Главная мысль
Сначала определите важные сервисы, данные и зависимости. Затем выберите контроль доступа, обновления, резервное копирование, мониторинг и учения с учётом наиболее вероятных угроз и их последствий для этих сервисов.
Что такое киберугроза
Киберугроза — возможное событие или обстоятельство, способное причинить вред цифровой системе или данным; атака — попытка причинить такой вред. Источником угрозы могут быть преступники, стремящиеся к финансовой выгоде, государственные группы, которые могут заниматься шпионажем или преследовать политические цели, хактивисты с идеологическими мотивами, а также внутренние пользователи, создающие риск намеренно или по ошибке. Личность атакующего часто неизвестна заранее; стройте защиту вокруг наблюдаемого поведения и важных сервисов.
Вредоносное и вымогательское ПО
К вредоносному ПО относятся вирусы, черви, трояны и шпионские программы; рекламное ПО показывает объявления и не всегда вредоносно. Цели и поведение различаются. Вымогательское ПО может шифровать файлы или блокировать системы, иногда угрожая публикацией данных. Модель ransomware-as-a-service (RaaS) позволяет другим преступникам пользоваться инфраструктурой вымогателей. Первичный доступ может появиться через фишинг, вредоносную загрузку или уязвимость. Меры включают актуальную защиту конечных устройств, ограничение прав, сегментацию, контроль почты и резервные копии, хранящиеся отдельно от сети и проверенные восстановлением.
Фишинг и социальная инженерия
Социальная инженерия пытается убедить пользователя раскрыть пароль, выполнить платёж или передать конфиденциальные сведения. Фишинг может использовать письма, сообщения, звонки и поддельные сайты; при целевом фишинге сообщение составляют для конкретного человека. Мошенничество от имени руководителя и выдуманный предлог эксплуатируют доверие и срочность; приманка может заманить привлекательным файлом или предложением. Учите сотрудников подтверждать неожиданные запросы по другому каналу, применять MFA и сообщать о подозрительных сообщениях; дополните это фильтрацией и правилами подтверждения платежей.
DDoS и доступность сервисов
Распределённая атака отказа в обслуживании (DDoS) перегружает сервер или сетевой сервис трафиком и нарушает доступность. Источником может быть ботнет, в том числе из устройств IoT; иногда такая атака отвлекает внимание от другой активности. Для критичных сервисов заранее определите пороги трафика и порядок обращения к провайдеру, оцените услугу защиты от DDoS, подготовьте порядок информирования клиентов и сотрудников, отработайте фильтрацию трафика и переключение на резервный сервис.
Уязвимости нулевого дня и цепочки поставок
Zero-day-атака использует ранее неизвестную уязвимость аппаратного или программного обеспечения либо прошивки. Известная уязвимость с доступным, но ещё не установленным исправлением — это задержка обновления, а не zero-day. Целью zero-day-атаки может стать облачный сервис, SaaS-поставщик или цепочка поставок программного обеспечения. Ведите инвентарь активов и зависимостей от поставщиков, приоритизируйте обновления, ограничивайте права интеграций, усиливайте аутентификацию и отслеживайте подозрительное поведение. Заранее выясните у поставщиков порядок уведомления об инцидентах и выпуска обновлений.
Внутренние риски и утечки данных
Внутренний риск может возникнуть из-за сотрудника, который намеренно выносит данные, случайно открывает доступ, отправляет сведения не тому адресату или попадается на фишинг. Утечка также может быть вызвана злоумышленником, использующим похищенную учётную запись или ошибочную конфигурацию. Классифицируйте чувствительные данные, ограничивайте права по ролям, регистрируйте передачу и выгрузку, закрывайте аккаунты при увольнении и установите понятный порядок сообщения об инцидентах. Опирайтесь на факты и не считайте подозрение доказательством умышленного нарушения.
Угрозы облаку, API и IoT
Ошибочная конфигурация облака может сделать данные открытыми, а недостатки аутентификации и контроля доступа API — позволить обходить защиту. Целями в облачной среде могут стать API и контейнеры; проверяйте образы, права, секреты и сетевые границы. Необновлённые IoT-устройства или устройства со стандартным паролем могут попасть в ботнет либо стать точкой входа в сеть. Регулярно проверяйте облачное хранилище и права API, защищайте и меняйте ключи, учитывайте и обновляйте устройства, ограничивайте IoT нужным сегментом сети и включайте журналы поставщика в мониторинг.
Новые и меняющиеся риски
ИИ может упростить автоматизацию фишинговых сообщений и мошенничество от имени руководителя с поддельным голосом или видео. Важные платежи и распоряжения подтверждайте по независимому каналу и отдельной процедуре, даже если сообщение выглядит убедительно; не полагайтесь только на признаки подделки. Квантовые компьютеры могут в будущем создать риск для некоторых нынешних методов шифрования, однако это не подтверждает наличие сегодняшней атаки. IoT и контейнеры также требуют управления конфигурацией и обновлениями. При внедрении новой технологии обновляйте схему потоков данных, распределение ответственности и модель угроз.
Оцените последствия для бизнеса
Оценивайте последствия не только по возможным штрафам. Учитывайте простой сервисов, потерю данных, срок восстановления, обязательства перед клиентами и поставщиками, финансовое мошенничество и ущерб доверию. Для каждого критичного процесса определите допустимое время простоя и допустимый период потери данных, затем выберите нужные резервные копии, запасной сервис и уровень эскалации. В реестре рисков фиксируйте основания, вероятность, влияние, ответственного и дату следующего пересмотра.
Защита и готовность к инцидентам
Сочетайте меры по уровню риска: проверяйте учётные записи и выдавайте минимальные права; разделяйте критичные системы; сначала устраняйте наиболее значимые уязвимости; отслеживайте конечные устройства и облачные сервисы; шифруйте данные и проверяйте восстановление из резервных копий. Подход Zero Trust предполагает оценку каждого запроса с учётом контекста и постоянный контроль доступа. Сопоставляйте сведения об угрозах с журналами конечных устройств и облака, чтобы определить важность оповещений; при использовании SIEM/SOAR назначьте ответственного за интеграцию и определите, кому передавать сложные или срочные инциденты. В плане реагирования укажите роли, порядок передачи инцидентов, правила сохранения доказательств, ответственных за решения и критерии восстановления. Проверяйте план на учебных сценариях и устраняйте выявленные пробелы.
Культура безопасности
Технологии не заменяют повседневные решения. Учите сотрудников с учётом их ролей распознавать фишинг, безопасно обмениваться данными и сообщать о подозрительных событиях; руководители должны участвовать в распределении ответственности за риски и бюджетных решениях. Службы безопасности, IT, юристы, специалисты по конфиденциальности и бизнес-команды заранее согласуют каналы связи и порядок принятия решений при инциденте. Обновляйте процедуры после происшествий и учений, назначая ответственных за устранение повторяющихся проблем и сроки выполнения.
Вредоносное ПО и другие способы атаки
Вредоносное ПО — это вредоносный код, который может работать в системе или оставаться неактивным до запуска; не каждая кибератака устанавливает программу. Фишинг может напрямую похищать пароли и платёжные данные. При атаке «человек посередине» злоумышленник перехватывает или изменяет трафик между сторонами. При подстановке учётных данных злоумышленник пробует украденные на других сервисах пары логинов и паролей, рассчитывая на их повторное использование. При переборе он последовательно проверяет возможные варианты пароля. DoS/DDoS нарушает доступность сервиса, а эксплуатация уязвимости нацелена на дефект программы. Один инцидент может сочетать несколько методов, поэтому исследуйте и последствия, и первоначальный путь доступа.
Атаки на учётные данные
Против подстановки украденных учётных данных и перебора паролей применяйте уникальные пароли, MFA, ограничение частоты входа и мониторинг подозрительных попыток.
Атаки на сеть и сервисы
Для снижения риска MitM используйте шифрование соединений и проверку сертификатов. Для DDoS-атаки заранее определите пороги трафика, порядок обращения к провайдеру и план восстановления сервиса.
Уязвимости программ
Инвентаризируйте активы и версии, приоритизируйте обновления безопасности, отключайте ненужные службы и проверяйте установку исправлений для выявленных уязвимостей.
Хостинг, распространение и MaaS — разные понятия
Инфраструктура для размещения вредоносных сайтов и файлов, способ доставки жертве и криминальная сервисная модель — разные понятия. Злоумышленник может разместить файл на скомпрометированном сервере, отправить ссылку через фишинговое письмо или купить доступ к ботнету у другого преступника. Malware-as-a-Service (MaaS) — платное предоставление вредоносного ПО и средств его использования; аренда ботнета, доставка эксплойтов и продажа доступа относятся к более широкому рынку преступных услуг. Это не означает причастности самой хостинговой компании. При расследовании отдельно фиксируйте выявленные домены, файлы, сообщения, через которые они распространялись, и связанную инфраструктуру.
Инфраструктура хостинга
Скомпрометированный веб-сервер может размещать вредоносный файл или страницу. Хостинг-провайдер, владелец сервера и атакующий могут быть разными сторонами.
Способ распространения
Фишинговая ссылка, вложение, фальшивое предложение скачать программу или эксплуатация уязвимости могут доставить файл на устройство. Сами по себе эти способы не определяют бизнес-модель услуги.
Криминальная сервисная модель
MaaS предполагает платный доступ к вредоносному ПО и средствам его использования; аренда ботнетов, доставка эксплойтов и продажа доступа — другие преступные услуги. Один участник может поддерживать инфраструктуру, а другой использовать её в отдельной кампании.
Исторический пример: TrickBot
В совместном предупреждении CISA и FBI, обновлённом 17 марта 2021 года, TrickBot описан как многоэтапное модульное вредоносное ПО. В документе упоминаются фишинговые сообщения, в том числе под предлогом штрафа за нарушение ПДД, кража данных, распространение по сети через SMB и установка другого вредоносного ПО, включая программы-вымогатели Ryuk и Conti.
Первичный доступ
В предупреждении CISA/FBI упоминались целевые фишинговые вложения и ссылки, в том числе JavaScript-файл, загружаемый с скомпрометированного сервера. Проверяйте неожиданные сообщения и вложения по независимому каналу.
Модули и сетевая активность
Согласно документу, модули могли красть данные, собирать сведения об устройствах, использовать SMB для перехода на другие системы в сети и загружать дополнительное вредоносное ПО. Сопоставляйте журналы, события входа в учётные записи и сетевые соединения.
Защита и реагирование
При подозрении на заражение действуйте по плану реагирования: согласуйте безопасную изоляцию с командой, сохраните относящиеся к инциденту доказательства и выясните круг затронутых аккаунтов и систем. Применяйте обновления, MFA, сегментацию, фильтрацию почты и проверенные резервные копии с учётом риска.
Длительный скрытый доступ: примеры кампаний
Кампании, связываемые с государственными группами, могут преследовать цели шпионажа, доступа через цепочку поставок и подготовки воздействия на важные сервисы. Эти датированные примеры помогают сравнить способы доступа и закрепления. Оценивайте уязвимости и доступ поставщиков, ограничивайте запуск непроверенных программ, расследуйте повышение привилегий и переходы на другие системы внутри сети.
Volt Typhoon · 2024
7 февраля 2024 года CISA, NSA и FBI предупредили о сохранении Volt Typhoon доступа к критической инфраструктуре США. В кампании выделялось использование штатных инструментов системы — living off the land.
APT41 · 2020
В сентябре 2020 года Минюст США объявил об обвинениях, связанных с активностью APT41. Согласно обвинениям, предполагаемые вторжения включали кражу исходного кода и сертификатов подписи, а также компрометацию поставщиков ПО.
APT10 · 2018
В карточке APT10 FBI описывает обвинения декабря 2018 года в компьютерных вторжениях, электронном мошенничестве и краже идентификационных данных. Включайте учётные записи и соединения третьих сторон в контроль доступа и мониторинг своей среды.
Семейства вредоносного ПО
MITRE ATT&CK описывает ShadowPad как модульную программу для скрытого доступа, а PlugX — как средство удалённого доступа. Исследование Zegost от FortiGuard за 2019 год описывает кражу информации и запись нажатий клавиш. По одному названию семейства нельзя определить, кто стоит за атакой; сопоставляйте процессы, учётные записи, сетевые события и файлы.