Бизнес давно стал цифровым, регулярно появляются новые разнообразные платформы и сервисы, внедрение которых сопряжено с новыми рисками кибербезопасности. Например, не так давно банковский сектор начал активно внедрять биометрическую идентификацию и аутентификацию.

Директор по консалтингу компании InfoWatch Мария Воронова считает: «Для IT-подразделений это значит, что должны быть внедрены соответствующие платформы, обеспечен весь необходимый функционал и нужный уровень доступности. Например, биометрическая информация относится к специальной категории персональных данных. К ее защите предъявляются достаточно высокие требования, так как в случае утечки этих данных и их использования в нежелательных целях может быть нанесен серьезный ущерб как самому банку, так и его клиентам. ИБ-службы должны гарантировать, что платформа хранения биометрических данных и системы, которые их используют, обеспечивают защиту этой информации не только в результате злоумышленных действий, но и в результате сбоя систем».

Security by Design

Крайне важно, полагают в InfoWatch, чтобы задачи ИБ учитывались еще на этапе разработки концепции нового продукта и проектирования необходимых IT-сервисов, чтобы внедрялись необходимые инструменты для защиты как от внешних, так и от внутренних угроз ИБ, например DLP- и SIEM-системы, а также инструменты предиктивной аналитики.

«Одной из ключевых тенденций нашего времени является адаптация концепции DevOps, которая позволяет на постоянной основе получать конкурентные преимущества благодаря максимально оперативному внедрению новых услуг для клиентов. Но технологии ИБ в этой области только начинают появляться, а специалисты уже сейчас приводят следующие цифры: устранение уязвимости до внедрения очередного компонента в 30 раз дешевле, чем защита после внедрения и запуска.

Современная система безопасности вычислительных мощностей должна включать в себя строгий и непременно автоматизированный контроль компонентов до того, как они будут запущены на выполнение. Не стоит забывать, что в прошлом году были выявлены 17 скомпрометированных контейнеров Docker, которые находились в свободном доступе не менее года, а значит, были использованы во множестве систем по всему миру», — подтвердил Михаил Кондрашин, технический директор Trend Micro в России и СНГ.

ИИ и кванты

Появление новых технологий практически всегда оказывает влияние на стратегию ИБ, но порой кажется, что технологические революции еще далеко, есть время подумать. Однако участники рынка с этим не согласны.

Злоумышленники не обойдут стороной и простых граждан: уязвимые IoT-устройства, маршрутизаторы, любое сетевое оборудование, вплоть до домашних устройств хранения информации и камер наблюдения, будет под прицелом

Александр Колыбельников, менеджер по продукту компании «Код безопасности», прогнозирует: «С точки зрения ИБ новая технология — это новый канал доступа к конфиденциальной информации, новые типы угроз, новые типы различных мер и средств защиты. Возникновение новых технологий приводит к устареванию существующего IT-ландшафта организации и необходимости проведения трансформации от старой сети к новой. Примеры подобной трансформации мы могли наблюдать с распространением облачных технологий, смартфонов. В перспективе — не менее масштабная трансформация может произойти при появлении доступного квантового компьютера с длиной квантового регистра не менее 128 кубит (кубит — наименьший элемент для хранения информации в квантовом компьютере. — Ред.)».

Что именно имеется в виду? Вполне возможно — то, о чем рассказывала Мария Дубовицкая, криптограф лаборатории IBM Research в Цюрихе, на конференции ICC-2018: «Существующие сегодня решения на открытых ключах подвержены атакам с помощью квантовых компьютеров. Исследования с помощью собственных машин IBM Q наглядно это демонстрируют. Пока не созданы промышленные образцы квантовых компьютеров, способные эффективно взламывать существующую криптографию, лежащую в основе ЭЦП, но это время не за горами. Готовиться нужно сегодня».

Но к чему именно? Например, к тому, что стойкость широко распространенных алгоритмов RSA-1024, RSA-12048, ECC 256 и ECC 384 упадет до нуля — они ничто для алгоритма расшифровки Shor. Симметричные AES 128 и AES 256 поддаются алгоритму Grover, поэтому их уровень безопасности упадет примерно в два раза. Не секрет, что IBM достигла больших успехов в работе над такими алгоритмами, базирующимися на других математических принципах. Решены вопросы с базовым шифрованием, аутентификацией, обменом ключами, ЭЦП и т.д. Поэтому начат процесс стандартизации этих алгоритмов в MNIST (Modified National Institute of Standards and Technology). К 2023 году все это будет иметь ранг стандартов на уровне базовой криптографии.

ICC-2018 подарила яркий доклад на тему использования элементов искусственного интеллекта в области ИБ. В частности, по словам Алексея Лукацкого, бизнес-консультанта по безопасности Cisco, на наших глазах рождается новый подход — использование машинного обучения для анализа трафика без его расшифровки благодаря обработке метаданных. Точность технологии превысила примерно четыре девятки после запятой. Другая сфера применения элементов ИИ — противостояние использованию хакерами публично доступных легитимных сайтов и ресурсов, которые они применяют как центры управления зараженными узлами. Кроме того, в Cisco удалось настроить ИИ так, что благодаря огромной базе накопленных логов можно делать выводы об аномалиях в SaaS-решениях.

Векторы и цели атак

Кирилл Солодовников, генеральный директор компании ИНФОСЕКЬЮРИТИ, резюмирует мнение коллег и делает обобщенный прогноз на 2019 год по ключевым векторам и целям атак, которые необходимо учитывать в стратегии ИБ. Эксперт полагает: «Следует ожидать атаки на крупные компании, спонсируемые на государственном уровне, как правило, через цепочку поставок и доверенных контрагентов. Продолжит набирать актуальность и тема безопасности промышленных систем и прочей критической инфраструктуры. Развивается история с использованием преступностью аппаратных уязвимостей (вроде Spectre и Meltdown)».

Крайне важно чтобы задачи ИБ учитывались еще на этапе разработки концепции нового продукта и проектирования необходимых IT-сервисов

Злоумышленники не обойдут стороной и простых граждан: уязвимые IoT-устройства, маршрутизаторы, любое сетевое оборудование, вплоть до домашних устройств хранения информации и камер наблюдения, будет под прицелом. Практически везде использование домашних устройств задействует Интернет, а значит, персональная информация, платежные данные и т.п. — уже под угрозой!

«Для чего это все делается? Если говорить о целях атак, то по-прежнему это конечно, вывод средств (в том числе из банкоматов). Второй по значимости идет кража данных для последующей перепродажи. Здесь речь идет и о персональных данных, и о базе кредитных карт. Также мы все больше фиксируем появление новых высокотехнологичных вымогателей. Это и «вайперы» (наиболее значимый пример здесь — печально известный Petya), и различные вирусы-шифровальщики. Не стоит обходить вниманием и кибершпионаж. Отдельным трендом, набирающим обороты, выделю утечку данных через публичные ресурсы вроде github и pastebin. Речь идет об утечке и компрометации учетных данных и другой чувствительной информации, как правило, по вине самих пользователей», — завершил свой прогноз Кирилл Солодовников.

Итак, видны цели, понятны методы, непонятно одно — как выработать правильную стратегию развития? Чтобы ответить на этот вопрос, наверное, надо спросить бизнес: «А что из новинок IT будете использовать вы?». Или, наоборот, наступило время, когда бизнес должен спросить у ИБ: «Что из новинок IT вы можете реально защитить?», а главное при этом — избежать ложного чувства защищенности и реально оценивать риски.