Дмитрий Реуцкий: «В ближайшее десятилетие основными блоками киберугроз будут финансовая преступность, шпионаж и кибертерроризм»

В мире, где киберпространство становится новой ареной для противостояния, понимание ключевых аспектов ИБ жизненно необходимо. О главных трендах, о роли обучения в предотвращении инцидентов, о влиянии искусственного интеллекта на обнаружение и предотвращение кибератак, а также о противодействии актуальным и будущим киберугрозам рассказывает Дмитрий Реуцкий, директор ФГБУ НИИ «Интеграл». 

Дмитрий Владимирович, расскажите о Центре кибербезопасности подробнее.

В 2022 году было принято решение о создании на базе нашего Института Центра кибербезопасности по реагированию на компьютерные инциденты платформы «ГосТех».

В настоящее время ведется активная работа по организации необходимых внутренних процессов, наращиванию кадрового и технического потенциалов. Планируем, что к концу 2023 года сможем обеспечить готовность Центра к выполнению базовых целевых функций. К основным из них относятся информационный обмен сведениями о компьютерных инцидентах между участниками в рамках функционирования платформы, сбор и анализ данных о текущих и потенциальных угрозах и проведение мероприятий по обнаружению, предупреждению и ликвидации компьютерных атак, а также проведение расследований компьютерных инцидентов.

Выйти на полный функционал по защите государственных информационных ресурсов рассчитываем в 2025 году.

Каковы основные этапы создания и дальнейшего развития единого и отраслевого центров по информационной безопасности под эгидой «Интеграла»? Какие стратегические цели перед ними стоят?

Мы приступили к созданию Отраслевого центра ГосСОПКА в 2019 году и на сегодняшний день планомерно развиваемся — готовим и привлекаем специалистов, отлаживаем системы и выстраиваем взаимодействие. Все заявленные функции как Центра ГосСОПКА класса «А» мы уже выполняем, а для покрытия задач, поставленных перед нами в прошлом году как перед Центром ГосСОПКА платформы «ГосТех», продолжаем совершенствоваться.

Нам была отведена важная роль в области обнаружения компьютерных атак и реагирования на киберинциденты, а также в осуществлении соответствующей поддержки для участников платформы. Стратегической же целью для нас является развитие государственных компетенций в области кибербезопасности.

Какие ресурсы и компетенции будут привлечены для обеспечения эффективной работы этих центров?

При организации своей деятельности мы, прежде всего, опираемся на «Методические рекомендации по созданию ведомственных и корпоративных центров государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации», а также на массив нормативных документов платформы «ГосТех» различного уровня. Если говорить о ресурсах Центра, то они представляют собой три основных компонента: люди, процессы и технологии.

По мере накопления опыта и уровня зрелости, мы намерены развивать свои компетенции на таких перспективных направлениях, как киберразведка и активное обнаружение вредоносной деятельности в информационных сетях (Threat Hunting), а также на командной имитации атак (Red Teaming). 

Как планируется осуществлять интеграцию различных систем безопасности в рамках единого и отраслевого центров по информационной безопасности?

Еще на этапе проектирования в 2019 году мы закладывали в свой проект возможности по его дальнейшему масштабированию и расширению компетенций. Сейчас перед нами стоит основная задача — нарастить имеющийся технический задел и кадровый потенциал, а также адаптировать существующие процессы и регламенты применительно к платформе «ГосТех». 

Планируется ли создание образовательных программ для подготовки специалистов, которые будут работать в едином и отраслевом центрах по информационной безопасности?

Да, планируется, и важно отметить, что уже на данном этапе мы работаем над совершенствованием профессиональной подготовки, уровня знаний и навыков своего персонала, для этого проводим внутренние стажировки и участвуем в различных программах дополнительного образования и повышения квалификации.

Еще у нас есть амбициозная цель — создать практическую образовательную среду, направленную на обучение не только наших специалистов, но и коллег из других заинтересованных организаций. В итоге передача наработанного опыта и знаний, полученных практическим путем, будет способствовать повышению общего уровня подготовки специалистов в нашей области.

Можете ли вы дать в целом оценку уровню защиты государственных информационных систем России на текущий момент?

Давать общую оценку уровня безопасности этих систем достаточно трудно, поскольку степень их защищенности сильно различается. И тут, по нашему мнению, важна скорее не «средняя температура по больнице», а достижение всеми ГИС единого приемлемого уровня информационной безопасности. И это как раз одна из задач, которую требуется решать в рамках реализации платформы «ГосТех».

Среди принимаемых мер, направленных на приведение всех федеральных и региональных государственных информационных систем к требуемому уровню защищенности, можно отметить эксперимент Минцифры. На данный момент ведомство в рамках федерального проекта «Информационная безопасность» национальной программы «Цифровая экономика» проводит оценку безопасности ГИС федеральных органов исполнительной власти и подведомственных им учреждений, в том числе мигрирующих на платформу. 

Как будет организован процесс реагирования на инциденты кибербезопасности, возникающие на платформе «ГосТех»? Какие процедуры следует соблюдать при обнаружении уязвимости?

Общая координация всех усилий, процессов и мероприятий, проводимых в рамках государственной системы обнаружения и предупреждения компьютерных атак на информационные ресурсы нашей страны, — прерогатива Национального координационного центра по компьютерным инцидентам (НКЦКИ). Если рассматривать ГосСОПКА как инфраструктуру, то она, прежде всего, состоит из множества центров со своими зонами ответственности.

При этом мы являемся головным центром для всех субъектов ГосСОПКА в рамках «ГосТеха». По сути, в данном случае мы выполняем функцию «единого информационного окна» и «диспетчера задач» для всех участников платформы при их взаимодействии с НКЦКИ.

В своей повседневной деятельности Центры ГосСОПКА участников платформы осуществляют текущий контроль ИТ-ландшафта, каждый в своей зоне ответственности. В рамках этой работы планируется наладить обмен актуальной информацией между Головным центром (нами) и подчиненными центрами платформы, а также передавать сведения о выявленных и подтвержденных инцидентах и атаках на ресурсы «ГосТеха».

Если уж совсем упростить, то в процессе взаимодействия всех субъектов ГосСОПКА и НКЦКИ наш Центр кибербезопасности является точкой входа/выхода для платформы «ГосТех» в части обнаружения компьютерных атак и реагирования на компьютерные инциденты.

Что касается рекомендуемых процедур при обнаружении уязвимостей, то основные этапы этого процесса вкратце можно описать следующим образом. Для начала необходимо определить, что за уязвимость была найдена и насколько она критична для конкретной информационной системы. Дальнейшим шагом является выбор возможных мер устранения. Здесь многое зависит от архитектуры самой системы и действующих в организации процедур. После того как меры по устранению уязвимости приняты, требуется выполнить повторную проверку.

Какими критериями и показателями оценивается успешность работы вашей команды?

Наша задача — построение эффективного рабочего процесса, постоянное совершенствование используемых методов, укрепление информационной безопасности защищаемых ресурсов.

Поскольку мы еще находимся на этапе организации нашей работы, система критериев для оценки эффективности деятельности Центра еще полностью не сформирована. Однако можно сказать, что основными показателями на данный момент являются непрерывность и надежность реализуемых нами процессов мониторинга и реагирования на инциденты. И очевидно, что эти требования будут повышаться с ростом зрелости центра и платформы. Для нас очень важно правильно организовать процесс анализа эффективности проводимых мероприятий по противодействию компьютерным атакам.

Планируется ли проведение регулярных учений по отработке алгоритмов реагирования на киберинциденты?

Конечно, и это, прежде всего, проверка на практике применяемых методов и способов защиты. К тому же, по нашему мнению, это необходимый элемент организации эффективной и слаженной работы нашей команды и всех взаимодействующих сторон. По мере развития нашей материально-технической и кадровой базы планируем проведение киберучений на системной основе.

Учения необходимы. Они помогают нам нарабатывать согласованность действий, учат на практике понимать алгоритмы реагирования, закреплять процедуры и зоны ответственности. Вместе с тем это отличная возможность повысить уровень коммуникации участников, выявить и устранить общие организационные недостатки.

На ваш взгляд, в какой степени можно использовать искусственный интеллект для анализа угроз безопасности и принятия решений?

Рынок развивается, появляется все больше решений: сейчас уже алгоритмы ИИ позволяют анализировать большие объемы данных и обнаруживать закономерности, указывающие на актуальные киберугрозы. Искусственный интеллект используется при обнаружении вредоносных программ и различных методов фишинга. Он очень полезен в обеспечении сетевой безопасности — например, при отслеживании подозрительной активности, выявлении аномалий трафика и обнаружении сомнительных устройств.

Однако эти системы все еще недостаточно зрелые для полноценной замены человека. Такие технологии способны помочь, скажем, в работе операторов первой линии SOC, однако речи о полной автоматизации процесса пока не идет. Сейчас ИИ — важный, но все же вспомогательный инструмент при принятии решений. Кроме того, вопрос доверия ИИ до сих пор остается открытым. 

Расскажите о превентивных мерах, которые используются для минимизации рисков кибератак, особенно в отношении «нулевых дней» и новых, еще неизвестных векторов атак.

Для минимизации рисков подобных кибератак крайне важно наладить функционирование системы мониторинга и реагирования на инциденты для отслеживания подозрительной активности и аномальных событий.

Возможно, это прозвучит банально, однако начинать все-таки необходимо с соблюдения всеми сотрудниками элементарных правил кибергигиены, поскольку начальным вектором атак «нулевого дня» зачастую являются целевые фишинговые рассылки.

При этом для своевременного и эффективного противодействия таким угрозам необходимо предпринимать как минимум базовые организационные и технические меры защиты. Обязательное использование сертифицированных СЗИ и непрерывный мониторинг по базам уязвимостей — уже большое дело. А вкупе с использованием многофакторной аутентификации и регулярным резервным копированием данных — они позволят добиться приемлемого уровня защиты.

Поговорим о будущем. Какие киберугрозы, по вашему мнению, станут наиболее актуальными в ближайшие 5—10 лет и какие стратегии уже сегодня применяются для предотвращения возможных рисков, связанных с ними?

Полагаем, что в ближайшее десятилетие тремя основными блоками киберугроз будет финансовая преступность; шпионаж в различных его изводах и кибертерроризм. Количество кибератак, вероятно, будет только возрастать, а самыми массовыми из них станут «умный» фишинг, дипфейк и взломы смарт-контрактов. Также следует учитывать активное развитие таких направлений, как искусственный интеллект и машинное обучение, которые уже сейчас являются драйверами для создания инструментов и технологий, используемых киберпреступниками.

Кроме того, продолжающаяся активная цифровизация социальных сфер жизни общества прогнозируемо приведет к значительному увеличению попыток неправомерного доступа и использования цифровых атрибутов человека.

Поэтому, если говорить о стратегиях противодействия, важно сейчас совместно отслеживать случаи появления и использования таких технологий. И своевременно вырабатывать тактики противодействия, например, путем модернизации имеющихся средств защиты информации теми же алгоритмами машинного обучения, позволяющими повысить уровень обнаружения. При этом здесь очень важна коллективная работа, как для оперативного обмена информацией о появляющихся киберугрозах, так и для выработки решений по противодействию им.

Сейчас продолжается работа над тем, чтобы требования регуляторов соблюдались как разработчиками сервисов и приложений, обрабатывающими эти данные, так и организациями, эксплуатирующими соответствующие сервисы. Крайне важно сформировать единое понимание и организовать слаженную работу государственных органов власти и потребителей всех уровней в этом вопросе. Соответственно, важность работы регуляторов (ФСБ, ФСТЭК) как органов, формирующих требования к защите цифровых ресурсов, только возрастает.