Текст книги "Цифровая трансформация для директоров и собственников. Часть 3. Кибербезопасность. Часть 3. Кибербезопасность"

Промышленность все больше привлекает киберпреступников: количество атак в 2021 году превосходит результаты 2017 года более чем в 7 раз. А в 2022 году около 10% всех успешных атак пришлось на промышленность. При этом промышленные компании, по сути, не готовы противостоять сложным атакам и вредоносному ПО. Так, 95% компаний либо не защищают свои автоматизированные системы управления технологическими процессами (АСУ ТП) специальными решениями, либо делают это частично. И системного подхода к управлению кибербезопасностью, например, управления уязвимостями и обновлениями компонентов ПО, в 93% случаев тоже нет. Это с учетом того, что ущерб от остановки бизнес-процессов может быть катастрофичным, в том числе с повреждением и разрушением оборудования, техногенными катастрофами. Компаниям проще идти на поводу у хакеров и тихо выплачивать выкуп.

Спасает сейчас то, что злоумышленникам просто невыгодно заниматься изучением технологических параметров, разбираться, что именно надо изменить, ведь можно просто зашифровать или украсть конфиденциальные данные. По моему мнению, это ключевой сдерживающий фактор.

Также здесь сохраняется и общий тренд – атаки становятся все более комплексными:

– использование вредоносного ПО (71% успешных атак)

– социальную инженерию (около 50%)

– эксплуатацию уязвимостей в ПО (41%).

Само вредоносное ПО распространялось через ИТ-оборудование (49% случаев) и почту (43%). Перебои в работе из-за вмешательства в технологические и бизнес-процессы возникали в 47% случаев. И главным образом из-за шифровальщиков данных и ПО для удаления данных (вейперов). В течение 2022 года доля шифровальщиков увеличивалась с 53% в первом квартале до 80% в третьем. Доля вейперов достигла 7% (в 2021 году их было 1—2%).

Рост доли эксплуатации уязвимостей в атаках говорит о том, что эти методы экономически целесообразны, а это уже свидетельствует о низком уровне защиты в промышленности. И именно в программных и аппаратных продуктах, предназначенных для промышленности, в 2021 были обнаружены и исправлены наиболее опасные уязвимости.

Промышленники и энергетики вроде и осознают все риски, но и специфика отрасли не дает возможности проводить полномасштабные учения с отработкой практических сценариев и выявлением недопустимых событий. Поэтому сейчас появляются киберполигоны, где можно через виртуальную или дополненную среду без риска сломать процессы и оборудование, проводить любые учения и оценивать последствия. Один из таких примеров – мероприятие Standoff, которое организовывают PT.

В целом, в 2021 году интересы хакеров в России по отраслям промышленности распределились следующим образом:

– 31% авиакосмическая отрасль;

– 23% государственные организации;

– 23% IT-компании;

– 15% военно-промышленный комплекс;

– 8% топливно-энергетический комплекс.

Что касается статистики PT, то в своих проектах с первой половины 2020 по вторую половину 2021 года им удалось реализовать 87% недопустимых событий.

Финансовый сектор – один из тех, кто чувствует себя относительно хорошо. Доля атак на эти организации от общего числа снижается из года в год. И что интереснее всего, новых группировок, стремящихся выводить деньги со счетов в банках, не появляется. Причина этому – зрелость отрасли и усилия Центробанка: регламенты, вложения в ИТ-инфраструктуру и ПО, налаженный информационный обмен. И это понятно, если воруют деньги, то это видно здесь и сейчас.

Атакуются организации вновь через социальную инженерию (47%) и использование вредоносного ПО (загрузчики, шпионское ПО, трояны, шифровальщики.

Типичными целями атак на банки стали хищение конфиденциальной информации и остановка ключевых бизнес-процессов (53% и 41% случаев соответственно). Хищение денег было в 6% успешных атак.

Сейчас финансовые организации атакуются с целью:

– получения более выгодного курса обмена валют;

– кражи денег со счетов пользователей или обмана комиссии;

– получения конфиденциальной информации о пользователе и её использования в других атаках при помощи социальной инженерии;

– увеличения нагрузки на систему и сбоев в работе личных кабинетов пользователей.

Кроме того, все еще встречаются небезопасные реализации систем быстрых платежей.

В результате банки внедряют все новые технологии защиты:

– ужесточают проверки KYC (обязательная проверка персональных данных клиента), в том числе развиваются сервисы проверки документов (видеозвонки с распознаванием документов, загрузка фотографий документов, проверки по базам данных, оценка социальной активности) для понимания, реальный ли человек скрывается за тем или иным аккаунтом;

– вводят системы машинного обучения для ускорения, упрощения и улучшения поиска информации о клиенте, распознавания и блокирования подозрительных операций.

В итоге количество стандартных веб-уязвимостей уменьшается, но количество логических уязвимостей, наоборот, увеличивается. И во многом это происходит из-за развития экосистем: создание все новых и более сложных интеграций, микросервисов, введение голосовых помощников и чат-ботов.

Однако, есть два негативных фактора, позволяющие специалистам PT находить в каждой организации уязвимости, которые дают возможность проникнуть во внутреннюю ИТ-инфраструктуру. Во-первых, защитные патчи, которые выпускают разработчики ПО, зачастую игнорируются ИТ-службами организаций и не устанавливаются. Во-вторых, всегда есть вероятность наличия уязвимости, о которой пока неизвестно разработчикам, но ее обнаружили исследователи злоумышленников. Такие уязвимости называют «уязвимостями нулевого дна». И эти факторы – залог того, что хакер проникнет внутрь инфраструктуры, поэтому нужно учиться их вовремя выявлять.

Всего в ходе исследований специалисты PT смогли проникнуть во внутреннюю сеть организаций в 86% случаев. Также исследователи PT получали полный контроль над инфраструктурой и реализовывали недопустимые события: доступ к критически важным для банков системам, к АРМ казначеев, серверам обмена платежными поручениями. Всего экспертам PT удалось реализовать более 70% недопустимых событий в каждой финансовой организации.

В итоге вымогатели продолжат свои атаки на банки. Пока эти атаки проще в исполнении и в совокупности приносят больше прибыли, чем попытки вывести крупную сумму денег со счетов. Но теперь одной из основных целей хакеров будут клиенты банков, которые пользуются онлайн-банкингом. По данным Центробанка России уже в 2020 году 75% взрослого населения пользовались онлайн-банкингом. Поэтому хакеры продолжат развивать направление компрометации банковских приложений. Также в ходу останутся приемы социальной инженерии.

Основным же методом также является фишинг – на него приходится 60% атак. Хакеры с удовольствием получали кредиты на чужие имена, чужие фирмы, которым эти кредиты теперь нужно выплачивать.

В результате, если раньше рентабельно было атаковать компании с целью кражи денег со счетов, то работа, которую провел регулятор, и развитие систем защиты снижают привлекательность финансовых компаний, нужна слишком высокая компетентность и техническое оснащение. Но вот с промышленностью всю наоборот. Там хакерам как раз интересны данные о клиентах, внутренних пользователях и любая информация, которая относится к коммерческой тайне.

Опять же, это приводит и к росту атак на конфиденциальные данные (с 12% до 20%). Также популярны персональные данные (32%), учетные данные (20%) и медицинская информация (9%).

На обычных людей в целом было направлено 14% атак, и в 88% случаев через социальную инженерию. И конечная цель в 66% случаях – учетные и персональные данные.

Закрывая главу, приведу еще несколько примеров наиболее резонансных атак 2022 года на организации из коммерческого сектора:

– Группировка Lapsus$ взломала ряд крупных IT-компаний. Сначала была атакована Okta, которая разрабатывает решения для управления учетными записями и доступом, в том числе обеспечивает поддержку многофакторной аутентификации. Затем атаковали разработчика графических процессоров Nvidia, в результате чего был украден 1 ТБ данных, среди которых – исходный код драйверов видеокарт и сертификаты для подписи ПО. Украденные сертификаты Nvidia использовались для распространения вредоносных программ. В марте преступники смогли взломать Microsoft и Samsung, украв исходный код некоторых продуктов.

– Швейцарская компания Swissport, являющаяся провайдером грузовых авиаперевозок и работающая в 310 аэропортах в 50 странах мира, подверглась атаке программы-вымогателя. Атака привела к задержкам множества рейсов и утечке 1,6 ТБ данных.

– Атака на телекоммуникационного оператора Vodafone в Португалии вызвала сбои в обслуживании по всей стране, в том числе в работе сетей 4G и 5G. Vodafone Portugal обслуживает более 4 млн абонентов сотовой связи.

– В октябре в результате кибератаки на Supeo, поставщика IT-услуг для крупнейшей датской железнодорожной компании, на несколько часов остановилось движение поездов. Supeo предоставляет решение, которое машинисты используют для доступа к критически важной информации – данным о работах на путях и об ограничениях скорости. Во время атаки поставщик отключил свои серверы, что вызвало сбои в работе приложения, и машинисты были вынуждены останавливать составы. После восстановления движения поезда еще сутки не ходили по расписанию.

– В марте Toyota на день приостановила работу 14 заводов в Японии из-за кибератаки на Kojima Industries, поставщика комплектующих. Кибератака также затронула других японских производителей автомобилей – компании Hino и Daihatsu Motors.

– Во II квартале произошла крупная атака на 3 иранских сталелитейных завода, в результате которой были нарушены технологические процессы, а на одном из заводов злоумышленникам удалось обрушить ковш с жидким чугуном и вызвать пожар.

Глава 5. Про технологии

Одной из самых востребованных технологий цифровизации и цифровой трансформации являются облачные вычисления, хранилища и сервисы. Соответственно, фокус в организации ИБ все больше смещается в область ответственности провайдеров. Тут необходимо смотреть с двух углов:

– крупные провайдеры облачных сервисов и инфраструктуры;

– локальные стартапы и небольшие провайдеры.

Что касается первых, то здесь все неплохо: крупные провайдеры осознают, что их будут атаковать, а значит, будут предпринимать меры. Предупреждён – значит вооружён. И в целом облачные сервисы крупных провайдеров разрабатываются по принципу «вокруг все враги», плюс они имеют компетентных специалистов по ИБ. Также подобная централизация позволяет меньшим количеством специалистов защитить большее количество данных.

А вот относительно стартапов и небольших провайдеров все печальнее. У них нет ресурсов, и скорее всего они потеряют большую часть самых денежных клиентов. То же самое относится к локальным ЦОДам и службам ИТ, которые развиваются внутри промышленных компаний. Они, как правило, не способны обеспечить необходимый уровень защиты. Либо, как говорили ранее, начинают просто уходить в глухую оборону, и для бизнеса теряется всякий смысл таких облачных сервисов, ими просто невозможно пользоваться. В то же время растет и количество вредоносного ПО для Linux.

Заставляет задуматься и тот факт, что почти 40% всех выявленных и закрытых в 2021 году уязвимостей с помощью исследователей от PT имели высокий уровень опасности. А самое важное, что 12,5% всех уязвимостей были выявлены в софте, призванном обеспечивать защиту от хакерских атак. И, несмотря на всю текущую ситуацию и санкции, ребята из PT соблюдают responsible disclosure – политику в отношении найденных уязвимостей, т.е. сообщают разработчикам о всех найденных уязвимостях до их публикации в открытом доступе.

Второе направление, которое развивается вместе с цифровизацией, – мобильные приложения: для клиентов и программы лояльности, для сотрудников, мобильные обходчики, фиксация опасный событий, государственные услуги. Любая более-менее крупная организация имеет свое приложение.

При этом, по данным PT, самая популярная уязвимость мобильных приложений – хранение пользовательских данных в открытом (или легко обратимом) виде. Также встречалась ситуация, когда важные данные хранились в общедоступных каталогах. А общая доля недостатков, связанных с небезопасным хранением данных, составила более 33% от всех найденных уязвимостей. То есть то, что интересно хакерам, и является одной из самых частых проблем.

Эксперты РТ в 2022 году провели исследование 25 пар приложений (Android – IOS). Практически каждое имело проблемы с хранением данных. Одна из ключевых причин – чрезмерная вера разработчиков в системные механизмы защиты на уровне операционной системы, игнорирование многоуровневой защиты.

Наибольшая доля уязвимостей (14%) пришлась на хранение пользовательских данных в открытом виде. Второе место поделили между собой уязвимости, касающиеся проверки целостности приложений и хранения конфиденциальной информации в коде (по 9%).

Также, практически каждое приложение имеет хотя бы один из следующих недочетов:

– отсутствие обнаружения взлома операционной системы (root на Андроиде и jailbreak на IOS);

– отсутствие контроля целостности исполняемых файлов;

– отсутствие обфускации (запутывания кода).

Android и iOS: кто безопаснее?

Android-приложения всегда считались лакомой целью для хакеров: открытая система, широкие возможности, легко оставить дыру в приложении. С IOS всегда было наоборот: у разработчиков мало возможностей сделать ошибку и оставить открытыми ненужные «двери». И была некая парадигма – покупаем для ТОПов устройства на iOS, и они защищены. Но сейчас идет изменение этого тренда. Google все больше ограничивает возможности приложений, заставляет разработчиков указывать необходимую функциональность. А согласно недавним новостям, в Android 14 полностью заблокируют возможность установки устаревших приложений. Причем как через магазин приложений, так и через самостоятельное скачивание установочных файлов. В iOS, наоборот, приложениям становятся доступны новые способы взаимодействия с операционной системой и друг с другом. В общем, граница между платформами стирается, и использовать iOS устройства для ТОПов в надежде на абсолютную безопасность становится слишком рискованным занятием.