«Доверять страшно, но ничего другого не остаётся»

 

Информационная безопасность остаётся одной из самых горячих тем в сообществе — редкое мероприятие обходится без дискуссий на эту тему. Цифровая трансформация у всех на устах, количество устройств (как управляемых человеком, так и автономных) растёт в геометрической прогрессии, и защита обрабатываемой информации важна как никогда. Мы поговорили с директором департамента корпоративного бизнеса «Лаборатории Касперского» Вениамином Левцовым о будущем ИБ — и о роли «Лаборатории Касперского» в этом будущем.

 

 

ВЛ:

Действительно, нашим основным продуктом по-прежнему является защита конечных точек. Этот продукт даже в enterprise-части дает нам более половины продаж, и фактически наши ключевые экспертизы сосредоточены вокруг его развития и поддержки — это, конечно, влияет на восприятие нашей компании рынком. Мы всё это понимаем и проблемой для себя не считаем. Если посмотреть на то, с каким успехом крупный бизнес в России использует наши решения, можно понять, что такое восприятие нам не мешает.

Вместе с тем, сложно найти хотя бы одну крупную компанию в России (государственную или нет), в которой не было бы в каком-то виде внедрено наше решение. Как правило — это полная защита всей инфраструктуры, уж как минимум защита конечных точек — точно. 

 

 

ВЛ:

В 2013 году, когда мы только начинали системное, глобальное проникновение на enterprise-рынок, у нас уже было понимание, что одной только защитой конечных точек будет крайне сложно кого-то впечатлить. Эти решения (конфигурация, основные требования, список вендоров) зачастую жёстко закреплены в корпоративных технических стандартах, и, если там обозначено решение нашего конкурента, без смены стандарта нам его не заменить, а это в обычной обстановке очень сложно.

 

Кроме того, мы столкнулись с тем, что защита конечной точки – это ещё и про систему управления решением. Во многих компаниях обучение персонала консоли администрирования и вообще управлением антивирусной защитой — предполагают достаточно серьезные инвестиции, и миграция на другое решение подразумевает повторные вложения, а под них подписываться никто не хочет. Также играет роль и сложившаяся в компании ИТ-среда — «втискиваться» в эту историю с новым endpoint-решением, с перестройкой интеграционных связей, довольно сложно.

 

Кроме того, увы, на рынке безопасности конечных точек давно идёт жёсткая ценовая война. С учётом существующих уровней в крупных компаниях себестоимость миграции на другое решение сама по себе может быть сопоставима со стоимостью годового владения им с точки зрения IT-затрат. 

 

Ещё один фактор — вопросы, связанные с антивирусной безопасностью, лежат ниже уровня интереса ключевых руководителей, ответственных за информационную безопасность в компании, у них хватает других вопросов. Однако отмечу (на опыте работы с рядом крупных заказчиков), что как только фиксируется крупная атака на компанию или массированный инцидент, например, с шифровальщиком — вопросы защиты конечных точек попадают в область контроля директора департамента ИБ и выше. Тут можно уже и бюджет выделить, и технический стандарт подправить. Но это случается не так часто. 

 

Поэтому тогда, в 2013-м, глобально у нас не оставалось никаких способов, кроме как адресовать рынку не только защиту конечных точек, но и какие-то дополнительные продукты и сервисы, которые позволяли бы нам легче «заходить» в новые компании.

 

Мы пошли, в первую очередь, по пути активного распространения Threat Intelligence — это структурированная информация об угрозах, которая направляется непосредственно из нашего облака и приземляется, например, в SIEM на стороне заказчика или в EDR другого производителя. Такая информация позволяет создавать дополнительные корреляционные и детектирующие правила, что может позволить, например, обнаружить активность трояна, который «ходит» на внешние сайты, или активность, исходящую из центра управления ботнета.

 

 

ВЛ:

Удобство этого инструмента, во-первых, в том, что он не требует никаких изменений в инфраструктуре: информация берется из «Лаборатории Касперского», приземляется у заказчика в SIEM — и уровень безопасности повышается без каких-либо изменений и рисков для существующей инфраструктуры ИБ. Кроме того, мы знаем, что в крупных компаниях Threat Intelligence очень часто покупают из разных источников — и наша база информации может служить мощным дополнением к тому, что поставляют другие провайдеры. Поэтому многие заказчики выбирали нас именно в дополнение к большим пакетам threat intelligence, покупаемым у американских поставщиков. Эта история сработала — в том числе есть определенный интерес и в России (но в основном, конечно, Западная Европа, Ближний Восток, Япония).

 

Также мы пошли в область, в которой наш традиционный, классический продукт не всегда показывает максимальную эффективность — это область сложных или даже таргетированных атак. При которых угроза представляет собой не просто одиночное приложение, а фактически состоит из совокупности вредоносного и законного ПО и скоординированных действий организованной группы, привлекающей, как правило, в том числе средства социальной инженерии. На протяжении длительного периода времени (месяцы или даже годы) эта группа может заниматься изучением и распространением в сети, захватом учетных записей, рабочих станций, исследует обстановку, в которой захватил управление — и зачастую использует легальное программное обеспечение, ведь для систем безопасности сам факт использования какой-нибудь системы удаленного управления ещё не является признаком атаки. В результате подобных действий готовится плацдарм для серьёзной атаки по выводу средств или утечки данных. Надо сказать, что наши исследования в области APT (развитых устойчивых угроз) наглядно описывают многие подобные сценарии. 

 

Как можно бороться с этим злом? В настоящее время мы перенесли основной фокус именно на специфические инструментарии этого направления, они востребованы в России и в мире.

 

 

ВЛ:

Во-первых, мы стали более активно использовать технологии «песочницы». Когда сложно определить, является ли тот или иной процесс вредоносным, в этом существенно помогает детальный анализ его поведения в близкой к реальной, но изолированной и контролируемой среде исполнения.

 

На самом деле, в наших продуктах для защиты конечных точек эти механизмы были всегда — если не ошибаюсь, с 2006 года. Но надо понимать, что песочница, которая развёртывается на защищаемом компьютере, имеет огромное количество ограничений, в первую очередь — ресурсных. Ей достаточно сложно обмануть помещённый в неё зловред, убеждая его в том, что она — реальный отдельный компьютер с портами и интерфейсами; поэтому её возможности по анализу ограничены. 

 

Если же мы выделяем песочнице отдельный сервер, то можем применить широчайший спектр инструментов, которые позволяют полностью усыпить бдительность вредоноса, дать ему отработать заложенные алгоритмы и собрать о нём максимум информации. Всё это возможно только при наличии специально сконфигурированного сервера достаточной мощности с большим количеством специальных подсистем. Именно технологии песочницы стали основным инструментом расширенного детекта в нашей Kaspersky Anti-Targeted Attack (KATA) Platform – и этот продукт достаточно хорошо зашёл на российский рынок — он позволяет отлавливать угрозы, прилетающие из внешней сети и из почты, на ранних стадиях. В этом году мы также выпустили отдельную песочницу, Kaspersky Sandbox, интегрированную с защитой конечных точек, кстати уже прошедшую сертификацию ФСТЭК России. Это решение для более широкого рынка, чем KATA.

 

Какие вещи еще мы начали активно развивать? Есть такая замечательная американская методология — MITRE ATT@CK (Adversarial Tactics, Techniques & Common Knowledge). Фактически, это формализованный, аксиоматично принятый сообществом перечень основных сценариев атаки, разделённый на тактики и методы, и мы используем формализованные описания таким образом, что наши продукты, получая телеметрию из сети, в состоянии распознать признаки той или иной атаки, описанные в матрице MITRE. 

 

Нужно упомянуть также и термин «индикатор атаки». Есть базовый термин «индикатор компрометации» — это признак зловредного объекта. Например, URL, с которым он связан, или хэш MD5 — частные случаи индикатора компрометации. «Индикатор атаки» — более сложный и многокомпонентный атрибут, который позволяет достаточно точно определить вид атаки, классифицировать её и предложить те или иные (также описанные в практиках) механизмы реакции на эту атаку. Мы проделали огромную работу, и я считаю, что, когда эти индикаторы атаки стали частью наших продуктов KATA/Kaspersky EDR, компания сделала существенный шаг вперёд: они очень удачно дополняют прочие механизмы обнаружения самых продвинутых угроз. Это второе.

 

Третье — это план трансформации нашего хорошо знакомого заказчикам сервиса проактивного поиска угроз Kaspersky Managed Protection (KMP). Суть этого сервиса сводилась к удаленному мониторингу расширенного потока телеметрии, идущего из конечных точек заказчика, командой наших специалистов. Так вот если раньше наш сервис KMP ограничивался информированием заказчика о том, что в его сети обнаружен инцидент (то есть фактически мы предоставляли репорты, регулярные и тревожные), то сейчас в рамках нового сервиса класса MDR (Managed Detection and Response) мы можем предпринимать и активные действия и предоставлять доступ к порталу, на котором можно найти все детали и атрибуты обнаруженной нами угрозы. 

 

 

ВЛ:

Здесь важно сказать: фактически этот подход предполагает проактивный поиск угроз в сети заказчика. «Проактивный» означает, что мы, исследуя телеметрию, исходим из предположения, что сеть уже заражена, в ней есть вредоносная активность, но мы не знаем, какая именно. Этот подход прекрасно работает, и мы видим, что использование сочетания удаленного доступа и описанного инструментария дает свои плоды. 

 

Скажу еще, что есть определенный вид threat intelligence, который я лично настоятельно рекомендую нашим заказчикам. Даже если ваша инфраструктура защищена нашими продуктами, у нас есть специфический поток индикаторов компрометации сложных или таргетированных атак.(APT IoCs) Он не используется напрямую в наших продуктах для защиты конечных точек, поэтому есть смысл брать этот поток отдельно и хотя бы сканировать станции или проверять события, которые исследуются на уровне SIEM, на совпадение с этими «индикаторами компрометации» . 

 

Резюмируя, я бы перечислил ещё раз четыре инструмента, которые мы активно развиваем для борьбы со сложными угрозами: технологии песочницы, использование MITRE ATT&CK-классификатора, сервис удаленного мониторинга ипроактивного поиска угроз с респонсивными действиями

 

 

ВЛ:

Хороший вопрос, я постоянно с ним сталкиваюсь: и в Западной Европе, и на Ближнем Востоке, и, понятно, в России. Во-первых, существуют организации, в которых действуют жесточайшие требования на исходящие соединения — например, публичное облако просто является небезопасной средой. Для таких заказчиков мы уже давно (с 2013 года) предлагаем специальное решение — KPSN (Kaspersky Private Security Network).

 

KPSN — это репутационная база, которая размещается на мощностях заказчика, постоянно обновляется в одностороннем порядке и является источником знаний для наших продуктов. То есть, если у продукта появляется вопрос, он идёт за наиболее актуальной информацией не в наше глобальное облако, а обращается к этой базе, которая физически размещена в пределах своей ИТ-инфраструктуры заказчика. Это платный продукт, он достаточно активно используется (в том числе и в России), но это оправданно для серьезных случаев, когда сеть по требованиям полностью изолирована от интернета. 

 

Надо сказать, что отсутствие двусторонних коммуникаций с нашим облаком делает невозможным оказание сервиса удалённого мониторинга сети и поиска угроз. Поэтому в описанном вами случае можно порекомендовать для начала полноценно освоить продукт класса EDR (Endpoint Detection and Response), он позволяет воспринимать всю сеть как единое целое, запускать различные дополнительные многофакторные проверки и реагировать с использованием широкого набора инструментов. Все-таки область видимости антивируса ограничена портами конкретного компьютера, а в случае с EDR появляется тотальная видимость картинки всей сети — появляется возможность: 

• просканировать всю сеть на наличие конкретного индикатора; 

• понять, где обнаруживается признак того или иного зловреда;

• запустить по всей сети действия, например, изоляционного характера или отследить деятельность какого-то конкретного процесса;

• рисовать то, что называется kill chain, то есть схему распространения вредоносного процесса от узла к узлу;

• внимательно изучать последовательности, которые создаются в рамках этого заражения. 

 

Если же возможность широко использовать внешний сервис для этой организации закрыта — ничего не остается, как инвестировать в знания и опыт собственных сотрудников, увеличивать их количество, понимать, что на случай отпусков, болезней, эпидемий, а также серьезных инцидентов потребуется иметь дублирование, перекрытие по возможностям этой команды. 

 

Но даже для подобных организаций мы считаем правильным иметь как минимум одного доверенного сервис-провайдера на случай кризиса, эпидемии, когда ситуация выходит из-под контроля. Причём иметь не просто определённого провайдера услуг, а заранее назначенного на вашу организацию security-эксперта — вплоть до того, чтобы служба безопасности заказчика заранее проверили и допустила к работе со своими данными конкретного сотрудника провайдера. Подобное «доверенное лицо в доверенной компании» привлекается только на случай серьезного инцидента, когда без этого не обойтись. В таком сценарии, даже руководство очень закрытых организаций будет вынуждено пойти навстречу, с учётом того, что это будет дважды доверенный субъект, к услугам которого прибегают только в случае серьёзного расследования.

 

Нас, например, довольно часто привлекают для исследования конкретного экземпляра вредоносного ПО. Мы не видим всей картинки заражения, но та информация, которую мы предоставляем в виде анализа по конкретным сэмплам, уже серьёзно помогает команде, отвечающей за инцидент, в реакции на него.

 

Достаточно часто удаётся компактно собрать всю информацию, релевантную какому-то расследованию, на одном специально выделенном сервере. Это очень удобный для заказчика сценарий, когда данные, касающиеся заражения, концентрируются на одной станции, и сотрудник сервисной организации получает доступ только к ней. Данные не покидают периметр, к ним обеспечивается управляемый удалённый доступ — можно мониторить всё, что происходит, все действия выполняются под контролем службы информационной безопасности, и доступ можно закрыть в любой момент. 

 

 

ВЛ:

Защита индустриальных систем без преувеличения находится в верхних строках стратегических направлений для «Лаборатории Касперского». Наша цель в том, чтобы каждый объект критической инфраструктуры в России, каждая индустриальная сеть были защищены каким-то из наших решений. Это может быть защита для конечных точек, адаптированная исходя из специфики систем АСУТП, или система проверки сетевого трафика, или наши экспертные сервисы проверки заражённости сетей, или потоки ISC Threat Intelligence – данных об угрозах, которые анализирует наш специализированный CERT. Я уверен, что эта цель достижима и безусловно крайне важна.

 

В целом, знаете, на сегодня индустриальные сети, как правило, достаточно надежно изолированы от сетей свободного доступа, что разумеется существенно снижает риск реализации внешней угрозы ИБ . Есть компании, в которых такая изоляция является обязательным требованием, и любой случай, когда нарушается этот порядок, становится поводом для служебного разбирательства: почему это произошло, как информация из внешнего контура попала во внутренний? Если речь идет о тяжелых производствах, об энергетике — это, безусловно, оправданные меры. Но при этом лицензионные требования ПО для производственного оборудования зачастую предполагают, что система должна сообщать в облако данные о своей работе — например, физическое местоположение машины, на которой развёрнуто решение. И хочется её изолировать, а по требованиям производителя этого сделать нельзя, иногда даже начинает «отваливаться» какой-то функционал. 

 

То есть, к сожалению, подход с air gap — не панацея, к тому же его часто нарушают сотрудники — существует ведь и необходимость регламентного обслуживания. Но тем не менее, пока мы видим довольно много компаний, которые следуют принципу изоляции своих индустриальных сетей, что, на мой взгляд, правильно.

 

По поводу IoT: это ведь лёгкие устройства, с крайне ограниченными ресурсами, часто закрытым списком ПО и конфигураций, В этом смысле утечка информации, конечно, возможна, но всё-таки остановить турбину или доменную печь при помощи таких штук достаточно сложно. Что касается защиты подобных подключённых устройств, подключенных через роутеры, — мы видим определённые перспективы в том, чтобы сконцентрироваться на развитии именно класса безопасных роутеров. Во-первых, с него можно запускать регулярное сканирование сетевого окружения, во-вторых, можно проверять сетевой трафик, адресованный IoT.

 

Если на само это устройство поставить агента, контролирующего процессы в памяти, практически невозможно, — нам ничего не остаётся, как контролировать коммуникации вокруг этого устройства. Такие разработки в «Лаборатории Касперского» есть. Более того, есть представления о том, как распознавать эти угрозы, и что делать с информацией о них. 

 

Что касается 5G-сетей на производстве, когда информация сразу уходит в облако, могу рекомендовать только одно: тотальное шифрование, сертификация оборудования, постоянные security assessments — и приложений, и девайсов, и эти аудиты должны становиться постоянным регламентным действием. 

Кстати, достаточно хорошо работает со всей этой историей простой механизм integrity check, когда все элементы инфраструктуры тщательно тестируются на работу в единой среде, в затем любые изменения в ней «замораживаются». При появлении любого дополнительного процесса или соединения, исходящего от этого устройства, поступает сигнал о том, что конфигурационная целостность архитектуры нарушена, был запущен какой-то процесс, которого раньше не было. 

Но если честно, по части безопасности IoT наша битва только начинается, и даже мы пока скорее наблюдаем за тем, куда развивается индустрия и как будут формироваться векторы атаки.

 

 

ВЛ: 

Kaspersky Unified Management Analytical Platform — это наша SIEM-платформа. В какой-то момент наша служба информационной безопасности столкнулась с тем, что компания Splunk объявила о приостановке расширенной техподдержки своих пользователей в России. То есть рассматривать её как надежного поставщика платформы сбора корреляции инцидентов для нашего стока мы больше не могли. 

 

В качестве альтернативы была выбрана платформа команды за пределами «Лаборатории Касперского», которая в целом соответствовала требованиям нашей службы безопасности. У нас непростая ситуация с точки зрения угроз и инцидентов: нас много атакуют, у нас сложная глобальная сеть, где существует достаточно много критически важных узлов. Наша служба безопасности выдвигает очень высокие требования по мощности таких систем, по объемам сетевого трафика и потока телеметрии из конечных точек, который должен обрабатываться и какое-то время храниться в системе. Ключевым требованием таким образом была производительность системы и способность обрабатывать значительные объёмы данных. И обнаруженная на рынке разработка вполне соответствовала запросу, хотя и была на начальной стадии зрелости

 

Мы посмотрели на вопрос несколько шире: наверняка мы не единственные, кто столкнулся с такой проблемой. Было принято решение интегрировать эту команду в нашу систему разработки, её укрепили нашей собственной экспертизой, и вот до конца 2020 года должен появиться первый релиз нашей собственной SIEM-платформы, обеспечивающей базовую функциональность для решений этого класса. Дальше мы собираемся активно инвестировать в это решение и эволюционно его развивать. 

 

Что для нас принципиально важно? Мы осознаём, что заказчик, который использует наше решение для защиты конечных точек, почты, web, облака, банкоматов, хранилищ данных, на самом деле всё равно продолжает использовать фактически отдельные продукты. Исторически наш Security Center выполнял роль средства администрирования всех этих продуктов, среды для айтишников, которая позволяет развернуть продукт, настроить, раздавать ему обновления, но, например, синхронно и согласованно использовать поток телеметрии, исходящий от разных продуктов, увы, по-прежнему невозможно. 

 

И рынок, и наши эксперты, и моя команда, постоянно получающая подобные запросы со всего мира, пришли к выводу, что в такой ситуации было бы логично двигаться в сторону разработки системы с единым полем инцидентов, с единым полем политик, правил распознавания и сценариев противодействия. И SIEM-платформа прекрасно подходит для участия в решении этих задач. В таком вот направлении мы в целом, и движемся. 

 

Естественно, подход предполагает получение данных событий не только продуктов «Лаборатории Касперского», но и от сторонних решений (в первую очередь сетевых). В общем-то, получается полноценный SIEM, но мы постараемся развивать его фактически «поверх» нашей линейки. Ключевая аудитория для нас — это наши заказчики, которые активно используют наши продуктыОчевидно, что мы будем активно предлагать наш SIEM для целей защиты критической инфраструктуры и интеграции с механизмами ГосСОПКА.

 

 

ВЛ:

Невозможно говорить об эффективной защите конечной точки, не понимая того, что происходит в её сетевом окружении. Так что мы обречены на развитие компетенции в сетевой безопасности. 

 

Невозможно говорить о защите конкретного узла, не понимая, что происходит на подобных узлах всей сети. В любой ситуации лучше иметь некий вид «с высоты полёта»: мониторить сетевую обстановку и понимать состояние подобных устройств в окружении. В силу того, что атаки становятся очень долгими и используют различные механизмы проникновения, зачастую невозможно делать выводы чисто автоматизированными средствами, как мог раньше старый добрый антивирус.

 

Появляется потребность в человеке — аналитике, который в состоянии провести на некоторой временной шкале ретроспективный анализ данных и на основе результатов представить себе общую картину. Именно поэтому для автоматизации и повышения эффективности работы такого эксперта продукты класса EDR становятся едва ли не главной точкой приложения усилий нашей разработки.

 

Всё, о чём мы сегодня говорили, предполагает довольно специфические навыки, и такой классический «безопасник» сегодня фактически распадается на несколько специфических наборов знаний. Тот «безопасник», который отвечает за соответствие нормам законодательства, довольно серьезно отличается от того «безопасника», который, например, отвечает за повышение осведомленности по вопросам информационной безопасности в компании. Редкая компания может позволить себе всех необходимых специалистов, особенно если учитывать, что на рынке их в принципе недостаточно. 

 

Анализ всей обширной телеметрии (включая ретроспективный анализ, анализ сети, анализ сетевого оборудования) предполагает растущий уровень навыков, но при этом, даже если таких специалистов найти в большом количестве —львиную долю времени они будут бездействовать, а в пик нагрузки их не будет хватать. 

Поэтому, увы, приходится признать — напрашивается активное развитие сервисной истории. И как бы ни было заказчикам страшно начинать доверять провайдеру, ничего другого просто не остается. 

 

Поэтому в перспективе «Лаборатория Касперского» будет активно развивать инструментарий, про который я говорил, развивать наши собственные сервисы, и — самое главное — сейчас мы оцениваем практически любой продукт, который выпускаем, с точки зрения его удобства и пригодности для использования сервис-провайдерами. То есть мы считаем, что эффективное использование продукта возможно только в руках действительно высококлассного эксперта. И место всё большего количества этих экспертов, на наш взгляд, как раз на стороне сервис-провайдеров. Мы будем делать всё, чтобы наш инструментарий использовался как можно более активно поставщиками этих сервисов, а заказчики фокусировали усилия на вопросах соответствия требованиям нормативных документов, формирования внутренних центров компетенции, выбора оптимальных поставщиков сервисов и синхронизации целей и задач ИБ с потребностями и стратегией развития основного бизнеса.