В объединенном комитете по стратегии национальной безопасности парламента Великобритании подготовлен доклад с предложением ввести на уровне секретариата кабинета министров пост министра кибербезопасности, которому будет поручена организация мер по защите инфраструктуры страны от основных киберугроз. В настоящее время ответственность за это лежит на чиновниках более низкого уровня, тогда как главы соответствующих министерств лишь изредка проверяют их работу. Создание министерского поста позволит создать единую стратегию защиты инфраструктуры, полагают члены парламента. Министр кибербезопасности должен занять место в совете национальной безопасности и ему должны быть подотчетны отраслевые министерства.

В технологической отрасли Великобритании в целом положительно отнеслись к предложению комитета. Руководитель программ кибербезопасности ассоциации технологических компаний techUK Талал Раджаб отмечает, что угрозы для государственных учреждений и частных компаний постоянно растут и изменяются. Кибербезопасность должна стать одним из обязательных компонентов повседневной деятельности правительственных учреждений, полагает он.

19 ноября ФинЦЕРТ Банка России предупредил кредитные организации и платежные системы о рассылке фишинговых писем от имени банка «Юнистрим», пишет «Коммерсантъ». Сообщения рассылались с заголовком «Попытки хищений». Банк России рекомендовал удалить всю входящую корреспонденцию от «Юнистрима» и обновить антивирусные базы.

Это уже второй случай взлома «Юнистрима». В начале октября хакеры вывели средства из банка через платежные системы, заражение произошло через сделанную от имени крупного банка фишинговую рассылку. Тогда сообщалось, что каких-либо существенных потерь «Юнистрим» не понес.

Эксперты отмечают, что вчерашний инцидент стал результатом некачественного расследования предыдущего случая. По информации издания, в октябре ФинЦЕРТ предлагал провести полноценное расследование, кредитная организация посчитала, что справится самостоятельно.

Новые правила идентификации в мессенджерах сохраняют тайну переписки пользователей, передает слова главы Роскомнадзора Александра Жарова ТАСС. Он сказал, что в ходе их исполнения запрашивается только та информация, которая необходима для идентификации. Предлагаемая же мессенджерами анонимность – маркетинговая уловка, поскольку сами сервисы просят разрешение на доступ к записной книжке пользователя.

Глава Роскомнадзора считает, что правила идентификации станут шагом к изменениям правоотношений между операторами связи, пользователями, владельцами сервисов и государством. И шаг этот будет по пути формирования доверительной и безопасной среды для всех.

6 ноября глава правительства Дмитрий Медведев подписал постановление об идентификации пользователей мессенджеров по личному номеру телефона. Пользоваться сервисами сможет только тот человек, на которого оформлен соответствующий телефонный номер. Операторы связи обязаны будут вносить в базы данных информацию о том, к каким приложениям прибегают их клиенты.

Соблюдение новых правил владельцами мессенджеров означает их готовность работать в российском правовом поле, отмечает Жаров. Экспертам неясно, как будут проходить идентификацию иностранцы с сим-картами своих стран: зарубежные мессенджеры вряд ли станут исполнять российское законодательство.

Ученые из Нью-Йоркского и Мичиганского университетов показали, как искусственный интеллект может взломать системы, защита которых основана на идентификации по отпечаткам пальцев, пишет «Коммерсантъ». Этому способствуют два фактора. Первый заключается в том, что большинство биометрических систем считывают отпечаток не целиком, а только его часть, приложенную к сканеру. Второй — некоторые сочетания линий в отпечатках являются наиболее распространенными, их и учится выявлять нейросеть.

Искусственный интеллект перебирает варианты отпечатков пальцев, пока не сгенерирует подходящий. Исследователи сравнивают такой способ с хакерской атакой, когда система взламывается путем перебора разных возможных паролей.

Сгенерированные искусственным интеллектом отпечатки подходили в каждом пятом случае, показал эксперимент ученых. Исследователи считают, что их выводы должны помочь в улучшении биометрических систем.

Процессор безопасности T2 в компьютерах Mac выполняет несколько функций, обеспечивая, помимо прочего, работу с зашифрованным хранилищем и безопасную загрузку. Он проверяет, не были ли внесены модификации в программное обеспечение и аппаратную часть устройства. Однако процессор не может отличить вредоносные модификации от тех модификаций, которые вносятся в компьютеры при ремонте и будет при их обнаружении прерывать загрузку устройства или отключать определенные функции. Поэтому ремонт и замену определенных компонентов — например, материнской платы и датчика Touch ID — можно будет осуществлять только в авторизованных сервисах Apple. Критики заявляют, что Apple таким методом хочет вытеснить с рынка независимые сервисы.

Во внутренних документах Apple, с которыми удалось ознакомиться журналистам сайтов MacRumors и Motherboard, говорится, что авторизованные сервисы получат специальные программы, которые будут необходимы для активации компьютера после замены узла дисплея, материнской платы, клавиатуры и тачпада и датчика Touch ID на MacBook Pro и материнской платы и флеш-накопителя на iMac Pro.

«Ростелеком» объявил о создании единой платформы кибербезопасности и запуске первых трех сервисов на ее основе.

Платформа создана на базе Ростелеком-Solar, национального провайдера сервисов и технологий для защиты информационных активов, целевого мониторинга и управления информационной безопасностью.

Стартовый набор сервисов включает защиту от сетевых атак (Unified Threat Management), обеспечение безопасности электронной почты (Secure Email Gateway) и веб-приложений (WebApplication Firewall).

К концу 2019 года число сервисов будет увеличено более чем в два раза.

Стартовая емкость платформы составляет несколько тысяч подключений.

Единая платформа сервисов кибербезопасности ориентирована на массовую B2B-аудиторию. Как уточняет пресс-служба оператора, в отличие от классических сценариев, в которых сервис-провайдер управляет физическим оборудованием в центре обработки данных или на площадке заказчика, единая платформа кибербезопасности имеет дело с виртуализованными объектами, что обеспечивает полную управляемость, быструю масштабируемость и поддержку географически распределенной сети.

Сервисная модель поставки освобождает заказчиков от финансовых и ресурсных затрат на покупку, внедрение и поддержку решений. Производительность каждого сервиса можно увеличивать или уменьшать «практически мгновенно». Заказчик может приобретать сервисы в объеме, необходимом на текущий момент.

Подключение, настройку, эксплуатацию и поддержку круглосуточно осуществляют специалисты Solar JSOC.

Небольшим компаниям использование сервиса обойдется в 30—150 тыс. руб. в месяц.

По словам вице-президента компании по информационной безопасности Игоря Ляпунова, инвестиции в платформу составили более 1 млрд руб.

До 40% промышленных объектов имеют хотя бы одно подключение к общедоступному Интернету

Отсутствие подключения критически важных систем остается эффективным способом снижения вероятности атаки. Отсутствие связи с Интернетом означает, что для выполнения необходимых им операций инициаторы атак должны находиться непосредственно на объекте. Однако многие компании не обеспечивают такой изоляции. Более трети промышленных объектов имеют по крайней мере один канал связи с Интернетом. Поисковые инструменты (например, Shodan) упрощают обнаружение устройств, не обладающих надежной защитой и позволяющих атакующим легко вторгаться в промышленные сети. А для того чтобы проникнуть в систему, вполне достаточно и одного канала.

По крайней мере одну беспроводную точку доступа имеют 16% объектов, а у 84% есть хотя бы одно устройство, к которому можно обращаться удаленно. И то, и другое является дополнительной лазейкой для проникновения атакующих.

На 53% объектов установлены устаревшие версии Windows

У промышленных объектов зачастую имеются встроенные системы, обновлять которые достаточно сложно, не говоря уже о том, чтобы сменить установленную там операционную систему. Устаревшие и уже неподдерживаемые версии Windows не содержат исправлений для новых уязвимостей, формирующих в системе безопасности значительные пробелы. Более половины промышленных объектов, мониторинг которых осуществляет CyberX (наиболее широко используемая платформа защиты АСУ ТП и систем Интернета вещей. — Прим. ред.), имеют устаревшие и неподдерживаемые версии Windows.

Поддержка Windows Vista истекла в 2017 году, XP – в 2014-м. Жизненный цикл Windows 8 подошел к концу в 2016 году (у 8.1 еще осталось немного времени), а Windows 7 будет списана со счетов в 2020-м. Хотя компании и могут получить от Microsoft расширенную поддержку, стоит это дорого и представляется всего лишь временным решением.

В 69% сетях промышленных систем используются незашифрованные пароли

Незашифрованные пароли с незапамятных времен считались плохой идеей. Перехватив их, любой желающий может изучить вашу сеть и получить легкий доступ ко всему, что представляет для него интерес, независимо от выстроенных вами прочих оборонительных редутов. К сожалению, это так ничему и не научило сотрудников промышленных предприятий, допускающих все те же простейшие и роковые ошибки. Незашифрованные пароли были обнаружены CyberX в 69% сетей промышленных систем управления.

«Обычно они связаны с унаследованными устройствами, которые не поддерживают современные безопасные протоколы, такие как SNMP v3 или SFTP», – говорится в отчете.

57% объектов не имеют систем антивирусной защиты с автоматическим обновлением сигнатур

В первой половине 2018 года «Лаборатория Касперского» выявила 19 тыс. разновидностей вредоносных программ, относящихся к 2800 различным семействам. С учетом продолжающегося появления все новых и новых вредоносных программ автоматическое обновление сигнатур приобретает все более важную роль в организации антивирусной защиты. Но более половины сетей систем промышленного управления не имеют автоматически обновляемых антивирусных систем, что упрощает задачу атакующим.

Безопасность АСУ ТП стагнирует

Промышленные системы сегодня действительно небезопасны, но еще сильнее беспокоит отсутствие какого-либо прогресса в этой области. «За прошедший год в отрасли мало что изменилось», – говорится в отчете CyberX. Единственное, где по сравнению с прошлогодним исследованием произошли существенные изменения – это уменьшение числа объектов с унаследованными системами Windows. Их доля сократилась с 76% в 2017 году до 53% в 2018-м.

«Здесь предстоит проделать еще очень много работы, – говорится в отчете. – Но следует помнить, что мы пытаемся ликвидировать приблизительно 25-летний разрыв между операционными технологиями и практиками ИТ-безопасности».

Старые операционные протоколы затрудняют мониторинг

Зачастую промышленным системам уже немало лет. Поскольку вносить в них коррективы слишком сложно и дорого, на протяжении многих лет они сохраняются в неизменном виде. Исследование CyberX показало, что чаще всего на промышленных предприятиях используется Modbus, протокол последовательной связи, впервые опубликованный компанией Modicon (ныне Schneider Electric) в 1979 году.

Это создает дополнительные трудности для мониторинга, поскольку традиционные инструменты, проектировавшиеся для корпоративных ИТ-сетей, не видят протоколов наподобие Modbus TCP, а значит, организации не знают, что делается в их сети. Опрос, проведенный «Лабораторией Касперского», показал, что у почти половины предприятий нет инструментов для выявления атак на их устройства промышленных систем управления.

Шесть первоочередных шагов по повышению защищенности промышленных систем

Выделите наиболее важные процессы. Подумайте, сбой каких процессов несет в себе наибольшую угрозу для предприятия и сконцентрируйтесь в первую очередь на обеспечении их безопасности.

Составьте схему своей сети. Для правильной защиты вам нужно знать, что вы защищаете. Соберите информацию обо всех компонентах промышленной системы управления (модель, тип, операционная система, версия прошивки и т.д.), об их соединениях, о перемещении информации в сети и о том, как осуществляется внутреннее и внешнее подключение к этим компонентам.

Найдите маршруты, с наибольшей вероятностью подверженные атаке. Тестирование на проникновение и моделирование угроз способны помочь определить вероятные способы проникновения злоумышленников в сеть и компрометации устройств. Эта информация может быть использована для реализации мер по смягчению последствий и тщательного мониторинга непосредственно на месте.

Составьте и соблюдайте правила кибергигиены. Сократите число соединений с Интернетом, введите двухфакторную аутентификацию, не используйте незашифрованные пароли, регулярно устанавливайте обновления и не позволяйте неавторизованным внешним устройствам подключаться к сети промышленной системы управления.

Установите расписание управляемого обновления ОС. Обновление промышленных систем представляет собой нелегкую, но очень важную задачу, решение которой позволит сузить простор для атак. Планируйте и устанавливайте обновления таким образом, чтобы ваша команда могла справиться с этим. Отделяйте все системы, не поддающиеся замене или обновлению, и внимательно следите за ними.

Устраните разобщенность между операционными и информационными технологиями. Вовлекайте операционный персонал в работу центра управления безопасностью (security operations center, SOC) и позвольте специалистам по ИТ-безопасности участвовать в деятельности операционных подразделений, обмениваясь знаниями и опытом и формируя лучшее понимание уникальных требований к безопасности подобных систем.

Business Insider со ссылкой на анонимные источники сообщает, что компания BlackBerry ведет переговоры о покупке разработчика средств компьютерной безопасности Cylance и может предложить ему до 1,5 млрд долл. Если стороны придут к соглашению, утверждает Business Insider, о сделке может быть объявлено уже на этой неделе. Впрочем, источники отмечают, что переговоры могут и сорваться.

Четыре месяца назад Cylance завершила раунд финансирования, в ходе которого под руководством инвестиционной фирмы Blackstone Tactical Opportunities было собрано 120 млн долл. Компания намерена активно расширять свою деятельность на мировом рынке и вести разработку новых продуктов.

Cylance занимается созданием средств предотвращения кибератак, применяя в них методы искусственного интеллекта. В 2018 году объем продаж у компании превысил 130 млн долл. (на 90% больше, чем в предыдущем году), а число клиентов достигло 4 тыс. — в том числе больше ста компаний из списка Fortune 500.

В BlackBerry и Cylance сообщения о возможной сделке пока не комментируют.

Агентство Bloomberg опубликовало ошеломляющую новость об экстраординарной хакерской атаке на оборудование, которая осуществлялась китайскими агентами, финансируемыми государством. В статье "The Big Hack: How China Used a Tiny Chip to Infiltrate U.S. Companies" («Большой взлом: Как Китай при помощи крошечного чипа проникал в американские компании») говорилось об успешном встраивании Народно-освободительной армией Китая крошечных чипов в материнские платы серверов компании Super Micro. Впоследствии эти чипы компрометировали системы, предоставляя к ним доступ. Такова суть статьи, которая слишком объемна для ее полного изложения здесь. Чтобы разобраться во всех подробностях, имеет смысл ознакомиться с оригиналом.

Цитируя множество источников, как из затронутых организаций, так и из правительства США, авторы статьи поясняют, что представители Народно-освободительной армии Китая внедрились в компанию Super Micro или одного из ее поставщиков с целью интегрировать в серверные материнские платы крошечный чип размером с острие заточенного карандаша. Super Micro – один из крупнейших в мире производителей подобного оборудования, поставляющий свою продукцию министерству обороны США, министерству внутренней безопасности, НАСА, Конгрессу и многим крупнейшим мировым компаниям. По утверждению Bloomberg, в конечном итоге атака затронула почти 30 компаний.

Подключение к Apple

В Bloomberg заявили, что одной из жертв хакерского взлома оборудования стала компания Apple.

Apple действительно на протяжении многих лет время от времени использовала в своих ЦОДах оборудование Super Micro. Отношения двух компаний укрепились после 2013 года, когда Apple приобрела стартап Topsy Labs, создававший технологию свехбыстрой индексации и поиска огромных объемов интернет-контента. К 2014 году стартап приступил к строительству небольших ЦОДов в крупных городах мира. По сообщениям трех высокопоставленных сотрудников Apple, проект с кодовым наименованием Ledbelly разрабатывался для ускорения поисковых функций голосового помощника Apple Siri.

Документы, оказавшиеся в распоряжении Businessweek, показывают, что в 2014 году Apple планировала заказать более 6 тыс. серверов Super Micro для их установки в 17 местах, в том числе в Амстердаме, Чикаго, Гонконге, Лос-Анджелесе, Нью-Йорке, Сан-Хосе, Сингапуре и Токио. Еще 4 тыс. серверов предполагалось установить в существующих ЦОДах в Северной Каролине и Орегоне. Предполагается, что к 2015 году объем этих заказов удвоился, и общее количество серверов достигло 20 тыс. Проект Ledbelly сделал Apple важным клиентом Super Micro в то самое время, когда Народно-освободительная армия Китая начала свои манипуляции с оборудованием этого вендора.

По сведениям Bloomberg, Apple развернула около 7 тыс. серверов Super Micro, после чего служба безопасности обнаружила крошечные скрытые дополнительные чипы. Утверждается, что Apple выявила взломанные серверы в 2015 году и сообщила об этом в ФБР, однако конкретные подробности не разглашались. По информации неназванного чиновника, Apple не позволила правительственным структурам получить доступ к своей инфраструктуре и оборудованию.

Ответ Apple

Bloomberg публикует реакцию на свою публикацию со стороны Amazon, Apple, Super Micro и китайского министерства иностранных дел. Подробный ответ Apple сводится к отрицанию всех ранее сделанных выводов:

В течение последнего года Bloomberg неоднократно обращалась к нам с запросами (иногда туманными, а иногда вполне конкретными) об инциденте с безопасностью Apple. Всякий раз мы проводили тщательное внутреннее расследование и не находили абсолютно никаких подтверждений приводимым утверждениям. Неоднократно и последовательно мы высылали фактическую информацию, отвергая практически все аспекты истории Bloomberg, связанной с Apple.

Мы можем ответить предельно ясно: Apple никогда не обнаруживала никаких вредоносных чипов, аппаратных манипуляций и уязвимостей ни на одном из серверов. Мы никогда не обращались в ФБР и прочие агентства по поводу инцидентов такого рода. Нам неизвестно о проводимом ФБР расследовании, и мы не поддерживаем контактов с правоохранительными органами.

В связи с последней публикацией Bloomberg можем сообщить следующее: Siri и Topsy никогда не размещались на общих серверах; мы никогда не развертывали Siri на серверах Super Micro; данные Topsy были органичены примерно 2 тыс. серверов Super Micro, а не 7 тыс. Ни на одном из этих серверов никто никогда не находил вредоносных чипов.

Согласно сложившейся практике, перед поставкой Apple серверы проверяются на наличие уязвимостей в системе безопасности. Мы обновляем все прошивки и программное обеспечение, встраивая туда новейшие средства защиты. На приобретенных серверах Super Micro в ходе обновления прошивок и программного обеспечения посредством стандартных процедур мы никогда не обнаруживали ничего необычного.

Мы глубоко разочарованы тем, что при подготовке публикаций в Bloomberg не учли вероятность того, что их источники ошибаются или неверно информированы. Возможно, эту историю перепутали с опубликованной в 2016 году информацией об обнаружении одного зараженного сервера Super Micro в одной из наших лабораторий. Это однократное событие было признано случайным и не расценивалось как направленная атака против Apple.

Хотя никаких жалоб со стороны клиентов не поступало, хотелось бы заявить, что мы серьезно относимся к подобным инцидентам и делаем все возможное для защиты персональной информации пользователей, с тем чтобы они нам доверяли. Мы хотим, чтобы они знали: сообщения Bloomberg, касающиеся Apple, неточны.

Компания Apple всегда старалась сохранять прозрачность при организации управления и защиты данных. Если бы инцидент, о котором упоминалось в публикациях Bloomberg News, действительно произошел, мы были бы готовы к этому и поддерживали тесные связи с правоохранительными органами. Инженеры Apple проводят регулярные и тщательные проверки безопасности, гарантируя надежную защиту наших систем. Мы знаем, что безопасность – это бесконечная гонка, и именно поэтому постоянно укрепляем свои системы, организуя противодействие изощренным хакерам и киберпреступникам, желающим похитить наши данные.

Вероятно, это лишь только начало

Будучи компанией, которая при проведении идентификации ставит вопросы безопасности и конфиденциальности во главу угла, Apple может потерять очень многое даже при обвинении только одного поставщика ее серверов. Это крупнейшая в мире публичная компания, рискующая получить серьезное наказание за сокрытие фактов, связанных с серьезными нарушениями безопасности.

Заявление Apple практически не оставляет простора для разночтений. Компания утверждает, что «никогда не обнаруживала ни вредоносных чипов, ни манипуляций с оборудованием, ни уязвимостей, преднамеренно встроенных в серверы». Все это имеет совершенно однозначную трактовку, как и утверждение об отсутствии контактов с ФБР и прочими агентствами.

В Bloomberg, со своей стороны, сообщают о получении информации от трех инсайдеров Apple и четырех из шести чиновников, подтвердивших, что Apple была жертвой.

С учетом серьезности опубликованных материалов и их потенциальных финансовых, юридических и дипломатических последствий, можно с уверенностью сказать, что в ближайшие дни и недели мы услышим гораздо больше.

В марте специалисты компании Check Point сообщили об обнаружении уязвимости в программном обеспечении для управления беспилотными летательными аппаратами (дронами) китайского производителя DJI. Уязвимость в процедуре аутентификации пользователей позволяла получить доступ к учетным записям на сайте магазина DJI, облачным архивам данных и сайту FlightHub, где хранятся данные о маршрутах полетов дронов и через который можно даже в реальном времени просматривать трансляцию видео с камеры дрона. Для взлома учетной записи было достаточно, чтобы пользователь дрона щелкнул по специальным образом сформированной ссылке, находясь на форуме сайта DJI. Взлом мобильного приложения для управления дронами оказался более трудной задачей, но и с ней исследователям удалось справиться. В DJI подтвердили наличие уязвимости и, как говорится в заявлении компании, устранила ее.

Проблемы с безопасностью у DJI возникают не в первый раз. В прошлом году в Пентагоне запретило использование в вооруженных силах любых дронов и приложений DJI. Однако дроны DJI по-прежнему широко применяются в промышленности, сельском хозяйстве, а также в экстренных службах и даже в полиции.