Аналитический центр TAdviser и компания Microsoft провели исследование «Кибербезопасность в российских компаниях». Их аналитики по телефону опросили представителей 450 предприятий среднего и малого бизнеса – руководителей ИТ-подразделений и других лиц, влияющих на принятие решений в области ИТ и информационной безопасности. Респонденты представляли самые разные отрасли экономики — финансов и страхования, ретейла, электронной коммерции, промышленности, транспорта, энергетики и др.

Источник: Microsoft, 2019

По данным Microsoft, 76% предприятий малого и среднего бизнеса сталкивались за последний год с инцидентами кибербезопасности. Больше половины (54%) имели дело с программами-вымогателями, 52% — DDoS-атаками, 39% — АРТ-атаками, 39% — фишингом. Интересно, что при этом 45% в первую очередь боятся АРТ-атак, а вот DDoS-атак – только 31%. Программ-вымогателей опасаются 42% компаний.

Количество DDoS-атак растет, и рост этот объясняется «их относительной дешевизной при высокой эффективности», следует из отчета.

На 37% предприятий рассказали, что целью атак были денежные средства. Еще 32% назвали персональные данные и 31% — учетные.

Основным каналом угроз остается электронная почта (66%), а вот мессенджеры к таким пока не относятся (10%).

Источник: Microsoft, 2019

Подход к оценке ущерба на российском рынке не сформировался. Точные данные представители компаний привести не могут, но 57% оценили свой ущерб до 100 тыс. руб. и назвали его незначительным. Размер затрат на ликвидацию последствий кибератак, как правило, равен самим потерям. На восстановление систем треть опрошенных тратит несколько часов, еще треть – сутки.

Наиболее эффективной мерой защиты от киберпреступлений опрошенные признали тренинги для персонала (48%). С отрывом всего в один процент на втором месте оказалась защищенность каналов (47%). Регулярное обновление ПО находится только на третьем (40%), а использование лицензионного ПО и вовсе на четвертом (34%). Еще 32% надеются на современные устройства (32%).

Руководитель программ информационной безопасности Microsoft в странах Центральной и Восточной Европы Артем Синицын на примере сравнения Windows 7 и Windows 10 советует обращаться к современным операционным системам.

Операционная система Windows 7 разработана более десяти лет назад и потому устарела. В нее, например, не закладывались механизмы по предотвращению компрометации учетных записей и их выгрузки за переделы системы. В скором времени ее техническая поддержка прекратится, и она вообще не сможет обновляться.

Windows 10, как рассказал Синицын Computerworld Россия, основана на комплексном подходе к информационной безопасности: защита строится за счет не только программных компонентов, но и аппаратных возможностей, таких как обеспечение доверенной загрузки компонентов до начала работы самой операционной системы, средства изоляции наиболее критичных компонентов и т.д. Подход реализован в инициативе Secured-core PC на уровне прошивки устройств на Windows 10. Защита ядра предполагает запрет запуска непроверенного программного кода, когда запуск приложений контролируется доверенной средой, и защиту учетных данных от компрометации за счет подсистемы безопасности на базе виртуализации.

АРТ-атаки глазами сотрудников российских компаний

Исследование Positive Technologies «АРТ-атаки глазами сотрудников российских компаний» подняло вопросы противостояния компаний всех размеров сложным целенаправленным атакам (Advanced Persistent Threat, APT). В опросе приняли участие 306 организаций из разных отраслей.

APT-атака, как правило, осуществляется в целях кибершпионажа, саботажа, подрыва репутации или даже дестабилизации политической обстановки. Хакеры, входящие в состав APT-группировок, имеют большой опыт, высокую квалификацию и хорошие технические навыки, сделали вывод исследователи.

Цель такой атаки — остаться в системе как можно дольше незаметным, рассказал директор экспертного центра безопасности PT Expert Security Center Алексей Новиков. Злоумышленники действуют стратегически: проникают в систему и в течение долго времени изучают ее, чтобы потом нанести максимальный урон. Для обхода защитных средств злоумышленники используют легитимные учетные записи и маскируются под стандартную активность ПО. Из-за этого 35% компаний считают, что не подвергались атакам, либо последние не имели успеха. Средний срок присутствия в системе составляет три года, максимальный – восемь лет.

ИТ-компании становятся у злоумышленников все популярнее (32%), акцентируют внимание исследователи. Порой они становятся частью цепочки нападений на другие организации. Однако пока больше всех от АРТ-атак страдает финансовая отрасль (76%). Здесь нападения совершаются ради денег. Следом, почти не отставая, идут госучреждения (75%), системы которых взламываются в целях шпионажа. ТЭК и промышленные компании хакеров интересуют меньше – их назвали 60% и 59% опрошенных. В первом случаем имеет место остановка бизнес-процессов и вывод инфраструктуры из строя, во втором – нарушение производства.

Больше половины опрошенных (58%) в результате АРТ-атак потеряли информацию (утечка), у 43% простаивала инфраструктура, 41% столкнулся с уничтожением или подменой данных. Ущерб репутации понесли 36% компаний, прямые финансовые потери – 29%, потеряли клиентов 23%. Нарушение технологического процесса было у 20%. У среднего и малого бизнеса картина несколько иная и показатели в целом ниже. Так, утечка информация отмечена меньшим количеством компаний (32%), а уничтожение данных стоит на втором месте (23%). Простой инфраструктуры, наоборот, — на третьем (22%). Также были названы такие негативные последствия, как судебные иски, штрафы и потеря контрагентов (по 4%).

Источник: Positive Technologies, 2019

Тенденция года – атака, в ходе которой злоумышленники используют расширенные права доверенной компании (подрядчика, партнера, интегратора) для доступа к инфраструктуре жертвы.

Почти все компании (90%) применяют антивирусы, половина (52%) — системы обнаружения и предотвращения вторжений (IPS/IDS), 43% — межсетевые экраны. У среднего и малого бизнеса соответствующие показатели чуть ниже. Например, антивирусы получили 85% голосов, IPS/IDS — 43%, межсетевые экраны — 37%. Помимо этого вслед за ростом угроз даже небольшие компании начинают использовать и такие технологии для защиты, как песочницы и системы глубокого анализа трафика — по 33% и 20% соответственно.

При этом на долю специализированных решений для защиты от APT приходятся 9%.

Каждый пятый респондент заявил об отсутствии расследований инцидентов. Часто это происходит из-за отсутствия соответствующих кадров или финансов. В случае отсутствия сотрудников необходимой квалификации, в Positive Technologies советуют переложить часть задач на внешних специалистов.

В начале декабря «Лаборатория Касперского» в лице экспертов компании Александра Гостева и Сергей Голованова озвучила итоги 2017 года и представила прогноз на 2018-й, а Антон Шингарев, вице-президент «Лаборатории» по связям с государственными органами, рассказал о международной обстановке на фронтах борьбы с киберпреступностью и о взаимоотношениях «Лаборатории» с правительственными и правоохранительными органами разных стран.

Угрозы года: взлом как сервис и киберпреступность как служба

Многие годы представители рынка информационной безопасности подчеркивали, что время киберпреступников-дилетантов прошло, настало время профессионалов, работающих из корыстных побуждений. Тенденциями уходящего года стали консьюмеризация и политизация киберкриминала.

Примером первой может служить распространение средства изъятия наличности из банкомата «как сервис». За 5 тыс. долл. (по некоторым данным, цена существенно упала) можно приобрести комплект программ CutLet Maker («котлета» — большая пачка денег не только в русском языке) с инструкциями, позволяющих изъять из устройства всю наличность. Для этого, правда, необходим доступ к USB-порту устройства, но он, как утверждается, особой проблемы не представляет. Как отметили в «Лаборатории», такие продукты раньше стоили в десятки раз дороже, делались на заказ и распространялись среди «своих». Теперь же компенсировать покупку «котлеты» можно при взломе первого же банкомата.

Что до политики, то, по оценке «Лаборатории Касперского», из сотни с небольшим хакерских групп, устраивающих APT-атаки (Advanced Persistent Threat — сложные атаки, направленные на конкретную цель), лишь десяток можно отнести к чисто коммерческим. Остальные в той или иной степени работают и на государство.

Например, как полагают в компании, «находится при исполнении» группа Lazarus, предположительно северокорейского происхождения, прославившаяся атаками на SWIFT в полутора десятках стран, а также на финансовые институты, казино, криптовалютные биржи. Этими атаками она добывает валюту для своей родины, отключенной от мировой финансовой системы.

Существенно выросла активность китайскоговорящих групп, которые составляют около четверти общего числа. Причем свою активность в США эти группы снизили почти до нуля, а переключились главным образом на Россию — преимущественно на наши предприятия ВПК, госсектор и узлы критической инфраструктуры.

Русскоязычных APT-групп насчитывается около десятка, есть также испано-, португало- и арабоязычные. Разумеется есть и англоязычные, но, что интересно, ни одну из них к «коммерческим», считают в «Лаборатории», отнести нельзя.

Языковая принадлежность группировок не обязательно указывает на страну их базирования. Скажем русскоязычными могут быть группы из всего бывшего Союза, из стран бывшего соцлагеря. Кроме того, комментарии на том или ином языке, использование соответствующей версии Windows для компилирования кода и даже время начала работы вполне могут быть задействованы для создания ложного следа. Не говоря у же о том, что многие группы бывают интернациональными по составу.

Шифровальщик не всегда то, чем кажется

Открытием года — и по результатам деятельности, и по освещению в СМИ — смело можно назвать шифровальщики. Самый известный из них, конечно, WannaCry, но не меньше шума наделали Petya и ExPetr. Среди жертв «Пети» — украинские энергетические компании, почта парламента Великобритании и «Роснефть». А ExPetr поразил популярную на Украине бухгалтерскую программу MeDoc, причем накануне сдачи отчетности.

Вирусы, разумеется, требовали денег за расшифровку данных, однако у ряда исследователей возникли подозрения, что в некоторых случаях получение выкупа не планировалось. В «Лаборатории» полагают, что внедрение шифровальщика — идеальный последний штрих целевой атаки. Он отвлекает расследование на ложную цель, заставляет тратить усилия на восстановление данных и заметает следы деятельности, не позволяя понять, что именно злоумышленники смогли украсть в ходе «основной» атаки. А пошлют ли на криптокошелек несколько сотен долларов в криптовалюте — дело десятое.

«Атака сбоку»

Упомянутый ExPetr, взлом хакерской группой Axiom утилиты CCleaner и встраивание бэкдора ShadowPad в ПО для управления серверами Netsarang показали, что беда может прийти с неожиданной стороны — вместе с очередным обновлением проверенного ПО. И если в случаях с утилитой и локально-популярным бухгалтерским пакетом можно предположить слабую защиту в софтверных компаниях-производителях, то NetSarang должно быть надежно защищено, поскольку используется крупнейшими компаниями из Fortune 500. Однако злоумышленникам оказалось проще атаковать жертвы через разработчика, чем напрямую.

Многогранная криптовалюта

Курс биткоина вырос за год в 15 раз, общая стоимость всех криптовалют — в 20 раз, через первичный выпуск токенов собрано более 3,5 млрд. А значит, у злоумышленников появилась новая цель, и за год у 60 тыс. жертв было украдено криптовалюты на 300 млн долл.

Эти подсчеты достаточно условны. Скажем, создателям WannaCry (после того, как «Лаборатория Касперского» предупредила, что им платить бесполезно, поскольку данные расшифрованы все равно не будут) на кошелек упало биткоинов всего на 60 тыс. долл., однако рост курса криптовалюты привел к тому, что стоимость полученных средств выросла приблизительно до 600 тыс.

Появились скрипты, позволяющие осуществлять майнинг (добычу криптовалюты) прямо в браузере: за один октябрь ПО «Касперского» пресекло около 70 млн попыток загрузки таких скриптов у более чем 4 млн пользователей.

Осуществляются попытки внедрить такого рода зловредные программы в корпоративные сети, а особо продвинутые сотрудники начинают майнить криптовалюту на оборудовании работодателя.

Что будет?

Прогнозы «Лаборатории» на 2018 год вытекают из тенденций года уходящего. Будет больше атак на производителей ПО, Интернет вещей, системы обращения криптовалют. Наберут популярность «коробочные» решения по взлому банкоматов и атаки на прошивки UEFI. И разумеется, будет все больше целевых атак с применением программ-вымогателей.

Международная панорама

Борьба с киберпреступностью осложняется из-за напряженной международной обстановки, которая, по выражению Шингарева, ведет к «балканизации» — фрагментации интернет-пространства, разобщению усилий по борьбе с киберкриминалом. Взаимное недоверие рождает протекционизм — сначала в форме стимулирования своих ИТ-компаний, потом дело доходит до давления на иностранные и вытеснения их с рынка.

Более трех десятков государств создали свои кибервойска, в НАТО решено, что кибератака на члена альянса запускает действие статьи 5 Устава о взаимопомощи. Критерии кибератаки при этом расплывчаты, а достоверная атрибуция хакерской группы, как уже отмечалась, представляет проблему.

Именно в международной напряженности и действиях некоторых конкурентов Шингарев видит причины проблем компании в США и Великобритании. Тогда как правоохранительные органы — Интерпол, Европол, немецкая BSI претензий к «Лаборатории» не имеют и продолжают с ней сотрудничать.

В начале 2018 года компания откроет «центр прозрачности», к 2020-му их будет три: в США, Европе и Азии. В этих центрах представители регуляторов и правоохранительных органов смогут проверить программное обеспечение на отсутствие закладок. Независимому аудиту будет представлен код не только самого ПО, но и его обновлений. Также компания в рамках программы bug bounty увеличит в 20 раз, до 100 тыс. долл., вознаграждение за найденные уязвимости.

Компания Fortinet решила интегрировать свои межсетевые экраны и прочие средства безопасности с продуктами других поставщиков. Это должно способствовать дальнейшему укреплению безопасности базовых сетей, устройств, подключаемых в дистанционном режиме, и облака.

Архитектура Fortinet Security Fabric предусматривает организацию прямого взаимодействия собственных продуктов Fortinet (межсетевой экран следующего поколения FortiGate, экран для веб-приложений FortiWeb, система обеспечения безопасности электронной почты FortiMail и система комплексной защиты от угроз FortiSandbox) с продуктами других поставщиков через специально предложенные для этого интерфейсы API.

«Каждое из устройств, выпускаемых независимыми производителями, сможет осуществлять обмен информацией в соответствии с возможностями своего API», – пояснил старший вице-президент Fortinet по продуктам и решениям Джон Мэддисон.

Fortinet совместно с компанией CarbonBlack работает над улучшением защиты от целевых атак. Если средства защиты оконечных узлов обнаруживают подозрительную программу, они могут поделиться соответствующей информацией, например, с FortiSandbox. После этого подозрительная программа изолируется до выяснения, является ли она вредоносной. Одновременно ищутся способы ликвидации ущерба, который, возможно, был уже нанесен ею.

В настоящее время клиенты занимаются тестированием средств интеграции с CarbonBlack, которые должны быть полностью готовы в ближайшие несколько месяцев.

В Fortinet все API для независимых поставщиков разбиты на шесть категорий: облако, виртуальные системы, настройка программно-конфигурируемых сетей, управление информационной безопасностью, управление событиями безопасности и общее управление. Конкретные возможности обмена зависят от API, разработанного для продукта независимого поставщика. Все они считаются частью Fortinet Security Fabric.

В Fortinet представили новые межсетевые экраны FortiGate следующего поколения, использующие специализированные микросхемы ASIC, которые освобождают центральный процессор устройства от выполнения некоторых функций безопасности.

Микросхема CP9 обеспечивает повышение производительности межсетевых экранов нового поколения по сравнению с устройствами FortiGate, в которых были установлены микросхемы CP8.

Новая модель Fortigate 6040E поддерживает пропускную способность традиционных функций межсетевого экрана на уровне 320 Гбит/с. Пропускная способность новых функций, в том числе системы предотвращения вторжений и управления приложениями составляет 100 Гбит/с. Для сравнения — у межсетевого экрана FortiGate 3810 пропускная способность при выполнении традиционных функций составляет 320 Гбит/с, а при выполнении функций следующего поколения – только 25 Гбит/с.

Новый процессор должен повысить и производительность трафика SSL, но конкретными цифрами компания пока не располагает.

В Fortinet анонсировали также два новых корпоративных межсетевых экрана серии FortiGate 2000E с чипами CP9. Модели FortiGate 2000E и 2500E увеличивают производительность виртуальных частных сетей, поддерживают более глубокую проверку контента и дополнительные функции управления приложениями.

Компания планирует интегрировать чипы CP8 в новые устройства, которые станут доступны в течение ближайших нескольких кварталов.

Компания Arbor Networks объявила 26 мая о продвижении на российский рынок представленной в начале года платформы безопасности Arbor Spectrum, предназначенной для обнаружения и расследования целевых атак.

Созданная в 2000 году Arbor Networks специализируется на разработке ПО информационной безопасности, которое защищает сети от распределенных атак, вызывающих отказы в обслуживании (Distributed Denial-of-Service, DDoS), ботнетов, червей, а также способно предотвращать попытки внешнего воздействия на сетевые маршрутизаторы. Arbor Networks — частная компания, годовой доход которой превышает 160 млн долл. Ее клиентами, по данным самой компании, являются ведущие операторы, включая «Ростелеком».

К важнейшим активам Arbor Networks относится глобальная система мониторинга и анализа сетевого трафика Atlas, источниками информации для которой служат датчики сенсорной сети Atlas Sensor Network, расположенные в сетях ведущих операторов, а также решения защиты Arbor от DDoS-атак, установленные в сетях клиентов компании. На базе полученных данных формируются списки сигнатур, которыми снабжаются все используемые заказчиками системы Arbor. Технологические партнеры Arbor Networks — компании Cisco Systems, IBM, Juniper Networks.

По словам Ярослава Росомахо, менеджера по развитию партнерских отношений Arbor Networks, платформа Arbor Spectrum, использующая для анализа сетевого трафика данные Atlas, способствует повышению эффективности работы специалистов в области информационной безопасности, предоставляя в их распоряжение инструменты и сведения для борьбы с современными угрозами.

Как и все разработчики продуктов информационной безопасности, представители Arbor Networks отмечают качественное изменение и опасность угроз, с которыми весьма сложно бороться с использованием традиционных средств защиты сетевого периметра, так как целевые атаки (Advanced Persistent Threat, APT) разрабатываются с учетом технических и организационных особенностей конкретных объектов нападения.

В Arbor приводят следующие данные: при проведении APT-атак используются более семи различных инструментов проникновения в информационную инфраструктуру, а из-за малого уровня применения традиционного вредоносного кода снижается их раскрываемость; среднее время пребывания злоумышленников в информационных системах организаций-жертв превышает 200 дней до их обнаружения; расследование каждого инцидента в большинстве случаев требует более трех дней.

Новая платформа, полагают в компании, способна заметно повысить уровень информационной защиты различных компаний в условиях растущей изощренности кибермошенников и увеличения числа целевых атак.

Как пояснил Росомахо, результаты анализа трафика в сетевых инфраструктурах организаций, использующих Spectrum, автоматически коррелируются с информацией, которую платформа получает в реальном времени из системы Atlas.

Компонентами платформы Arbor Spectrum являются центральная консоль управления, а также узлы сбора пакетных и потоковых данных, используемые для обнаружения актуальных угроз и анализа произошедших ранее инцидентов.

Сбор данных о пакетах осуществляется в точках взаимодействия ИТ-инфраструктуры с каналами связи провайдеров коммуникационных услуг. Анализ трафика внутри сетевого периметра обеспечивается на базе данных таких протоколов учета сетевого трафика, как Cisco NetFlow и Juniper IPX.

«Spectrum не только позволяет отключать зараженные рабочие станции, но и дает возможность отследить их возможную вредоносную активность в течение нескольких месяцев после заражения», — подчеркнул Росомахо.

Центральная консоль, коллекторы пакетов и потоковых данных выполнены на базе серверов x86-архитектуры c инсталлированным на них программным обеспечением Arbor Networks. Производительность коллекторов, как утверждают их разработчики, достигает 8 Гбит/с и 100 тыс. записей в секунду соответственно.

В Arbor утверждают, что созданная ими платформа на порядок опережает по производительности существующие решения SIEM (Security information and event management), которые способны обрабатывать события информационной безопасности в реальном времени.

Стоимость нового решения — от 100 тыс. долл. В нашей стране его наиболее вероятными заказчиками могут стать крупные компании финансового сектора, госучреждения и промышленные предприятия. Сообщается о нескольких пилотных тестированиях.

В текущем году ожидается выпуск платформы Arbor Spectrum на основе виртуальных серверов. Это должно уменьшить ее стоимость приблизительно до 10 тыс. долл. и значительно расширить круг отечественных потенциальных потребителей.

Подводя итоги 2015 года, в «Лаборатории Касперского» констатировали, что, хотя вирусов в прошедшем году стало меньше, они в среднем стали «качественнее» (см. «Вирусы-2015: хуже меньше, да лучше», Computerworld Россия, 15 декабря 2015). Как отметил заместитель директора по исследованиям и разработке «Лаборатории» Сергей Гордейчик, представляя в середине февраля новое решение компании, Kaspersky Anti Targeted Attack Platform, наиболее продвинутые злоумышленники перешли от «случайных» атак к целенаправленным.

Обычные атаки составляют 99% их общего числа, но на них приходится лишь 10% ущерба. А 90% потерь (прямые убытки плюс расходы на восстановление информационных систем) вызывают атаки целевые, на которые приходится всего 1%. В среднем ущерб составляет 2,54 млн долл. для крупной компании и 84 тыс. долл. — для компании малого или среднего масштаба.

Жертву целевой атаки долго изучают, выясняют, какие защитные средства она применяет («неоценимую помощь» в этом нередко оказывают объявления о соответствующих тендерах), оценивают защищенность ее партнеров — очень часто на предприятие «заходят» не напрямую, а через менее защищенные системы контрагентов. Процесс этот в известной степени творческий, но, будучи поставлен на поток, он становится относительно недорог и даже предлагается как сервис.

Реализуются атаки тоже с выдумкой. Так, попросив на всякий случай экспертов «Лаборатории» проанализировать, почему зависают банкоматы, в одном из банков обнаружили, что злоумышленниками «захвачен» контроллер домена сети банкоматов. Сделано это было через маршрутизаторы на периметре сети банка. При этом в банкоматы не устанавливался зловредный код — грабители использовали стандартные средства, применяемые программистами при наладке работы устройств, а потому системы противодействия их работу не заметили. В ИТ-системах банка никаких следов эти действия не оставили. Злоумышленники получали информацию о картах клиентов банка, но «монетизировали» свои знания через другие банки. Собственно, поэтому в банке так спокойно относились к проблемам с банкоматами — сам он деньги не терял, а терявшие деньги банки взлому не подвергались, и где искать корень проблем, им было непонятно.

«Не обязательно быть целью, чтобы быть жертвой», — резюмировал Гордейчик.

Еще в одной компании-жертве заметили что-то неладное лишь благодаря ошибке оператора хакерской сети — тот должен был отдать команду на шифрование дисков зараженных компьютеров частных лиц, но случайно «зацепил» и один из подконтрольных корпоративных. Выяснилось, что проникновение произошло более полугода назад, под контролем хакеров находится более 500 компьютеров, с которыми внешне ничего не происходит, потому что злоумышленники (к слову, не сами взломщики, а «добросовестные» покупатели взломанной сети) еще не определились с планами использования покупки.

В среднем целевая атака, по данным «Лаборатории», остается необнаруженной более 214 дней. А может остаться необнаруженной вообще: после достижения поставленных целей злоумышленники стараются замести следы. Поэтому и противодействовать таким атакам надо комплексно.

Kaspersky Anti Targeted Attack Platform (КАТАР) предоставляет как многочисленные технические средства, разработанные в «Лаборатории Касперского», так и услуги по анализу инцидентов, включая расследование причин и результатов состоявшихся случаев вторжения. Сенсоры KATAP отслеживают происходящее в защищаемой сети, выявляют подозрительную активность, а в аналитическом центре изучается полученная информация, в том числе с привлечением ресурсов антивирусного облака Kaspersky Security Network. Подозрительные объекты помещаются в «песочницу», в которой исследуется поведение потенциально вредоносных объектов без риска для действующих ИТ-систем.

Поскольку атака готовится долго, с изучением всех слабых (как технически, так и организационно) мест жертвы и ее окружения, то для обороны необходимо, чтобы ответственные за безопасность, помимо прочего, умели смотреть на свою компанию со стороны, глазами хакеров, это даст возможность прогнозировать их действия. В «Лаборатории» уверяют, что обладают доступом на специализированные закрытые хакерские форумы, где обсуждаются цели и методы атак. Такого рода контрразведывательная деятельность может помочь в организации упреждающих действий еще до начала атаки.

«Лаборатория Касперского» не первопроходец в области таких решений. Но, как заверил Вениамин Левцов, вице-президент по корпоративным продажам и развитию бизнеса, компания не опоздала с выпуском KATAP. Сейчас на этом рынке много игроков, но большинство из них предлагают продукты, которые задач по противодействию целевым атакам на самом деле не решают. У них нет ни опыта борьбы с атаками, ни возможности хотя бы отчасти заглянуть в планы потенциальных агрессоров.

У «Лаборатории» уже идет около дюжины «пилотов» в России и за рубежом, но в этом году от нового бизнеса не ждут существенных доходов — планируется получить несколько миллионов долларов, из них около трети в России.

26 марта компании IDC и Trend Micro собрали российских заказчиков на конференцию «Целенаправленные атаки: новый формат киберугроз». В рамках мероприятия эксперты представили результаты актуальных исследований в области информационной безопасности.

Как сообщают организаторы конференции, прошедший год был беспрецедентным по числу совершенных нападений на информационные системы организаций и предприятий. В качестве примеров упоминались резонансный инцидент с компанией Sony, 100 Тбайт данных которой скомпрометировали киберпреступники, а также тщательно спланированное похищение личных записей 233 млн пользователей сервиса eBay. В Trend Micro и IDC полагают, что целенаправленные атаки станут одним из самых распространенных видов угроз в 2015 году. Но, чтобы нивелировать риски от них, нужно понимать, о чем идет речь.

Старший аналитик IDC Сергей Яковлев провел четкую границу между массовыми и целенаправленными атаками. Первые, по его словам, преследуют множество целей и осуществляются через бреши в защите информационной системы предприятия или группы пользователей. Обычно такие атаки совершаются в рамках стратегии «молниеносной войны». И, как правило, о них сразу же становится известно пострадавшим.

Целенаправленные атаки, напротив, наносят удар по какому-то конкретному объекту, при этом злоумышленники стараются «бесшумно» обойти защиту, длительное время прощупывая уязвимые точки периметра. Иногда, достигнув цели, они месяцами ведут скрытную подрывную деятельность. При этом ц ели злоумышленников могут быть разными: кража материальных средств, хищение конфиденциальной информации, промышленный шпионаж, повреждение инфраструктурных объектов, а также дискредитация соперника по политическим и личным мотивам.

Опираясь на данные исследования ISACA Advanced Persistent Threat Awareness Study Results 2014, Яковлев сообщил, что 37% целенаправленных атак связаны с хищением платежной информации; 23% — персональных данных сотрудников и клиентов организаций; 19% инцидентов привели к раскрытию коммерческой тайны организаций; иная конфиденциальная информация стала объектом 13% нападений; наконец, 8% целенаправленных атак связаны с попыткой раскрыть государственные секреты.

Усредненный размер ущерба, согласно выкладкам аналитиков, составил 2 млн долл. в корпорациях и 100 тыс. долл. в компаниях среднего и малого размера.

Наиболее уязвимыми точками инфраструктуры предприятий, по мнению экспертов, в 2014 году стали десктопы и ноутбуки пользователей. Через них в корпоративные сети было проведено 70% целенаправленных проникновений. Почти половина произошедших инцидентов (48%) обусловлена взаимодействием предприятий с аутсорсерами и сторонними поставщиками ИТ-услуг. Использование на работе мобильных устройств (смартфонов и планшетов) тоже таит в себе большую угрозу – через них было совершено 45% целенаправленных атак. Характерно, что через почтовые серверы, а также серверы веб- и бизнес-приложений зарегистрировано лишь по 26% и 23% инцидентов соответственно, — намного меньше, чем через мобильные устройства.

Как отметил технический директор Trend Micro в России и СНГ Михаил Кондрашин, для осуществления целенаправленных атак преступники не «изобретают велосипеда», в большинстве случаев они организуют свои акции посредством уже известных методов взлома ИТ-систем и инфильтрации в них вредоносного кода.

По оценкам специалистов Trend Micro, в текущем году целенаправленные атаки станут так же популярны, как и другие виды киберпреступлений. Прогнозируется рост армии злоумышленников в скрытых сетевых сообществах и на форумах по продаже криминального ПО.

Кроме того ожидается, что инструменты взлома будут все больше ориентироваться на Android. Число угроз для них, вероятно, удвоится. Значительная часть атак будет нацелена на системы мобильных платежей и электронной коммерции, такие как Apple Pay и Google Wallet. Одновременно расширится и география источников целенаправленных нападений – подобные атаки уже фиксируются из Вьетнама, Малайзии, Индонезии, подчеркнул Кондрашин.

Хотя единого решения для защиты от целенаправленных атак не существует, они должны обязательно присутствовать в модели угроз предприятий и организаций, и защиту необходимо строить на комплексной основе, — рекомендуют специалисты. Помимо традиционных средств защиты периметра и борьбы с вредоносным кодом следует обратить внимание на новый класс решений Specialized Threat Analysis and Protection (STAP). Как пояснил Яковлев, для обнаружения потенциально опасных действий они используют безсигнатурные технологии, такие как «песочница», эмуляция активности, аналитика Больших Данных, контейнеризация.

По данным IDC, мировой рынок подобных решений в 2014 году превысил миллиард долларов. Ежегодно он прирастает на 50%. К решениям класса STAP, в частности, относится представленный на конференции продукт Trend Micro Deep Discovery, доля которого на данном рынке по оценкам IDC составляет 6%.