Офис 1Cloud Ru
1 319

Как медлительность IT-отделов развязывает руки хакерам

Об уязвимости программ они узнают из открытых источников и атакуют системы без установленных патчей. Почему руководители IT-отделов бездействуют?

В закладки

Не обновился — стал мишенью

Неутешительную статистику установили исследователи из компании Kollective, занимающейся разработкой программно-определяемых сетей доставки контента. Они провели опрос среди руководителей IT-отделов двух сотен американских и британских корпораций, у которых больше 100 тыс. сетевых терминалов.

Выяснилось, что 45% компаний на закрытие известной уязвимости тратят в среднем 30 дней и еще 27% затягивают установку обновлений на несколько месяцев.

При условии, что каждый день появляется более 230 тыс. образцов вредоносных программ такая медлительность делает систему легко уязвимой. По данным Symantec, в прошлом году количество атак вирусов-вымогателей увеличилось на 36%.

При этом во многих взломах и сливах данных хакеры используют уязвимости, для которых уже был выпущен патч. По данным опроса ServiceNow среди 3 тыс. специалистов по информационной безопасности (ИБ) со всего мира, 56% компаний могли избежать слива информации в прошлом, если бы вовремя установили нужное обновление.

Вспомнить хотя бы масштабное хищение персональных данных у бюро кредитных историй Equifax в США в прошлом году. Тогда в сеть утекли данные о банковских картах и водительских удостоверениях, индивидуальные номера налогоплательщиков и личные email-адреса более 140 млн. американцев.

Если бы специалисты компании вовремя установили «заплатку», то этого инцидента можно было избежать. Хакеры использовали уязвимость во фреймворке Apache Struts (CVE-2017-5638), связанную с ошибкой в обработке исключений. Патч для этой уязвимости был выпущен за два месяца до атаки на Equifax.

Что задерживает обновление программ безопасности

Руководители IT-отделов понимают последствия несвоевременного обновления и зачастую делают все, что от них зависит. Благодаря этому за последние два года время на установку патча, которое есть у компании до того, как уязвимостью воспользуются злоумышленники, сократилось на 29%. Однако, есть объективные причины, на которые отдельные люди повлиять не могут.

1. Дефицит специалистов. Отделы информационной безопасности страдают от недостатка квалифицированных кадров. По данным некоммерческой организации ISACA, к 2019 году в индустрии будет наблюдаться нехватка сотрудников по ИБ примерно 2 млн человек. При условии, что в компаниях часто нет выделенной должности специалиста по ИБ. Защитой занимаются рядовые IT-специалисты.

Это напрямую влияет на защиту от киберугроз. В исследовании McAfee от 2016 года четверть респондентов сказала, что недостаток экспертов по ИБ в их фирме стал причиной утечек данных.

2. Неэффективные бизнес-процессы. Расширение штата ИБ-специалистов в компании не всегда приводит к увеличению надежности ИТ-инфраструктуры. В ServiceNow отмечают, что повышения безопасности ждать не стоит, пока не будут модифицированы бизнес-процессы, связанные с патчингом.

На скорости закрытия уязвимостей сказывается большое число ручных процессов. Есть компании, которые для управления патчингом до сих пор используют Excel. Одна компания из Fortune 100 даже сформировала целый отдел из сотрудников, ответственных за управление электронными таблицами с данными об уязвимостях — они пишут туда, есть ли патч, кто его устанавливает и т. д.

По словам вице-президента по облачным исследованиям в Trend Micro Марка Нунниховена (Mark Nunnikhoven), в первую очередь отсутствие автоматизации процессов обновления ИТ-систем в компаниях стало одной из главных причин быстрого распространения WannaCry.

3. Сложность приоритизации обновлений. По мнению издания CSO, ещё одна причина медленного обновления систем — слишком большое количество патчей. Специалистам по безопасности сложно расставлять приоритеты и решать, какие из них нужно установить раньше других. Даже в случае с Spectre и Meltdown специалисты высказали противоположные мнения: одни эксперты предлагали подождать, а другие торопились установить патчи побыстрее.

Ситуацию усложняет и медленное пополнение баз данных с уязвимостями. К августу этого года в базы CVE и NVD не попали более 3 тысяч угроз из тех, что были обнаружены с января по июнь 2018. Почти половина из них получила высший рейтинг опасности по CVSSv2.

4. Сложность установки. В компании Barkly провели опрос на тему установки обновлений Meltdown и Spectre среди специалистов по ИБ. 80% респондентов посчитали процесс установки патчей для закрытия уязвимостей в чипах Intel «неясным».

Когда появились Meltdown и Spectre, не было удобной тестовой утилиты для выявления этих уязвимостей. Со временем утилиты начали появляться, но гарантировать их надежность было нельзя, а позже в Microsoft предложили метод проверки, но и он был довольно сложен. Однако потом появились решения (в частности, для ряда дистрибутивов Linux), позволяющие выяснить, подвержена система Meltdown и Spectre или нет, одной командой в консоли.

Сергей Белкин
Руководитель отдела развития 1cloud

Как наладить оперативную установку патчей

Для начала стоит признать опасность этой проблемы для каждой компании. Не всегда руководители верят, что могут стать жертвами хакерских атак, поэтому не выделяют должных ресурсов на информационную безопасность. Чтобы не поплатиться в итоге подпорченной репутацией и судебными разбирательствами, стоит предпринять следующие меры.

1. Проведение курсов базовой киберзащиты. Важно повышать осведомленность ИТ-специалистов и рядовых сотрудников компании, вкладывать средства и время хотя бы в проведение курсов базовой кибергигиены.

В целом для лучшего усвоения знаний о безопасности данных можно использовать самые разные методы, например геймификацию. Австралийское подразделение PricewaterhouseCoopers проводит среди своих клиентов игру Game of Threats, когда в особом симуляторе соревнуются команды «хакеров» и «защитников системы».

2. Автоматизация установки патчей. Автоматизация сокращает влияние человеческого фактора и упрощает задачу администраторам и конечным пользователям. Система сама скачивает патчи из интернета, а сисадмину остается следить за процессом установки. Это особенно важно для облачных провайдеров, так как в их ведении находится огромное количество «машин».

Существуют инструменты (к примеру, HPE Server Automation), которые централизованно обновляют операционные системы на серверах ЦОД. Они позволяют выбрать необходимые патчи, предлагаемые поставщиком ОС. Еще с их помощью можно настроить сам процесс установки, например, чтобы исключить обновления, не подходящие для конкретной среды.

3. Инвестиции в кибербезопасность. По оценке Gartner, в 2018 году расходы организаций на кибербезопасность увеличатся на 12,4% в сравнении с прошлым годом. Фирмы будут тратить больше денег на автоматизацию процессов и новые технологии защиты данных, чтобы специалисты по ИБ могли работать эффективнее.

Что дальше

Медленная установка обновлений безопасности — это системная проблема. И, вероятно, она будет доставлять «неудобства» еще довольно долгое время, особенно в свете обнаружения новых крупных уязвимостей процессоров, например Foreshadow. Однако если больше компаний начнет оперативно устанавливать патчи, то это положительно скажется на всей экосистеме и значительно снизит число утечек персональных данных. Подобных той, что произошла с Equifax.

Материал опубликован пользователем. Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Написать
{ "author_name": "1Cloud Ru", "author_type": "self", "tags": [], "comments": 8, "likes": 22, "favorites": 16, "is_advertisement": false, "subsite_label": "office", "id": 46579, "is_wide": false, "is_ugc": true, "date": "Thu, 27 Sep 2018 12:29:53 +0300" }
{ "id": 46579, "author_id": 187452, "diff_limit": 1000, "urls": {"diff":"\/comments\/46579\/get","add":"\/comments\/46579\/add","edit":"\/comments\/edit","remove":"\/admin\/comments\/remove","pin":"\/admin\/comments\/pin","get4edit":"\/comments\/get4edit","complain":"\/comments\/complain","load_more":"\/comments\/loading\/46579"}, "attach_limit": 2, "max_comment_text_length": 5000, "subsite_id": 200564 }

8 комментариев 8 комм.

Популярные

По порядку

Написать комментарий...
2

Почему же не упомянули патчи для патчей от патчей и против патчей от Microsoft? Когда ты накатил патчей для латания дыр в свежем SMB, а в итоге лечишь BSOD'ы и делаешь откат ОС.

Ответить
1

хаха) да, это вообще-то самая главная "головная боль" - мягко-говоря, проблемные патчи. Для некоторых проще подождать, когда кто-то торопливый потестит патчи и уже потом накатывать. А то потом есть риск получить заявление 'ваш патчинг сломал нам приложение'

Ответить
2

Непонятно, чем вообще должны заниматься спецы по ИБ. Не только же патчи устанавливать? если пересматривать и переписывать коды, то зачем тогда программисты?

Ответить
0

Компании реально не готовы к работе с ИБ, потому что сами ничего не понимают в этом. Даже если нанять спеца по ИБ, то как понять, что он эффективно делает свою работу?

Ответить
3

Когда твои голые фото с корпоратива в бане с девочками не появляются в сети))

Ответить
1

Вспомнилось))
"— Шеф, у нас дыра в безопасности
— Слава богу, хоть что-то у нас в безопасности"

Ответить
1

Убей поддержку бизнес-приложений одной галкой.
Установи win 10 вместо всех серверных версий ОС.

Среди таких же популистских лозунгов и ваши, в частности:
2. Автоматизация установки патчей. Автоматизация сокращает влияние человеческого фактора и упрощает задачу администраторам и конечным пользователям.

Очевидно, что вы даже не пытались проводить аналитику на тему "Почему руководители IT-отделов бездействуют?".

Настолько непрофессионально, что даже не смешно.

Посоветуйте аудитории курсы по компьютерной грамотности для персонала - пользы будет больше.

Ответить
0

Не знаю, как у вас, у кого-то некоторые дыры так и не бывают закрыты, годами, даже если заявить об угрозе, могут просто махнуть рукой типа «мол кто будет нас ломать, кому мы нужны» и т.д. Причем выше перечисленное не только на территории бывшего СССР, но и на технологично развитом Западе, везде где люди есть людская халатность. Поэтому пункт про автоматизацию здесь не лишний

Ответить
0

Прямой эфир

[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fizc" } } }, { "id": 4, "label": "240х200_mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "flbq" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfk" } } }, { "id": 6, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "bscsh", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223676-0", "render_to": "inpage_VI-223676-0-1104503429", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=bugf&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Плашка на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudx", "p2": "ftjf" } } }, { "id": 16, "label": "Кнопка в шапке мобайл", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byzqf", "p2": "ftwx" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fzvc" } } }, { "id": 19, "label": "Тизер на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "p1": "cbltd", "p2": "gazs" } } } ]
Нейронная сеть научилась читать стихи
голосом Пастернака и смотреть в окно на осень
Подписаться на push-уведомления