Технологии безопасности: точки роста

9 февраля в Москве стартовал ежегодный форум «Технологии безопасности». Его ключевыми темами в рамках офлайн и онлайн-конференций и дискуссий стали вопросы защиты информации в АСУ ТП, безопасности критической ИТ-инфраструктуры, особенности противопожарной защиты объектов, цифровизация транспортного комплекса, технологии умного города, комплексной безопасности объектов промышленности, нефтегазового сектора и электроэнергетики и др. Участники форума получили возможность обсудить эффективность и специфику применения в своих проектах технологий компьютерного зрения, видеоаналитики, распознавания лиц, биометрии, роботизации, больших данных, искусственного интеллекта, IoT, AR/VR и др. В рамках офлайн-форума в «Крокус Экспо» 50 игроков рынка систем безопасности представили свои стенды и новейшие решения.

Угрозы удаленного доступа

В рамках конференции «Актуальные вопросы защиты информации» прошли выступления на тему новых рисков и угроз безопасности данных в связи с переводом многих сотрудников на удаленную работу. Участники мероприятия обсудили, как обеспечить необходимый уровень защиты информации для удаленных сотрудников, требования по защите данных при обеспечении безопасной дистанционной работы, критерии выбора решений.

По данным компании «Ростелеком-Солар», по итогам 2020 года можно констатировать существенный рост количества атак на субъекты КИИ, увеличение числа опасных утилит в открытом доступе, что порождает необходимость в сложных системах защиты. В прошедшем году были актуальны атаки на периметр (брутфорсы RDP, взлом web), фишинг с использованием тематики Covid-19, атаки на удаленных пользователей (компрометация данных VPN, взлом и заражение домашних устройств), атаки на supply chain. 45% атак продвинутых мошенников пришлись на веб-приложения, в 32% случаев  эксплуатировались уязвимости периметра.

Источник: «Ростелеком-Солар»

Ключевыми целями злоумышленников среднего уровня, по оценкам «Ростелеком-Солар», в 80% случаев являются АРМ и транзитные серверы, в 85% – контроллер домена, в 75% – АРМ ИТ-администраторов, в 65% – системы ИТ-управления инфраструктурой, в 45% – прикладные ИС, хранящие финансовую информацию, в 40% – системы ИБ-управления инфраструктурой.

Главными целями продвинутых хакеров являются почтовые серверы (85% случаев), АРМ ИТ-администраторов (80%), системы ИТ-управления инфраструктурой (75%), АРМ первых лиц и их заместителей (70%), контроллер домена (70%), системы документооборота (65%), серверы и рабочие станции управления технологическими процессами (65%), системы ИБ-управления инфраструктурой (50%).

«Лаборатория Касперского» также отмечает рост количества атак на удаленные рабочие места  (Remote Desktop Protocol, RDP).

Источник: «Лаборатория Касперского» 

По оценкам компании, в 2021 году стоит ожидать сохранения и роста числа серьезных атак, увеличения срока реакции на инциденты, распространения вредоносного ПО и усугубления последствий киберинцидентов, пополнения рядов хакеров, подкупов работников предприятий, новых кросс-платформенных атак. «Лаборатория Касперского» прогнозирует появление новых сценариев атак на АСУ ТП, неожиданных схем монетизации, тенденции к перепродаже доступа к компьютерам, ожидается, что снятие с поддержки Windows 7 и Server 2008 и утечка исходных кодов Windows XP приведут к повторению сценария наподобие WannaCry.

По данным Департамента информационных технологий Москвы, за 2020 год было отражено более 4,5 млн атак на инфраструктуру столицы. Из них 27% – попытки использования нелегитимного ПО, 23% угроз создало вредоносное ПО, 23% составили попытки компрометации учетных записей, 16% – сетевые атаки, 5% – попытки эксплуатации уязвимостей, 3% – веб-атаки и 2% – отказы в обслуживании.

За прошедший год ДИТ Москвы зарегистрировал свыше 10,5 млрд атак на веб-приложения. Из них 54% – это невалидный CSRF-токен, 19% – боты и по 1% — SQL-инъекции, DDoS, межсайтовый скриптинг. Риски создают удаленный доступ к информационным системам Москвы с подключением устройств через домашние Wi-Fi сети, отсутствие контроля за служебными АРМ в домашних условиях, использование онлайн-конференций, мессенджеров, облачных хранилищ документов для работы, фишинг. Это грозит нарушением трудоспособности централизованных систем в результате компьютерных атак, утечки служебной информации, компрометацией работников и органов государственной власти города Москвы и др.

Компания «Конфидент» провела опрос интеграторов, специализирующихся на защите информации в госсекторе. По ее данным, 64% компаний сообщили о переходе на удаленную работу, 22% – о частичном переводе сотрудников на дистанционный формат, в 14% компаний все осталось по-прежнему. В конце 2020 года в среднем 32% пользователей государственных заказчиков находились на «удаленке». Более 90% из них используют домашние компьютеры для доступа к ресурсам организации. На домашних ПК применяются VPN-клиенты и иногда антивирусы. Полноценное централизованное управление данными средствами защиты информации не осуществляется. При этом 36% опрошенных отметили задержки в отгрузке СЗИ.

Если до пандемии для ИТ-инфраструктур была характерна картина, когда конечные точки защищены большим набором сертифицированных СЗИ, АРМ доступны по IP для средств централизованного управления и есть относительно хорошие каналы связи внутри периметра, то в настоящее время, по оценкам компании «Конфидент», многие пользователи работают с домашнего ПК, который почти не защищен и часто находится за NAT (Network Address Translation), каналы связи далеко не всегда хорошие и часто перегружены, сложно вести учет СВТ, ПО и СЗИ, не всегда есть доступ к АРМ по IP, перенос и обработка информации осуществляются на домашнем ПК, что несет дополнительные риски.

Как отметил директор центра защиты информации «Конфидента» Егор Кожемяка, на сегодняшний день использование домашних ПК для работы неизбежно. Правовые основания для работодателей и сотрудников в части установки СЗИ на домашние ПК существуют и описаны в 407-ФЗ. Требования к центру управления информационной безопасностью должны включать: обеспечение работы в сложных сетевых инфраструктурах, управления клиентскими частями под Windows и Linux, поддержку российских ОС, обеспечение бесперебойной работы в больших инфраструктурах и при «слабом» сетевом соединении.

По словам директора департамента Минцифры России Константина Гурзова, для госсектора переход части сотрудников на удаленную работу несет риски утечки конфиденциальных документов или их временных копий при передаче собственных устройств третьим лицам, их продаже, сдаче в ремонт, утере, взломе; утечек из-за преднамеренного копирования конфиденциальной информации из ведомственных информационных систем. Также актуальны угрозы взлома несертифицированных TLS устаревших версий 1.1 и 1.2, утечек конфиденциальной информации через онлайн-сервисы или мессенджеры при общении в рабочих группах с неконтролируемым составом участников.

Для предотвращения данных угроз необходимо использовать доверенное программное обеспечение и среду исполнения (загрузка с защищенного токена), применять аутентификацию с использованием УКЭП, «гостированную» защиту обмена данными (ViPNet). Кроме того, нужно ввести запрет копирования загружаемых данных на незащищенные носители, осуществлять антивирусную защиту, контроль целостности. Также необходимы сетевая сегментация, выявление и предотвращение вторжений, постоянный мониторинг действий и коммуникаций пользователя, фиксация событий ИБ.

По поручению Правительства Российской Федерации разработаны «Требования к устройствам обеспечения безопасной удаленной работы». Защищенное устройство должно обеспечивать загрузку компьютера с внешнего USB-носителя, на котором записана сертифицированная операционная система, двухфакторную аутентификацию пользователя, автоматическую настройку и подключение к шлюзу организации с использованием сертифицированного VPN. А также удаленное подключение к рабочему столу служебного компьютера (Remote Desktop) или работу с виртуальным рабочим столом (VDI), удаленный запуск и дистанционную работу с приложениями, установленными на служебном компьютере, автономную работу со служебными документами с возможностью их сохранения на защищенный раздел USB-устройства, хранение, формирование и проверку усиленной квалифицированной электронной подписи (УКЭП) с неизвлекаемым закрытым ключом.

Защищенное устройство должно быть сертифицировано для работы в государственных информационных системах (ГИС), в ИС персональных данных (ИСПДн), в ИС значимых объектов критической информационной инфраструктуры (КИИ), в медицинских (МИС), банковских (ИБС) и других информационных системах (ИС).

Уязвимости умного города

Конференция «Умный город. Цифровой регион» была посвящена цифровой трансформации и автоматизации процессов для повышения эффективности городской инфраструктуры. По информации центра компетенций «Умный город. Цифровой регион», стандарт Минстроя в данных проектах подразумевает наличие следующих составляющих. Это умное городское управление: платформа сбора гражданских инициатив и проведения голосований, городской диспетчерско-мониторинговый центр (ГДМЦ); умное ЖКХ: системы интеллектуального учета коммунальных ресурсов, энергоэффективности в МОУ.

А также умный городской транспорт: система управления парковочным пространством, система фото-видео фиксации; инфраструктура сетей связи: подземная коммуникация ШПД, Wi-Fi, LoRaWAN; интеллектуальные системы общественной безопасности: городская инфраструктура видеонаблюдения, система оповещения граждан о ЧС. Кроме того – инновации для городской среды: единая система агрегации заявок на ремонт, публичные Wi-Fi сети; туризм и сервис: система AR-навигации по достопримечательностям города; интеллектуальные ИС экологической безопасности.

В настоящее время при реализации по-проектного подхода при создании умных городов возникают следующие проблемы: в 80 % случаев при ведении отдельных проектов, внедряемых в рамках умного города, не рассматриваются возможности использования объектов городской инфраструктуры в интересах нескольких ведомств; требование к дальнейшей интеграции в общегородские системы (единую ИС городского управления), как и о комплексном использовании данных – не выполняется. Кроме того, индикаторы реализации мероприятий, указанные в дорожных картах умных городов, зачастую не коррелируют со стратегическими документами развития городов и не отображают достижения реальных целей.

В связи с этим участники мероприятия отметили необходимость разработки стандартов и единых требований к присоединению устройств и систем, унифицированных протоколов взаимодействия, единых требований к форматам и условиям хранения, передачи данных и доступа к ним, информационной безопасности доверенной среды.

Важность разработки стандартов для обеспечения безопасности умного города отметили и в «Лаборатории Касперского». По данным компании, в 2020 году хакеры скомпрометировали 15 тыс. камер наблюдения в Москве. В результате пострадали устройства, расположенные в жилых домах, магазинах, банках, торговых центрах и других частных организациях. Кроме того, в конце 2020 года произошла первая в мире атака на постаматы. Из 8000 точек, которые обслуживает компания PickPoint, 2732 пункта было выведено из строя в результате кибератаки. Стоит отметить, что 10% всех организаций, подвергшихся кибератакам в 2020 году, – это госпитали и другие медучреждения. Был подтвержден первый случай, когда в результате кибератаки на устройства госпиталя умер пациент – ему не смоги вовремя оказать экстренную помощь.

Как прокомментировал руководитель по продажам продуктов на базе KasperskyOS Алексей Лафицкий: «Одной из базовых технологий умного города является интернет вещей. Это камеры, машины, умные здания, умные электросети, различные цифровые сервисы. Но все эти объекты подвергаются большому количеству угроз. Проблема заключается в том, чтобы найти тот набор технологий защиты, который можно быстро и эффективно внедрить, не нарушая основные бизнес-процессы. Если посмотреть, как устроен интернет вещей, у нас есть облако, уровень сети, шлюза, уровень полевых устройств. Последние – это, как правило, контроллеры, камеры и тп. И если сетевое устройство, например контроллер,  будет доступно из сети, то простой атакой по подбору паролей злоумышленник может получить доступ к этому контролеру и всему, что к нему подключено – зданию, камере, транспортной инфраструктуре. Есть и другая колоссальная проблема – внедрение интернета вещей в рамках умного города в некоторых моментах происходило хаотично. И я сейчас благодарен руководству Москвы за то, что ведется разработка стандартов. Нам нужны серьезные стандарты, определяющие, как и какие протоколы будут использоваться, они позволят нам быстрее разработать срез технологий для защиты и сделать их более удобными».

Достижения в импортозамещении

В ходе конференции «Импортозамещение в области КИИ» прошло обсуждение текущего состояния импортозамещения критической информационной инфраструктуры. Заместитель директора департамента радиоэлектронной промышленности Минпромторга Олег Брянда сообщил, что за прошедший год в этом направлении сделано очень многое. Принята Стратегия развития электронной промышленности Российской Федерации до 2030 года. Она предусматривает, что к 2030 году доля электронной продукции российского производства в общем объеме внутреннего рынка электроники должна достичь 59,1%. Объем бюджетного финансирования отрасли в 2020 году составил 29,5 млрд руб., а в 2021 году планируется выделить 144,9 млрд руб.

На сегодняшний день лидером по импортозамещению является сектор систем мониторинга МЧС – доля отечественной продукции здесь составляет 80%. В остальных сегментах данный показатель пока не превышает 28%. Так, в государственных ведомствах и госкомпаниях доля отечественного телекоммуникационного оборудования составляет 20%, российской теле-, аудио-, видеоаппаратуры – 23%, вычислительной техники – 7%. В сфере образования доля отечественной продукции не превышает 16%, в энергетике – также 16%, в здравоохранении  – 25%.

Олег Брянда рассказал о формировании нормативной базы в области импортозамещения в КИИ, ходе реализации программ поддержки производителей радиоэлектронной промышленности, принятых и планируемых мерах. В частности введен единый реестр производителей отечественной радиоэлектронной продукции, обязывающий в ходе госзакупок приобретать оборудование и ПО для объектов КИИ только отечественного производства. На текущий момент реестр содержит 1958 номенклатурных единиц, ожидается, что по итогам 2021 года данный показатель превысит 2500 единиц. Есть и другие законодательные инициативы, направленные на поддержку отечественных производителей – например «Третий лишний»: если в тендере участвуют 2 российские компании и одна иностранная, последняя из конкурса исключается.

Заместитель директора Департамента развития контрактной системы Минэкономразвития России Сергей Икрянников отметил, что прошлый год стал переломным в вопросе закупок отечественной продукции. В частности, в 2020 году на приобретение российских товаров и технологий в рамках госзакупок было потрачено на 230 млрд руб. больше, чем в 2019 году. Он также сообщил, что в ближайшие месяцы нормативными актами будет введен полный запрет на приобретение иностранной продукции в ходе госзакупок, если есть российские аналоги. Кроме того, Сергей Икрянников отметил, что для оценки реализации госпрограмм в текущем году будет введен целевой показатель – доля приобретенной российской радиоэлектронной продукции, что также будет способствовать поддержке отечественных компаний.

Политика регулирования рынка КИИ

В рамках дискуссии «Государственная политика в сфере регулирования рынка КИИ» ведущий научный сотрудник ИСП РАН, руководитель направления обратной инженерии бинарного кода Вартан Падарян рассказал, что технологии атак на ПО становятся все доступнее, сегодня их способны осуществить даже школьники. В любой хорошо отлаженной программе есть как минимум одна ошибка. Существующих средств защиты недостаточно. Помимо навесных средств, файерволов, VPN и тп, необходим продуманный жизненный цикл разработки безопасного ПО. Современное ПО – это миллионы строк кода. И его нужно анализировать в полном объеме. Важно учитывать, что среды разработки, системы сборки в последнее время стали крайне сложными. Источники потенциальной опасности – это как сам компилятор, который может в силу агрессивных оптимизаций добавлять те ошибки, которых не было на уровне исходного кода, так и всевозможные модификации исполняемого кода.

Партнерство госрегуляторов, институтов, науки, индустрии давно борется со всеми этими вызовами. Есть стандарты, которые регулярно пересматриваются, появились квалификационные требования для инструментов. Коллективными силами был создан пакет Juliette, который позволяет изучать качество статических анализаторов. Можно ли такое зарубежное решение использовать в России? Почему нет, уверен Вартан Падарян. Но у регуляторов возникает вопрос: где гарантия, что среди этих 70 тыс. тестов не присутствуют специальные, которые будут занижать достоинства отдельных статанализаторов, что они не пропускают важные ошибки и т.д.?

ФСТЭК России в какой-то момент принял решение о поддержке перспективных технологий анализа кода, был принят стандарт 56939 (ГОСТ Р 56939-2016) – рамочный документ, который описывает критерии доверенного программного обеспечения. Через несколько лет появилась соответствующая ему методика выявления уязвимостей и недекларированных возможностей (НДВ), которая предполагает систематическое использование инструментальных средств контроля и определенного набора технологий – фаззинга, анализа трасс, статического анализа и тп. Уже сформирована цельная картина того, как должен выглядеть жизненный цикл разработки безопасного ПО. И если этот ГОСТ не внедрен, проходить последующую сертификацию крайне затруднительно. Если же весь комплекс инструментов имеется и систематически используется, на регулярной основе проводится анализ, то сертификация проходит быстро.

Как отметил Вартан Падарян, в 2021 году будет вестись разработка целой линейки стандартов, также делается попытка пересмотреть ГОСТ Р 56939 с учетом прошедшего времени. Существуют две большие группы языков разработки – компилируемые и интерпретируемые. Уже идет работа по доверенному компилятору для компилируемых языков. По словам Вартана Падаряна, нужна команда единомышленников, которая бы составила рабочую группу в области стандартизации для интерпретируемых языков – java, C#, Python. Кроме того, в настоящее время идет разработка стандартов по статическому и динамическому анализу, контролю безопасности стороннего и привлекаемого ПО. Разрабатываемый стандарт по динамическому анализу будет, кроме фаззинга, включать модульное системное, регрессионное тестирование.

Текст: Юлия Синицына