ИБ-специальности на фоне остальных профессий, связанных с ИТ

IТ-специальности в наше время очень популярны, ведь они позволяют специалистам, которые их выбирают, в будущем надеяться на серьезные заработки и постоянный карьерный рост. В особенности это касается специальностей, которые сопряжены с обеспечением информбезопасности. Однако что ожидает «безопасников» в нашей стране в ближайшем будущем?
Нельзя сказать, что в наше время российские специалисты в области IT как-то опасаются опасения по поводу собственного профессионального будущего. Скорее их интересует грядущий второй виток мирового кризиса в экономике, поскольку IT серьезно зависит от тех ситуаций, которые складываются к настоящему времени на других территориях. Впрочем, в экономике кризисы всегда были и всегда будут, потому сейчас стоит поговорить о трендах.
Согласно HeadHunter, количество тех вакансий, которые связаны с информтехнологиями, только лишь в Москве за прошлые пару лет выросло на 78%. Скорее всего, и в 2015-м, даже несмотря на кризисы, рынок труда для специалистов сферы IT должен также чувствовать себя хорошо.
Не является секретом, что рост количества вакансий сопряжен с новыми областями использования информационных технологий. Всё большее количество фирм и компаний внедряют разнообразные автоматизированные системы (такие как ERP, SCADA, CRM), очень быстрыми темпами происходит информатизация госучреждений, увеличивается популярность различных платформ для облегчения бизнеса (как примеры можно вспомнить мобильные бизнес-устройства, а также облачные вычисления и т.д.). Это довольно долгосрочный тренд, так что IT-специалистам не следует бояться, что их могут уволить, или что они просто станут менее востребованными.
Наиболее популярной профессией в мире IT сегодня по-прежнему остается профессия программиста, и в будущем ситуация вряд ли поменяется, ведь как раз труд программистов и обеспечивает создание всех остальных рабочих мест в IT-сфере. Неплохим спросом у работодателей сегодня пользуются и специалисты по продажам, а также руководители проектов, системные администраторы и консультанты.
Тем не менее, нужно учитывать, что разные сектора IT-сектора демонстрируют и разную динамику. Если IT-специалист хочет добиться больших успехов в финансовом и в карьерном плане, то ему нужно подобрать отрасль, работа в которой сможет позволить ему рассчитывать на все это. Сегодня информбезопасность можно назвать одной из наиболее быстрорастущих ветвей во всей IT-индустрии: в наше время темпы роста рынка ИБ насчитывают примерно 25-30% за год, тогда как весь IT-рынок демонстрирует гораздо меньшие темпы (примерно 5% ежегодно).
Что же это значит для специалиста, который работает на компанию, чья деятельность сосредоточена в сфере информбезопасности? Это значит, что карьерный рост такого специалиста будет проводиться гораздо быстрее, нежели у его коллеги, который трудится, к примеру, над бухгалтерским софтом. Также стоит знать, что в случаях, когда профессия подразумевает получение сотрудником процента от выручки компании (к примеру, так работают менеджеры по продажам или же некоторые из линейных управленцев), тогда насобирать на обеспеченную старость получится гораздо быстрее, нежели при помощи продажи мебели. Прогнозы аналитиков гласят, что по причине увеличения количества угроз, сфера информбезопасности продолжит свой рост столь же быстрыми темпами. И потому тем, кто сегодня не очень доволен собственными карьерными перспективами, необходимо призадуматься о переходе в фирму, которая работает именно на рынке информационной безопасности.

Пользовательский фактор в ИБ и уязвимости

Далеко не всегда пользователю нужно кликать по ссылке или открывать вложенный в письмо документ, чтобы заполучить «трояна» или «червя», крадущего данные или рассылающего спам. Сегодня многие вредоносные программы ориентированы на распространение через уязвимости во вполне нормальном программном обеспечении, таком, например, как браузеры или программы для чтения PDF-документов. Зачастую пользователю достаточно добавить рассылающий вредоносов контакт в мессенджере, чтобы стать жертвой заражения.

Конечно, далеко не всякая вредоносная программа может похвастаться возможностью распространяться через уязвимости, особенно если это ещё неизвестные раньше уязвимости «нулевого дня». Уязвимость «нулевого дня»   уязвимость, являющаяся неизвестной для других пользователей и нераскрытая разработчику самого уязвимого программного обеспечения. Подобные уязвимости используются злоумышленниками для проведения атак в краткие сроки, до того, как производителю программного обеспечения станет известно об их наличии.

Правда, стоит отметить, что подобным способом распространения пользуются как раз наиболее опасные вредоносные программы, которые направлены не против конкретного пользователя, а против всей организации, в которой тот работает.  К примеру, именно так распространялся нашумевший троян Stuxnet,  предназначенный для проведения атак на SCADA-системы, использующиеся для контроля и мониторинга производственных процессов. Троян вызвал широкий резонанс среди специалистов по борьбе с вредоносным ПО и в прессе, поскольку использует несколько уязвимостей «нулевого дня». По мнению аналитиков, троян предназначен для промышленного шпионажа и получения доступа к диспетчерскому управлению крупным производством.

Другой, более свежий пример трояна, распространяющегося с использованием неизвестных ранее уязвимостей, ‑ это троян Sykipot, который неоднократно атаковал компьютеры различных компаний, большинство из которых принадлежало к оборонной промышленности. Основная цель трояна – похищение интеллектуальной собственности (чертежей, бизнес-планов, различной технической документации) и передача на удаленный сервер.

Виноват ли в распространении Stuxnet или Sykipot пользователь, из-за действий которого эти трояны, вообще говоря, попали в корпоративную сеть? Вряд ли можно согласиться с таким мнением, хотя на постсоветском пространстве немало таких компаний, которые именно конечного пользователя и постараются сделать виноватым в подобной ситуации. В случае с уязвимостью нулевого дня уместнее, конечно, говорить о вине разработчика программного обеспечения, который, к сожалению, в соответствии с принятым в индустрии ПО принципом распространения программ «как есть» (AS IS), не несет за такие уязвимости никакой ответственности.

Единственный способ защититься от этого - готовить пользователей к воздействию приемов социнженерии. Например, тот же  Stuxnet попал на закрытый иранский ядерный объект с помощью флэшки, которую подбросили одному из сотрудников.

Из этого следует важный вывод: инвестиции в ПО и его обновления не спасут вас от необходимости инвестиций в контроль персонала и его обучение.

Деавтоматизация?

Очередная новость об уязвимостях SCADA-систем. Как говорится, уже даже соскучиться успели, ничего о них не писали давненько. Ну, что тут сказать - наверное, после всего, что рассказали аналитики и эксперты мировому сообществу по поводу Stuxnet'а, добавить что-либо действительно будет крайне сложно.

Очевидно, что будет нарастать степень недоверия обществу к тому, что принято называть ещё с советских времен автоматизацией производства. В этом, в общем-то, нет ничего принципиально нового и, я бы сказал, страшного тоже нет - ещё до выхода "Терминаторов" было понятно, что обыватель боится компьютеров. Теперь компьютеров будет бояться и руководитель, начитавшийся про проблемы со SCADA и не желающий подвергать своё предприятие подобным рискам. Не разбирающийся в информационной безопасности директор завода скорее свернет программу внедрения SCADA-системы, чем доверит такой, как оказалось, ненадёжной штуке своё предприятие.

Конечно, не буду утверждать, что после этой или ещё пары новостей такой отказ от автоматизации примет массовый характер, но проблема определенно наличиствует. А лечится она только одним способом - повышением культуры информационной безопасности среди руководящих кадров на производствах. Образование в этой сфере должно вестись на государственном уровне, и не просто для "галочки", а для реального повышения уровня осведомленности об угрозах и уровня адекватности их восприятия.

Впрочем, реально ждать подобного, к сожалению, не приходится, ибо нужна экономическая заинтересованность руководителей в постижении азов инфобеза. Как её реализовать - вопрос, к сожалению, слишком сложный лично для меня...

Р. Идов,

аналитик компании SearchInform

И снова SCADA...

Я уже неоднократно писал о SCADA-системах. И теперь хочу еще раз сделать это - как и обычно, вдохновляют меня новости о них. Новость, правда, сложно назвать вдохновляющей - она скорее ужасает. Дело в том, что сразу в нескольких SCADA-системах обнаружены уязвимости «нулевого дня».

Думаю, что аудитории нашего блога не стоит слишком подробно рассказывать о том, что такое уязвимость нулевого дня. О SCADA-системах пару слов скажу: это программное обеспечение, контролирующее производственные процессы. Причем под производственными процессами имеются в данном случае в виду не только сборка автомобилей или распил досок. Атомные электростанции, нефтеперерабатывающие заводы, хладокомбинаты с сотнями тонн аммиака в старых советских холодильниках - всё это тоже "вотчина" SCADA-систем. Думаю, "радость" от нахождения огромного количество 0day-язвимостей испытают даже те, кто далек от вопросов обеспечения информационной безопасности.

Самое, впрочем, ужасное даже не в том, что эти язвимости в SCADA есть, и даже не в том, что их нашли. Самое "веселое" - это то, КАК их нашли. "По словам Ориеммы, поиск уязвимых мест занял совсем немного времени. В одном случае для удаленного исполнения кода оказалось достаточным просто ввести в систему нужную команду".

Очевидно, несмотря на специально разработанные для SCADA методики написания и тестирования программного кода, человеческий фактор в программировании по-прежнему означает слишком многое. Значит, надо пересмотреть подходы и, возможно, включить в процесс создания систем специалистов принципиально нового класса, которые будут заниматься дизайном безопасности подобных систем, посколько исключить ошибки нужно уже на этом этапе. Впрочем, вряд ли мы увидим коренные изменения в процессе создания SCADA в ближайшее время - инерция мышления, знаете ли...

Р. Идов,

аналитик компании SearchInform

SCADA не сдадутся злоумышленникам без боя

Намедни уже делился своими мыслями по поводу безопасности SCADA-систем. Новостная лента подтвердила правильность моих мыслей: Немецкий промышленный гигант Siemens накануне заявил, что компания работает над исправлением ряда серьезных уязвимостей, выявленных в ее промышленной оборудовании для управления заводами, электро- и атомными станциями. Компания заявила, что уже тестирует исправления для своих SCADA-систем в лабораторных условиях и готовится предложить их своим клиентам.

Как вы думаете, почтеннейшая публика, кто же в итоге выиграет в противостоянии индустриальных гигантов, исправно "патчащих" свои SCADA, и злоумышленников, старающихся воспользоваться уязвимостями в них? История Microsoft, патчи которой не успевают за многочисленной малварью, которая использует дырки и бэкдоры в Windows, IE и прочих приложениях как бы намекает нам на бесперспективность этой борьбы для Siemens и других вендоров SCADA-систем.

С другой стороны, всё-таки не будем забывать о специфике рынка. SCADA - это весьма специфичный программный продукт, который разрабатывается в совершенно иных условиях, чем ПО для домашних пользователей, и условия эти даже более жестки, чем для большинства продуктов по безопасности (довелось мне видеть воочию процесс создания одного из буржуинских корпоративных файрволов - удивился, как тот вообще работает). Даже найти SCADA-систему в свободном доступе - уже большая проблема, потому что из интернета её не скачаешь, а на предприятие, которое её использует, тоже нужно проникнуть.

То есть, битву производители SCADA скорее всего, проиграют, но при этом победителями будут не прыщавые подростки, пишущие генераторы ключей для небольших утилиток, а программисты в погонах, перед которыми стоит задача разрушения промышленности вероятного противника. Нас ждет очень интересное время, дамы и господа...

Роман Идов,

аналитик компании SearchInform

Тень Stuxnet'а предвещает расцвет для сферы ИБ?

Думаю, что не только те, кто работает в сфере ИБ, но и большинство рядовых граждан прекрасно помнят, какая истерия была вокруг червя Stuxnet, когда выяснилось, что он нацелен на вполне определённые SCADA-системы, которые, как мне говорили, достаточно активно используются и в России. Сегодня, судя по новостям, "червивая" угроза для SCADA-систем даёт повод подумать, что в ближайшем будущем защита SCADA-систем станет особенно актуальным направлением.

Сегодня в "руках" SCADA-систем действительно, пожалуй, оказалось сосредоточено чрезвычайно много критических для человечества производств, начиная с пресловутых атомных электростанций, радующих свой надёжностью уже не только белорусов и украинцев, но и японцев, и заканчивая такими "мелочами", как машиностроение, фармацевтика, нефтепереработка... И действительно сегодня уже возникает ситуация, когда не нужно бомбить заводы вероятного противника, чтобы подорвать его и без того уже не самую прочную в мире экономику - вполне достаточно написать червя, использующие уязвимость распространённой у него SCADA-системы. Этот червь, по минималистическому сценарию, может остановить производство, а по максималистическому - и вовсе разрушить ряд дорогостоящих аппаратов, парализовав работу на месяцы.

Естественно, невозможно написать SCADA-систему без уязвимостей и ошибок. Никакие методологии, языки (даже сама Ада) и другие ухищрения не способны пока что дать результат в виде идеального продукта без каких бы то ни было багов. Отказаться от SCADA-систем сегодня тоже нельзя: во-первых, экономически не оправдано, а во-вторых, уже и психологически сложно. Какой выход? Очевидно, усиленно защищать.

Поэтому, думается, на наших глазах будет идти зарождение совершенно нового класса задач в сфере информационной безопасности - защиты SCADA-систем. Пока что такая защита мало отличается от обычной антивирусной защиты домашних ПК или серверов, но, на самом деле, думаю, тут очень большой простор для действий и производителей ПО, и теоретиков-методологов от ИБ. Весь вопрос в том, насколько быстро появятся эффективные и востребованные рынком решения...

Р. Идов,

специалист по информационной безопасности