Хакеры 38 тыс раз атаковали транспортную инфраструктуру ЧМ-2018

Хакеры 38 тыс раз атаковали транспортную инфраструктуру ЧМ-2018

Хакеры 38 тыс раз атаковали транспортную инфраструктуру ЧМ-2018

Специалисты компаний Positive Technologies и «ЛАНИТ Северо-Запад» обеспечили защиту информационных ресурсов АНО «Транспортная дирекция — 2018» на чемпионате мира по футболу 2018 года. В число защищаемых объектов также вошли веб-ресурсы и мобильные приложения, отвечавшие за бесплатное перемещение болельщиков в города-организаторы турнира по российским железным дорогам, регистрацию компаний-перевозчиков для работы в городах, принимающих матчи чемпионата, за набор волонтеров для встречи болельщиков.

«Чемпионат мира стал колоссальным проектом с точки зрения созданной IT-инфраструктуры. Широкое применение онлайн-сервисов сделало его максимально удобным для болельщиков и СМИ, но вместе с тем и увеличило число возможных точек входа для атакующих, — отмечает Алексей Новиков, руководитель экспертного центра безопасности Positive Technologies (PT Expert Security Center). — Задолго до турнира мы начали отмечать повышенный интерес киберпреступников к площадкам, связанным с мероприятием. Поэтому для того, чтобы исключить возможность какого бы то ни было влияния на запланированное перемещение болельщиков, риски транспортного коллапса или значительного репутационного ущерба, "Транспортной дирекции — 2018" необходимо было обеспечить эффективную защиту своих ресурсов».

На старте проекта, с февраля по март 2018 года, специалисты Positive Technologies по тестированию на проникновение проанализировали работу всех созданных веб- и мобильных приложений и настройку сетевого и серверного оборудования. По итогам аудита были сформированы рекомендации, выполнение которых позволило значительно повысить уровень защищенности инфраструктуры и исключить возможность возникновения критически опасных инцидентов, связанных с компрометацией ИС, получением несанкционированного доступа с использованием уязвимостей веб-приложений, с наличием паролей в открытом виде, хищением данных пользователей или заражением их устройств вредоносным ПО.

На втором этапе был построен контур безопасности, ядром которого стала система MaxPatrol SIEM. Это позволило оперативно выявлять критически значимые события информационной безопасности и реагировать на угрозы, ликвидируя риски, а также — в случае обнаружения SIEM-системой потенциально опасных действий — блокировать их источник на межсетевом экране. Кроме того, для анализа и контроля трафика уровня приложений был использован продукт PT Application Firewall. Это позволяло в случае обнаружения потенциально опасных действий блокировать их источник. В MaxPatrol SIEM поступала информация из операционных систем, СУБД, серверов и ПО, используемых в рамках защищаемой инфраструктуры.

Информационные системы «Транспортной дирекции» располагались в трех дата-центрах — два в Москве и один в Новосибирске. Компоненты средств защиты были установлены и настроены во всех ЦОД, с учетом территориальной распределенности архитектуры.

Для поддержки созданного контура ИБ с мая 2018 года специалисты подразделения PT Expert Security Center компании Positive Technologies осуществляли мониторинг защищенности всей инфраструктуры в режиме 24/7. Автоматические средства защиты блокировали потенциальные угрозы. PT Application Firewall в автоматическом режиме заблокировал более полумиллиона угроз за весь период работы, а правила корреляции MaxPatrol SIEM сработали в общей сложности несколько десятков тысяч раз. При этом число выявленных и заблокированных критически опасных атак, направленных на веб-порталы информационных систем (в частности, SQL Injection, OS Commanding, Shellshock) составило 38 641, а критически значимых событий информационной безопасности, связанных с защищаемой инфраструктурой (в том числе — выполнение подозрительных команд ОС, попытки неавторизованного доступа, изменения параметров), — 22 453.

Под контролем специалистов PT Expert Security Center с мая по июль PT Application Firewall в автоматизированном режиме заблокировал около 60 000 IP-адресов, с которых осуществлялись попытки нелегитимных воздействий, целью которых была компрометация веб-ресурсов. Общее число IP-адресов, с которых была зафиксирована подозрительная активность, составило 150 тысяч. Основными регионами, к которым имели привязку IP-адреса, с которых выполнялась подозрительная активность, стали Северная Америка (44,5%) и страны Европы (33,9%); на страны Азии пришлось всего около 3,3% и еще 18,3% IP-адресов не имели привязки к региону.

С некоторых адресов фиксировались действительно уникальная активность. Например, были обнаружены попытки автоматизированного поиска новых доступных билетов (возможно с целью их последующей перепродажи). В ходе этой атаки злоумышленник пытался изменить свое поведение (паттерны, по которым он мог быть заблокирован) таким образом, чтобы избежать повторной автоматической блокировки при использовании другого IP-адреса. Для выявления новых векторов хакерского воздействия на информационные системы эксперты выполняли постоянный мониторинг трафика и событий информационной безопасности, в результате которого разрабатывались новые правила автоматизированной блокировки и привила нотификации. Подобные нетиповые воздействия на информационные системы были выявлены 26 раз, а блокировки вручную для адресов, с которых было выявлено большое количество потенциально опасных атак, были установлены 67 раз.

За все время мониторинга правила корреляции, настроенные в SIEM-системе и требующие более пристального внимания специалистов PT ESC, сработали 22 453 раза. Эти события верифицировались в ручном режиме по заранее составленным планам реагирования на инцидент. При необходимости для выяснения обстоятельств произошедших событий проводился дополнительный анализ и взаимодействие с разработчиками и администраторами систем. Такая эскалация потребовалась в 21 случае (ни в одном из них не было выявлено проникновения злоумышленников в защищаемый контур). Потенциальные злоумышленники демонстрировали явный интерес к сетевой инфраструктуре ЧМ-2018: во время чемпионата было зафиксировано несколько целенаправленных сканирований инфраструктуры из интернета на наличие только что появившихся критически опасных уязвимостей в сетевом оборудовании.

86% крупных компаний в России используют LLM, ИИ-агенты застряли в пилотах

86% крупных российских компаний уже используют или пилотируют большие языковые модели (LLM), однако до промышленной эксплуатации автономных ИИ-агентов дело пока дошло лишь у 8% организаций. К такому выводу пришли «Инфосистемы Джет» и Smart Ranking, изучившие уровень ИИ-зрелости российского крупного бизнеса. Исследование показывает: основным препятствием для масштабирования ИИ становятся не сами модели, а готовность корпоративных процессов, данных и инфраструктуры.

Исследование основано на опросе 52 крупных российских компаний, в которых в совокупности работает около 450 тыс. человек, семи глубинных интервью и кабинетном анализе. В опросе участвовали ИТ- и технические директора, а также руководители, отвечающие за цифровизацию и внедрение ИИ.

Большой языковой моделью сегодня пользуется или экспериментирует с ней большинство крупных российских компаний. 86% организаций уже внедряют LLM, причем 53% из них вывели решения на базе генеративного ИИ в промышленную эксплуатацию. Для значительной части бизнеса технология уже перешла из стадии экспериментов в рабочий инструмент.

При этом с ростом автономности решений их распространенность заметно снижается. Проекты с полуавтономными ИИ-агентами есть у 59% компаний, полностью автономные решения внедряют 25%, а мультиагентные системы — 23%. Однако в промышленной эксплуатации эти показатели значительно ниже: полуавтономные агенты работают в проде только у 15% компаний, автономные и мультиагентные системы — у 8% в каждой категории.

Интерес к агентным технологиям уже сформировался: более 60% компаний изучают возможности автономных и мультиагентных систем. Однако переход от экспериментов к массовому внедрению упирается в готовность корпоративной среды.

Почти половина компаний — 44% — отказывается от внедрения ИИ-агентов из-за недостаточной зрелости процессов, инфраструктуры данных и сложностей интеграции с корпоративными системами. Как отмечает глава Дирекции по разработке и внедрению ПО «Инфосистемы Джет» Максим Андрианов, ценность агентных решений напрямую зависит от качества данных, цифровизации процессов и наличия необходимых интеграций. 

Он добавил, что последние наблюдения показывают, что аппаратное обеспечение стало выполнять меньше вычислительной работы работы. Вследствие этого, производительность моделей ИИ выросла. Однако стоимость вычислительной инфраструктуры остается одним из главных ограничений: 58% респондентов назвали стоимость серверов барьером для внедрения ИИ.Еще 56% указали на юридические риски, 42% — на ограничения инвестиционных бюджетов, а 40% — на дефицит специалистов. В 17% компаний препятствием становится отсутствие ИИ-лидеров, способных отвечать за внедрение технологии.

Даже после запуска пилотов компании сталкиваются с проблемой экономической эффективности. Устойчивого финансового эффекта от ИИ не видят 46% участников исследования. Еще 40% не могут масштабировать проекты из-за отсутствия владельца продукта или процесса, а столько же респондентов отмечают нестабильное качество ИИ-систем, включая галлюцинации и другие сбои. 

Таким образом, крупный российский бизнес уже освоил генеративный ИИ, но внедряет агентные технологии значительно осторожнее. Почти половина компаний планирует увеличить инвестиции в ИИ, однако в ближайшие годы приоритетом, вероятно, останутся проекты с понятной экономикой и контролируемыми рисками.

Для перехода к следующему этапу компаниям потребуется не только доступ к более мощным моделям. Необходимы качественные данные, цифровизированные процессы, интеграция с корпоративными системами и механизмы контроля. Поэтому дальнейшее развитие корпоративного ИИ может сместить акцент с выбора самой модели на создание инфраструктуры, способной обеспечить измеримый бизнес-эффект.

RSS: Новости на портале Anti-Malware.ru