Высказывание Фридриха Ницше про «бездну, которая всматривается в тебя» стало девизом форума по практической безопасности PHDays IV. На ежегодной международной конференции демонстрировались киберугрозы, к которым цивилизация пока не совсем готова: атаки на энергетические и транспортные системы города, превращение «умного дома» в ловушку, опустошение хакерами виртуального банка, — и обсуждались различные способы выживания в современных цифровых джунглях.
Рецепт, по которому делается PHDays, не меняется уже четвертый год: минимум рекламы и максимум полезной информации, голливудский размах конкурсов, неформальное общение «пиджаков» и «футболок», до предела насыщенные выступления в несколько потоков, не всегда удобные вопросы на круглых столах, атмосфера исследовательской лаборатории на практических занятиях Hands-on Labs.
21 и 22 мая форум посетили более 2500 человек из 18 стран мира: лидеры и специалисты подразделений информационной безопасности из 700 компаний (финансовых, телекоммуникационных, промышленных), молодые ученые и предприниматели, представители государственной власти и интернет-индустрии. В числе спикеров и участников дискуссий на PHDays IV были представители МИДа, Центробанка, ФСБ, Совета Федерации, а также политтехнологи, российские и зарубежные ИБ-эксперты. В выступлениях и соревнованиях участвовали 15 тысяч посетителей 19 площадок PHDays Everywhere в шести странах.
«Это самое сильное событие в области информационной безопасности в России. Организаторы обеспечивают присутствие лучших экспертов, как из России, так и из-за рубежа. Всегда насыщенная событиями программа, интересные доклады, а главное — очень много молодых людей, которые именно на таком мероприятии, как PHDays, ясно видят преимущества применения своих талантов "на светлой стороне"», — отметил Сергей Химаныч, глава внедрения проектов по информационной безопасности «Мегафона».
Сценарии для фильма-катастрофы
Может ли один-единственный злоумышленник парализовать целый город? Ответ на этот вопрос искали участники конкурса Critical Infrastructure Attack, которым предстояло проверить на прочность системы АСУ ТП (SCADA), управляющие ТЭЦ, транспортом, городским освещением, кранами и промышленными роботами-манипуляторами. Нужно было найти уязвимости и продемонстрировать их использование на живом макете «умного города».
Организаторы форума предоставили участникам настоящую промышленную сеть, полностью готовую к работе. Несмотря на игрушечный вид макета, на всем представленном аппаратном обеспечении были установлены реальные, самые последние версии программных продуктов.
Лучше всех оказалась Алиса Шевченко. Российская Лисбет Саландер обнаружила ряд критических уязвимостей в достаточно распространенной системе промышленной автоматизации, применяемой крупнейшими компаниями мира. В реальной городской среде эксплуатация большинства этих ошибок может привести к самым губительным последствиям — отказу в обслуживании и нарушению функционирования систем управления жизненно важными объектами. Места со второго по четвертое заняли Никита Максимов, Павел Марков и Дмитрий Казаков.
Уильям Хейджстад (William Hagestad II), эксперт в области военных информационных атак:
«Positive Hack Days — уникальное мероприятие, которое дает возможность увидеть, как создается безопасность, и кто есть кто в этой области. Форум сильно выделяется на общем фоне благодаря реалистичным соревнованиям, таким как CTF, конкурс Critical Infrastructure Attack по взлому SCADA-систем и преодоление полосы препятствий в "умном доме"».
Вещи нового поколения
Вышедшие из-под контроля автомобили, входные двери, пылесосы и телевизоры только на первый взгляд кажутся фантазиями из книг Стивена Кинга. Через некоторое время практически любой обыватель может быть атакован в своем собственном доме, который может «сойти с ума» под влиянием злоумышленника. По прогнозу аналитической компании Gartner, к 2020 году количество бытовых устройств с интернетом превысит 26 млрд штук, а объем рынка достигнет 300 млрд долларов. Копия реальной квартиры, созданная организаторами PHDays и оборудованная различными электронными приборами и системой «умного дома», оказалась настоящим испытанием для тех, кто в ней оказывался (конкурс «Безумный дом»). Истории успешно выбравшихся из этой ловушки участников будут опубликованы в самое ближайшее время.
Количество клиентов интернет-банкинга в Европе и США превысило 120 млн человек, и защищенность таких систем постоянно растет. Но на PHDays как всегда всё сломали! В ходе конкурса «Большой ку$h» хакеры смогли вывести из виртуального банка практически все заложенные в него деньги (17 из 20 тыс. рублей), обнаружив несколько серьезных новых уязвимостей в ПО. В конце второго дня форума состоялся также мастер-класс по анализу защищенности банкомата и конкурс по его взлому — но на этот раз, в отличие от прошлого года, устройство никому взломать не удалось.
Армия будущего
Десять лет назад говорили, что в глобальной войне, которая будет вестись с помощью роботов, победят игроки в Counter-Strike. Но уже сейчас понятно, что войну выиграют хакеры, которые просто выключат эту тяжелую артиллерию. Масштабное соревнование хакерских команд, организованное по принципу Capture the Flag, стало одним из самых ярких событий форума. Несмотря на молодой возраст мероприятия, участвовать в нем престижно: победители PHDays CTF без конкурса проходят в финал многих других CTF-соревнований по всему миру.
От других подобных сражений PHDays CTF отличают нестандартный игровой сценарий (герои бросают вызов мировому заговору), реальные уязвимости, взятые из настоящих систем, и крутая визуализация. Интересно было не только участвовать, но и наблюдать за виртуальной битвой.
В отборочных соревнованиях приняли участие несколько сотен команд, а в финал вышли 10 коллективов из России, Испании, Польши, США и Южной Кореи. В течение двух дней форума они сражались за доступ к секретной информации, искали уязвимости в системах противников и защищали собственные сети, устраняя в них уязвимости.
Сильнейшими в CTF этого года стали хакеры из польского Dragon Sector, второе место заняла группа Int3pids из Испании, а российская команда из МИФИ BalalaikaCr3w взяла третье.
Киберпрогноз
На деловых секциях самым популярным было слово «форсайт» — так назвали методы прогнозирования угроз и создания предупредительных методов защиты. Игра на опережение — не роскошь, а острая необходимость: об этом говорили на главной секции первого дня «Безопасность критической инфраструктуры». Обсуждали, в частности, что делается для кибербезопасности важных объектов в энергетике, банковском секторе, на транспорте, в телекоммуникациях; пытались систематизировать киберугрозы и оценить степень готовности к инцидентам. И вопросы эти поднимаются весьма своевременно: в прошлом году на каждое крупное предприятие приходилось уже по 100 инцидентов ИБ различного типа. Такие данные были получены Positive Technologies в ходе исследования состояния защищенности системообразующих предприятий, входящих в российский список топ-100. Основные причины сложившийся ситуации лежат на поверхности: это неустраненные уязвимости систем и приложений (возраст некоторых ошибок более 7 лет).
О необходимости активного прогнозирования угроз не раз упоминали в дискуссии о законах, регулирующих интернет, где основным лейтмотивом была еще одна фраза Ницше: «Сражающемуся с чудовищами следует позаботиться о том, чтобы самому не превратиться в чудовище».
Из Сколково позвонят
PHDays IV — это не только трибуна для опытных профессионалов, но и шанс для увлеченных и талантливых молодых ребят найти себя в «белом» ИБ-сообществе, представить свое исследование, запустить собственный проект. На форуме ежегодно проходит PHDays Young School — конкурс исследовательских работ студентов, аспирантов и молодых ученых, организуемый в рамках инициативы Positive Education. В этом году участвовали 22 работы, причем впервые не только из России, но и из других стран. Финалисты выступали в формате Fast Track, и первое место заняли Мария Коростелева и Денис Гамаюнов с работой «Обеспечение криптографически защищенных групповых коммуникаций с функцией отказуемости». Второе место досталось Елене Дойниковой, а третье поделили Денис Колегов и Николай Ткаченко. Все подробности вскоре на сайте PHDays.
О судьбе отечественных стартапов говорили участники дискуссии «Перспективы инвестиций в области ИБ», которая была организована Positive Technologies совместно с кластером информационных технологий фонда «Сколково». На встрече обсуждались флагманские направления в области ИБ для банков, производства и государственных структур, а также продемонстрировали механизм организации стартап-мероприятий. Фонд «Сколково» объявил о запуске 2 июня 2014 года конкурса ИБ-проектов (isecurity.sk.ru), который продлится до ноября. Фонд предоставит победителю грантовое финансирование и менторскую поддержку ведущих профессионалов отрасли.
Куда идет ИБ
На секции «Рынок ИБ: новинки, вопросы, ответы» ведущие игроки представили свои продукты, которые, возможно, определят судьбу отрасли в ближайшие годы. В марафоне новинок приняли участие Cisco, Intel Security, RSA, Positive Technologies, «Лаборатория Касперского».
По мнению выступавших, в настоящее время есть три-четыре основных направления, интерес к которым постоянно растет. К примеру, среднему и малому бизнесу требуются готовые инструменты ИБ, способные учитывать их специфику; крупному — продукты, позволяющие транслировать информацию об угрозах ИБ в терминах, понятных акционерам и риск-менеджерам.
Не менее актуальное направление — проактивная защита приложений (и веб, и обыкновенных), которыми пользуются сотни миллионов людей во всем мире. Прежними методами обеспечить их безопасность уже невозможно, а количество их и важность только растет. Евгения Поцелуевская, руководитель аналитической группы компании Positive Technologies, представила экосистему управления безопасностью приложений, рассказав о новой парадигме защиты, реализованной в новых продуктах PT Application Inspector и PT Application Firewall, а также об их уникальных функциях. Заметим, кстати, что система PT Application Firewall компании Positive Technologies, несмотря на свой «юный» возраст (запуск продукта состоялся в середине 2013 года), уже вошла в список надежных WAF, составленный исследовательской компанией Gartner, и была внедрена в компании «Мегафон».
Десять самых цитируемых докладов
Через несколько дней после завершения Positive Hack Days IV был составлен рейтинг наиболее цитируемых в соцсетях докладов и секций форума. Наибольший интерес у аудитории вызвала тема конкурентной разведки — в тройку лидеров вошли доклады Игоря Ашманова, Андрея Масаловича, а также Дмитрия Курбатова и Сергея Пузанкова.
С полным списком наиболее обсуждаемых докладов PHDays IV можно ознакомиться на Хабре, а записи всех выступлений представлены на сайте мероприятия.
Литературно-музыкальная пауза
«Ночь пожирателей киберпанка» на PHDays тоже по-своему боролась с дырами, увлекательно заполняя временной вакуум между первым и вторым днем вдохновляющими историями о людях, которые создают и ломают цифровые миры. В первой части зрители встретились с проектом «Модель для сборки», известным технической интеллигенции своим замечательным чтением фантастических произведений на радио: читались рассказы Мерси Шелли и Брюса Стерлинга. После литературных чтений открылся ночной кинозал — герои виртуального фронта визуализировались на экране.
