Кибербезопасность: программы шифровальщиков, способы защиты и новые подходы к противостоянию кибератак.

Важно понимать, что единый не значит одинаковый. Надо понимать параметры компаний, которые входят в группу: специфику технологий, бизнеса, размер компании, этапы развития. Поняв это, можно определить потенциальные угрозы: кто может угрожать и к чему это может привести. После составления модели угроз, необходимо понять в каком состоянии находится компания, на сколько она защищена, какие меры уже приняты. Следующий этап — это понимание что мы хотим сделать, чтобы защитить компанию. Здесь существует большой простор для того, чтобы обозначить необходимое и достаточное. Для разных компаний «необходимое» и «достаточное» может быть различным. Следующий шаг — это составление мер и метрик контроля, чтобы понимать состояние кибербезопасности в компании и управлять этим процессом.

Угрозы для любого бизнеса примерно одинаковые. Компании небольшого размера либо молодые, либо не имеющие возможности вложить достаточные инвестиции в свою киберзащищенность. Проблематика может заключаться: в устаревшем программном обеспечении, которое не обновляется своевременно и имеет уязвимости; в неполной инвентаризации инфраструктуры или неполном покрытии инфраструктуры средствами защиты, что говорит о том, что в компании не выстроены процессы. Почему они могут быть не выстроены? Возможно, отсутствует методология или нет ресурсов, проблемы могут быть не только в безопасности, но и в ИТ, а также в управлении компании. Совокупность этой проблематики может привести к тому, что даже небольшая компания, перед лицом современных угроз, может оказаться слишком слаба и не выдержать несложной кибератаки. Кибератака сейчас напрямую связана с угрозами бизнесу и может привести к парализации и остановке компании, при чем на длительный срок, полноценное восстановление может занять недели и месяцы. Атака может привести к хищению средств, разрушению производства, остановке режима продаж и потери клиентов, которые уйдут к конкурентам.

Есть наработки отечественных производителей, которые стараются выявлять попытки шифрования данных в инфраструктуре компании на ранних стадиях и останавливать эти процессы. Это не самые простые во внедрении и поддержании средства защиты, но они могут быть эффективны в ряде случаев. Существует метод сегментации вычислительной сети и разделение разных информационных ресурсов по сетевым сегментам, который может позволить замедлить атаку. На примере подводной лодки, когда существуют разные отсеки и, когда вода попадает в один из них, люки задраиваются и в другие отсеки вода не попадает. Это принцип сетевого сегментирования, который применяют компании. Атаки, к сожалению, тоже развиваются, уже есть известные случаи применения ИИ для ускорения и удешевления кибератаки на компанию. Буквально на днях, была выявлена кибератака с шифрованием, которое полностью провел ИИ. Он нашел уязвимость, проник в компанию, зашифровал данные и даже оставил записку с требованием выкупа с указанием биткоин-кошелька, который он создал.

С учетом того, как ускоряется и удешевляется атака, важно быть готовым не только защититься, но и как можно быстрее, с минимальными затратами восстановиться. Разумеется, это будет невозможно, если не подготовиться. Тут важно выполнить правильные действия, а не совершить типовые ошибки: например, думать, что вирус шифровальщика — это проблема ИТ и ИБ-отделов. На самом деле, это проблема всей компании, включая генерального директора, юридическую службу, хозяйственную службу, HR. Потому, что коммуникации требуются с регуляторами, с клиентами, с партнерами. Для ликвидации последствий атаки, требуются усилия всего персонала. Другой момент, когда сама компания не справилась с этой ситуацией, ей требуется помощь. В РФ существуют компании-интеграторы, которые готовы и могут помочь с восстановлением ИТ-структуры, то есть привезти технику, инженеров, которые усилят ИТ-команду в пострадавшей компании. Существуют киберкриминалистические лаборатории, сотрудники которой, выезжают на место и помогают максимально быстро выяснить как злоумышленник попал в инфраструктуру, где он закрепился, где он оставил резервные точки доступа к компании. После проведения такой экспертизы и вычисления всех следов злоумышленника в инфраструктуре, компания может приступить к восстановлению. Если компания попытается восстановиться раньше, пока злоумышленник еще в инфраструктуре, он будет противодействовать, снова удалять и шифровать данные. Мы с коллегами разработали методические рекомендации по этому поводу, они опубликованы на сайте «Кибердом» в проекте CyberLink. Эти рекомендации созданы для того, чтобы наш бизнес мог подготовиться заранее к тому, что можно сделать «до» и как правильно действовать во время киберинцидента. Благодаря им, можно понять отключать или не отключать серверы, к кому обращаться за помощью, кто и как должен коммуницировать внутри компании и вне ее.