Информационная безопасность в эпоху цифрового суверенитета
Отечественные заказчики прошли этап ускоренной замены зарубежных инструментов ИБ (антивирусы, межсетевые экраны и т. д.) российскими продуктами и научились работать с ними. Сейчас идет процесс замещения инфраструктурного ПО, которое также имеет собственные средства защиты либо совместимо с отечественными ИБ-решениями. Существенно вырос спрос на решения для защиты от кибератак и утечек данных. Это связано с тем, что Россия стала одним из главных центров разработки программного обеспечения и информационных технологий и столкнулась с увеличением числа кибератак. Увеличилась популярность облачных сервисов и виртуализации.
В условиях санкций и ограничений доступа к зарубежным технологиям российские компании активно развивают собственные технологии виртуализации и облачные сервисы. Можно также отметить увеличение интереса к защите персональных данных клиентов компаний. В связи с этим все больше компаний начинают применять системы мониторинга и анализа поведения пользователей для выявления потенциальных угроз безопасности. Наконец, в связи с усилением контроля за деятельностью государственных организаций со стороны Правительства РФ, все больше компаний обращается к средствам защиты информации, связанным с государственной тайной.
Госсектор в авангарде
«Что касается госсектора, то главным драйвером изменений подхода к ИБ здесь стали массовые атаки на информационные системы в прошлом году. Следующая причина — ужесточение регулирования и ответственности за инциденты с КИИ со стороны регуляторов. В результате системы прошли реальные пентесты, часто страдали от DDoS-атак или взлома, но при этом стали понятны их слабые места и «точки роста» средств защиты информации. Постепенно ситуация меняется, защита усиливается и число успешных атак, как все мы видим, сокращается, — отмечает Дмитрий Хомутов, директор компании Ideco. — Средства защиты информации тоже были улучшены — межсетевые экраны, WAF и средства защиты от DDoS-атак были существенно усовершенствованы производителями, что сыграло на руку всем секторам экономики».
«Со сменой вектора кибератак с зарабатывания денег преступным путем (кража и продажа данных, выведение денег со счетов, шантаж) на нанесение максимального ущерба гражданам нашей страны, государственные цифровые системы стали чаще подвергаться атакам. Поэтому подход «мы неинтересны хакерам, для нас приоритет — аттестация наших цифровых систем» ушел в прошлое, сегодня практическая защищенность — главный приоритет защитников госсистем, этого требуют в том числе и сами регуляторы», — говорит Рустэм Хайретдинов, заместитель генерального директора ГК Гарда».
Сразу три ключевых изменения отмечает Андрей Юрченко, директор департамента клиентских проектов компании Axoft. «В связи с переходом на российские ИТ- и ИБ-решения поменялся и их ландшафт. Частый случай: там, где ранее для закрытия задачи или обеспечения нужного ИТ-сервиса требовался один инструмент, теперь их необходимо несколько, зачастую от разных производителей. А это влечет за собой множество изменений: рост числа специалистов, количества физических устройств, лицензий ПО и т. д. Конечно же, это потребовало переосмысления фундаментального подхода, что отразилось и на информационной безопасности. Если кратко — трудностей стало больше», — утверждает он.
Как замечает эксперт, помимо «бумажной» безопасности, государственные компании уделяют внимание и фактическому инструментарию, регламентам и проактивной деятельности, нацеленной на обеспечение ИБ предприятия. «Еще не так давно многие приобретаемые решения или ставились бизнесом «на полку», или ими никто толком не занимался, используя в лучшем случае 10–15% от возможностей систем. Многие специалисты рынка помнят бум на DLP-решения, которые при всем своем богатстве функционала толком не использовались», — продолжает он. Третий тренд — развитие безопасной разработки (DevSecOps) на предприятиях с полным или частичным государственным участием. «Благодаря DevSecOps множество проблем с утечками данных или неработающими сервисами можно решить еще на первых этапах создания того или иного сервиса. На рынке представлена масса инструментов, позволяющих превентивно (на стадии разработки) обнаружить баги и уязвимости. Мы видим, что интерес к этому сегменту проявляет и госсектор, помимо традиционного спроса со стороны бизнеса», — резюмирует Андрей Юрченко (Axoft).
Как утверждает Андрей Воробьев, директор Координационного центра доменов .RU/.РФ, на ситуацию с информационной безопасностью в госсекторе повлияли ограничения по передаче зарубежного трафика в адрес сетей государственных сервисов и ведомств. Большинство из них сегодня закрыто для http/https-запросов из-за рубежа, к тому же они не принимают электронную почту из нероссийских доменных зон. «Это снизило возможности злоумышленников по сканированию данных сетей в поисках уязвимостей, однако не прекратило такое сканирование полностью, поскольку для этого использовались скрипты, установленные и на российских хостингах. Сейчас в рамках подключения хостеров к ГосСОПКЕ решается и эта проблема», — отмечает эксперт. Также, по его словам, важной задачей является обеспечение безопасности и стабильности российского доменного пространства. Андрей Воробьев (КЦ RU/РФ) напомнил, что в настоящее время выстроена система противодействия последствиям возможных отключений российских доменных зон — Национальная система доменных имен (НСДИ), и сейчас можно гарантировать, что домены .RU/.РФ продолжат работать в случае принятия любого санкционного решения или техногенной катастрофы. «Даже в случае исключения доменов .RU/.РФ из глобального корневого доменного пространства Национальная система доменных имен обеспечит доступ к сайтам на этих доменах для российских пользователей и пользователей из дружественных стран», — подчеркнул он.
Киберпреступники и их методы
Злоумышленники тоже не стоят на месте, однако какого-то явного технологического прорыва в методах и подходах к атакам не наблюдается. Инструментарий и методы атак совершенствуются не столь быстро, как кажется стороннему наблюдателю, считает Александр Кушнарев, технический консультант компании Netwell. «Атаки на сетевую инфраструктуру с применением весомых технологических новшеств не так уж часто выполняются, поскольку подобный подход требует серьезной проработки и своего рода криминального таланта. В большинстве случаев злоумышленники используют уже доступный арсенал средств: социальную инженерию для получения данных, запуск программ с переносного носителя, исполнение вредоносного кода в контексте отдельных программных сред (макросы, программные апплеты и т. п.), отправку по почте файлов со шпионскими программами и троянами, загрузку «маяков» с обратной связью через веб-сайты. Весомая часть уже известных подходов к реализации атак эффективна в большей или меньшей степени. Гораздо более опасны изобретения в области сокрытия присутствия вредоносного кода как и первичного запуска в контексте прикладных приложений. Методы обфускации (запутывания) кода, автоматизированная фрагментация, маскировка обращений к управляющим C&C-серверам, применение специфичных/изолированных программных сред (например, Oracle Java, Adobe ActionScript-приложения, SQL-сценарии для СУБД) как базы для зловредного воздействия представляют собой обширное поле для хакерских экспериментов. И потому что-то новое, да и просто более эффективное в подходах к сокрытию и незаметному исполнению вредоносного кода высоко ценится сообществом теневого Интернета. Вот тут, на наш взгляд, и возможен дальнейший рост. Что касается популярных подходов к атакам, они по большей части остаются неизменными. Периодически добавляется что-то новое. Главное — так или иначе исполнить программу на компьютере потенциальной жертвы и/или получить аутентификационные данные. Атаки на отказ в обслуживании (DoS/DDoS-атаки) также представляют серьезную проблему для современных сервисов», — комментирует он.
«Злоумышленники, как и раньше, используют DDoS-атаки и фишинговые рассылки. Однако за последнее время осведомленность населения в области информационного мошенничества повысилась, а процент успешных актов мошенничества снизился. Наряду с этим возросло количество атак на малый и средний бизнес. Например, на небольшие магазины с собственными сайтами, которые злоумышленники атакуют, крадут данные покупателей или замораживают работу сайта с целью выкупа», — дополняет Федор Трифонов, директор департамента развития решений в области информационной безопасности ГК T1.
Тем не менее старые добрые методы атак никуда не делись и продолжают приносить успех злоумышленникам, особенно если жертва плохо защищена. «Злоумышленники продолжают использовать в своих интересах плохо защищенные компоненты ИТ-ландшафтов компаний, в том числе системы, которые позволяют команде работать удаленно, — полагает Дмитрий Ковалев, руководитель департамента информационной безопасности «СиСофт». — Брутфорс-атаки, DDoS, APT, фишинг, социальная инженерия никуда не делись. Но значительно увеличилась частота, сложность, интенсивность атак, поменялись цели: продажа данных теперь менее интересна, чем удар по репутации и экономический ущерб от публикации данных в открытом доступе».
В условиях усиления киберугроз имеет смысл принять на вооружение такие методы защиты, как «нулевое доверие» (Zero Trust). Это подход к обеспечению безопасности информации, основанный на недоверии к сотрудникам и партнерам компании. Он предполагает использование системы контроля доступа и мониторинга действий сотрудников, а также регулярные проверки их работы. «Важно понимать, что внедрение метода Zero Trust требует изменения культуры безопасности и инвестиций в технологии, такие как многофакторная аутентификация, сетевые сегментации, системы обнаружения аномалий и централизованный контроль доступа. Однако это может значительно улучшить общий уровень безопасности информационных систем и уменьшить вероятность успешных кибератак», — говорит Алексей Витенбург, руководитель отдела ИБ компании «Абак-2000».
«Метод Zero Trust, можно сказать, уже давно стал традиционным подходом к безопасности. Многие компании давно используют его для реализации задач по защите инфраструктуры и информации, — добавляет Кирилл Уголев, руководитель дивизиона ИБ компании Tegrus. — Ограничением метода является лишь наличие минимально необходимых разрешений для функционирования бизнес-процессов компании. По сути, кроме усилий по поддержанию и реализации, у этого метода почти нет минусов. Он действительно позволяет построить контролируемую и условно безопасную среду, где какие-либо несанкционированные действия злоумышленника максимально затруднены».
Zero Trust уже можно отнести к одному из традиционных подходов в ИБ. Его преимущества очевидны: минимизация рисков, защита «от дурака», дополнительный контроль обычных и суперпользователей. Из главных недостатков, которые мешают этому подходу стать главенствующим, можно выделить высокие требования к системам, осуществляющим проверку и авторизацию пользователей, к их администраторам и средствам защиты. При их сбое (в том числе целевой атаке на них) есть риск серьезно парализовать бизнес.
«Эта концепция достаточно молодая, и сейчас она перешла в самостоятельный подход, стремящийся защитить компанию от современных угроз. В любом случае — подход с выделением минимально необходимых прав полезен», — соглашается с коллегами Павел Яшин, руководитель службы ИБ компании iiii Tech.
Человеческий фактор
Для того чтобы пользователи правильно воспринимали и относились к новым технологиям и методам защиты и при этом не играли роль слабого звена при фишинговых атаках злоумышленников, необходимо усиливать просветительскую работу в области кибергигиены, сделать ее частью корпоративной культуры. «Театр начинается с вешалки, а ИБ-компании — с людей, которые в это вовлечены, — поясняет Андрей Юрченко (Axoft). — И чем больше сотрудников умеют правильно реагировать на потенциальную угрозу, тем ниже риск успешной атаки».
Мало обучить сотрудников основам безопасности, парольным политикам и объяснить, как защититься от фишинга и социальной инженерии. Важно регулярно обновлять теорию и проверять эти знания на практике, чтобы сотрудники не теряли бдительность, ставя по неосторожности под угрозу критически важные данные и процессы в компании.
«Сегодня злоумышленники используют методы на стыке хакерства и социальной инженерии, оказывая в процессе взлома жесткое психологическое воздействие на жертву. Особую роль эта проблема приобретает именно на госслужбе, где принято оперативно исполнять распоряжения руководства. За последнее время произошло несколько инцидентов, когда перед отправкой фишинговых писем с жертвой связывались от имени ее руководителя, причем в одном случае для этого был взломан мессенджер одного из сотрудников», — констатирует Андрей Воробьев (КЦ RU/РФ). По словам эксперта, есть целый ряд рекомендаций по тому, как противостоять данной проблеме — работа с персоналом по цифровой гигиене, смена паролей, многофакторная авторизация, системы подтверждения распоряжений руководства и т. д. «И главная задача на сегодня — сделать так, чтобы эти рекомендации выполнялись всеми сотрудниками на всех уровнях», — заключает эксперт.
Наиболее перспективным является подход к ИБ-обучению персонала, комбинирующий представление теоретических данных с последующим сокрытым тестированием навыков.
«К сожалению, человеческий фактор никто не отменял, — напоминает Глеб Абрамов, руководитель направления аудита информационной безопасности компании Itglobal.com Security. — Чтобы минимизировать риски, нужно для начала показать сотрудникам, к чему может привести, к примеру, фишинговая атака. С обучения и осведомления сотрудников должна начинаться информационная безопасность компании. Выполнять внешние тестирования на проникновения, начиная с организации фиктивных фишинговых атак, чтобы проверить уровень осведомленности сотрудников и обучить их распознавать потенциальные угрозы. Проводить постоянные тренинги в интерактивных и практических форматах, применять разные подходы для мотивации сотрудников, соблюдать правила информационной безопасности. Скучные и монотонные курсы не заинтересуют и не дадут большого опыта в осведомленности. Основная цель всех направленных мер — создать культуру кибергигиены внутри организации, где каждый сотрудник осознает свою ответственность за сохранность информации и активно участвует в процессе обеспечения информационной безопасности».
Человеческая безграмотность аннулирует любые технические средства защиты и контроля доступа. Различных видов средств защиты информации много, некоторые из них выполняют схожие функции, но даже если внедрить в инфраструктуру их все и при этом полностью игнорировать необходимость рассказывать сотрудникам об основах информационной безопасности и не убеждаться в их киберграмотности, идеально настроенная система защиты может быть бесполезна.
«Самым уязвимым звеном в системе защиты всегда является человек: безответственность, невнимательность, пренебрежение регламентами, неосведомленность — все то, чего технические средства лишены, делают человека уязвимым для злоумышленников, специализирующихся на социальной инженерии. Из-за низкой квалификации большинство злоумышленников атакуют не системы, а людей. Они создают фишинговые сайты, выкладывают на пиратские файлообменники зараженные копии легальных программ, присылают письма с вредоносными ссылками или файлами и совершают звонки от имени технической поддержки или администрации какого-либо ресурса. Опасность их в том, что такие атаки всегда массовые — вместо того, чтобы сфокусироваться на одной крупной цели, они атакуют много малых и, едва получив положительный или отрицательный результат от одной, тут же переходят к следующей. Чтобы такие массовые атаки перестали быть эффективными, необходимо вывести киберграмотность на уровень общечеловеческой нормы, как способность ходить или право получать бесплатное образование, и рассказывать людям о необходимости осторожного использования интернет-ресурсов и компьютерной техники в целом», — резюмирует Дмитрий Наумов, технический эксперт компании MONT.
Необходимо преподавать кибербезопасность начиная со школы (возможно в рамках ОБЖ), и продолжать делать это в вузах. Повышая киберграмотность, можно перебороть преступников — атаки станут для них слишком дорогими, если конверсия в удачное преступление снизится в несколько раз.
Особенности национальной информационной безопасности
Одной из первоочередных мер, которые были приняты на государственном уровне для укрепления цифрового суверенитета России, стал запрет на использование госорганами средств защиты информации производства недружественных стран. Большинство организаций уже перешли на российские ИБ-решения, поэтому сегодня можно оценить, насколько импортозамещение повлияло на защищенность. «Во-первых, импортозамещение может способствовать развитию отечественной кибербезопасности. Во-вторых, импортозамещение может снизить риск применения уязвимых и небезопасных технологий.
«Зависимость от импортных технологий и оборудования может привести к уязвимостям и риску нарушения информационной безопасности», — говорит Дмитрий Хомутов (Ideco), — Уже с начала 2020 года Правительство РФ и Минцифра утвердили целый комплекс мер государственной поддержки для ИТ-отрасли, что в несколько раз простимулировало рост и развитие отечественных компаний в ИБ. Импортозамещение, реализация которого имело долгосрочную перспективу, стало насущной необходимостью для всех российских компаний».
Рустэм Хайретдинов («Гарда»), считает, что особого влияния здесь нет. «Большинство систем безопасности и до западных санкций работали на российских решениях. В единственной пока незанятой россиянами нише межсетевых экранов нового поколения (NGFW) идут активные исследования, а пока защита осуществляется либо последовательной проверкой трафика, либо сменой архитектуры сети», — говорит он.
Дмитрий Ковалев («СиСофт») отмечает, что качественных отечественных решений в сфере ИБ на рынке много: российские аналоги существуют практически для всех видов ПО. «Уровень функциональных возможностей у российских продуктов для киберзащиты в целом довольно высокий, однако до сих пор есть ниши, где возможности наших решений не полностью закрывают функции иностранных продуктов. Тогда для реализации некоторых задач, например для корпоративных DevSecOps-решений, бизнесу периодически приходится комбинировать технологии и пользоваться сразу несколькими продуктами разных российских вендоров. Влияние на уровень защищенность российских компаний во многом оказывают не сами продукты, а качество их внедрения, настройки и использования. Это напрямую зависит от квалификации специалистов по информационной безопасности. К сожалению, сейчас отрасль испытывает дефицит в таких кадрах», — комментирует эксперт.
Во многих случаях импортозамещение у нас вынужденное, связанное с тем, что зарубежные компании отказались продлевать лицензии — это означает отсутствие обновлений и риски, с ним связанные. Многие отечественные «импортозаместительные» продукты пришлось разрабатывать второпях, и они не прошли испытание длительной эксплуатацией, что тоже несет риски уязвимостей и ошибок.
«С одной стороны, мы отмечаем положительное влияние импортозамещения на развитие российских технологий в ИБ, уровень их зрелости и качество продукта. Плюсом является и сертификация большинства решений, — рассуждает Андрей Юрченко (Axoft). — С другой стороны, остается открытым вопрос усиливающегося дефицита кадров, есть нюансы, связанные с совместимостью решений между собой, уровнем их поддержки, отсутствием конкуренции с мировыми лидерами. Уверен, через какое-то время плюсы перевесят и заказчики получат качественные развивающиеся продукты».
О сложностях импортозамещения в ИБ рассказывает Федор Трифонов (ГК T1). «Импортозамещение, особенно в области кибербезопасности, — долгий, трудный и дорогой процесс. На рынке есть немало компаний, которые за год до ухода западных вендоров обновили инфраструктуру, выстроили защиту исключительно на иностранных решениях и закупили оборудование «на будущее». После ухода с российского рынка подобные решения превратились в ненужный металл. Многие компании пытаются обойти импортозамещение, закупая ИБ-оборудование по параллельному импорту. Это эффективная и краткосрочная мера, которая рано или поздно приведет к негативным последствиям. Не доверяя и не инвестируя в российские разработки, мы тормозим развитие рынка», — утверждает он.
Лучше поручить защиту профессионалам
На российском ИБ-рынке все популярнее становится сервисная модель, когда заказчики приобретают не лицензию на продукт, а услугу, сервис у провайдера информационной безопасности.
«Эта модель предполагает передачу ответственности за обеспечение безопасности информации профессионалам, специализирующимся в данной области, — разъясняет Дмитрий Хомутов (Ideco). — На мой взгляд, преимуществ здесь много, начиная от создания надежной защиты организации и заканчивая снижением рисков: утечки информации, нарушения конфиденциальности или доступа к данным. Профессиональные провайдеры ИБ применяют передовые методы и технологии для повышения уровня защиты информации, это позволяет организации чувствовать себя более безопасно».
«Такая модель позволяет организациям использовать экспертизу сторонних специалистов и инфраструктуру для обеспечения безопасности, чем самостоятельно поддерживать и обновлять собственные системы безопасности, — говорит Илья Самсонов, операционный директор компании MediaPro. — По сравнению с внутренней моделью безопасности, сервисная модель может быть более доступной и эффективной, особенно для малых и средних предприятий или организаций с ограниченными ресурсами».
Если вам надо быстро развернуть какой-то новый вид защиты, вы можете очень быстро, по некоторым сервисам — за минуты, подключить такой сервис, не загружая свой персонал и инфраструктуру, особенно если у вас их еще и нет.
«При внедрении ИБ в компании вы можете пойти по двум направлениям: развивать собственный штат специалистов, обучать их, самим подбирать средства защиты информации и т. д. либо обратиться к провайдерам Security as a service или, простыми словами, ИБ на аутсорсе, — рекомендует Глеб Абрамов (Itglobal.com Security). — Такой вариант позволяет сэкономить на затратах и быстрее внедрить ИБ в компании, но нужно учитывать много факторов при выборе подрядчика. Рекомендуем обращать внимание на опыт и квалификацию команды. Важно, чтобы ИБ-служба имела опыт работы с организациями, подобными вашей, и обладала экспертизой в области кибербезопасности. Также важно наличие широкого спектра ИБ-услуг, включая аудит безопасности, тестирование на проникновение, превентивные меры, реагирование на инциденты и т. д. Кроме того, ИБ-служба должна обеспечить непрерывный мониторинг информационной безопасности и готовность к оперативному реагированию на инциденты. Работа должна вестись согласно стандартам и регуляторным требованиям».
Важно отметить, что при выборе сервисов безопасности как услуги организации должны тщательно оценивать поставщиков и убедиться в их надежности и соответствии стандартам безопасности. Кроме того, конкретный выбор модели безопасности будет зависеть от уникальных потребностей и характеристик организации.
«Сервисная модель информационной безопасности крайне интересное направление, которое давно развито за пределами нашей страны. И заключается оно в том, что заказчик платит за конкретный результат обеспечения безопасности своей инфраструктуры, информации и т. п. экспертной компании, которая обладает широкой экспертизой и большим опытом в сфере реализации механизмов защиты информации. Из преимуществ такой модели можно отметить, что она избавляет заказчика от приобретения и поддержания дорогостоящей собственной экспертизы, дополнительных технических средств, которым требуется обслуживание и грамотный технический персонал», — полагает Кирилл Уголев (Tegrus).
Если мы сравниваем сервисный подход и наем, а затем выращивание специалиста по безопасности, стопроцентно нельзя сказать, что будет лучше в абсолютном понимании. Однако нередко внешний сервис может выгодно дополнить уже существующий. Особенно если компания понимает, что необходимо и каким образом измерять результат.
Опубликовано 06.10.2023