Пора ломать традиции

Статья бизнес-консультанта Cisco по информационной безопасности Алексея Лукацкого.

Традиционные системы предотвращения вторжений (IPS), купленные и с ежегодно продляемым контрактом, есть у многих. И антивирусы тоже есть у многих. И межсетевые экраны. И системы контентной фильтрации. А инцидентов меньше не становится. Почему такая несправедливость? Причин тому несколько. Первая − размытие периметра и невозможность контроля, ранее сконцентрированного в нескольких местах аккумуляции основных объемов трафика. Это направление, когда мы ставили средства защиты либо на периметре, либо в ЦОДе, либо на ПК, остается необходимым, но уже явно недостаточным для того, чтобы считать свою сеть сколь-нибудь защищенной от современных угроз.

Посмотрите на эту картинку. Что вы видите? Есть ЦОД, расположенный в центре. Есть периметр (справа), который обеспечивает нам подключение к внешним интернет-ресурсам изнутри компании. Есть периметр слева, который дает сотрудникам возможность удаленного доступа к внутренним ресурсам компании. Есть удаленные площадки (офисы, филиалы и т.п.).

Допустим, мы смогли четко очертить границы нашей сети; хотя с активным внедрением мобильных технологий и облачных вычислений это достаточно затруднительно. Но значит ли это, что у нас не может быть ушлого сотрудника, который притащил 3G/LTE-модем и, подключив его к корпоративному ПК, не выходит в Интернет в обход средств периметровой защиты? Скорее всего, нет. А можем ли мы гарантировать, что для облегчения своего труда сотрудник не поставил в кабинете точку беспроводного доступа, к которой извне не подключился злоумышленник или просто желающий бесплатно посерфить в Интернете? Тоже не можем.

Для решения этой задачи нужны новые технологии, например, NBAD (network-based anomaly detection), о которых я уже писал в сентябре. Но допустим, мы их внедрили, а инциденты все равно появляются. Меньше, но все же есть. Почему? Неужели установленные у нас средства защиты не справляются с угрозами? Как это ни парадоксально, но далеко не всегда. Существует целый класс атак, которые специально разрабатываются для обхода традиционных средств защиты. Это целенаправленные атаки (APT). Если посмотреть на статистику, то мы увидим, что за последние 20 лет число традиционных атак снижается, а число APT возрастает. Достаточно вспомнить нашумевшие примеры с Red October и Stuxnet, чтобы понять, о чем идет речь. Но и "Красный Октябрь", и Stuxnet - это не просто APT, это целые операции в киберпространстве. Гораздо большую опасность представляет собой существенно большее множество APT, из которых и строятся большие операции. Используемые при реализации целенаправленных атак неизвестные уязвимости появляются то там, то тут. В итоге злоумышленники выпускают в "дикую природу" угрозы, которых раньше не было.

Это не массовые атаки, цель которых заразить как можно большее число жертв. Именно на такие угрозы рассчитаны "традиционные" средства защиты. Принцип их работы построен на том, что массовость атаки позволяет оперативно ее обнаружить и разработать для нее "противоядие", оснастив им защитные продукты. Массовость играет против злоумышленников, которые сегодня хотят как можно дольше оставаться незамеченными, чтобы долго и планомерно стричь купоны за свою противоправную деятельность. И для этого их атаки должны быть узкоспециализированными − обычно на конкретной жертве. Иными словами, ситуация поменялась: угрозы становятся скрытыми и сфокусированными − направленными на одну-две организации или их клиентов. Такие угрозы сложно обнаруживать с помощью традиционных подходов, например, "ловушек" в Интернет. Нужна планомерная работа производителей средств защиты, которые бы могли взять на себя функцию исследовательского центра по безопасности и оснащать своих клиентов регулярными обновлениями против новых целенаправленных атак, причем не раз в месяц и не раз в неделю, и даже не раз в день. К примеру, Cisco Security Intelligence Operations Center (SIO) рассылает обновления с периодичностью в 3-5 минут!

Мне можно возразить, что "традиционное" средство защиты сродни "обычному" порошку из рекламы. Таких давно уже нет, и все производители говорят, что их средства защиты осовременены и умеют бороться с APT. Возможно. Инцидентов, правда, меньше не становится, но это отдельная тема (я как раз сейчас готовлю материал о вселенском заговоре производителей средств защиты информации). Возможно, средства защиты уже давно обновились, но я все-таки рекомендую смотреть на ситуацию шире. Уйти вообще от традиций 90-х и даже 2000-х годов в ИБ.

Нужны средства защиты не с массовыми, а целенаправленными (APT) угрозами. Нужны средства контроля не только периметра или точек аккумуляции трафика, но и внутренней сети, а также мобильных устройств. Нужны не только сигнатурные средства защиты, но и контролирующие аномалии и поведение. Нужны не только точечные средства, но и распределенные по всей сетевой инфраструктуре. Нужны не только сетевые, но и прикладные средства защиты информации. Нужны не только разрозненные, но и скоординированно действующие средства защиты, взаимоувязанные в единый комплекс защитных мер. Нужно защищать не только пользователей или от пользователей, но и устройства и от устройств (Интернет вещей будет только набирать обороты).

Нужно ломать традиции. А то все ломают − начиная от ИТ-департаментов и бизнеса, давно и прочно запавших на тему мобильности и облаков, и заканчивая злоумышленниками, постоянно изменяющими свое поведение. А безопасники живут по-прежнему в своем мире "контролируемой зоны" и "массовых рассылок". Да, менять традиции непросто. Да, кто-то должен сделать первый шаг. Да, это выводит из сложившегося годами равновесия. Но по-другому уже нельзя...