«Не думай о секундах свысока» (с). Особенно при защите от шифровальщиков!

Разработка киберзащиты – работа сложная, которая «на первый взгляд, как будто не видна» (с).

Здесь неспроста использованы слова из известного гимна: наши продукты ловят зловредов, блокируют хакерские атаки, обновляют легитимные программы, режут назойливые рекламные баннеры, защищают приватность и многое, МНОГОЕ другое… и всё это происходит незаметно, в фоновом режиме и в бешеном ритме. За секунду KIS на вашем компьютере или умнофоне может проверять тысячи объектов, да так, что при этом можно ставить мировые рекорды по скоростной игре в новый Doom!

За этим бешеным ритмом стоит титаническая работа сотен разработчиков, тысячи(!) человеко-лет исследований и разработки. Даже миллисекунда задержки здесь, там и сям в конце концов снижает общее быстродействие компьютера. А с другой стороны, нужно работать настолько тщательно, чтобы ни одна кибер-тварь не пролезла :)

Недавно я рассказывал о том, как мы порвали всех конкурентов в тестировании 11 популярных продуктов против рансомвары (шифровальщиков) – на сегодня, пожалуй, самой опасной разновидности кибер-зловредства. Как нам удаётся занимать высшие места по качеству защиты и скорости работы? Конечно, высокие технологии, завёрнутые в бескомпромиссность детекта и помноженные на чудеса оптимизации :)

Сейчас мы убедимся в этом на одном показательном примере – оригинальной технологии обнаружения неизвестной рансомвары с помощью умной модели машинного обучения (патентная заявка RU2020128090).

Дальше: пить Боржоми никогда не поздно!…

Против самой злобной кибер-дряни: кто на свете всех сильней?

Самая неприятная заноза в современном кибер-мире с точки зрения ущерба, изощрённости и изобилующая громкими случаями… Ну, кто догадается?

Конечно рансомвара! (также известна как «шифровальщики», но далее будет использоваться профессиональный термин «рансомвара»). Так вот: рансомвара (не слишком ли уже часто здесь используется этот термин? :) настолько глубоко впилась в «цифру», столько «завалила» крупных организаций (даже являясь косвенной причиной человеческих жертв) и столько выкачала из них отступных, что даже СМИ охладели к новостям о новых атаках. Подумаешь, снова инцидент, снова выкуп, снова, снова и ещё раз. И это очень-очень тревожный звонок. Он означает, что кибер-негодяи выигрывают. Увы. Кибер-вымогательство становится нормой и с этим ничего не могут поделать.

Выигрывают они по трём причинам: в-третьих (начну с конца), «большие мальчики» не могут оставить геополитические игры, в результате национальные кибер-полиции не обмениваются оперативной информацией для координированного отлова операторов рансомвари; во-вторых, пользователи оказались недостаточно подготовлены к отражению таких атак; и (самое главное) – во-первых, не все стиральные порошки одинаковы антирансомварные технологии одинаково эффективны.

Эти технологии заявлены «на упаковке», но в реальной жизни работают в лучшем случае «не каждый раз. И в результате пользователи оказываются совершенно не защищены от профессиональных и весьма технически изощрённых атак рансомварных зловредов.

И этому факту теперь есть подтверждение: не так давно немецкий институт AV-TEST исследовал способности киберзащитных продуктов бороться с рансомварой. Не на бумаге, и в не гламурных маркетинговых слоганах, а в реальных боевых условиях, с «живой» реализацией всего возможного на текущий момент арсенала технологий шифровальщиков. Результат оказался ошеломляющим… В плохом смысле.

С защитой против известной рансомвары в каноническом сценарии атаки на защищённую систему справились почти все – если зловред попал в коллекции антивирусных компаний и практически все «знают его в лицо», то проблем с обнаружением нет.

Но если усложнить ситуацию и максимально приблизить её к реальной жизни? Как различные продукты среагируют на новый метод атаки рансомварного зловреда? Что будет если он тайно проникнет в корпоративную сеть и начнёт учинять там беспорядки? Например, как насчёт предотвращения сетевых атак, при которых удалённо шифруются файлы в общих папках? Причём с использованием тех же самых образцов рансомвары, которые были успешно обнаружены в первом сценарии.

Дальше: держитесь за стул…

Фотоканал на Flickr

  • London, Thames Walk
  • London, Thames Walk
  • London, Thames Walk
  • London, Thames Walk

Instagram Photostream

Шлюз раскрыт! Всё в пространтве кибер-индустриализации. Чувствовать разницу надо, а не что-то ещё.

На последней индустриально-кибериммунной конференции в Сочи ребята из компании Апротех отожгли по полной! — Они разыграли мини-спектакль и буквально на поролоновых параллелепипедах пальцах объяснили зрителям, в чём же, собственно, заключается отличие кибериммунного шлюза для промышленных данных на KasperskyOS от среднестатистического решения на базе операционной системы общего назначения. Получилось познавательно и весьма задорно!

Если кому-то долго смотреть, то в одном из предыдущих сентябрьских постов я уже кратко упоминал про три основных различия. Теперь надо, наверное, уже окончательно поставить все точки над Ё и раскрыть-таки чуть больше деталей по каждому из 3-х пунктов. Поехали!

1. Итак, первая фишка – это микроядро.

Дальше:

В Сочи промышленно и кибериммунно.

Личный опыт и другие умные люди рекомендуют со скепсисом относиться к экспертным предсказаниям будущего и всяким прочим разнообразным прогнозам. Хотя я это мнение разделяю, мне часто приходится подтверждать то, что мои личные предсказания, к сожалению, сбываются.

Когда 10 лет назад мы выбрали индустриальную кибербезопасность одним из магистральных направлений развития компании, считалось, что атаки на промышленное оборудование — это хайп и голливудщина. Ну, в крайнем случае, проблема ограниченного числа весьма специфических предприятий. Например, вот таких. Я же с начала 2010-х говорил о том, что атаки на промышленные объекты рано или поздно станут массовыми, и что современные средства промышленной безопасности не отвечают реалиям цифрового мира.

Сегодня атаки на промышленные объекты – это повседневная (и очень дорогостоящая!) реальность. Если с помощью рансом-шифровальщика в офисной сети крупного трубопровода можно кратковременно поднять цену на бензин во всех американских штатах, то цена атаки на промышленные компоненты оператора критической инфраструктуры может оказаться гораздо выше. Размер ущерба промышленным предприятиям, особенно объектам критической инфраструктуры, может «улететь в космос». Это же не только убытки в результате простоя предприятия, а удар по всем потребителям продукции. А это уже может быть весьма болезненно как для региональных экономик, так и для экономики национальной.

Дальше: про современный выбор современной промышленности…

Хакерская пирамида Маслоу в ландшафте современных кибер-геополитических реалий.

// звучит как название докторской диссертации :)

Как-то раз на прошлой неделе майским весенним утром я вышел на сцену и сказал буквально следующее: «Как же я рад вас всех здесь видеть!», — да просто потому, что все уже устали от этой затянувшейся коронаковидной истории эпохи биовирусного сезона, уже давно хочется вернуться в привычный ритм конференций, выставок и прочих массовых деловых активностей (и желательно без галстука). И тут у нас, как и было заказано, небольшое ежегодное мероприятие под названием «Kaspersky Security Day — 2021».

Дальше: про непредсказуемое кибер-геополитическое…

Первый (*кибериммунный*) пошёл!

Пришло время разбавить фото- и видеоотчёты о путешествиях и увиденных там природных и прочих достопримечательностях рассказом про наши продуктово-корпоративные новости и достижения. Тем более, что прямо сейчас мы вовсю запускаем и официально представляем миру наше первое полностью кибериммунное решение для обработки промышленных данных, которое открывает эпоху кибериммунитета и является первым вестником заката традиционной кибербезопасности. Как минимум в промышленных системах и интернетах вещей (IoT).

Дальше: всем иммунитета!…

Выкуп кибервымогателям: совсем не платить иль не платить ничего?

Иногда узнаёшь какие-нибудь новости про то, что ещё какая-то большая компания стала жертвой очередного шифровальщика, и что их вынудили заплатить выкуп, или читаешь комментарии, где натыкаешься на советы типа «подумайте о том, чтобы заплатить выкуп». В такие моменты мне становится немного не по себе, потому что платить вымогателям категорически не следует — и не только потому, что они не то чтобы честным трудом зарабатывают. Видимо, пора в очередной раз высказаться, почему.

Во-первых, вы спонсируете киберпреступность.

Дальше: а что ж тогда делать-то?…

Как сохранить здоровье завода без регистрации и СМС.

Год 2020й, который однозначно войдёт в историю как био-вирусный, летел к своему логическому завершению. Следом за ним уже маячит на горизонте следующий год, по счёту 2021й, про который уже шутят, что его номер можно произносить иначе: «две тысячи двадцать» – пауза – «первый год». Но тут не до шуток.

Почти весь мир уже 10 месяцев (а кто и больше) живёт в состоянии перманентного шока. Причём это не только к населению относится – пострадал частный бизнес и национальные экономики. Но, увы, в списке «кому сейчас плохо» индустрия кибер-преступности не значится. Сетевым негодяям разных мастей просто раздолье! Народ плотно засел в интернетах – и потенциальных жертв стало значительно больше. Плюс к тому можно «покопаться» и в корпоративных сетях через недостаточно хорошо защищённые компы сотрудников, работающих на удалёнке – чем кибер-злодеи частенько пользуются. Короче, мировой цифро-порядок тоже подкосило этим злобным биологическим вирусом.

Как следствие, на компании в секторе цифровой безопасности легла дополнительная нагрузка. Нам совершенно не скучно! Да и не привыкли мы скучать… И даже наоборот. Для нас год 2020 получился весьма продуктивным. Список выпущенных в этом году новых версий наших решений весьма впечатлителен (особенно в корпоративном сегменте).

Причём список этот всё пополняется! И сейчас хочу рассказать вам ещё об одной штуке, о разработке, которую мы для краткости называем MLAD, а в необрезанном виде — Kaspersky Machine Learning for Anomaly Detection.

Кстати, смешной факт: если поЯскать эту аббревиатуру, можно найти что в других интерпретациях это ещё и Minimum Local Analgesic Dose (что-то типа «минимальной дозировки местных анестетиков»), и Mid Left Anterior Descending artery (одна из сердечных артерий). Всё, видите, какой-то медицинский оттенок в этом году приобретает с этим клятым биовирусом. 

Так вот про наш MLAD, технологический.

Те, кто следит за нашими блогами, могут помнить, что это такое. Могут, впрочем, и не помнить, поэтому я коротенечко расскажу с чего вообще сыр-бор разгорелся.

Если по-умному и с терминами, то это такая система, которая методами машинного обучения анализирует данные телеметрии с промышленной установки и на основе этого анализа оперативно находит всевозможные аномалии, атаки и поломки.

Вот представим, что у вас есть свечной заводик с тысячами датчиков — давления, температуры, всего на свете. Каждый из этих датчиков постоянно генерит поток информации. Уследить за всеми потоками вручную, как вы понимаете, невозможно, и вот тут пригождается машинное обучение. Предварительно натренировав нейросеть, MLAD может по прямым или косвенным корреляциям определять, что на таком-то участке производства что-то не так. И соответственно предотвращать миллионные и миллиардные убытки от инцидентов.

Раз уж мы взялись проводить аналогии с медициной… У многих сегодня есть смарт-часы с фитнес-браслетами. Но они вам могут разве что пульс померять и количество шагов посчитать. В стационарных условиях у врачей возможностей побольше, они могут и кровь проанализировать, и давление, и что-нибудь ещё наверное. А теперь представьте, что к каждому вашему кровеносному сосуду, каждой нервной клетке и каждому кровяному тельцу привязано по датчику. Как профессионал любой врач такому информационному перегрузу будет рад, но при попытке анализа попросту сойдёт с ума. Вот тут на помощь приходим мы со своими технологиями.

Кто-то скажет: это всё конечно круто, но что же вы нам повторно ту же технологию рекламируете? И окажутся неправы, потому что технология та же, да мощно обновленная. Собственно, именно про эти обновления я и хочу рассказать, а это было так, скорее вступление.

Первый серьёзный апгрейд MLAD называется Pipeline. Уж простите за англицизмы, издержки глобального бизнеса. Суть этого «пайплайна» в следующем. Иногда, даже довольно часто, всё собранное датчиками телеметрическое богатство эффективнее обрабатывать не скопом, а частями. У большинства из нас есть по две руки, две ноги, определённое количество других органов — и согласитесь, помимо общего положения дел хорошо бы понимать состояние каждого из них по отдельности. На практике это может пригодиться в проектах Building Information Management (BIM), или информационного моделирования зданий. В каждой комнате есть датчик окна, термометр, индикатор режима работы кондиционера и много чего ещё. И вместо того, чтобы всё здание запихивать в одну модель, мы делаем по мини-модельке для каждой комнаты. Вот так просто и элегантно.

Второе большое обновление называется «Тренер». Оно позволяет заказчикам переобучать алгоритмы в случае необходимости и без нашего участия. Делать это приходится довольно регулярно: сырье сменилось, где-нибудь резервуар подвинули или фильтр добавили. Аналогия «ближе к телу» тоже понятная: стали вы по-другому питаться, перешли с колбасы на овощи (или наоборот), и медицинские показатели ваши тоже изменятся. После этого нейросетке нужно на новых данных показать новую норму, и делается это теперь одной кнопкой.

Ну и какое-то количество интерфейсных доделок и улучшалок мы внедрили, куда без этого. Например, теперь MLAD может показывать срез данных по датчикам одного типа на всём объекте, составлять такую «карту» производства с распределением давления или температуры по всему тракту. В будущем мы и вовсе планируем по запросу рисовать трёхмерную модель объекта со всеми обозначениями, чтобы локализовать аномалии можно было невооружённым взглядом. Но это так, небольшой тизер.

Ещё один смешной факт на закуску. Технология настолько крутая, что мы столкнулись с неожиданной трудностью: поначалу заказчики просто не верят, что такое возможно! В итоге после практический демонстрации возможностей MLAD у людей округляются глаза и восторгам нет предела.

Ну что, впечатлились? Если да, но хочется больше информации, я просто оставлю тут эту ссылку. Там и кейсы, и пара симпатичных демо-роликов наличествуют — в общем, есть где разгуляться любопытствующему мозгу. Всем не болеть!

Припев: KOS Day — KOS Night!

Человечество жило в разные эпохи, которые носили разные названия: каменный век, бронзовый и железный века. А вот нынешний век — какой? Как его будут называть археологи будущего? Какой материал или технология являются самыми важнейшими в наше время?

Можно назвать нашу эпоху «электрической», например. Также слышал версию того, что мы живём в «век пластика» — с чем сложно спорить, ведь достаточно просто посмотреть на окружающие нас предметы. Можно долго дискутировать на эту тему, но предлагаю это дело бросить. Ведь вряд ли кто будет возражать, что человек неизбежно движется в сторону эпохи кибер-технологий, в «цифровой век».

// Припев: KOS day — KOS night!

Да-да, я считаю, что мы только вступаем в это цифровое время, что те кибер-сети и интернеты разных вещей — это только начало. Какое будет будущее видеть сложно. Примерно как невозможно было во время глобального распространения электричества предполагать появление всяческих технологий, существование которых без электричества невозможно. Та же самая кибер-цифра, например.

Цифра, как электричество и пластик, кардинально меняет наш мир. И сложно предполагать когда эти изменения «устаканятся». Интернету, блокчейнам, машинному обучению — всем этим технологиям всего-то несколько десятков лет! И полвека назад никто и подумать не мог о возможности подобных изобретений.

Короче, мы стремительно летим в цифровой век. И что меня пугает, так это факт того, что летим мы туда «не пристёгнутыми ремнями безопасности». А именно: технологии и продукты, которые внедряются во всё и везде являются уязвимыми, подверженными «кибер-кариесу», а последствия «заболеваний» могут оказаться фатальными. Примеров чему уже было достаточно, приводить дальше не буду (читайте наши отчёты).

Что же делать?

Хороший вопрос. И, уверен, многие умы этим вопросом пристально занимаются. Наши умы тоже :) Но прежде чем отправиться в дальнейшие объяснения, мне кажется, что нужно привести какую-нибудь простую и понятную аналогию. Например, про электричество. Оно, как известно, может очень больно ударить, если им неаккуратно пользоваться. Само собой, никакому хомо сапиенсу это не понравится. И разумные представители этого вида озадачились этим вопросом и придумали разные изоляции, электрозащиты и прочую технику безопасности, по которой устраивают учения и сдачу экзаменов.

Короче, электричество стало вполне себе безопасным. Провода изолированы, предохранители на страже, громоотвод заземлён. В чём мораль этой басни? Да тоже самое надо и с цифрой! Забезопасить её «by default».

// Припев: KOS day — KOS night!

Технически подкованный читатель тут же сообразит, что я опять сворачиваю на дорожку нашей иммунной операционной системы… И читатель этот окажется прав!

Дальше: не лозунг, а скоро ждите на рынке…

Анти-, но не -вирус. Надёжно против техно-кибер-ворон. Им будет больно.

Так, похоже, что к мою историю про «КДЛ-1» (он же «Детектор-Лжи-1») некоторые восприняли чересчур серьёзно, хоть там и был прямой намёк про «первоапрельское». Ну что же, попробую раскрыть эту тему немного другими словами. Или как сказал классик русского рока: «… я попытаюсь спеть о том же самом в несколько более сложных словах».

«Не мышонок, не лягушка, а неведома зверушка» — могут подумать случайно заглянувшие в мой кабинет или же зашедшие туда по делам. Действительно, вот стоит такой неведомый глазастый аппарат, весь в строгих цветах и весь из себя откровенно хай-технологичный:

Но прежде чем начать подробный рассказ об этом устройстве, я сверну немного в сторону. Вот о чём.

Мы традиционно раз в году устраиваем «отчётное собрание», где все сотрудники компании в онлайне могут узнать главные новости за прошедший год, что планируется, задать вопросы и т.п. В наши тревожные биовирусные времена мы стали подобные сессии AMA («Ask Me Anything») устраивать гораздо чаще. Народ сидит по домам, новости не самые радостные, надо народ бодрить и поддерживать — и примерно раз в квартал топ-менеджмент компании выходит «в прямой эфир».

Во время предыдущей такой телеконференции пришёл «вопрос из зала» — а что это за загадочная штуковина стоит у меня за спиной? Тут же в общем АМА-чатике начали появляться разные догадки и идеи. Особенно понравилась чья-то версия про зловещий сканер мозга, способный читать чужие мысли. // да-да, именно по мотивам этой догадки и родился «первоапрельский текст» про «детектор лжи». На самом деле это наша новейшая разработка — бейте в барабаны и трубите в трубы ->

Знакомьтесь, это наш новый замечательный Kaspersky Antidrone собственной персоной. Прошу любить и жаловать!

Дальше: эти глаза напротив…