям возможности маневрировать в данном вопросе. Конечно, компании от этого теряют». Хорошо было бы еще подумать о снижении расценок на международный роуминг, но, как заметил чиновник, «у нас человека с детства приучили к тому, что звонить за рубеж — это дорого», закрывая тем самым дальнейшее обсуждение этого вопроса.

Алексей Митрофанов также рассказал представителям СМИ, что законопроект «О почтовой связи» может быть внесен на обсуждение в Госдуму в апреле. Сейчас в правительстве идет процедура согласования этого закона. По словам Митрофанова, «это будет самая крупная работа для комитета», потому что «закон носит фундаментальный характер, касается самого большого хозяйственного коллектива в стране — 400 тыс. человек». Обычно по таким законам бывает до 1,5 тыс. поправок, подчеркнул председатель комитета Госдумы.

В России продолжает расти количество инцидентов, связанных с утечкой персональных данных: то база абонентов очередного оператора окажется на лотках, то обнародуют неожиданные подробности получения ученых степеней в каком-нибудь вузе. По статистике, чаще всего «теряют» информацию медицинские организации (каждый пятый случай), государственные и образовательные учреждения (один случай из шести).

Касается каждого

Власти страны уже не один год пытаются свести к минимуму утечки персональных данных на разных уровнях. Особенно активны чиновники в сфере законотворчества. В 2006 году вышел федеральный закон «О персональных данных», затем в течение нескольких лет правительство и ФСТЭК выпустили ряд постановлений, его дополняющих; в 2011 году появилась новая редакция ФЗ, а в ноябре 2012 года утвердили правительственное постановление № 1119.

Несмотря на многолетние усилия, закон далек от совершенства. За отсутствие понятной терминологии, структуры и методологии его постоянно критикуют и участники рынка, и предприятия, поневоле привлеченные к обработке персональных данных. При этом под действие ФЗ подпадают практически все организации, так или иначе аккумулирующие ПД (даже если в компании всего один сотрудник, есть некоторое количество информации о нем). Неважно при этом, ведется ли на предприятии автоматическая обработка данных или они фиксируются на бумаге, хранится информация о сотрудниках на серверах, расположенных в России или за ее пределами. Положения ФЗ «О персональных данных» касаются каждой организации, легально работающей в нашей стране. По статистике Роскомнадзора, уполномоченного контролировать соблюдение ФЗ, сегодня в России обработкой ПД занимается более 5 млн операторов.

В настоящее время ФСТЭК, ФСБ и Роскомнадзор работают над очередными поправками к закону. Пока они не приняты, представление о том, как именно должны осуществляться сбор, обработка, хранение и утилизация персональных данных, у многих пока весьма туманное. Можно только догадываться, по какому принципу ответственные лица далеких от ИТ организаций относят информационные системы к тому или иному уровню защищенности. ФЗ предлагает осуществлять такое деление в зависимости от вида обрабатываемых персональных данных (специальные, биометрические, общедоступные, иные), типа актуальных угроз (1-й, 2-й, 3-й) и от количества обрабатываемых информационной системой субъектов ПД. Интересно также, в каком объеме на местах используются сертифицированные ФСТЭК средства обеспечения безопасности (межсетевые экраны, антивирусное ПО, системы контроля целостности данных, средства криптографии).

Роскомнадзор предупреждает

Органы власти адекватных мер, которые могли бы помочь операторам ПД по всей стране справиться с «трудностями перевода» закона и подзаконных актов на понятный каждому язык, не предпринимают. В Роскомнадзоре ограничиваются предупреждениями и угрозами. На официальном сайте ведомства можно найти перечень распространенных нарушений ФЗ (в основном, связанных с согласием субъектов на обработку ПД) и упоминания о штрафах и иных санкциях, грозящих за неисполнение официальных рекомендаций.

Роскомнадзор десятками закрывает справочные сайты с информацией о номерах телефонов и ФИО абонентов сетей сотовой и фиксированной связи, ресурсы с данными вузов, ГИБДД и медучреждений. В некоторых случаях нарушителей штрафуют. И если раньше со значительными суммами за раскрытие персональных данных приходилось расставаться в основном банкам, передававшим информацию о клиентах коллекторским агентствам, то теперь «наказывают рублем» и операторов связи (как «МегаФон» за утечку личных SMS), и даже коммунальные службы.

Недавно управляющая компания «ЖКХ-Сервис» из Тверской области передала данные о задолженности за коммунальные услуги предприятию «Тверьэнергогаз», которое затем разместило информацию о должнике на стене его дома. Мировой судья участка назначил «ЖКХ-Сервис» и компании «Тверьэнергогаз» штраф по 5 тыс. руб. за нарушение ФЗ «О персональных данных». Указанная в этом примере сумма выплат незначительна, однако в скором времени Роскомнадзор обещает увеличить штрафы, доведя их до полумиллиона рублей. За повторное нарушение ведомство планирует взимать до 700 тыс. руб. Чиновники рассчитывают, что эти меры заставят операторов ПД минимизировать утечки.

Власти настаивают, что все базы данных организаций-операторов должны быть приведены в соответствие с новой редакцией ФЗ. До 1 января 2013 года им необходимо было направить в территориальный орган Роскомнадзора РФ уведомление в установленной форме с приложением определенного пакета документов. Организациям, проигнорировавшим требования регулятора, грозит гражданская, административная, а в некоторых случаях даже уголовная ответственность.

Как защититься?

Конечно, предупреждения Роскомнадзора и угрозы крупных штрафов заставят многих потрудиться над приведением документальной базы в надлежащий вид. Однако эти меры все равно не помогут защититься от утечек на должном уровне организациям, в которых нет специалистов по информационной безопасности или хотя бы по ИТ.

Минимизировать количество инцидентов в данной области могло бы участие госорганов в обеспечении безопасности ПД бюджетных предприятий (включая образовательные учреждения, больницы, поликлиники). Власти могли бы централизованно определить для организаций, в которых нет специалистов по ИТ, набор средств защиты и перечень необходимых мероприятий.

Пока закон не доработан и системы защиты не построены, данные будут продолжать утекать. И поле для деятельности мошенников разного рода будет увеличиваться. Беззащитность наших персональных данных вызывает особенную тревогу в связи с намерениями властей обеспечить всех граждан к 2015 году электронными паспортами. Николай Никифоров, министр связи и массовых коммуникаций РФ, рассказал, что такие удостоверения личности можно будет использовать вместо водительского удостоверения, страхового полиса и пенсионного удостоверения, а также для получения электронных госуслуг и совершения платежных операций. Введение электронных удостоверений еще больше обострит проблему защиты персональных данных в России.