Заголовок: Пора ломать традиции

Компания: Cisco

Статья бизнес-консультанта Cisco по информационной безопасности Алексея Лукацкого

Традиционные системы предотвращения вторжений (IPS), купленные и с ежегодно продляемым контрактом, есть у многих. И антивирусы тоже есть у многих. И межсетевые экраны. И системы контентной фильтрации. А инцидентов меньше не становится. Почему такая несправедливость? Причин тому несколько. Первая - размытие периметра и невозможность контроля, ранее сконцентрированного в нескольких местах аккумуляции основных объемов трафика. Это направление, когда мы ставили средства защиты либо на периметре, либо в ЦОДе, либо
на ПК, остается необходимым, но уже явно недостаточным для того, чтобы считать свою сеть сколь-нибудь защищенной от современных угроз.
Посмотрите на эту картинку. Что вы видите? Есть ЦОД, расположенный в центре. Есть периметр (справа), который обеспечивает нам подключение к внешним интернет-ресурсам изнутри компании. Есть периметр слева, который дает сотрудникам возможность удаленного доступа к внутренним ресурсам компании. Есть удаленные площадки (офисы, филиалы и т.п.).
Допустим, мы смогли четко очертить границы нашей сети; хотя с активным внедрением мобильных технологий и облачных вычислений это достаточно затруднительно. Но значит ли это, что у нас не может быть ушлого сотрудника, который притащил 3G/LTE-модем и, подключив его к корпоративному ПК, не выходит в Интернет в обход средств периметровой защиты? Скорее всего, нет. А можем ли мы гарантировать, что для облегчения своего труда сотрудник не поставил в кабинете точку беспроводного доступа, к которой извне не подключился
злоумышленник или просто желающий бесплатно посерфить в Интернете? Тоже не можем.

Для решения этой задачи нужны новые технологии, например, NBAD (network-based anomaly detection), о которых я уже писал в сентябре. Но допустим, мы их внедрили, а инциденты все равно появляются. Меньше, но все же есть. Почему? Неужели установленные у нас средства защиты не справляются с угрозами? Как это ни парадоксально, но далеко не всегда. Существует целый класс атак, которые специально разрабатываются для обхода традиционных средств защиты. Это целенаправленные атаки (APT). Если посмотреть на статистику,
то мы увидим, что за последние 20 лет число традиционных атак снижается, а число APT возрастает. Достаточно вспомнить нашумевшие примеры с Red October и Stuxnet, чтобы понять, о чем идет речь. Но и "Красный Октябрь", и Stuxnet - это не просто APT, это целые операции в киберпространстве. Гораздо большую опасность представляет собой существенно большее множество APT, из которых и строятся большие операции. Используемые при реализации целенаправленных атак неизвестные
уязвимости появляются то там, то тут. В итоге злоумышленники выпускают в "дикую природу" угрозы, которых раньше не было.
Это не массовые атаки, цель которых заразить как можно большее число жертв. Именно на такие угрозы рассчитаны "традиционные" средства защиты. Принцип их работы построен на том, что массовость атаки позволяет оперативно ее обнаружить и разработать для нее "противоядие", оснастив им защитные продукты. Массовость играет против злоумышленников, которые сегодня хотят как можно дольше оставаться незамеченными, чтобы долго и планомерно стричь купоны за свою противоправную деятельность. И для этого их атаки должны быть
узкоспециализированными - обычно на конкретной жертве. Иными словами, ситуация поменялась: угрозы становятся скрытыми и сфокусированными - направленными на одну-две организации или их клиентов. Такие угрозы сложно обнаруживать с помощью традиционных подходов, например, "ловушек" в Интернет. Нужна планомерная работа производителей средств защиты, которые бы могли взять на себя функцию исследовательского центра по безопасности и оснащать своих клиентов регулярными
обновлениями против новых целенаправленных атак, причем не раз в месяц и не раз в неделю, и даже не раз в день. К примеру, Cisco Security Intelligence Operations Center (SIO) рассылает обновления с периодичностью в 3-5 минут!

Мне можно возразить, что "традиционное" средство защиты сродни "обычному" порошку из рекламы. Таких давно уже нет, и все производители говорят, что их средства защиты осовременены и умеют бороться с APT. Возможно. Инцидентов, правда, меньше не становится, но это отдельная тема (я как раз сейчас готовлю материал о вселенском заговоре производителей средств защиты информации). Возможно, средства защиты уже давно обновились, но я все-таки рекомендую смотреть на ситуацию шире. Уйти вообще от традиций 90-х и даже
2000-х годов в ИБ.

Контактная информация:
------------------------------
Сайт компании: www.cisco.ru
Контактное лицо: Анастасия Руденко
менеджер
E-mail: nastya_rudenko@marketingcentre.ru
Телефон: +7 831 4619110