Традиционно программа конференции Positive Hacks Days охватывает практически все аспекты информационной безопасности. Седьмой форум PHD, собравший почти 5 тыс. участников, не стал исключением, но явный акцент был сделан на проблемах, сопровождающих рост Интернета вещей. Прошли и «штабные игры на местности»: команды хакеров и безопасников бились за контроль над построенным в центральном зале выставки макетом города — его городскими службами, предприятиями, коммунальными системами.

Причина внимания Positive к «темной стороне Интернета вещей» — резкий рост распространенности соответствующих решений (прогноз Gartner на 2020 год — 20 млрд устройств Интернета вещей) при почти полном, по словам Антона Тюрина, руководителя группы разработки методов обнаружения атак, игнорировании проблем с безопасностью. Игнорировании как производителями, так и владельцами устройств и ИТ-систем.

Так, практически все маршрутизаторы, а они, по оценке Positive, возглавляют рейтинг самых небезопасных устройств, работают всю свою жизнь под управлением исходной прошивки (примечательно, что в этом ПО находят ежемесячно десяток уязвимостей). Около 15% устройств защищено заводской парой «пароль/логин», в 10% случаев это одна из пяти пар вида admin/admin или user/user.

Поиск незащищенных маршрутизаторов, как и любых других устройств, «в мировом масштабе» — дело несложное и недорогое: например, доступ к поисковику shodan.io, показывающему все подключенные к Сети устройства, стоит полсотни долларов. За эти деньги можно «увидеть» миллионы маршрутизаторов, камер видеонаблюдения, датчиков АСУ ТП и пр.

Вторым по опасности классом устройств в Positive считают видеокамеры и видеорегистраторы. Их в Shodan около 3,5 млн. Доступ к ним можно получить за минуту-другую, причем, по оценке Positive, 90% камер, которые используются для видеонаблюдения в малом и среднем бизнесе, содержат уязвимости и могут быть взломаны. Взломанная камера способна доставить своему обладателю большие неприятности в личной жизни или производственной сфере, а также стать частью бот-сети, такой как, например, ботнет Mirai, охвативший более 400 тыс. маршрутизаторов и камер.

На третьем месте по опасности стоят навигаторы, далее в рейтинге Positive идут беспроводные клавиатуры и мыши (стоимость комплекта для взлома и получения паролей, платежных реквизитов и персональных данных — 300 руб.). Замыкают пятерку умные сети, практически вообще не защищенные. На подходе и иные устройства, например компоненты автоматизированных систем управления технологическими процессами, из которых 160 тыс. уже сейчас доступны через Интернет.

Проблемы с безопасностью усугубляются тем, что производители пока не видят необходимости вкладываться в решение проблем с безопасностью должным образом. Этого от них не требуют ни пользователи, ни отраслевые стандарты, ни государство. В такой ситуации далеко не все вендоры (а лишь, как правило, наиболее известные) задумываются над проблемой, принуждая пользователей при первом запуске устройства менять хотя бы пароль и регулярно обновляя прошивки. А вот купленные «на китайском сайте» изделия неизвестных марок не только избавят своего обладателя от необходимости ломать голову над новым паролем, но и могут содержать закладки «от производителя».

Как полагают в Positive, частично проблему помогли бы решить технические меры (отказ от небезопасных протоколов, введение парольных политик, выпуск регулярных обновлений, отключение в готовых устройствах отладочных механизмов, переход на HTTPS и двухфакторную аутентификацию, внедрение безопасной разработки с использованием анализаторов кода), а также внедрение отраслевых и государственных стандартов безопасности. На сознательность клиентов, будь то частные пользователи или крупные компании, как было отмечено на одной из пленарных дискуссий, надежды никакой.

Пока же, как сказано в отчете одного из прошлогодних конкурсов Positive по поводу отказа ряда посетителей от участия во взломе дрона, «многие боятся браться за что-то новое и непонятное, на этом и держится защищенность современного Интернета вещей».

Показательный пример

Не могли на PHD пройти и мимо эпидемии WannaCry, как примера безответственного подхода к безопасности. Заплата, устраняющая возможность атаки через сервис SMB, которой воспользовался шифровальщик, вышла за два месяца до эпидемии, приблизительно в то же время стало известно про существование соответствующего эксплойта.

Сама процедура атаки была максимально проста — не было писем с зараженными файлами, злоумышленники просто обращались ко всем найденным серверам.Те, в которых по каким-то причинам были открыты TCP-порты 139 и 445, заражались и в свою очередь заражали менее защищенные машины внутри периметра системы безопасности предприятия. Результат налицо: 200 тыс. зараженных компьютеров в 150 странах. Под удар — и в нашей стране, и за рубежом — попали машины достаточно крупных структур.

И, как показывает опыт Positive, это далеко не единичный случай. Во всем мире эксплуатируются устройства с необновляемыми операционными системами; по данным мониторинга, у каждой шестой обследованной компании сервис SMB доступен через Интернет.

Черный ящик. Бесплатно

В ходе форума компания Positive Technologies объявила о запуске публичного бета-тестирования бесплатного онлайн-сервиса PT BlackBox Scanner, предназначенного для обнаружения уязвимостей в веб-приложениях, в том числе находящихся в локальной сети. Воспользоваться им можно после крайне простой авторизации, даже не доказывая, что ты являешься владельцем сайта. Сервис предоставляет отчет о найденных уязвимостях и рекомендации по исправлению. Как надеются в Positive, бесплатное средство тестирования позволит повысить общую безопасность Интернета. При этом, как утверждают в компании, приняты меры, препятствующие тому, чтобы сервисом поиска ошибок могли воспользоваться злоумышленники.

Шестое место рейтинга заняла сфера образования с 123 атаками в день, говорится в исследовании. При этом на информационно-аналитический центр, обрабатывающий результаты государственных экзаменов, нападений совершалось значительно больше – от 20 тыс. Руководитель отдела аналитики информационной безопасности Positive Technologies Евгений Гнедин считает, что целью злоумышленников с большой долей вероятности был доступ к экзаменационным материалам и результатам испытаний.

Самыми распространенными оказались атаки с использованием инструментальных средств сканирования на наличие уязвимостей. Ученики, обладающие базовыми знаниями о способах обходы защиты ИТ-систем, могли использовать общедоступное ПО для проведения сканирований, делают вывод специалисты. Этим они объясняют и тот факт, что большая часть атак данного типа исходила со стороны США: взломщики использовали прокси-серверы, расположенные в этой стране.

Исследователи предположили, что учащиеся хотели  изменить полученные за экзамен баллы или достать экзаменационные материалы для последующего нелегального распространения.

Сотрудники компании выделили несколько основных тезисов, которые описывают главные события индустрии в прошедшем году. Естественно, немало внимания уделено кибератакам с целью кражи личных данных. По данным Positive Technologies, компрометация данных является результатом 46% всех кибератак, а кража денег — лишь 19%. Большинство атак является целевыми (62%), они имеют четкую направленность на корпоративные активы. При этом лишь 10% атак выявляются их жертвами. Получили развитие и различные техники кибератак с целью выкупа, это явление связывают с развитием криптовалют. По мнению экспертов компании, рост подобных атак продолжится и в 2017 году.

В Positive Technologies подвели итоги 2016 года в сфере интернет-безопасности

Опасность для предприятий

Безопасность промышленных систем не повышается. Почти половина уязвимостей, обнаруженных в 2016 году, имеет высокий уровень риска. Только две трети компонентов систем АСУ ТП можно назвать условно защищенными. В такой ситуации неудивительны атаки на различные системы: например, электросети Украины уже были взломаны и после этого без электричества остались тысячи граждан.

Интернет вещей остается незащищенным. К примеру, житель «умного дома» даже не может выявить уязвимость или поставить антивирус, так как это просто не предусмотрено при создании проекта. Неудивительно появление ботнета Mirai из миллионов зараженных веб-камер. Также под угрозой находятся и обладатели Smart TV, прогнозируется рост атак на эти устройства.

«Не храните деньги в банке»

Банки используют устаревшие способы интернет-защиты, поэтому эксперты компании прогнозируют рост атак на финансовые системы как минимум на 30% за год. Интересный факт, что на Западе атаки на клиентов банка равны примерно 60%, а в России взлому подвергаются именно банки. Это связано с тем, что в России по-прежнему покупку чаще оплачивают наличными, чем электронными деньгами. Этот факт ограничивает возможность атаки на клиента банка.

Руководитель отдела безопасности банковских систем Positive Technologies Тимур Юнусов заявляет, что взлом банковской системы может быть осуществлен посредством открытия электронного письма с файлом, который содержит вирус способный заразить все компьютеры сети.

Хакеры продолжают пользоваться достаточно простыми методами взлома (например, фишингом), но при этом усложняется проработанность кибератак и их маскировка.

Не стоит забывать и о взломе банкоматов. Их программное обеспечение имеет немало уязвимостей, которыми умело пользуются хакеры. Например, выявленный в 2014 году троян для банкоматов Tyuokin умел отключать защитную систему Solidcore от McAfee. В 2016 году в Positive Technologies обнаружили, что данная система все еще уязвима.

Классические атаки на сайты

Несмотря на широкое поле деятельности для хакеров, веб-ресурсы остаются главным объектом, служащим целью кибератак.

Госучреждения чаще всех подвергаются атакам

Самыми частыми являются атаки на государственные сайты (более 3 тыс. в день). 2200 атак в день приходится на сайты интернет-магазинов, на банковские сервисы нападают около 1400 раз за день. Интересной «новинкой» 2016 года стала активная кибератака на центр обработки результатов государственных экзаменов.

Большинство атак производится с помощью ПО для поиска уязвимостей. Однако при нападении на сайты госучреждений или интернет-магазинов преобладают ручные атаки.

Защита телекоммуникаций

Подмена GPS-сигнала уже давно не является чем-то удивительным. Такие явления заметны у объектов государственной важности. Эксперт компании по безопасности телекоммуникационных систем Сергей Пузанков приводит в пример перенос точки нахождения в аэропорт Внуково при фактическом нахождении у стен московского Кремля. Он объясняет это защитой от дронов, которым на программном уровне запрещено находиться у аэропортов.

Взломы аккаунтов в Telegram и WhatsApp показали, что использование протоколов SS7 и Diameter по-прежнему актуально и эффективно, несмотря на то, что операторы предпринимают меры для повышения безопасности, а социальные сети (например, Facebook) усложняют системы восстановления пароля.

Android и сверхправа

Широкая распространенность смартфонов на базе операционной системы Android не может не привлекать хакеров. Получение root-прав на Android не является сложной затеей, а опасность могут представлять и легитимные приложения, которые получают повышенные привилегии. Они не выполняют вредоносных действий, но содержат в себе уязвимости, которыми могут воспользоваться хакеры. Широкий спектр уязвимостей несут в себе камер, микрофоны и другие сенсоры, а игры с дополненной реальностью дают большие возможности для вмешательства злоумышленников.

Устройства на платформе Android имеют высокий риск взлома

В 2017 году не исключается рост аппаратных атак, это связано с тем, что вопросы уязвимости самой аппаратуры еще не до конца проработаны, а подобные взломы практически невозможно отследить, и они не требует больших финансовых затрат.

В целом, эксперты Positive Technologies советуют повышать уровень систем обнаружения и расследования атак, а также осведомленности сотрудников организаций, которые подвергаются кибератакам. Отмечается, что даже такие простые меры, как использование сложных паролей или отключение АСУ ТП от глобальной сети, может значительно уменьшить риск атаки. А пользователям мобильных устройств стоит быть внимательнее при скачивании приложений и расширении их прав внутри устройства.