Сергей Голованов, Лаборатория Касперского: Самый дорогой инцидент начинается с экономии

Почему компании продолжают экономить на бэкапах и логах, когда надо отключать сеть, кто должен командовать во время атаки и почему после инцидента безопаснику приходится буквально отбирать сервер у администратора? Об этом на конференции OFFZONE мы поговорили с Сергеем Головановым, главным экспертом «Лаборатории Касперского».

Какие ИБ-инциденты сейчас наиболее опасны для российского бизнеса? Что изменилось за последние годы?

С. Г.: Больше всего компании страдают от двух типов инцидентов. Первый — атаки шифровальщиков и связанные с ними простои. Второй — хищение денежных средств с корпоративных счетов.

В обоих случаях потери могут быть очень большими: это либо прямой финансовый ущерб, либо остановка бизнеса. Для компании, которая что-то продаёт, покупает или ежедневно проводит большое количество операций, даже сутки простоя могут обойтись очень дорого.

При этом в каком-то смысле вернулась кража денег с корпоративных счетов. Это была вполне обычная угроза в середине 2010-х, затем на какое-то время она стала менее заметной. Сейчас злоумышленники как будто заново научились монетизировать доступ к корпоративной инфраструктуре таким способом.

Если говорить именно об атаках, принципиально новых техник почти не появляется. Есть MITRE ATT&CK, где описаны способы первоначального доступа, перемещения внутри инфраструктуры и нанесения ущерба. Количество вариантов здесь ограничено.

ИИ тоже не создал какого-то совершенно нового способа кибератак. Он помогает и защитникам, и атакующим быстрее выполнять рутинные действия. Например, иногда по сообщениям злоумышленника уже видно, что текст для него писал ИИ.

Что компания может сделать заранее, чтобы серьёзный инцидент вообще не состоялся?

С. Г.: Если смотреть на самые распространённые способы проникновения, исторически в топе — использование публично известных уязвимостей. Здесь ответом будет управление уязвимостями, то есть Vulnerability Management.

Вторая проблема — слабые или скомпрометированные пароли. В этом случае поможет строгая политика в отношении корпоративных паролей, многофакторная аутентификация, а там, где возможно, — постепенный отказ от паролей и переход на более надёжные системы подтверждения личности.

Третья история — доверительные отношения. Например, подрядчику дают VPN-доступ внутрь компании, а дальше оказывается, что его права практически ничем не ограничены. Здесь нужны сегментация, «нулевое доверие» (Zero Trust) и минимальные необходимые привилегии.

Три эти вещи закрывают значительную долю типовых сценариев проникновения.

Следующий уровень — обнаружение злоумышленника, если он всё-таки попал внутрь. Здесь уже нужен центр мониторинга (SOC): собственный или внешний. Его задача — заметить происходящее до того, как первоначальный доступ превратится в ущерб.

Дальше уже надо думать о последствиях. Если это шифровальщик — критически важны резервные копии. Если речь идёт о краже денег, нужно правильно обращаться с банковскими ключами для доступа.

Я регулярно вижу картину: стоит компьютер, а из него торчат разноцветные токены для подписания платёжек — буквально как ёлочка. Спрашиваю: «Ребят, зачем они у вас здесь постоянно стоят?» Отвечают: «Так удобно документы подписывать». Они действительно для этого сделаны. Только злоумышленнику так тоже очень удобно подписывать документы.

Такие токены должны храниться у ответственного сотрудника, а содержимое платёжек необходимо проверять.

Почему до сих пор не все внедрили беспарольную аутентификацию?

С. Г.: Потому что это дорого.

На современных устройствах работает беспарольная аутентификация: биометрия, аппаратные ключи и другие варианты. Но если у вас 150 тысяч сотрудников, вопрос сразу превращается в 150 тысяч устройств и инфраструктуру для их поддержки.

Поэтому такие технологии обычно внедряются постепенно. В первую очередь их получают люди с наиболее критическими привилегиями — например, администраторы.

У них может остаться пароль для каких-то сценариев, но дополнительно появляется аппаратный фактор — тот же YubiKey. Это вполне рабочая и уже используемая модель.

Как определить минимальный набор защиты? Всем компаниям ведь нужны разные инструменты.

С. Г.: Начинать нужно вообще не со средств защиты, а с бизнес-процессов.

Сначала вы рисуете, как работает компания: откуда приходит запрос клиента, где находится CRM-система, как принимаются деньги, как выплачивается зарплата, как идут закупки, какие сотрудники за какие операции отвечают.

После этого уже можно смотреть на каждый элемент и задавать вопросы.

CRM доступна из интернета. Должна ли она там быть? Нужен ли для неё второй фактор аутентификации?

Есть публичный сайт. Если его положат DDoS-атакой, бизнес остановится? Или это просто сайт-визитка? Если ничего критического не произойдёт, то, возможно, вкладываться именно в этот риск сейчас не нужно.

Универсального набора средств защиты нет. Но статистически есть несколько вещей, которые постоянно повторяются: управление уязвимостями, работа с учётными записями и привилегиями, детектирование и реагирование на конечных точках (EDR), резервное копирование, контроль платёжных операций.

На чём компании чаще всего экономят, а потом особенно сильно жалеют об этом?

С. Г.: На первом месте — бэкапы. Это самая большая боль. Были бы нормальные бэкапы — во многих случаях разговора бы вообще не было.

Но правило 3–2–1 означает дополнительные копии, дополнительное хранилище, дополнительные расходы. И на бюджетном комитете приходится объяснять: «Да, у нас уже есть хороший бэкап. Но нам нужны ещё копии». В ответ спрашивают: «А зачем? У нас же уже есть одна». Потом происходит инцидент — и именно отсутствие нормально организованных резервных копий становится главной проблемой.

На втором месте — журналы событий. Компании могут вкладывать огромные деньги в SOC, SIEM-системы, ИИ для расследований, но после инцидента выясняется, что нужных журналов просто нет.

Например, приходит регулятор и спрашивает: какие именно персональные данные утекли, из какой системы, когда и куда их выгрузили? А ответа нет. Это как если бы на парковке около офиса что-то произошло, а камеры именно в этот момент оказались выключены. Сразу появляется вопрос: почему они были выключены?

Если прямых журналов нет, специалист пытается восстановить картину по косвенным данным. Но это гораздо более длинный и сложный путь. Возникает огромное количество вопросов — от регуляторов, правоохранительных органов, партнёров, клиентов. А ответ на вопрос, почему журналы не хранились, обычно тот же, что и с бэкапами: нужны диски, место и деньги. А зачем тратить деньги, если инцидента ещё не было?

Получается, бизнес до сих пор часто живёт по принципу «пока кирпич на голову не падал, каска не нужна»?

С. Г.: Да. И оборотные штрафы — одна из попыток изменить эту логику.

Раньше безопасник приходил и просил два миллиона на защиту. А бизнес рассуждал: зачем, если возможный штраф — всего 50 тысяч? Проще заплатить, если что-то случится.

Когда потенциальный ущерб растёт, экономика меняется. Если раньше инцидент мог обойтись компании в 100 миллионов рублей, то теперь с учётом штрафов и других последствий — уже в 500 миллионов. И безопасник говорит: «Дайте лучше мне два миллиона на защиту, чтобы избежать таких потерь». Ведь теперь средства защиты внезапно начинают выглядеть выгодной инвестицией.

Вам действительно встречались случаи, когда руководство отказалось вкладываться в защиту, а потом об этом горько пожалело?

С. Г.: Такие истории происходят регулярно. Но проблема зачастую даже не в том, что один конкретный руководитель «упёрся рогом».

В совете директоров много людей. Есть генеральный директор, который должен принять решение. Есть ИТ, которое отвечает за эксплуатацию. Есть информационная безопасность. Есть финансист, который обычно говорит, что денег нет.

Одна из главных трагедий начинается тогда, когда между ними плохие отношения. Люди просто друг друга не слушают. В комнате могут сидеть четыре человека, которые должны совместно решить проблему, а они просто не могут договориться.

Во время атаки один из главных вопросов — когда отключать систему. Когда действительно нужно дёргать рубильник?

С. Г.: Неважно, когда дёргать рубильник — главное, не уничтожайте доказательства.

Одна из самых серьёзных ошибок — когда при обнаружении скомпрометированной виртуальной машины айтишник просто накатывает на неё «золотой» образ, уничтожая все следы атаки. Злоумышленника это может и не остановить: не получилось через одну машину — попробует через другую.

Я не против восстановления из чистого образа. Но сначала сохраните скомпрометированную систему. В случае виртуальной машины это просто: сделайте копию, желательно вместе с оперативной памятью. Это бесценные данные для расследования.

Что касается решения об отключении, его нужно принимать исходя из соотношения пользы и ущерба. Допустим, SOC заметил попытку входа в одну учётную запись. Дёргать из-за этого рубильник бессмысленно: ущерб от остановки бизнеса несоразмерен угрозе. А если прямо сейчас по сети распространяется шифровальщик и вы видите, как шифруются диски, уничтожаются базы и журналы, тогда физическое отключение инфраструктуры уже может быть оправданным.

Нужно сравнить два сценария: сколько компания будет восстанавливаться после аварийного отключения и сколько — после полного шифрования инфраструктуры.

Насколько часто компании во время атаки сами уничтожают важные следы?

С. Г.: Это постоянная практика. В том числе поэтому я до сих пор приезжаю на инциденты лично, хотя технически многое можно делать удалённо. Чем быстрее приезжаешь, тем лучше, потому что иногда за ресурсы приходится буквально бороться. (Улыбается.)

В каком смысле?

С. Г.: После инцидента возникают две параллельные задачи. ИТ должны как можно быстрее восстановить бизнес: нужны почта, интернет, зарплатная система, доступ сотрудников. Задача специалистов по расследованию — понять, как именно произошла атака.

Например, мы исследуем сервер. Приходит администратор: «Отдай сервер». Я говорю: «Не отдам». А ему этот сервер нужен, потому что начальник приказал срочно восстановить другую систему и свободного «железа» уже нет. Вот и получается натуральная борьба за ресурсы. С такими ситуациями я сталкиваюсь примерно раз в год.

То есть во время крупного инцидента нужно ещё и заранее определить, кто главный?

С. Г.: Обязательно. После того как данные украли, что-то зашифровали и инфраструктура остановилась, должен быть человек, который говорит остальным, что делать. Будет ли это директор по ИТ, технический или по ИБ — CIO, CTO или CISO, — должно определить руководство.

Обычно после ИБ-инцидента CISO получает очень большие полномочия. Другой вопрос — сколько после этого он останется CISO… Ведь после серьёзных инцидентов иногда принимаются довольно серьёзные кадровые решения.

Что должно происходить после восстановления? Как понять, что именно нужно менять?

С. Г.: Результатом расследования должен быть грамотный технический отчёт. Там должно быть чётко написано: с какого IP-адреса, когда и к какой системе подключились, какие учётные записи использовались, какую уязвимость эксплуатировали, как перемещались по сети.

По каждому узлу фиксируются артефакты: IP-адрес, изменения реестра, созданные файлы, контрольные суммы, время событий. Если данные выгружались наружу, должно быть понятно, какие именно файлы, когда и на какой ресурс ушли.

Фактически специалист восстанавливает путь злоумышленника от первоначального доступа до нанесения ущерба. После этого он идёт по цепочке обратно и понимает: здесь нужно сменить пароль, здесь удалить файл, здесь установить обновление, здесь изменить настройки.

Получается список рекомендаций — обычно 10–15 пунктов в порядке приоритета.

И компании действительно иногда получают такой отчёт и ничего не делают?

С. Г.: Конечно. Это как с врачом: доктор прописал таблетки, а пациент говорит: «Таблетки дорогие, да и болит не так уж сильно».

После этого мы ждём следующего инцидента. Иногда он происходит весьма быстро — именно потому, что рекомендации после предыдущего случая были проигнорированы.

Сколько после атаки нужно держать инфраструктуру под усиленным наблюдением?

С. Г.: Обычно усиленный мониторинг вводится минимум на месяц. При этом новая инфраструктура, которую срочно поднимают после атаки, часто сразу оказывается лучше защищённой.

Например, компании срочно нужна почта. Она идёт к облачному провайдеру. Тот предлагает мониторинг, резервное копирование, дополнительные средства защиты. И в этот момент компания обычно говорит «берём всё» — потому что после инцидента отношение к безопасности резко меняется.

В первый месяц берут самый дорогой мониторинг, максимальные опции. Правда, потом, через год, могут снова начать оптимизировать расходы.

Кто чаще всего становится крайним после серьёзного ИБ-инцидента?

С. Г.: CISO. Можно сравнить это с ДТП: виноватым будет тот, чьё последнее нарушение привело к аварии.

На совете директоров не будут обсуждать секретаря, который открыл фишинговое письмо. Там будут обсуждать CISO. Именно он должен был предвидеть риск, предупредить, защитить, доказать необходимость мер, добиться бюджета.

А когда ты со всем этим справляешься, окружающие могут это оценить или это остаётся «за кадром»?

С. Г.: Раньше информационная безопасность вообще была незаметной. Как охрана: пока приличные люди спокойно разговаривают, охранника не видно. Но если что-то случилось, он должен тут же появиться. Так и ИБ сидела где-то внутри компании: мониторила события, смотрела журналы, блокировала IP-адреса. Публичность ей была не нужна.

Сейчас ситуация меняется. Появилось обучение (Security Awareness), тестовые фишинговые рассылки. Если сотрудник нажал на ссылку, его могут отправить проходить дополнительное обучение.

Десять-пятнадцать лет назад многие бы вообще спросили: «Зачем вы отвлекаете людей от работы?». Сегодня специалисты по ИБ публично встречаются, выступают на конференциях, обсуждают проблемы отрасли, появляются профессиональные премии.

Меняется и отношение к обмену информацией об атаках. Старый подход выглядел примерно так: никто не должен знать, как именно ты защищаешься, иначе противник найдёт лазейку. Новое поколение специалистов говорит иначе: нужно создавать альянсы, обмениваться информацией, рассказывать коллегам, какого злоумышленника обнаружили и как он действовал. И регуляторы тоже постепенно двигаются в эту сторону.

Напоследок назовите, пожалуйста, три вещи, которые компаниям стоит сделать прямо сейчас.

С. Г.: Проинвентаризировать сеть. Проверить бэкапы.

А третье?

С. Г.: Помолиться. (Улыбается.)

Сергей, большое спасибо за интересную беседу, всего доброго!