Всем привет!

Мы тут периодически-регулярно рассказываем про наши технологии, успехи в бизнесе и прочую корпоративную кухню. Вот новый пост о дуализме сервисов и продуктов, оригинально опубликованный в Форбсе.

———-8<———-

Мир основан на стереотипах и секюрити-индустрия тому не исключение.

Например, есть мнение, что мы разрабатываем только домашние антивирусы. В действительности, мы давно делаем не только антивирусы и не только для домашних компьютеров.

Доля бизнес-продуктов и технологий в нашей выручке сейчас составляет 40%, причём продажи в этом сегменте растут быстрее, чем на B2C-рынке. В некоторых странах продажи персональных продуктов упёрлись в потолок выше которого не прыгнешь, а в бизнес-сегменте у нас ещё много возможностей.

Особое, стратегическое место в бизнес-сегменте занимает работа с крупными корпоративными заказчиками. Для них необходимо «затачивать» существующие продукты и разрабатывать новые. За несколько лет в этой области у нас состоялось немало премьер: защита от DDoS атак и банковского мошенничества, решения для виртуальных сред, систем хранения данных и корпоративных мобильных устройств. У нас есть специализированные вертикальные решения, в том числе для банков, дата центров и правительственных групп реагирования на кибер-инциденты. Ещё больше планов: защита индустриальных систем, защита от таргетированных атак, защита для банкоматов и кассовых терминалов. Как результат – в списке наших заказчиков появились такие имена как Полиция Лондона, Axel Springer, Hankook Tire, Riverside Healthcare, Deutsche Flugsicherung и многие другие знаковые организации.

Продукты-продуктами, но это не всё, что нужно для успеха в этом сегменте.

Во-первых, здесь действительно есть конкуренция и очень даже сильная. Да, мы лучшие с точки зрения качества защиты, но нам есть куда совершенствоваться с точки зрения покрытия платформ, сетевого управления и интеграции в третьи системы.

Во-вторых, корпоративная сеть – не просто сложная среда, а практически в каждом случае уникальная. Чем крупнее проект, тем больше приходится его кастомизировать под специфические условия. Например, для внедрения защиты на Ferrari наши пресейл-инженеры провели на заводе почти год, чтобы «докрутить» продукты под все требования и полностью интегрировать в производственный цикл.

В-третьих, увы, сегодня чаще смотрят не столько на качество защиты, сколько на паспорт. В такой геополитической ситуации нам приходится ой как непросто в корпоративном сегменте на глобальном рынке.

Но у нас есть одно конкурентное преимущество, чтобы преодолеть все перечисленные препятствия: экспертиза и опыт.

Для разработки защиты мы используем сотни уникальных технологий собственной разработки. При анализе киберугроз мы ежедневно аккумулируем и обрабатываем сотни терабайт информации об эпидемиологической обстановке во всём мире. Наши эксперты накопили бесценный опыт в самых разных областях IT-секюрити.

Мы хотим поделиться нашей экспертизой и опытом и практика показывает — ничто другое так не востребовано у крупных заказчиков, прежде всего в корпоративном секторе, правительственных организациях, сервис провайдерах и телеком операторах. Действительно, для проактивного противодействия угрозам требуется понимание обстановки, а понять обстановку можно только с помощью глубокого знания происходящих процессов.

Для корпоративных заказчиков секюрити-продукты необходимы, но недостаточны. Без сопутствующих сервисов теряется ориентация в пространстве и способность прогнозировать развитие угроз. А это серьёзная угроза непрерывности бизнеса. Непозволительная роскошь.

Какие сервисы наиболее востребованы? В нашей классификации Security Intelligence Services их три группы:

1) «Предотвращение и расследование».
Оценка защищённости информационных систем для прогнозирования векторов атак и выявления уязвимостей, а также расследование секюрити-инцидентов. В спектр услуг входят (i) тестирование на проникновение в различных плоскостях (внутреннее и внешнее тестирование, социальный инжиниринг, тестирование беспроводной инфраструктуры), (ii) аудит корпоративных приложений (Black/Grey/White-box тестирование) и (iii) анализ инцидентов и рекомендации по устранению последствий и исправлению недостатков. Подробнее.

2) «Сводки с полей»
Предоставление подробной технической информации о глобальных кибер-атаках (вредоносные и фишинговые адреса, сведения о ботнетах, данные о вредоносных программах) для интеграции в корпоративную SIEM-систему, получения комплексной картины безопасности корпоративной сети и осведомлённого усиления противодействия IT-угрозам. В эту группу также входят полные версии наших отчётов о таргетированных атаках (а кто круче нас в расследовании APT?) и кастомизированный анализ кибер-событий, применимо к конкретной организации. В планах добавить в «сводки» мониторинг фишинга, спама и общедоступных интернет-ресурсов (OSINT). Подробнее.

3) «Знание — сила»
Тренинги для персонала любого уровня, включая курсы для специалистов по IT-секюрити для повышения квалификации в области предотвращения и расследования кибер-инцидентов, реверс-инжиниринга и анализа вредоносных программ. Один из примеров успешного сотрудничества в этом направлении – наша совместная работа с INTERPOL и Europol по созданию центра противодействия кибер-преступности на международном уровне. Подробнее.

Все описанные сервисы основаны исключительно на нашей собственной экспертизе, данных и технологиях. Например, сведения о ботнетах мы получаем из одной из самых совершенных систем мониторинга сетей зараженных компьютеров, которую мы развиваем с 2009 г.

В основе этой системы – технология Botnet Tracking, которая эмулирует зараженные компьютеры (боты) для получения оперативных данных о действиях операторов ботнета (Botnet Milking). По сути, это двойной агент, внедрённый в преступную группировку и работающий на хороших парней.

Наши эксперты анализируют протоколы обмена данными между управляющими центрами и ботами и разрабатывают специальные скрипт-программы. Скрипты прикидываются ботами, принимают от оператора команды и новые версии вредоносных программ и передают их как в автоматические системы обработки, так и аналитикам для ручного исследования. Дальше мы изучаем поведение новых версий вредоносных программ в контролируемой среде сэндбокса для получения дампов памяти, трафика и отчётов о действиях; запускаем вредоносы под эмулятором, автоматически анализируем их в специальных программах-отладчиках, декомпилируем их и т.д.

Как это работает на практике?

Например, скрипт получает команду из центра управления ботнетом на загрузку и запуск файла (разумеется, вредоносного). Скрипт действительно загружает его, рапортует о выполнении приказа, но на самом деле передаёт его в автоматическую систему для разработки защиты. Ещё пример: скрипт получает команду на проведение DDoS-атаки, мы регистрируем адрес и предупреждаем объект атаки о враждебных действиях. И ещё один пример: скрипт «прикидывается» заражённым Android-смартфоном, сообщает в центр управления об установке и запрашивает список платных номеров, на которые нужно отправлять SMS. Судьбу этих номеров и их владельцев нетрудно угадать.

Таким образом мы «пасём» более 160 разных ботнетов по всему миру, в том числе банковские (Zeus, Dridex, Kronos, Capper, Tinba, Carberp и др.), DDoS (Athena, nrgbot, Madness, Neutrino, Plasma и др.), Android (Stels, Wroba, Agentk, Marcher, Obad), спамерские (Cutwail, gheg, Hlux, Toroid, Lethic, Aldibot и др.) и Linux (Xor, Sotdas, Bill Gates) ботнеты.

Благодаря Botnet Tracking мы получаем оперативную информацию о действиях ботнетов, разрабатываем меры противодействия и предупреждаем заказчиков о возможных атаках против их сетей и клиентов. Кроме этого, это обеспечивает бесценную помощь для подготовки действий по уничтожению ботнета и создания доказательной базы для судебного производства против злоумышленников.

Разумеется, мониторинг ботнетов иногда требует выхода в Интернет, что накладывает определённые риски на эту технологию. Также нам необходимо противодействовать обнаружению наших действий, поскольку если ботнет поймёт, что к нему обращаются эксперты по безопасности, то он может отключить наших двойных агентов. Для этого мы используем различные способы сокрытия идентичности, в т.ч. анонимайзеры и инфраструктуру Tor.

Больше всего сервисом мониторинга ботнетов интересуются банки и провайдеры управляемых услуг защиты (MSSP). Для них крайне важно быстро получать сведения об атаках на клиентов, а по оперативности и глубине предоставляемой информации мы на лидирующих позициях – подписчики Botnet Tracking каждые 15 минут получают данные об актуальных угрозах. К слову, одним из первых заказчиков этой услуги была глобальная телекоммуникационная компания Telefónica.

Так что же первично – продукты или сервисы?

Пожалуй, на этот вопрос нет прямого ответа. Ни продукты, ни сервисы в отдельности не обеспечивают самодостаточной защиты. Это две части одного целого, целью которого является создание эффективной системы защиты и управления ею с помощью корпоративного Центра обеспечения безопасности (Security Operations Center, SOC).

Однако с точки зрения бизнеса у сервисов есть неоспоримый плюс.

Они не требуют длительной и трудоёмкой интеграции в производственный процесс (и уж тем более замены существующего секюрити-продукта) и потому являются удобным предметом для начала диалога между поставщиком и корпоративным заказчиком. Сервисы основаны на естественном конкурентном преимуществе каждой компании – её экспертизе и опыте, и выполняются в изолированном пространстве, т.е. без риска нарушения непрерывности бизнеса и целостности и конфиденциальности данных. Кроме того, сервисы не требуют значительных капитальных вложений в разработку и являются компромиссным вариантом для усиления существующей защиты за счёт осведомлённости, информированности и подготовленности.

Продукты и сервисы в корпоративной среде есть суть элементы многомерного решения задачи защиты организации от кибер-угроз. Иными словами, это пища, которую необходимо и достаточно кушать целиком — с гарниром и основным блюдом.

В этот раз выпуск по следам наших давних публикаций.

Первое.

КДПВ – атомная электростанция во Франции, где, как я надеюсь, все супер с кибербезопасностью

Мы уже много лет на всех углах звоним в колокола о проблемах кибербезопасности промышленности и инфраструктуры. И эта проблема всё чаще оказывается в центре внимания госорганов, исследовательских институтов, СМИ и широкой публики. Но, к большому сожалению, пока мы не наблюдаем заметных положительных подвижек в этой сфере.

На этой неделе вышел отчет британского исследовательского центра Chatham House, в котором говорится, что риски кибератак на атомные электростанции растут по всему миру. Отчет длинный, основан на интервью с экспертами. Звучит, как ознакомление с содержанием эротического фильма по рассказу смотревшего его. Но что делать, отрасль-то секретная.

От  выводов исследования волосы понимающего человека начинают отчетливо шевелиться:

1. Никакой «физической изоляции» компьютерных сетей атомных станций не существует, это миф (тут замечу, что речь идет только о тех станциях, с которыми знакомы опрошенные международные эксперты; в любом случае, никакой конкретики). Британцы пишут, что на АЭС часто существуют соединения через VPN, часто их делают подрядчики, часто они в принципе не документированы, иногда просто забыты, но вполне себе живы и готовы к использованию.
2. Большое количество такого рода подключенных систем без проблем находятся в интернете через поисковики вроде Shodan.
3. Если изоляция существует, то она преодолевается с помощью флэшек (привет, Stuxnet!)
4. Атомная энергетическая отрасль по всему миру мало участвует в обмене информации о кибер-инцидентах, и в результате, мало учится у более продвинутых в этой сфере отраслей.
5. При этом повсеместно по экономическим соображениям увеличивается использование массового коммерческого (уязвимого) софта.
6. Множество промышленных систем управления изначально небезопасно спроектированы, и патчить их, без ущерба для производственных процессов, очень трудно
7. И много-много чего ещё, в полном отчете 53 страницы.

Эти леденящие кровь факты и подробности, конечно, вряд ли новость для специалиста по IT-безопасности. Но, будем надеяться, от таких публикаций что-то начнёт меняться. Самое главное, чтобы все заинтересованные участники стали активно латать дыры и чинить IT-безопасность до наступления больших неприятностей, а не после них, как, к сожалению, обычно в мире и бывает.

Отчёт рекомендует, среди прочего, продвигать проектирование изначально безопасных промышленных систем (“Security by design”). Это мы поддерживаем всеми руками! Наша безопасная ОС – инициатива как раз из этой серии. Сделать системы управления промышленным оборудованием, включая АСУТП, невзламываемыми означает принципиально улучшить ситуацию с кибербезопасностью мира вокруг нас. К сожалению, дорога это длинная и мы лишь в самом начале пути. Зато, уверен, движемся мы в правильном направлении.

Второе.

Много лет как я агитирую за создание глобального договора в области борьбы с кибервоенщиной. Сказать, что лёд в этом отношении тронулся, я пока не могу. Но он отчётливо трещит! Проблему обсуждают специалисты, дипломаты и научные работники. На высшем международном уровне, очевидно, идет поиск хоть каких-нибудь договоренностей, которые хоть как-нибудь должны ограничить и поставить в рамки кибершпионов и кибервояк.

Фото Michael Reynolds/EPA отсюда

Вот и Барак Обама и Си Цзиньпин в конце сентября договорились, что их страны – две крупнейшие экономики мира — не будут заниматься коммерческим шпионажем друг у друга. Более того, тема кибербезопасности доминировала на их совместной пресс-конференцией наряду с мерами по борьбе с изменением климата. При этом интересно, что проблему политического и военного кибершпионажа они обошли стороной.

Прорыв ли это? Конечно же, пока нет.

Однако это шажок в очень правильном направлении. Ходили слухи, Пекин с Вашингтоном ведут переговоры о «договоре о ненападении» в киберсфере. Предполагалось, что в нём две страны должны взять на себя обязательства в мирное время не нападать с помощью кибероружия друг на друга. На сентябрьской встрече лидеров стран эта тема не поднималась, но, будем надеяться, ещё поднимется. Это был бы хоть и символический, но важный шаг.

Хорошо бы такие договоры подписали в будущем все страны, а потом бы и вовсе договорились бы сделать Интернет и всю киберсферу демилитаризованной зоной. Это был бы самый хороший, хотя, увы, пока что и не очень реалистичный сценарий.

Кто убил Кеннеди?

В чём тайная цель мировой масонской ложи?

Ответы на эти вопросы гораздо ближе и проще, чем мы можем себе представить. Достаточно добавить «по информации, полученной из анонимных источников» и – вуаля! – мы наверняка знаем всё про всех и обо всём. Задача тем проще, если разоблачить негодяев в большом издании с увесистым авторитетом. Кто стоит за сомалийскими пиратами? Нет никаких сомнений!

Недавно подобным образом мировую кулису искусно приподняло агентство Рейтер.

Краткое содержание статьи: мы, оказывается, пишем вирусы, очень мудреные и специальные, и терроризируем ими конкурентов. И догадайтесь что? – вся аргументация строится на двух анонимных источниках из числа бывших обиженных сотрудников, которые ничтоже сумняшеся вылили в уши автору эпический бездоказательный бред, а автор с аппетитом его «схавал». ОК, Рейтер!!

Вот только почему-то нет упоминания, что мы этим грязным делом заняты исключительно в бане, куда мы прискакали верхом на медведях. Видимо, при редактуре статьи эти подробности пришлось вырезать. И так нажористо получилось.

Эта статья – зубодробительная смесь небольшого числа фактов, щедро разбавленных буйными фантазиями.

Действительно, в 2012-2013 гг. в антивирусной индустрии были серьезные проблемы с ложными срабатываниями. Многие вендоры (к сожалению, и мы в их числе) детектили совершенно безвредные файлы как зараженные. Это вообще довольно таинственная история, потому что выяснилось, что гадил кто-то довольно продвинутый, и гадил целенаправленно: по отраслевым каналам типа VirusTotal распространялись нормальные программные файлы, внутрь которых были засунуты строчки с вредоносным кодом. Причем злодеи прятали этот код так, чтобы конкретный антивирусный движок его вылавливал, включая наш. Я бы с большим удовольствием посмотрел в лицо негодяям, которые все это затеяли. Теперь вот Рейтер мне говорит, что это я и был. Как я могу относиться к такой статье? Вроде бы не первое апреля на дворе…

Теперь подробнее об этом случае: в ноябре 2012-го мы допустили ложное срабатывание и заблокировали несколько обычных файлов — игровой клиент Steam, игровой центр Mail.ru и клиент мессенджера QQ. Шум, переполох, внутреннее расследование. Выяснилось, что кто-то извне целенаправленно нам портил жизнь.

За несколько месяцев до этого наш вирлаб начал получать десятки слегка модифицированных файлов этих клиентов добавленными вредоносными строками. Получали мы их в первую очередь через сайт VirusTotal. Скорее всего, негодяи разбирались в том, как работает наш движок: сканнер анализирует не весь файл, и вот они свои закладки делали именно там, где надо, чтобы обмануть сканер. Новые файлы квалифицировались как вредоносные и в таком статусе сохранялись в базе данных.

А потом, когда Steam, Mail.ru и QQ начали обновлять свой софт, наш движок сравнил новые версии файлов с нашими записями и все заблокировал. Обычно такие программы быстро добавляются в разрешенные списки (whitelisting), но в данном случае движок успел их отправить в карантин раньше. Мы поменяли алгоритм, чтобы избежать детектов на основе только данных об имеющихся аналогичных файлах, но весь год этот кто-то так и слал нам их. Просто мы научились их не ловить.

Также мы узнали, что проблемы отнюдь не только у нас.

По некоторым компаниям эти файлы ударили очень сильно. В том же году состоялась закрытая встреча ряда софтверных компаний. Посидели, обсудили, обменялись данными. Но так и не смогли понять, ни кто это делал, ни зачем. Были разговоры, что это может быть нечистая на руку антивирусная компания, были страхи, что это какие-то могущественные негодяи так изучают, как работает наша отрасль. Может, чтобы научиться обходить защиту. Может, научиться портить жизнь кому-то. В общем, загадка.

Теперь же нас в этом обвиняют какие-то, видимо, поехавшие умом бывшие сотрудники. Ну, а как ещё можно объяснить такое поведение?

Вообще к абсурдным обвинениям у меня давно иммунитет. Ещё в конце 90-х на пресс-конференциях я ставил на стол табличку со словом «Нет», чтобы не терять времени — тогда каждому второму хотелось знать не пишут ли антивирусные компании вирусы. Мол, это же так просто – сначала написал вирус, а потом вылечил его. Страшно представить чем занимаются МЧСовцы, вулканологи и метеорологи.

Мне просто от души интересно, что ещё придумают про нас «бывшие сотрудники» и какое СМИ возьмётся этот бред опубликовать? Делаем ставки, ага? :)

А теперь обращение к тем силам, которые стоят за этой медиа-кампанией против нас в американской прессе: какие бы наезды на нас не случались, они не изменят нашу позицию детектить любые кибер-атаки, вне зависимости от их национальности и задач. Вредоносный код есть вредоносный код, а наши продукты от него защищают. Всегда. Точка.

Фото С.П. для привлечения внимания и напоминания, что Камчатка – лучшее место в мире :)

А теперь по делу.

Наша специализация была, есть и остается – цифровая безопасность. Мы очень неплохо в ней понимаем, вполне возможно, что лучше всех в мире. И поэтому к нам и не зарастает народная (и корпоративная) тропа, хоть мы и не Пушкин.

Но иногда душа просит чего-то нового. Хочется удивить людей. Сказано – сделано, итак, барабанная дробь… мы решили влиться в игровую индустрию и потеснить Grand Theft Auto, Counter Strike, World of Tanks, Цивилизацию, Тетрис, а заодно и пасьянс-косынку с сапером.

Не верите? Правильно не верите. Тетрис мы трогать не будем.

Ну да ладно, шутки в сторону, дальше чистая фактура.

Да, мы уже сделали игру, успешно продаем ее, и наслаждаемся успехом по всему миру. Сделана она в достаточно уникальном «настольно-серверном» жанре, подробности чуть ниже.

Ударить мы решили не по массовому сегменту, а по узкому, но довольно прибыльному классу инженеров, IT/ИБ-специалистов и менеджеров разного уровня и специализации крупных корпораций. Серьезная игра для солидных геймеров в учебно-развлекательном жанре.

Заставка с сайта нашего клиента — Mitsubishi Hitachi Power Systems

Дальше: общая идея игры такая…

Периодически (примерно раз в несколько лет) в кибермире случается очередная нехорошая неприятность. Что-то совершенно неожиданно ново-зловредное. Для большинства из нас (вас) – это очередной нежелательный сюрприз. Мы с коллегами обычно между собой комментируем это так: «ну вот, дождались…». Мы видим и понимаем основные тенденции «дарк-интернета», представляем стоящие за ними силы и их мотивацию, можем прогнозировать векторы развития ситуации.

Короче, зловредные сюрпризы для меня и наших экспертов — в большинстве своём давно ожидаемые события, которые вот, наконец-то произошли. И тут настаёт тот неловкий момент, когда приходится выступать с речью на тему «Добро пожаловать в новую эпоху». Типа, «мы же вас давно предупреждали»…

Что на этот раз? Автомобильное!

Вчера в WIRED была опубликована статья, начинающаяся словами: «Я вёл машину на скорости 70 м/ч, когда эксплойт овладел системой управления» (70 м/ч ~= 110 км/ч). В сей статье описан успешный эксперимент по удалённому взлому «чересчур умной» машины: секюрити рисёрчеры разобрали электронную систему Uconnect Jeep Cherokee, нашли уязвимость и через Интернет сумели получить контроль над критическими функциями автомобиля. И это не единичный «лабораторный» кейс, а дыра в почти полумиллионе машин с Uconnect. Опппааа…

На самом деле, проблема безопасности «умных» машин не нова. На эту тему я шутил 1-го апреля 2002-го года. Дошутился :) Дурацкая шутка получилась :(

Да, всё логично и понятно. Производители борются за покупателя, а редкий покупатель сейчас ходит без смартфона с интернетами, так что машина (чем дороже, тем быстрее) потихоньку превращается в его придаток. Смартфона и интернета, а не пользователя – если вдруг кто-то неправильно понял ход моей мысли.

В смартфон выносят всё больше функций управления и диагностики автомобиля. Uconnect здесь не одинок – практически у каждого крупного производителям есть свой аналог разной степени продвинутости: Volvo On Call, BMW Connected Drive, Audi MMI, Mercedes-Benz COMAND, GM Onstar, Hyundai Blue Link и многие другие.

На практике оказывается, что в этой гонке вооружений, частенько игнорируются вопросы IT-безопасности.

Почему?

Во-первых, нужно быстрее-быстрее возглавить модное направление («а потом разберёмся»); во-вторых, удалённое управление – это перспективный бизнес (а план продаж горит!); в-третьих, среди автопроизводителей распространено мнение об автономности технологий – вроде как в электронную начинку машины ни у кого ни желания, ни мозгов не хватит залезть. Ну, конечно же, и то и другое регулярно случается.

С лирикой занончили. Теперь про физику явления. А с физической технической точки зрения происходит вот что.

В далёком-лохматом 1986г. компания Bosch разработала стандарт CAN, который регулирует обмен данными между различными устройствами (микроконтроллерами) напрямую, без центрального компьютера. Микроконтроллер центральной панели при нажатии на кнопку «Кондиционер» сообщает микроконтроллеру, ага, кондиционера, что водителя нужно охладить. Нажали на педаль тормоза – снова микроконтроллеры обменялись сигналами и тормозные колодки трутся об металл.

Иными словами, если верить достоверным источникам информации, электронная система современного автомобиля – это одноранговая компьютерная сеть, спроектированная ~30 лет назад. Несмотря на то, что с тех пор CAN пережил множество редакций и прокачек, он до сих пор не имеет никаких секюрити функций. Это понятно – какой дополнительной безопасности требовать, например, от COM-порта? CAN – это низкоуровневый протокол, «транспорт» и в его описании прямо сказано, что безопасность должны обеспечивать использующие его девайсы (приложения).

То ли мануалов не читают, то ли слишком увлеклись конкурентной борьбой, но факт налицо: [некоторые] автопроизводители навешивают на CAN всё больше контроллеров, не заботясь об основных правилах безопасности. На одну и ту же шину, не подразумевающую контроля доступа, вешают целиком внутреннюю систему управления всем-всем.

В действительности, как и в «большой» компьютерной сети в автомобилях необходимо разделение доверия к контроллерам. Штуки, которые общаются с внешним миром, будь то установка приложений в медиасистему из онлайн-магазина или слив диагностики производителю должны быть жёстко разделены с системой управления двигателем, безопасности и другими критическими блоками!

Если автомобилем управляет, скажем, Android-приложение, то любой специалист по безопасности с ходу перечислит десяток вариантов, как обойти защиту и перехватить управление. В данном случае автомобиль не сильно отличается от банковского счёта и к нему могут быть применимы схожие технологии взлома, например, с помощью банковских троянцев. Ну, и, конечно, остаётся вероятность взлома через уязвимость, как в случае с Jeep Cherokee выше.

Что вселяет оптимизм?

О проблеме знают и относятся к ней серьёзно. Сразу после публикации статьи в WIRED, в США немедленно организовались законодательные инициативы по стандартизации автомобильных технологий в области кибер-безопасности. Производители тоже по мере сил стремятся решить проблему: недавно американский Auto Alliance анонсировал создание «Центра обмена и анализа данных» (правда, не представляю, как они собираются работать без представителей секюрити-индустрии). Мы сами работаем с несколькими брендами (не скажу какими) — консультируем как сделать лучше.

В общем, есть свет в конце тоннеля. Однако…

… однако, описанная проблема безопасности не ограничивается автомобилестроением. CAN и ему подобные стандарты используются в промышленности, энергетике, транспорте, умных домах, даже в лифте в вашем офисном здании — везде, ВЕЗДЕ!! И везде одна и та же проблема: наращивание функциональности идёт без учёта безопасности! Главное побыстрее, покруче накрутить, привязать к смартфону, подключить к Интернету! А потом оказывается, что и самолётом можно управлять через его развлекательную систему.

Что делать?

Выход номер один – пересесть на старые, до-Интернет технологии типа винтовых самолётов с аналогово-механическими системами управления… Шутка, конечное же. Никто «вперёд в прошлое» не собирается, да уже и не сможет. Технологии прошлого тормозные, неудобные, низкоэффективные, да и… менее безопасные! Так что назад пути нет. Только вперёд!

Движение вперёд в эпоху полимеров, биотехнологий и цифр даёт просто сумасшедшие результаты – просто посмотрите вокруг себя и внутрь своих карманов. Всё движется, летает, доставляется, сообщается и обменивается на принципиально других скоростях по сравнению с предыдущими эпохами. Автомобили (да и другие транспортные средства) только часть этого.

Всё это действительно делает жизнь более комфортной и удобной, к тому же «цифра» закрывает многие старые проблемы надёжности и безопасности. Но, увы, одновременно создаёт и новые проблемы. И если вот так сломя голову рваться вперёд-вперёд, без оглядки, тяп-ляп «гнать функционал», то в конце концов мы придём к непредсказуемым и даже фатальным последствиям. Примерно как Цеппелины.

А ведь можно (и нужно!) сразу сделать красиво! Нужны отраслевые стандарты, новая, современная архитектура и ответственное отношение к разработке новых фичей с учётом безопасности.

Короче, очень интересное исследование и очень интересно как дальше будут развиваться дела. Кстати, на Black Hat в августе будет доклад авторов этого хака — надо обязательно послушать!

UPDATE: Наш подход к защите «умных» автомобилей.

PS: считайте меня ретроградом (хотя на самом деле я параноик :), но, какой бы крутой ни была «умная» начинка машины я бы первым делом её отключал… если бы была такая фича. Прямо кнопкой на панели – «ноу сайбер».

PPS: Хотя скоро, такими темпами, автомобили без подключения к «облаку» заводиться откажутся.

PPPS: А облако (и все подключенные к нему машины) быстренько взломают через какую-нибудь крайне важную функцию, типа распознавания лица владельца для автоматической подстройки зеркал и кресла.

PPPPS: а потом будут продавать авто бесплатно, но с привязкой к определённой сети заправок цифровой сети – и пихать попапы прямо на лобовое стекло. А на время рекламы перехватывать управление в автоматический гугл-режим.

PPPPPS: Кто еще чего добавит креативного по автобезопасности и вообще?

Упал, отжался, полетел дальше.

Начну с неприятной, а ещё более туманной, а потому тем более неприятной новости из области безопасности критической инфраструктуры. В воскресенье национальный польский авиаперевозчик LOT сообщил, что из-за некоей «IT атаки» в варшавском аэропорту были отменены и задержаны десятки рейсов, почти полторы тысячи пассажиров были «замаринованы» на земле. Пожалуй, это всё, что известно наверняка — дальше пошла аналитика, умозаключения, прогнозы и прочие домыслы.

Я не буду вдаваться в подробности инцидента за гранью официально опубликованных данных — вместо этого рекомендую ознакомиться с этой статьёй, которая, как мне кажется, наиболее понятно и аргументированно описывающей причины.

Официальные же данные однозначно указывают на то, что в IT системе LOT (а это, скорее всего, стандартная система, используемая и в других авиакомпаниях и аэропортах) есть неприятная дыра, которая не просто стала известна неким кибер-негодяям, но и была успешно протестирована. Как часто летающий пассажир я очень надеюсь сей инцидент будет серьёзнейшим образом расследован, а дыра закрыта. И вот эта дыра тоже.

И вообще что-то в последнее время участились неприятности в авиатранспорте по софтовой части. Вот в мае во время испытаний недалеко от Севильи упал военный грузовик A400 из-за неправильной конфигурации системы управления двигателями. Вот все сейчас поехали в Питер на Сапсане, а я сижу в Ш2 пролётом из Мюнхена и недоумеваю…

Дальше: о наболевшем и о будущем…

Итак, наши сети вытащили… нет, не мертвеца, а вполне себе живчика. И не просто «живчика», а мегапродвинутого зловреда. Сложнейшую шпионскую атаку, по уровню превосходящую всё, ранее нам известное. Этакий кибермонстр, помесь ксеноморфа с терминатором, да заодно и с «хищником» — поскольку тварь эта не только агрессивная, всепроникающая, неубиваемая – но заодно еще и практически абсолютно невидимая.

Итак, мы поймали киберзмейгорыныча международного масштаба, причём не где-нибудь, а в довольно неожиданном месте – в нашей собственной корпоративной сети. Вот такой сюрприз!

(с)

Ну, естественно, началось расследование и шло круглые сутки несколько месяцев подряд (быстрее невозможно – уж слишком сложный и профессиональный «живчик» оказался). Но есть и хорошая новость: с нашими продуктами, сервисами, базами данных, клиентскими данными все в порядке, никаких рисков для клиентов нет. Негодяи смогли подсмотреть только за нашими разработками и текущими расследованиями. И я до сих пор не понимаю, зачем им это было надо.

Читать дальше…

Давным-давно (уже не каждый аксакал может вспомнить когда именно), где-то в самом начале 2000х (аж почти 15 лет назад) мы выпустили самую неудачную версию нашего антивируса. Она была мощнейшей по качеству защиты от зловредства, с развесистыми настройками, но оказалась тяжёлой и тормозной, особенно на фоне наших предыдущих версий.

Тут можно ввязаться в игру сослагательностей и вечных вопросов «кто виноват?», «что делать?» и пр., но я этого делать не буду (но кадровые выводы во всех смыслах тогда были весьма серьёзными). Ясно одно – без этого стародавнего факапа ещё неизвестно кем бы мы были сейчас. Важно, что мы поняли ошибку, сделали выводы и исправились – следующая «шестёрка» уже по всем параметрам обгоняла конкурентов. Благодаря ей мы скоро заняли доминирующее положение в мировом антивирусном ритейле (коробках) и продолжаем наращивать свою долю.

Да, новые продукты рвали всех по всем параметрам, включая производительность. Но неприятный запах тормознутости нас преследовал ещё много лет… Да, что говорить, эта тема до сих пор попахивает. Тогда конкуренты нехило вложились в сетевой троллинг и до сих пор не могут остановиться (а больше троллить-то и не за что :).

А сейчас объявляется субботник по очистке ушей от стародавней лапши!

Ловите подборку недавних тестов производительности антивирусов. Только факты сразу от нескольких известных тестовых лабораторий — отличная пища для ума. Посмотрите на других вендоров, сравните и оцените результат:

1. AT-Test.org

Я много раз говорил, что для получения объективной картины нужно смотреть на максимально широкий спектр тестов в как можно более глубокой исторической перспективе. Известны случаи, когда некоторые вендоры вместо обычного «полевого» продукта подсовывали тестировщикам специально «заточенные» версии для конкретного теста.

Ребята из Магдебургской лаборатории проделали титаническую работу, проанализировав показатели 23 антивирусов за год (01/2014 – 01/2015) на предмет замедления работы компьютера.

Дальше: главное не однократный выигрыш, а стабильно высокий результат…

Впервые термин «Интернет-Интерпол» был использован мною где-то в начале 2000-х. Самый первый письменный источник датирован 2003-м годом. И, вот, то, о чём я говорю уже 12+ лет наконец случилось!

На днях в Сингапуре официально открылся новый офис Интерпола, который будет заниматься зачисткой кибер-пространства от криминального элемента. Это будет не только координация действий кибер-полицейских различных стран для борьбы с международным хакерством и другими сетевыми болезнями. «Киберпол» также подписался исследовать, обучать, пропагандировать и делать много всего прочего-полезного во имя безопасного Интернета.

Это событие на самом деле глобально-кибер-эпохальное и преувеличить его сложно. До сих пор кибер-мошенники пользовались разобщённостью национальных правоохранительных органов. Доходило до смешного — одни полицейские у нас спрашивали контакты других, хотя, казалось бы, всё должно быть наоборот. Разумеется, такая борьба двух систем (без границ у кибер-криминала и государственной кибер-полиции в пределах национальных границ, ну, или в лучшем случае, евро-границ) ни к чему хорошему привести не могла. Это, собственно, мы все и наблюдали последние 15 лет, когда обнаглевшие кибер-негодяи практически безнаказанно стригли многомиллиардные купоны. Некоторых из них всё-таки вылавливали и наказывали, но, по большому счёту, это была верхушка айсберга.

Что в случившемся особенно приятно — центр был открыт при нашем активном участии и всяческой поддержке. Организационной, консультационной, финансовой и даже кадровой. Вот, например, В.К. — наш «чрезвычайный и полномочный» эксперт при Интерполе, теперь постоянно живёт и работает в Сингапуре, помогает коллегам поднимать, развивать и углублять знания, практические навыки и текущие расследования. И на жизнь не жалуется :)

Что ещё из интересного?

Дальше: c кем поведёшься такой у тебя и акцент будет…

Коротко: неизвестные кибернегодяи проникли в корпоративную сеть одного из немецких сталелитейных производств, откуда они получили доступ к компьютерам АСУТП (СКАДА) – к системам, управляющим сталелитейными процессами. Затем эти системы получили команды, которые привели к физическим разрушениям в доменной печи.

Да, это не самая свежая новость. О ней было известно ещё в конце 2014-го, но мы ждали каких-либо дополнительных деталей. До сих пор ждём, но их пока нет (засекречено), посему буду рассказывать о произошедших событиях с точки зрения опытного удалённого наблюдателя.

Итак, опять случилось. Очередное очень-очень нехорошее событие, о возможности которого так долго говорили секюрити-эксперты, включая меня. Так и хочется процитировать г-на Черномырдина: «Никогда не было, и вот опять». И вдогонку крылатая фраза забытого мною автора: «А мы предупреждали!»

Сразу сообщаю все известные и неизвестные нам (нам как компании и лично мне) подробности, чтобы не было недосказаного:

• Да, в Германии кибератака на промышленный объект (сталелитейку) привела к серьезным физическим разрушениям.
• Произошло это в прошлом (2014-м) году на неизвестном нам металлургическом заводе. Конкретная дата и время тоже неизвестны.
• Что конкретно было повреждено, выжила ли сама домна (или её надо будет разобрать и построить заново) – неизвестно.
• Как именно злоумышленники технически проникли в компанию, какие зеродеи и зловредства учиняли, какими командами рушили домну, какие именно PLC были под атакой – нам это всё тоже неизвестно.

Итого: нам вообще мало что известно, кроме самого факта атаки и её результата, когда живое коммерческое сталелитейное производство было физически разрушено при помощи злоумышленного внешнего кибер-внедрения.

Источник

Абзац. — есть такое ёмкое по смыслу и экспрессии слово. «Это – абзац!!!»  То есть, надо сделать отступ и еще раз перечитать то, что было написано чуть выше.

Перечитали? Поняли? Ну, тогда едем дальше.

Дальше: а что вообще известно об этом инциденте?…