Эксперт Эксперт - Эксперт № 04 (2013)

Видимо, скоро появится еще один вид ПО, рассчитанный на борьбу с вредоносными программами, ворующими данные пользователя (в том числе номера и пароли кредитных карт или документы государственной важности) и отсылающими их хакеру. Если антивирус не смог остановить их, то могут пригодиться модифицированные системы типа DLP. «Еще год назад системы предотвращения утечек информации, DLP, разработкой которых занимается компания InfoWatch, не входили в список решений, предназначенных для защиты от кибератак, но с появлением “Красного октября” ситуация изменилась, — рассказывает Наталья Касперская. — Мы сейчас работаем над системой мониторинга, способной обнаруживать аномальную активность в сети, в том числе связанную с несанкционированным шифрованием конфиденциальной информации. Такая система призвана дать сигнал о соответствующем инциденте офицеру безопасности сети. Это уже не DLP в чистом виде, предстоит придумать название такой системе, которая может быть использована в том числе и для защиты информации в госструктурах». Современные антивирусные решения (имеются в виду системы полной защиты класса Internet Security), говорит Касперская, подобны стенам, возведенным вокруг компьютерной сети организации. Но если раньше можно было полностью довериться стене, то теперь, когда вредоносные программы стали технически более сложными и совершенными и могут незаметно для внешней защиты проникнуть в сеть, необходимо научиться обнаруживать последствия их действий внутри периметра, ведь ущерб может быть колоссальным. А вот идея спрятать все госорганизации в закрытом сегменте сети Наталье Касперской кажется бесполезной: «Не думаю, что предложение некоторых экспертов выделить госорганизации в закрытую подсеть поможет. Наверное, это защитит от угроз определенного вида, но непременно будут созданы специализированные вредоносные программы для проникновения в этот изолированный периметр. Тем более что у каждого госучреждения свой набор аппаратных средств и программ — очень дорого обойдется стандартизировать такой зоопарк».

Можно предположить, что в будущей системе вышеперечисленные элементы будут объединены. Сайты защищены от DDoS-атак системами анализа трафика. Если хакеры попытаются обрушить их, заразив вирусами, то их атака будет предотвращена с помощью антивирусов класса Internet Security, которые будут установлены на персональные компьютеры сотрудников и серверы госорганизаций. Если же вредоносным программам удастся преодолеть антивирус до личных данных, то при попытке украсть файлы поднимут тревогу модифицированные системы DLP, которые сейчас разрабатываются. Единые стандарты для всех госорганизаций упростят организацию их защиты (за счет единообразности ПО) и понизят общую стоимость такой системы.

Внешняя или внутренняя защита?

Насколько реализуема такая система и есть ли ее аналоги в других странах? Илья Сачков, генеральный директор компании Group IB, помогающей МВД вычислять хакеров и собирать доказательства их преступлений, категоричен: «Очевидно, что подразумевается не техническая или не только техническая система. Половина пунктов указа говорит об организационных мерах, без которых создавать чисто техническую систему информационной безопасности в принципе неэффективно. По крайней мере зарубежная практика показывает, что так никто не поступает». Один из экспертов по информационной безопасности, пожелавший остаться неназванным, отметил: «В указе речь идет о защите любых информационных ресурсов, находящихся на территории России. Это положение может относиться и к ресурсам, например, Министерства обороны, но они находятся вне компетенций ФСБ. Было бы логично создать при ФСБ уполномоченный орган, отвечающий за обеспечение национальной информационной безопасности в целом и координирующий данное направление в других организациях. Это поможет избежать возможного конфликта интересов. В США существует подобная система, и в каждом ведомстве есть структура, которая отвечает за свой участок».

Отметим, что в ФСБ уже есть структура, которая могла бы взять на себя такие функции — ЦИБ (центр информационной безопасности, занимается антитеррористической деятельностью и защитой госинтересов в виртуальном пространстве), зачем же создавать новую? Наш источник в кругах, близких к ФСБ, сообщил, что указ был инициирован 8-м управлением ФСБ (бывшая служба ФАПСИ, отвечающая за безопасность каналов связи) и стал сюрпризом даже для других управлений этой организации. Однако есть и эксперты, считающие логичным создание единого надведомственного центра управления борьбы с киберпреступностью. Наталья Касперская отмечает: «Мера очень своевременная, такие органы противодействия киберугрозам на государственном уровне в других странах существуют уже давно. В частности, я знаю, что в Китае создан центр противодействия киберугрозам CNCERT. Компании, поставляющие в Китай продукцию для защиты от различных киберугроз, должны сертифицировать ее в CNCERT. Получившие сертификат обязуются предоставлять центру информацию обо всех совершенных на территории страны кибератаках».

Касперская полагает, что это правильный подход: хочешь защищать — докажи, что твоя продукция адекватна задачам. «Если бы я создавала систему противодействия, то сделала бы ее похожей на применяемую в Китае и Малайзии. Есть некий центр, который принимает вторичную информацию сразу от нескольких антивирусных компаний. В результате снижается вероятность ложных срабатываний на вредоносные программы. Кроме того, анализ первичного потока сообщений потребовал бы вовлечения в процесс сотни вирусных аналитиков, практически пришлось бы организовать еще одну антивирусную компанию. А если будет создан центр, достаточно парочки экспертов, которые станут анализировать и обобщать полученную информацию, и нескольких специалистов, занимающихся непосредственно поимкой киберпреступников. Учитывая, что такие функции уже в большой степени выполняются соответствующими ведомствами в МВД, можно использовать и имеющиеся ресурсы».

Спецы по пиковым нагрузкам

Но любые технические и организационные меры окажутся бесполезны, если инженеры не смогут реализовать систему, а пользователи не будут соблюдать меры безопасности. Поэтому в качестве главного средства борьбы с компьютерными атаками эксперты видят повышение профессионального и образовательного уровня. Так, Игорь Ашманов уверен, что DDoS-атаки случаются, но к «падениям» они приводят только при неграмотной настройке сайтов. И сайт ФСБ, и сайт госуслуг подвергаются атакам, а падает только ЖЖ (Livejournal.com), говорит Ашманов. Справедливости ради отметим, что и желающих зайти в ЖЖ больше, чем посетить сайт ФСБ, но вернемся к нашему разговору с Игорем Ашмановым. На вопрос, хватает ли России специалистов по пиковым нагрузкам, он ответил: «У нас мало всех ИТ-специалистов. Нам не хватает сотни ИТ-кафедр, десятков тысяч программистов и сисадминов в год. Так что и людей этой специальности тоже остро не хватает».