Как в России обстоят дела с кибербезопасностью

Рассказывают эксперты Positive Technologies.

Материал подготовлен при поддержке Positive Technologies

Для многих компаний в России 2022-й стал испытанием: кибератаки на критическую инфраструктуру продолжались весь год. В открытый доступ попали паспорта, водительские удостоверения, номера, адреса и другие чувствительные данные многих из нас. Обиднее всего, что данные утекают как в результате нападений, так и по невнимательности самих сотрудников. Если даже те, кто регулярно проходит киберликбезы на работе, всё равно теряют пароли и не соблюдают правила безопасности, то что говорить о рядовых пользователях? Компаниям остаётся лишь укреплять защиту (и молиться).

Реагируя на ситуацию, компания по кибербезопасности Positive Technologies в этом году решила провести новое мероприятие — Moscow Hacking Week (в неё включат и традиционные ежегодные киберучения Standoff). На Moscow Hacking Week с 18 по 26 ноября компания постарается зацепить как можно больше представителей крупного и среднего бизнеса, опытных безопасников и специалистов, которые только планируют переходить в эту сферу.

Positive Technologies зафиксировала в 2022 году на 25% больше атак на госорганы, чем годом ранее. Лидер — медучреждения: они уже пятый год подряд остаются в тройке самых атакуемых организаций. При этом в 80% случаев из-за атак утекали персональные данные (ФИО, даты рождения, адреса, телефонные номера, реквизиты счетов и номера карт, информация о страховке, номер водительского удостоверения, адрес электронной почты), а порой — и медицинская информация. Например, в России у клиентов лаборатории «Гемотест» в сеть попали как личные данные, так и результаты анализов.

Кому нужна куча разрозненных данных? Много кому. Систематизировать их и превратить в полноценное досье на конкретного человека можно даже с помощью несложных ботов. Досье — отличная основа для социальной инженерии: чем больше у мошенников конкретики, тем страшнее и убедительнее звучат запугивания и тем легче им поверить. И в итоге потерять деньги. Социальная инженерия — первый по популярности метод у мошенников, по словам Positive Technologies. Часто используется фишинг — письма или сообщения с вредоносными вложениями. Реже злоумышленники проникают через уязвимости в CMS и Bitrix на рабочих устройствах или через корпоративные серверы.

Взлом одной отдельно взятой инфраструктуры может привести к краху кучи других компаний и организаций. Как это происходит, Positive Technologies собирается наглядно показать на грядущем Moscow Hacking Week. Для этого кибердом — площадка мероприятия — создал огромный интерактивный макет виртуального государства: на нём воссоздали ключевые секторы экономики и промышленности. Все их — светофор, ветрогенератор, вокзал, нефтяную вышку и даже Центральный банк — будут пытаться взломать белые хакеры. А посетители смогут увидеть, к чему это приведёт. Все сценарии атак — основаны на реальных происшествиях. Например, ветропарк внезапно прекратил свою работу, поскольку хакерам удалось получить доступ к системе управления ветрогенераторами. В проект планировала вложиться инвестиционная компания. Партнёры возмущены, сделка под угрозой. Смогут ли защитники спасти ситуацию в подобном кейсе и на Moscow Hacking Week?

Такие симуляции Positive Technologies называет киберучениями Standoff, в этом году они пройдут в двенадцатый раз. Но впервые на них можно будет хакнуть настоящий космический спутник (его и всю соответствующую инфраструктуру для экспериментов любезно предоставил участник Standoff, компания RUVDS). Гости Moscow Hacking Week увидят противостояние: «красные» — этичные хакеры — попытаются захватить контроль над оборудованием для отправки команд на орбиту, а «синие» — защитники — будут расследовать произошедшие атаки. Битву обещают сопроводить киношными спецэффектами.

В 2022 году, уходя с рынка, некоторые западные вендоры просто выключали оборудование. Это примерно так же неприятно, как если бы у вашего дома внезапно исчезли забор, окна и двери и про это одновременно рассказали всем в округе, говорит Алексей Новиков из Positive Technologies. Хакеры были к этому готовы и атаковали незащищённый бизнес: забрать желаемое им было куда проще.

На киберучениях Standoff специалистов готовят к такого рода вторжениям. Цель — выявить и исправить уязвимости настолько быстро, насколько это возможно.

Елена Молчанова говорит, что онлайн-киберполигон Standoff 365 будет полезен даже компаниям и специалистам, которые не участвуют в краткосрочных киберучениях (например, ИТ-службам компаний). По её словам, там они могут поэкспериментировать: например, использовать разные настройки программного обеспечения и средств защиты и посмотреть, какие лучше отрабатывают. А также убедиться, что команда умеет с ними работать.

Анатолий Иванов подчёркивает, что запускать программы багбаунти выгодно достаточно защищённым компаниям, и в идеале они должны работать бесконечно (поскольку с каждой новой функцией могут появляться и новые уязвимости). Помимо площадки для багбаунти, Positive Technologies также создали Standoff Hacks — закрытое мероприятие, где несколько десятков лучших хакеров ломают новые продукты компаний.

Анатолий Иванов рассказывает, что в августе на Hacks три компании — VK, Wildberries и «Тинькофф» — выплатили за найденные уязвимости 10 млн рублей. На мероприятии компании предлагают проверить их новые сервисы. Для хакеров это интересно, потому что такие задачи — «свежак», который до них ещё никто не видел. А для компаний — способ сконцентрировать внимание лучших специалистов на своих задачах.

Сегодня взламывают серверы, электростанции и корпоративные почты, завтра фокус сместится на киберимпланты и другие новшества. Искоренить кибермошенничество как явление — утопия, считают в Positive Technologies. Гораздо прагматичнее, чтобы высокий уровень информационной безопасности был в компаниях по умолчанию.

Один из способов не оставаться в стороне — участвовать в Moscow Hacking Week, которая пройдёт с 18 по 26 ноября в московском «кибердоме». Там развернётся кибербитва Standoff — противостояние безопасников и хакеров. Заявки на участие уже не принимают. А вот попасть на лекции и воркшопы для начинающих (Standoff 101) и опытных специалистов (Standoff Taks) можно, если подать заявку заранее на сайте мероприятия. Там же можно будет посмотреть и трансляцию.

Реклама, АО «Позитив Текнолоджиз», 16+