Коллектив Авторов - Цифровой журнал «Компьютерра» № 224

Так и тут опасность до поры незрима, но очень высока. Речь же идёт о зависимости от зарубежных технологий не просто экономики, а стратегически важных, незаменимых предприятий. И финансовая сфера — важнейший объект инфраструктуры. Электронными платежами получают деньги пенсионеры и военнослужащие, бюджетники и студенты, практически все работники коммерческих структур, работающих «по-белому»… И возможность нарушить её функционирование — оружие хоть и не «летальное», но очень эффективное.

Но, может, это просто «страшилки» — вроде чернозёмных вампиров или пресловутой чупакабры? Отнюдь… Вот как пишетсугубо официальная «Российская газета»: «Количество DDOS-атак на государственные и коммерческие инфраструктурные институты за последний год выросло на 178%». Ну а DDoS-атаки страшны не сами по себе. По мнению руководителя направления информационной безопасности известного системного интегратора «КРОК» Михаила Башлыкова, в случае кибервойны DDOS-атаки, направленные на то, чтобы сделать какой-либо ресурс недоступным, могут использоваться как отвлекающий маневр.

«Как основное “оружие”, — считает он, — применяется другой тип атак — точечные, которые могут нанести серьёзный урон критично важным объектам — например, производственным». Но и без кибервойны ущерб экономике России от кибератак в прошлом году составил 1,3 трлн рублей. Неплохо, да? А убытки за тот же период отечественной финансовой сферы от киберпреступлений достигли700 млрд рублей — что понятно, ибо именно она наиболее уязвима… Поясним: речь идёт о почти десяти и почти пяти тысячах целковых на нос россиянина, включая младенцев…

И это ещё без всякой кибервойны, до вступления в действие экономических санкций! И не будем себя обманывать: в соседней с нами стране полыхает полноценная гражданская война, с зашкаливающим уровнем озверения. Рушатся с небес вертолёты — внушавшие некогда ужас пуштунским моджахедам «шайтан-арбы», Ми-24. Женщин в осаждаемых городах убивают на собственных балконах, людей жгут заживо в знакомых с юности зданиях советского классицизма, где командированный мог перекусить в прохладе, а при некоторой удаче — даже попить чешского пива…

И не надо думать, что все это минует нас стороной. Слишком много связей, от экономических до семейных. Слишком много общей истории и общей боли. И России, и её гражданам надо готовиться к худшему — worst case, знаете ли… За благодушие в прошлом нам приходилось платить страшную цену. И хотелось бы, чтобы приобретшие статус важнейших объектов инфраструктуры компьютерные системы работали нормально, обеспечивая повседневную жизнь экономики и общества. А нарушься такая работа — была б возможность узнать, кто в этом виноват…

Так что, пока есть ещё время и деньги в казне, хотелось бы призвать и власть, и бизнес срочно принять меры к повышению степени кибернетической безопасности предприятий и инфраструктур. Четырнадцатый год почему-то навевает отнюдь не весёлые мысли, а за рубежом уже всерьёз обсуждаются санкциипротив целых секторов отечественной экономики, которые затронут жизнь миллионов россиян… Так что, может, не стоит повторять печальный опыт Российской империи, пренебрегавшей внедрением отечественных разработок?

К оглавлению

Опубликовано08 мая 2014

Бывший сотрудник консалтинговой фирмы The Canton Group был арестованФБР после выполнения аудита безопасности компьютерной сети Университета штата Мэриленд. В награду за проделанную работу ему представили целый ряд обвинений.

До недавнего времени Дэвид Хелковски (David Helkowski) был известен в Балтиморе как представитель этических хакеров, также называемых «Белыми шляпами». Такие люди часто выполняют на добровольных началах сложную работу по аудиту безопасности программ, устройств с криптографической защитой и компьютерных сетей. В отличие от «Чёрных шляп», они ищут уязвимости с целью помочь разработчикам сделать свой продукт более защищённым и обычно не разглашают сведений о найденных ошибках до их устранения.

Термин ethical hacker отражает целую философию жизни, краткая суть которой в стремлении отдельных специалистов сделать ИТ-сферу более надёжной и безопасной для простых пользователей. Часто это происходит в ущерб собственной выгоде, требует высокой квалификации и немалых усилий в свободное время.

Обычно правительство и соответствующие службы лояльно относятся к таким людям, изредка контролируя их деятельность. Для них устраиваются открытые конференции по безопасности, а ведущих специалистов привлекают для раскрытия преступлений в сфере высоких технологий.

Описанный Дэвидом случай нарушения сложившихся традиций очень показателен. Он ставит под угрозу любую подобную деятельность, если она не санкционирована официально. Проблема в том, что многие организации весьма халатно относятся к вопросам безопасности и не заказывают подобных услуг. Вместо тестов на проникновение и рекомендаций по усилению защиты они предпочитают «сейф без задней стенки» и формальное соответствие минимальным требованиям.

Хелковски рассказалсвою историю на Reddit в потоке под названием «IamA Hacker who was Raided by the FBI and Secret Service AMAA!». Пост набрал триста пятьдесят комментариев, но затем был удалён якобы за нарушение правил сайта. Тогда прямо во время расследования он встретился с прессой. Первыми у него взяли интервью корреспонденты издания Ars Technica.

Во время своей работы в The Canton Group Дэвид в основном занимался анализом проектов с открытым исходным кодом. Кроме того, его периодически нанимали разные фирмы, поручая работу от создания веб-скриптов до написания сложных программ на Си.

В ноябре 2013 года его наняли в команду программистов, занимавшихся переносом содержимого сайта медицинской школы Университета штата Мэриленд. Для удобства Дэвид скопировал весь веб-контент на свой рабочий компьютер. Внезапно его антивирусная программа сообщила об ошибке и аварийно завершилась.

Хелковски стал смотреть логи и увидел причину: один из PHP-скриптов содержал признаки обфускации кода для сокрытия его функций и вызывал ошибку в работе антивирусного анализатора.