Как изменился ландшафт киберугроз в российском бизнесе за последние два года. Какие требования безопасности теперь чаще предъявляют к поставщикам облачных услуг. На эти и другие вопросы ответил Василий Степаненко, генеральный директор ИБ-ориентированного облачного провайдера Nubes («Нубес»).
— Какие угрозы кибербезопасности, на ваш взгляд, стали особенно актуальными для бизнеса за последние годы? Как в целом изменилась ситуация с киберпреступностью?
— Атак на российские компании и зарубежные организации, работающие в РФ, стало больше. Однако дело не только в геополитической обстановке и бурной деятельности хактивистов.
Сегодня буквально все перемещается в онлайн-среду: от взаимодействия граждан с государством до ключевых бизнес-процессов компаний. В итоге злоумышленники получают больше возможностей для атак и «профессионального» развития.
Факт подтверждается статистикой. Только за 2023 год количество атак с программами-шифровальщиками увеличилось на 160%. И 66% российских компаний отмечают, что хотя бы раз сталкивались с утечками информации.
При этом аппетиты злоумышленников постоянно растут. Как отмечают эксперты F.A.C.C.T., в 2023 году шифровальщики требовали от жертв в среднем 53 млн рублей. Хотя еще в 2021-м они просили максимум 40 млн рублей.
— К каким угрозам, по вашему мнению, нужно готовиться уже сейчас?
— Основные угрозы будут исходить от искусственного интеллекта и всего, что вертится вокруг него. Я говорю не про восстание машин, а о вполне приземленных, практических изменениях, которые заметны уже сейчас.
Посредством ИИ уже составляются фишинговые письма, создаются дипфейки.
Ажиотаж, который окружает ИИ, способствует развитию технологий, а значит и возможностей для их использования в незаконных целях. В частности, ИИ-мания спровоцировала взрывной спрос на графические процессоры (GPU), в том числе на их аренду. В частности, с ними хакеры подбирают пароли к учетным записям жертв. Нужно лишь скачать словарь популярных паролей в Сети и запустить процесс на своем устройстве с GPU. Задача, на которую уходили недели, теперь выполняется за несколько минут.
В целом нужно готовиться к тому, что атаки будут быстрее и шире. У большинства крупных организаций уже хорошо выстроена защита. Злоумышленникам не очень интересно тратить на них много времени. Разве что хакеры могут это делать ради собственного развития. Сейчас они все больше обращают внимание на средний бизнес, в ИТ-инфраструктуру которого проще проникнуть, зашифровать данные и затем требовать выкуп.
При этом успех атак все меньше зависит от компетенций злоумышленника. Уже сейчас мы видим активный тренд на Malware-as-a-Service, когда хакеры пишут зловредное ПО, а другие злоумышленники покупают готовое решение или берут его в аренду. Развитие такой модели говорит о том, что порог входа в хакерство будет снижаться, а количество атак и совокупный наносимый киберпреступниками ущерб — увеличиваться.
— Как складывается ситуация с угрозами в облаках?
— Самая большая угроза российскому бизнесу в облаках за последние два года исходила не от злоумышленников. Гораздо больше тревог было связано с уходом международных вендоров. Прежде всего я говорю об облачных платформах Microsoft Azure и Amazon Web Services. Западные провайдеры перестали принимать от российских клиентов оплату за услуги, а затем ввели дополнительные операционные сложности.
Некоторые компании решили остаться на старых решениях, используя для этого обходные пути. Но большинство мигрировало на отечественные облака.
Российские провайдеры оценили бизнес-перспективы и стали активно запускать собственные облака.
Предложение на рынке резко увеличилось. Средняя стоимость услуг при этом заметно упала, так как многие облачные решения собирались на базе того, что было под рукой.
Однако такой подход оказался сомнительным с точки зрения безопасности. Мы видим, что реальной защитой клиентских данных в своих облаках занимаются лишь топ-30 компаний на рынке. Остальные об этом даже не думают.
Еще один важный момент — тренд на импортозамещение. Во многих случаях государство требует, чтобы компании использовали облака, построенные на отечественном ПО. Оно должно входить в соответствующий реестр Минцифры. Но включение в Реестр отечественного ПО не означает, что в продукте есть функции безопасности. Разработчику необходимо выстроить безопасную разработку, постоянно проверять используемые библиотеки, следить за качеством собственного кода, устранять баги и уязвимости.
— В чем здесь проблема?
— Для полноценной разработки собственных платформ виртуализации участникам рынка пока не хватает времени, финансов, высококвалифицированных кадров и заказчиков, готовых участвовать в разработке (грубо говоря, все это «терпеть»). Некоторые провайдеры упрощают себе задачу: находят opensource-решения, незначительно дорабатывают их и затем вносят в Реестр отечественного ПО. Однако уровень защищенности таких продуктов зачастую оказывается крайне низким.
Многие заказчики хотят использовать привычные облачные решения. Именно поэтому большинство облаков продолжают работать на базе западных платформ виртуализации. Однако это рискованный путь. Всегда нужно иметь в виду, что платформа может перестать быть доступной, что грозит остановкой бизнес-процессов, потерей данных и прибыли.
У многих сегодня вызывает опасения история с покупкой компанией Broadcom лидера рынка виртуализации VMware и резким ростом цен, изменением партнерской программы и другими преобразованиями. Такие риски не перекрыть наложенными средствами безопасности — тут вся платформа может перестать быть доступной из-за перехода на подписочную модель с постоянной проверкой лицензии вендором, что невозможно в связи с санкционными ограничениями. Оставаться на старых версиях тоже опасно, так как уязвимости находятся постоянно.
— Получается, на российском рынке осталось не так много решений, на базе которых можно построить облако с реально высокими параметрами безопасности?
— Да. И этот факт пугает многих ИБ-специалистов, так как количество атак в облаках растет. То же самое можно сказать об их интенсивности.
При этом злоумышленники стали внимательнее присматриваться к облачным провайдерам, так как дыры в их безопасности открывают доступ к инфраструктуре множества компаний-клиентов. Вот почему к выбору поставщика облачных услуг сегодня стоит относиться крайне серьезно.
Хороший вариант при такой перспективе — провайдер с собственной экспертизой в области ИБ и выстроенными процессами. Обращаю внимание, что я говорю не о провайдере с собственной платформой виртуализации, разработанной на базе Open Source и слабо отличающейся от исходного варианта. Я говорю конкретно об экспертизе по ИБ.
Все-таки даже Open Source при грамотно выстроенной обороне можно защитить и наладить работу. А еще можно использовать платформы виртуализации из дружественных стран, задействовав встроенный функционал безопасности. Но главное — действительно грамотно настроить защиту, а не просто в презентациях рассказать о ее наличии.
Сервис из одного окна, включающий облако и сервисы безопасности, не только упрощает жизнь бизнесу, но и делает процессы безопасности прозрачнее. Клиент облака понимает, сколько он платит за ресурсы, и сколько — за безопасность. Если облачные ресурсы и ИБ-инструменты поставляют разные подрядчики, то не всегда удается оперативно выяснить, кто именно виноват в инциденте. В случае с единым провайдером подобные вопросы решаются намного быстрее и проще.
— Всегда ли ИБ-ориентированный облачный провайдер предоставляет собственные решения для защиты данных?
— Конечно нет. Зачастую важнее другое: такой провайдер обладает ИБ-экспертизой и хорошо знает рынок, поэтому готов предложить клиентам лучшие средства защиты или сервисы от проверенных поставщиков-партнеров.
Предоставляя ИБ как сервис, он берет на себя максимальную ответственность за безопасность данных клиента в облаке. При этом он получает комплексную услугу. Помимо облака, провайдер грамотно закрывает задачи как «бумажной», так и практической безопасности. Все необходимые сертификаты соответствия, лицензии и прочие требования регуляторов обычно лежат в его зоне ответственности. При этом клиент получает правильно настроенные средства защиты и прозрачные ИБ-процессы. Стабильность работы сервисов близка к 100% и гарантируется в соглашении SLA.
Но это еще не всё. Далеко не все облачные провайдеры готовы помогать клиентам в расследованиях киберпреступлений.
— Потому что не могут предоставить криминалистам нужные данные?
— Скорее вопрос в том, достаточно ли у них данных для таких задач, хватает ли информации для своевременного реагирования на угрозы ИБ и расследования инцидентов. Кроме того, криминалистам важно, в каком виде провайдер собирает и хранит необходимые данные.
Чтобы было понятнее, поясню на примере Nubes («Нубес»). Мы ввели круглосуточный мониторинг и реагирование на ИБ-события. С этой целью внедрили решение класса SIEM (Security Information and Event Management). С его помощью мы собираем логи и данные журналов с устройств в management-сегменте облака NGcloud, визуализируем и анализируем их. Все это помогает нам своевременно обнаруживать угрозы безопасности, выявлять вредоносные программы и уязвимости в ПО, мониторить целостность файлов.
Собираемых данных и наших компетенций по работе с ними достаточно для расследования киберпреступлений. Это подтвердили эксперты F.A.С.С.T. в ходе проверки Pre-IR (Pre-Incident Response). В заключении сказано четко, что специалисты Nubes способны выявлять и расследовать события безопасности по данным, поступающим в SIEM-систему провайдера.
Кроме того, мы всегда готовы помогать нашим клиентам с расследованиями инцидентов ИБ. Для этого привлекаем лучших экспертов по киберкриминалистике. Соответствующие соглашения на сегодняшний день подписаны с компаниями F.A.С.С.T. и Angara Security.
— Какие облачные провайдеры будут активнее вкладываться в ИБ? Или этот тренд касается всех участников рынка?
— Помните, как появились ремни безопасности в автомобилях? Изначально это средство защиты изобрел шведский инженер Нильс Болин. Его изделие получило широкое распространение в авиации. Желая закрепить за собой первенство в области безопасности, компания Volvo пригласила изобретателя и поставила задачу доработать изделие под автомобиль. Нильс Болин справился, и автоконцерн начал устанавливать ремни безопасности на всех выпускаемых моделях. Тем самым компания демонстрировала всему рынку, что машины Volvo надежны, как самолеты. Теперь ремень безопасности — неотъемлемая часть конструкции любого автомобиля.
Думаю, что с облаками произойдет то же самое. В будущем останутся только защищенные облака, поскольку другие просто не выживут. А значит, облачный провайдер с экспертизой в ИБ — уже не тренд, а неизбежная закономерность.
Причем безопасность в облаках — общемировое явление, которое стало особенно актуальным в последние годы. Этой теме во многом была посвящена последняя конференция-выставка RSAC, которая прошла весной в Сан-Франциско.
Участие в одном из главных мировых ИБ-мероприятий приняли 640 вендоров. Они традиционно представили новинки и топовые продукты. Многие из них разработали решения для защиты данных именно в облаках. И они вошли в пятерку самых популярных продуктов этого года.
При всем этом мировая практика показывает, что облачная безопасность сегодня — это не только высокая ответственность провайдера и предоставляемые им сервисы защиты данных. В понятие защищенного облака на Западе также включается шифрование виртуальных машин «на лету» и прочие технологические решения. Как быстро российские облачные провайдеры возьмут их на вооружение — пока вопрос. Но Nubes, вероятно, будет в числе первых.