В выпущенном на днях очередном ежегодном отчете Cisco по информационной безопасности[1] упоминаются многие хитроумные методы маскировки, которые злоумышленники постоянно изобретают и оттачивают. Зачастую при этом используются уязвимости защитных программ. И все чаще проникнуть в информационные среды и незаметно заразить компьютеры нарушителям невольно помогают сами пользователи и ИТ-службы.
Учитывая столь сложный и динамичный ландшафт угроз, организациям необходим полноценный, гибкий процесс реагирования на инциденты. Приведу примеры (из упомянутого отчета Cisco по ИБ) того, как злоумышленники проникают в сети.
- В 2014 г. объем спама вырос на 250 %. Активизировался трудно поддающийся обнаружению «спам на снегоступах», когда с огромного числа IP-адресов отправляются небольшие порции нежелательных сообщений. Кроме того, спам стал опаснее: он часто содержит фишинговые ссылки, а иногда и информацию личного характера, из-за чего даже опытные пользователи могут не заподозрить подвоха. Так, недавно исследователи Cisco наблюдали некоторое количество целевых фишинговых писем, которые имитировали корреспонденцию от одной крупной компании и содержали ссылку на известный фишинговый сайт.
- Браузеры — еще одна лазейка для злоумышленников. Они распространяют вредоносный код и нежелательные сообщения через расширения для браузеров. Дело в том, что многие пользователи считают любые расширения безопасными или безобидными. Многие пользователи редко обновляют браузеры — например, только 10 % запросов от Internet Explorer приходятся на новейшую версию. Отчасти по этой причине недавно в США регуляторы ужесточили стандарты для систем онлайн-банкинга, потребовав использовать методы обнаружения аномальных транзакций. Многие пользователи почувствовали это на себе, т.к. каждую финансовую операцию теперь нужно подтверждать несколько раз.
- Наконец, мы все сталкиваемся с дефицитом кадров в области
ИБ. По некоторым оценкам, сейчас в мире есть потребность более чем в
миллионе таких профессионалов. Отделы ИБ перегружены, организациям
непросто найти и удержать в штате специалистов по информационной
безопасности. Несмотря на все усилия, недоукомплектованные службы ИБ часто
не справляются с потоком уведомлений систем безопасности, нормативных
требований и служебных задач. Согласно исследованию под названием Security
Capabilities Benchmark, результаты которого были включены в последний отчет Cisco
по информационной безопасности, руководители служб и центров
ИБ уверены в своих защитных механизмах. В то же время этим службам не
всегда удается найти ресурсы, чтобы развернуть важные системы защиты и
справляться с нарушениями ИБ. Менее 50 % опрошенных реализовали
процессы, позволяющие успешно:
- администрировать аутентификационные данные или управлять учетными записями;
- обновлять и настраивать ПО;
- тестировать на проникновение;
- проводить компьютерную экспертизу конечных точек сети;
- сканировать уязвимости.
И это — только несколько примеров, показывающих, что бороться со злоумышленниками стало сложнее, чем раньше, и что каждой организации необходим адекватный механизм реагирования на все более мощные атаки.
Даже те организации, у которых реализованы современные системы защиты, начинают задаваться вопросом: «Что делать, когда атака или компрометация данных произойдет?», а не «...если она произойдет...». Атаки становятся все разнообразнее, а некоторые могут даже видоизменяться «на лету» (как это произошло с DDOS-атаками против некоторых банков). Именно поэтому, чтобы обнаруживать инциденты и реагировать на них, нужно быть изобретательнее и гибче. По данным Cisco, в 75 % случаев от начала атаки до утечки данных проходят считанные минуты, а вот на обнаружение атаки уходит гораздо больше времени. Другие исследования и недавние крупные инциденты в области ИБ подтверждают эти выводы.
Все указывает на то, что для реагирования на инцидент в условиях дефицита кадров организациям нужны квалифицированные ресурсы извне.
Разрабатывая процедуры реагирования, организации должны опираться на передовой опыт в следующих вопросах:
- на каком уровне нужно реагировать?
- Достаточна ли квалификация собственных и сторонних специалистов, чтобы грамотно организовать реагирование?
- Каких результатов нужно добиться в итоге?
- Если атака видоизменяется, как перестроить тактику реагирования?
- Как распространяется угроза? Какие уязвимости использует?
- Какие системы скомпрометированы?
- Какими данными уже завладели злоумышленники? Как можно остановить атаку?
- Как предотвратить эту атаку в будущем и научиться предупреждать другие?
Чтобы ответить на эти вопросы, организациям в первую очередь необходимо оценить готовность персонала и инфраструктуры, в том числе сети, операций ИБ, коммуникаций и процессов обучения сотрудников для реагирования на инциденты. Лучше не пытаться заранее составить список решений всевозможных проблем, а вооружить группу реагирования на инциденты знаниями и инструментами, которые помогут:
- понимать природу события или инцидента;
- оценивать его значимость и необходимость срочных мер;
- определять желательные или допустимые сценарии;
- принимать необходимые меры, чтобы достичь поставленных задач;
- оценивать результаты реагирования и при необходимости корректировать его;
- эффективно задействовать внутренние и внешние ресурсы.
Атаки становятся сложнее, злоумышленники — коварнее, а последствия — масштабнее. Чтобы оперативно управлять операционными рисками, организациям нужны полноценные, комплексные и гибкие процессы реагирования на инциденты. Систем безопасности самих по себе недостаточно. Грамотные процессы, реальное сотрудничество всех заинтересованных лиц, хорошо обученный и мобилизованный персонал — вот что нужно организациям, чтобы успешно реализовать многоуровневую защиту, приспосабливаться к видоизменяющимся атакам и добиваться лучших результатов.
Метки: Cisco, Neohapsis, ежегодный отчет Cisco по информационной безопасности, информационная безопасность, ИБ, инциденты, реагирование, злоумышленники, атаки, спам, уязвимости, средства защиты.
О компании Cisco
Cisco, мировой лидер в области информационных технологий, помогает компаниям использовать возможности будущего и собственным примером доказывает, что, подключая неподключенное, можно добиться поразительных результатов.
Чистый объем продаж компании в 2014 финансовом году составил 47,1 млрд долларов. Информация о решениях, технологиях и текущей деятельности компании публикуется на сайтах www.cisco.ru и www.cisco.com.
Cisco, логотип Cisco, Cisco Systems и логотип Cisco Systems являются зарегистрированными торговыми знаками Cisco Systems, Inc. в США и некоторых других странах. Все прочие торговые знаки, упомянутые в настоящем документе, являются собственностью соответствующих владельцев.
