Внутренняя угроза для информационной безопасности

Недавно на ресурсе Business Insider была опубликована статья, в которой рассказывается о том, что ирландские хакеры, после безуспешных попыток взломать информационные системы Apple, пытаются найти другие способы получения доступа к корпоративным данным. Они предлагают сотрудникам Apple 20 000 евро за достоверные учетные данные. И хотя подходы к инсайдерам не всегда носят столь неприкрытый характер, этот случай – хорошее напоминанием о том, что злоумышленники активно используют сотрудников, чтобы воспользоваться их служебным положением. 

Ситуация с Apple наглядно демонстрирует, что внутрисистемная угроза (угроза безопасности со стороны персонала) не ограничивается лишь людьми, вроде Эдварда Сноудена, которые перед увольнением воруют массу данных. Сотрудники компании, имеющие доступ к конфиденциальной информации, могут представлять собой более скрытую и устойчивую угрозу.

Размышления о внутрисистемных угрозах

Руководителям службы безопасности стоит относиться к внутрисистемным угрозам так, как они бы относились к любым другим видам промышленного и государственного шпионажа. 

Несомненно, что злоумышленники не отказались бы завербовать системного администратора, который в компаниях является, по сути, аналогом референта внешних связей посольства. Системные администраторы, как правило, являются хранителями ключей от сокровищницы данных, и во многих случаях могут получить доступ к различным почтовым ящикам и другим системам. Эта информация интересна лицам, ведущим промышленный шпионаж: ими могут двигать идеологические соображения, желание украсть коммерческие секреты или получить информацию для инсайдерской торговли. При этом сотрудники отдела информационных технологий не единственные возможные кандидаты на соучастие в кибератаке.   

Кроме продажи действующих системных учетных данных, инсайдеры могут выполнять не такие очевидные задачи злоумышленников. Одной из задач является выполнение роли агента доступа, как это делается при обычном шпионаже: для обнаружения потенциальных источников. Вместо того, чтобы выискивать и пытаться связаться с определенными сотрудниками, хакеры могут через инсайдеров получить представление о системах и процедурах безопасности компании. Инсайдеры также могут предоставить схему организационной структуры и примеры связей в компании. И более важным моментом является то, что инсайдеры знают, кто с кем общается и на какие темы, они могут переслать образцы сообщений электронной почты, чтобы показать, как взаимодействуют люди внутри компании.    

Такие подробности могут быть превосходным подспорьем в выборе целей для хорошо продуманных и убедительных атак направленного фишинга, т.е. кибератак через электронную почту, нацеленных на определенного пользователя. Если хакер узнает, что Кэрол регулярно высылает текстовые документы или электронные таблицы Бобу, а также обладает образцами фраз, с которыми Кэрол обычно обращается к Бобу, включая жаргонные слова, то такой хакер может разработать искусно-подделанное сообщение и, сымитировав адрес почтового ящика Кэрол, выслать сообщение вместе с прикрепленной вредоносной программой. 

Агенты доступа могут также использоваться для выявления сотрудников имеющих финансовые или иные уязвимости, например, озлобленных на компанию или употребляющих наркотики – таких людей легче завербовать. Секс также является хорошим средством вербовки, и агенты доступа могут выявить людей наиболее уязвимых для так называемой «медовой ловушки».

Сотрудники не из ИТ-отдела могут также использоваться для внедрения вредоносных программ в компьютерную систему компании. Они могут намеренно открыть программу направленного фишинга, а в случае поимки сыграть роль жертвы. Они также могут, к примеру, украсть флешку со стола своего коллеги, позволить хакерам установить на нее вредоносную программу, а затем вернуть ее на место. Существует много путей, с помощью которых инсайдер не из ИТ-сферы может внедрить вредоносную программу в системы компании – даже в системы с физической изоляцией и защищенной системе, изолированной от Интернета.  

Постоянная внутрисистемная угроза

Внутрисистемные угрозы не ограничиваются разовыми успехами, как в случае со Сноуденом. Инсайдеры-агенты, которые притворяются безобидными и способны виртуозно оправдываться, могут оставаться в целевой компании долгое время. Опять же, возвращаясь к мышлению в рамках традиционного шпионажа, невероятным успехом считался случай, когда человек заходит в посольство и вручает сотруднику разведки портфель полный секретных документов. Однако, хорошему сотруднику разведки этих документов мало. Умные офицеры будут обеспечивать защиту перебежчиков и убеждать их продолжить работу. Таким образом, у них будет постоянный поток ценных разведданных вместо одной пачки документов. 

Однако даже если мы имеем дело с завербованным агентом, а не с перебежчиком, наилучшей стратегией является обеспечение работы агента в целевой компании в течение продолжительного времени для того, чтобы собрать максимальное количество данных. 

Национальные разведывательные центры, выполняющие операции компьютерной разведки, пользуются теми же принципами при вербовке источников, как и при выполнении иных операций. Разведывательные службы не проводят четких различий между агентом, завербованным для получения традиционных разведанных и агентом, завербованным для получения киберразведывательной информации. После вербовки, агенты могут использоваться для обеих целей.

Если кто-то сомневается в том, что разведывательные службы ряда стран активно вербуют сотрудников различных компаний в качестве источников данных, он не слишком внимателен. Государства часто используют фальшивые данные, когда офицеры разведки выдают себя за конкурентов или даже преступников.

Но даже если не принимать во внимание разведывательные службы, легко понять насколько выгодно для идеологически мотивированных перебежчиков, конкурентов и преступников иметь внутренние источники, внедренные на долгий срок в компанию. 

Небезопасные методы работы

И, наконец, кроме осведомителей, действующих преднамеренно, есть просто неосторожные сотрудники, которые также представляют собой значительную угрозу. Кроме широко освещаемых средствами массовой информации инцидентов, как например случай, когда сотрудник Apple оставил сверхсекретный прототип iPhone 4 в баре или случай с генеральным директором Qualcomm, чей ноутбук был украден незадолго до опубликования квартальных результатов деятельности компании, всегда есть шанс, что какой-либо сотрудник попадется на фишинговом письме и внедрит вредоносную программу на серверы компании через личный ноутбук.

Все потенциальные игроки, представляющие угрозу, от разведслужб до преступников, могут воспользоваться ошибками, которые непреднамеренно делают невнимательные сотрудники. В сравнении с вербовкой инсайдеров, которая требует больших усилий и которую легче обнаружить, целевая кибератака – это более дешевое и менее рискованное решение, которое может быть столь же эффективным. Неосторожность сотрудников упрощает выполнение таких атак. Неправильные действия в отношении информационной безопасности не относятся только к сотрудникам нетехнического направления.  Недостаток опыта, лень или неправильные методы работы могут и сотрудника ИТ-отдела сделать халатным. Коротко говоря, сотрудники должны быть хорошо информированы и оставаться начеку постоянно. Угроза, которую представляют собой такие инсайдеры, как Сноуден, – велика. Но это далеко не единственный тип внутрисистемной угрозы, которая может нанести вред вашей компании.

Оригинал статьи: https://www.stratfor.com/weekly/when-cyber-security-inside-threat

Итоги года в индустрии ИБ

Прошедший год оказался непростым для бизнеса. Однако в индустрии ИБ произошли три положительных изменения, которые нельзя не отметить:

1.       Сформировался конкурентный рынок ИБ

Сама индустрия за прошедший год сильно подтянулась: многие вендоры доработали свои решения – выпустили интересные релизы существующих продуктов или запустили новые ветки.

Различия в функционале, конечно, остались довольно значительные, однако они видны больше при решении реальных, прикладных задач.

Текущая ситуация индустрии ИБ вышла из периода “штучного продукта” и теперь больше напоминает сформировавшийся рынок, где царит здоровая конкуренция. Это, безусловно, на руку клиентам: теперь каждый найдет лучшее для него соотношение качества, возможностей и цены.

2.       Выросли требования пользователей к IT-решениям

Пользователи систем ИБ также значительно повлияли на индустрию за прошедший год.  Росла популярность IT-решений по вопросам ИБ, а вместе с ней и «продвинутость» пользователей: они стали более требовательны к инструментам аналитики и обработки массива данных.

Пользователи сформировали понимание, каких опций им не хватает в существующих инструментах ИБ, как эффективнее решать свои задачи.

3.       Изменилась оценка обществом самого факта контроля

Однако самое главное изменение произошло в сознании коллективном – люди стали принимать необходимость контроля. Из крайне отрицательной реакции вектор сместился в сторону, как минимум, нейтралитета, а в ряде случаев наблюдается положительный взгляд на средства контроля.

Люди стали осознавать, что работодатель имеет полное право мониторить и анализировать рабочее время персонала. В некотором смысле это делается и в интересах самих сотрудников, для их выгоды и безопасности. Инструменты контроля персонала, при их грамотном применении, стали эффективным и необходимым решением для бизнеса, и теперь это понимают даже рядовые специалисты.

Ряд компаний работает на популяризацию идеи контроля. К примеру, Microsoft открыто заявляет о сборе “некоторых” пользовательских данных в своих новых продуктах. Как результат – это стало восприниматься пользователями как нечто обыденное, ведь большинство людей просто не готово отказаться от использования сервиса и ПО. А ведь еще 3 года назад такой продукт совершенно не пользовался бы популярностью.

Кроме этого, наметился еще ряд тенденций:

Во-первых, если обратиться к статистике – цифры ущерба от утечек за прошедший год увеличились значительно, особенно в России. Это является прямым следствием кризиса: с одной стороны, для злоумышленников ухудшение финансового состояния является главным мотиватором к активной деятельности. С другой – бюджет служб ИБ бывает сокращен настолько, что они не могут себе позволить новейшие средства защиты. Два этих фактора, по крайней мере в ближайшем будущем, будут значительно ухудшать ситуацию.

Во-вторых – вендоры ИБ-решений пришли к пониманию правильного вектора развития. Узкоспециализированный продукт может хорошо решать свои задачи, но ему приходится сосуществовать со множеством решений другой направленности. Разработчики стали уделять значительное внимание дополнительному функционалу, упрощенному взаимодействию с другими системами, принципиально новым возможностям. Закономерно, что все крупные игроки активно расширяют линейки своих продуктов.

Последняя значимая тенденция прошедшего года – искусственное давление на решения пользователя относительно того или иного IT-продукта. Если раньше свободный выбор пользователя был его естественным правом, то сейчас наблюдается искусственно созданное давление со стороны властей и бизнеса. Неважно, решает ли продукт стоящие перед ним задачи, – важно, где он произведен. Некоторые западные вендоры настолько утрируют ситуацию, что вообще убрали возможность перейти в российскую локализацию на своих веб-сайтах.