Из 2022 в 2023: нужен ли вам анализ киберугроз?
Геополитические события 2022 года внесли серьезные коррективы в характер киберпреступлений. Изменились мотивы злоумышленников, состав их участников и доступные им ресурсы. В связи с этим у бизнеса появилась необходимость расширять инструментарий прогнозирования действий киберпреступников и разрабатывать стратегии и тактики проактивной защиты ИТ-инфраструктуры предприятий.
Основными наблюдаемыми трендами стали интенсификация DDoS-атак, изменения в инфраструктурах компаний, связанные с импортозамещением, продолжение активности программ-вымогателей, и все это на фоне критической нехватки квалифицированных кадров в области кибербезопасности. Давайте вместе посмотрим, как проактивная аналитика угроз может помочь справиться с этими вызовами.
Предсказать DDoS-атаку без хрустального шара
Если до минувшего года атаки на бизнес носили в основном экономической характер, то в 2022 они приобрели политический оттенок. Ресурсы многих организаций РФ подверглись серьезным DDoS-атакам. По данным аналитиков «Гарда Технологии», их число по сравнению с предыдущим годом выросло в 5 раз, интенсивность некоторых достигала 900 Gbps и более.
Международная напряженность сохранится и в 2023 году, а значит, те проблемы, которые испытывали российские коммерческие и государственные компании останутся актуальными. Злоумышленники, мотивированные не только финансово, но и политически, будут пытаться нанести как можно больший ущерб учреждениям России и критическим объектам промышленности и инфраструктуры. Улучшится координация атакующих групп. Вырастет сложность и изощренность атак, хотя и простые массовые атаки, направленные на отказ в обслуживании, никуда не исчезнут. В этой связи эффективным инструментом защиты могут стать инструменты Threat Intelligence (TI)*. Ранее процент атак, в которых удавалось детектировать атакующие узлы доходил до 80% в сутки, а предсказать удавалось до 8% атакующих узлов. Это означает, что для атаки интенсивностью 900 Gbps, за счет использования данных TI можно будет освободить трафик объемом около 70 Gbps, а это эквивалентно 16000 пользователей.
Более того, данные индикаторов, кроме самих индикаторов для блокировки (ip-адресов, атакуемых/атакующих портов), содержат дополнительную информацию. Например, о принадлежности адреса конкретному провайдеру, использовании этих адресов для вредоносной активности ранее, принадлежности к ботнет-сети и другую. Такие данные позволят осуществлять более сложную аналитику проводимой атаки, предсказать, какие инструменты может использовать потенциальный злоумышленник и на какие события информационной системы следует обратить более пристальное внимание.
Защитить инфраструктуру в динамике изменений
Из России стали уходить иностранные вендоры, бизнесу перестали продавать продукты и лицензии, начали отказывать в предоставлении услуг и сервиса. Как следствие, возникла потребность в перестройке инфраструктуры, стали меняться подходы к ее защите. В свете этой тенденции свою эффективность в качестве универсального инструмента показал TI. Рассмотрим подробнее.
В условиях санкций и остановке работы зарубежных поставщиков компаниям пришлось искать альтернативу в виде отечественных продуктов с аналогичной функциональностью или обращаться к Open Source-решениям. С учетом санкционных рисков и вероятности блокировки доступа российских пользователей к репозиториям, отсутствия гарантий в части наличия вредоносного кода в них, на последние не приходится делать больших ставок в долгосрочной перспективе. Так, в августе 2022 года исследователями были выявлены зараженные пакеты в репозитории pip (пакетный менеджер для Python), чем явно было продемонстрировано, что угрозу могут представлять даже те продукты, которые всегда считались доверенными. Разумеется, исследователи предоставили индикаторы компрометации, связанные со злонамеренно измененными пакетами, а значит, компании, использующие TI, будут защищены.
Для российского бизнеса в 2023 году наиболее актуальны риски, связанные с иностранным ПО и оборудованием (в том числе АСУТП, IoT-устройства), которые использовались практически повсеместно. В связи с этим набирает оборот импортозамещение указанных решений на отечественные аналоги или аналоги из дружественных стран. Вероятно, стоит ожидать роста атак на такие, еще не вполне изученные злоумышленниками, узлы сети. В силу чего процесс оперативного обмена знаниями о внешних угрозах становится еще важнее.
Простота и однозначность индикаторов, полученных от команд TI, позволяет создавать элементы защиты, не зависящие от особенностей конечных точек. При этом не важно, кто обратился к вредоносному ip-адресу: рабочая станция, телефон или умный чайник – обращение детектируется и уведомление об этом поступает офицеру безопасности. Таким образом, обнаружение основывается на знаниях о злоумышленнике и не обязано быть напрямую привязанным к особенностям динамически изменяющейся инфраструктуры защищающейся компании.
Сам по себе TI не заменяет сигнатурных методов обнаружения, но значительно расширяет возможности как уже развернутых, так и вновь приобретаемых средств защиты. Кроме того, для обеспечения актуального уровня безопасности в условиях доступа к данным с использованием недоверенных устройств требуется автоматизация и использование шаблонов реакции на события ИБ. Неоценимую помощь в этом случае оказывает уже упоминавшийся дополнительный контекст об угрозах, который предоставляется в рамках реализации процесса анализа киберугроз. Наличие в контексте информации о принадлежности к вредоносным или нежелательным объектам или наоборот легитимным сервисам позволяет создавать гибкие правила реагирования и даже реализовывать элементы проактивной защиты. Например, за счет знания собственных DNS-серверов компании (если компании, все же, удалось провести полноценную инвентаризацию) и списков «белых» DNS -серверов можно реализовать простой механизм контроля DNS-tunneling, при этом не мешая работе пользователей.
Затормозить рост развития шифровальщиков с помощью TI
Еще одной актуальной тенденцией остается рост атак с использование программ-вымогателей. Доступ к инструментам управления и распространения подобного вредоносного софта упрощается, порог вхождения для злоумышленника падает, а стоимость выкупа или желание парализовать работу информационного актива «под заказ» делают использование этого инструмента весьма привлекательным. Также ransomware используется и в атаках, инспирированных политическими событиями.
Согласно отчетам множества именитых игроков рынка кибербезопасности за 2022 год, от 12 до 20% всех атак на критическую инфраструктуру было совершено с использованием шифровальщиков. Реализация подобных атак стала значительно проще. Если раньше атаки совершались группами, которые и разрабатывали, и распространяли вредоносное ПО, то сейчас инструменты атак и управления зараженными узлами предоставляются как сервис, а термин RaaS (Ransomware as a Service) уже прочно вошел в употребление. Грубо говоря, для эксплуатации инструментов заражения и получения выкупа не обязательно обладать специальными навыками, достаточно заплатить. Причем конкуренция между поставщиками RaaS постоянно растет. Стоимость программ-вымогателей за последние 4 года по некоторым позициям снизилась с $300 до $10. В России угроза реализации атак с использованием этого ПО по-прежнему остается одной из основных. И хотя средний размер выкупа в России во втором полугодии 2022 года снизился в 2-20 раз, по оценкам различных экспертов, некоторые группировки в 2022 году требовали от своих жертв выкуп в размере 1 млрд. рублей.
Использование злоумышленниками RaaS-модели позволяет отслеживать такие передающиеся «из рук в руки» управляющие сервера с помощью TI и оперативно добавлять их в списки индикаторов компрометации, что усиливает превентивную защиту на базе таких списков. Знания об особенностях атаки и методах ее реализации, которые так же могут поставляться в рамках сервиса анализа киберугроз, повышают эффективность мер реагирования на уже произошедшие инциденты, позволяя сократить площадь поражения.
Собственная ИБ vs аутсорс. Инструменты аналитики киберугроз как золотая середина
По данным кадровых агентств и сервисов поиска работы для приемлемой ситуации с наймом в сегменте информационной безопасности должно приходится 4 резюме на одну открытую вакансию. Однако в России дефицит кадров в 2022 году только усилился. Если до 2022 года он составлял 0,75 соискателя на одну вакансию, то сейчас уже – 0,6, и их количество продолжает сокращаться. Общая нехватка специалистов составляет десятки тысяч.
Кафедры информационной безопасности открыты во многих вузах, однако, решить проблему, обучая больше ИБ-специалистов, как видно из статистики, не получается. Частичным выходом из ситуации могло бы стать использование обеспечения безопасности как услуги, однако ИБ – область довольно чувствительная, поэтому далеко не каждая компания готова передать ее на аутсорсинг.
Использование данных работы сервиса анализа киберугроз коммерческих поставщиков представляет собой некоторую золотую середину. Собственные специалисты ИБ освобождаются от необходимости самостоятельно искать новые угрозы, методы атак, информацию об атаках против конкретных организаций. Полученные от коммерческого поставщика фиды с индикаторами компрометации упрощают проведение расследований, позволяют автоматизировать часть операций оценки и реагирования на события информационной безопасности, а также становятся ресурсом для расширения функциональных возможностей уже применяемых средств защиты.
Заключение
Ранее к анализу киберугроз прибегали скорее самые крупные игроки российского рынка. Он позволял экономить большие средства и организовать проактивный подход к защите. В 2023 году глобальная трансформация инфраструктуры сфокусировала внимание бизнеса на вопросах информационной безопасности. Реализация этой трансформации без анализа киберугроз грозит большими потерями: ресурсов, информации, репутации.
Анализом киберугроз сейчас в том или ином виде занимается каждая компания, которая озабочена собственной информационной безопасностью. Организация защищенной инфраструктуры с учетом доступного ПО и оборудования, средств защиты информации, особенностей обработки данных в современных условиях невозможны без TI. Однако недостаточно опираться на общедоступную информацию, требуется комплексный подход с отслеживанием угроз, их индикаторов и метрик, способов и возможностей реализации, рекомендаций по защите. Для реализации такого подхода необходима отдельная команда специалистов. В случае нехватки собственных ресурсов возможно подписаться на такой сервис у компании-вендора или сервис-провайдеры в области ИБ.
*Threat intelligence –это аналитика по ландшафту внешних угроз, то есть знания о контексте вокруг угроз. Под угрозами здесь понимается:
-
информация об активных группах злоумышленников, их инфраструктуре в большом Интернет,
-
цели в привязке к отраслям и географическому распределению,
- методы и средства их действий,
- последствия реализации угроз и практические рекомендации.
Опубликовано 08.02.2023
