08.11.2013 16:13
Новости.
Просмотров всего: 2913; сегодня: 1.

Пора ломать традиции

Статья бизнес-консультанта Cisco по информационной безопасности Алексея Лукацкого.

Традиционные системы предотвращения вторжений (IPS), купленные и с ежегодно продляемым контрактом, есть у многих. И антивирусы тоже есть у многих. И межсетевые экраны. И системы контентной фильтрации. А инцидентов меньше не становится. Почему такая несправедливость? Причин тому несколько. Первая − размытие периметра и невозможность контроля, ранее сконцентрированного в нескольких местах аккумуляции основных объемов трафика. Это направление, когда мы ставили средства защиты либо на периметре, либо в ЦОДе, либо на ПК, остается необходимым, но уже явно недостаточным для того, чтобы считать свою сеть сколь-нибудь защищенной от современных угроз.

Посмотрите на эту картинку. Что вы видите? Есть ЦОД, расположенный в центре. Есть периметр (справа), который обеспечивает нам подключение к внешним интернет-ресурсам изнутри компании. Есть периметр слева, который дает сотрудникам возможность удаленного доступа к внутренним ресурсам компании. Есть удаленные площадки (офисы, филиалы и т.п.).

Допустим, мы смогли четко очертить границы нашей сети; хотя с активным внедрением мобильных технологий и облачных вычислений это достаточно затруднительно. Но значит ли это, что у нас не может быть ушлого сотрудника, который притащил 3G/LTE-модем и, подключив его к корпоративному ПК, не выходит в Интернет в обход средств периметровой защиты? Скорее всего, нет. А можем ли мы гарантировать, что для облегчения своего труда сотрудник не поставил в кабинете точку беспроводного доступа, к которой извне не подключился злоумышленник или просто желающий бесплатно посерфить в Интернете? Тоже не можем.

Для решения этой задачи нужны новые технологии, например, NBAD (network-based anomaly detection), о которых я уже писал в сентябре. Но допустим, мы их внедрили, а инциденты все равно появляются. Меньше, но все же есть. Почему? Неужели установленные у нас средства защиты не справляются с угрозами? Как это ни парадоксально, но далеко не всегда. Существует целый класс атак, которые специально разрабатываются для обхода традиционных средств защиты. Это целенаправленные атаки (APT). Если посмотреть на статистику, то мы увидим, что за последние 20 лет число традиционных атак снижается, а число APT возрастает. Достаточно вспомнить нашумевшие примеры с Red October и Stuxnet, чтобы понять, о чем идет речь. Но и "Красный Октябрь", и Stuxnet - это не просто APT, это целые операции в киберпространстве. Гораздо большую опасность представляет собой существенно большее множество APT, из которых и строятся большие операции. Используемые при реализации целенаправленных атак неизвестные уязвимости появляются то там, то тут. В итоге злоумышленники выпускают в "дикую природу" угрозы, которых раньше не было.

Это не массовые атаки, цель которых заразить как можно большее число жертв. Именно на такие угрозы рассчитаны "традиционные" средства защиты. Принцип их работы построен на том, что массовость атаки позволяет оперативно ее обнаружить и разработать для нее "противоядие", оснастив им защитные продукты. Массовость играет против злоумышленников, которые сегодня хотят как можно дольше оставаться незамеченными, чтобы долго и планомерно стричь купоны за свою противоправную деятельность. И для этого их атаки должны быть узкоспециализированными − обычно на конкретной жертве. Иными словами, ситуация поменялась: угрозы становятся скрытыми и сфокусированными − направленными на одну-две организации или их клиентов. Такие угрозы сложно обнаруживать с помощью традиционных подходов, например, "ловушек" в Интернет. Нужна планомерная работа производителей средств защиты, которые бы могли взять на себя функцию исследовательского центра по безопасности и оснащать своих клиентов регулярными обновлениями против новых целенаправленных атак, причем не раз в месяц и не раз в неделю, и даже не раз в день. К примеру, Cisco Security Intelligence Operations Center (SIO) рассылает обновления с периодичностью в 3-5 минут!

Мне можно возразить, что "традиционное" средство защиты сродни "обычному" порошку из рекламы. Таких давно уже нет, и все производители говорят, что их средства защиты осовременены и умеют бороться с APT. Возможно. Инцидентов, правда, меньше не становится, но это отдельная тема (я как раз сейчас готовлю материал о вселенском заговоре производителей средств защиты информации). Возможно, средства защиты уже давно обновились, но я все-таки рекомендую смотреть на ситуацию шире. Уйти вообще от традиций 90-х и даже 2000-х годов в ИБ.

Нужны средства защиты не с массовыми, а целенаправленными (APT) угрозами. Нужны средства контроля не только периметра или точек аккумуляции трафика, но и внутренней сети, а также мобильных устройств. Нужны не только сигнатурные средства защиты, но и контролирующие аномалии и поведение. Нужны не только точечные средства, но и распределенные по всей сетевой инфраструктуре. Нужны не только сетевые, но и прикладные средства защиты информации. Нужны не только разрозненные, но и скоординированно действующие средства защиты, взаимоувязанные в единый комплекс защитных мер. Нужно защищать не только пользователей или от пользователей, но и устройства и от устройств (Интернет вещей будет только набирать обороты).

Нужно ломать традиции. А то все ломают − начиная от ИТ-департаментов и бизнеса, давно и прочно запавших на тему мобильности и облаков, и заканчивая злоумышленниками, постоянно изменяющими свое поведение. А безопасники живут по-прежнему в своем мире "контролируемой зоны" и "массовых рассылок". Да, менять традиции непросто. Да, кто-то должен сделать первый шаг. Да, это выводит из сложившегося годами равновесия. Но по-другому уже нельзя...


Ньюсмейкер: Cisco — 3787 публикаций
Поделиться:

Интересно:

Открыт прием заявок на Международный фестиваль «Импульс»
09.01.2025 15:57 Мероприятия
Открыт прием заявок на Международный фестиваль «Импульс»
Открыт прием официальных заявок на Международный фестиваль адаптивных видов спорта «Импульс». Количество мест ограничено.Завки на фестиваль и шоу-рекордов разные. Участие для всех бесплатное. С 4 по 6 апреля 2025 года в Челябинске состоится одно из крупнейших...
Путь кошелька
09.01.2025 11:03 Аналитика
Путь кошелька
Мы первое поколение людей, которые с момента появления денег избавлены от необходимости носить их с собой. Для многих расплачиваться при помощи смартфона стало уже привычным делом. Возможно, что и эта технология вскоре уступит место оплате по биометрии. Кого-то...
Исчезнувшие города Руси в легендах и сказаниях
08.01.2025 09:02 Аналитика
Исчезнувшие города Руси в легендах и сказаниях
Города, как и всё на земле, не вечны: они разрушаются, перестраиваются, гибнут во время стихийных бедствий и вражеских нашествий, переносятся на новые места, приобретают новый облик. Но есть в народных сказаниях сообщения о таинственном исчезновении городов или части городов: города или храмы...
Майнинг в России – что изменилось после легализации?
07.01.2025 12:46 Консультации
Майнинг в России – что изменилось после легализации?
Майнинг — это процесс создания новых блоков в блокчейне и подтверждения транзакций с использованием специализированного оборудования. За последнее десятилетие он превратился из увлечения энтузиастов в масштабную индустрию, приносящую значительные доходы. В России этот сектор развивался в условиях...
Как юридическому лицу внести изменения в ЕГРЮЛ
06.01.2025 22:19 Консультации
Как юридическому лицу внести изменения в ЕГРЮЛ
В условиях динамичного развития бизнеса и постоянно меняющегося законодательства компаниям необходимо оперативно реагировать на любые изменения, касающиеся их деятельности. Процедура внесения изменений в Единый государственный реестр юридических лиц (ЕГРЮЛ) важный аспект ведения бизнеса в России...