Тел 24/7

+992 88888 38 99

E-mail

support@fps.tj

Десять аксиом кибербезопасности. Аксиома четвертая. Знай свои активы

Десять аксиом кибербезопасности. Аксиома четвертая. Знай свои активы

В отличие от трех предыдущих аксиом, четвертая, которой и посвящена данная статья, обычно не вызывает вопросов. Нет ничего очевиднее: чтобы защитить что-то, надо знать, что мы защищаем. Однако эта кажущаяся легкость обычно и приводит к множеству ошибок – они обходятся нам слишком дорого и дают дорогу злоумышленникам к нашим системам и данным. Начну с простого, но очень эффектного примера. Летом 2017-го стало известно о попытке взлома одного из казино в Лас-Вегасе через… аквариум. Этот дворец для рыб был подключен к Интернету для удаленного контроля состояния воды, ее температуры и солености, а также для автоматизированного питания морских обитателей. Хакерам удалось отыскать подключение аквариума и, проникнув во внутреннюю сеть казино, украсть базу VIP-игроков на высоких ставках, которая представляет особый интерес для конкурентов, которые могут переманить этих игроков к себе (помните последнюю серию «Друзей Оушена», где Дэнни Оушен переманил важных игроков у Уилли Бэнка?). В данном случае казино знало только один свой актив – список VIP-игроков, но не знало о втором – аквариуме с подключением к Интернет.

Могу привести и другой, наверное, более близкий многим пример. Почти в любой организации существует перечень сведений конфиденциального характера, который… ничего не содержит и не помогает защищать то, что позволяет компании выделяться на фоне конкурентов и зарабатывать деньги. Посмотрите на него внимательно. Скорее всего там есть расплывчатые и совершенно неконкретные фразы про «информацию о клиентах», «персональные данные», «ноу-хау» и т. п. Кто владеет этими сведениями? Где они хранятся? В какой форме передаются? Кто имеет к ним доступ? В итоге мы вроде и знаем об активах в виде защищаемой информации, но это знание абсолютно бесполезно.

Типы активов

Для того чтобы точно понимать, что в вашей организации требует защиты, необходимо выделить несколько ключевых типов активов:

Информационные. Это то, что чаще всего всплывает в голове, когда речь заходит о кибербезопасности или защите информации. Коммерческая тайна, персональные данные, инсайдерская информация, банковская тайна, врачебная тайна… Всего в российском законодательстве более 65 видов тайн, которые надо сохранять. А еще в каждой организации есть свой пласт информации, требующей защиты.

Физические. Как вы думаете, какой актив относится к одному из самых часто теряемых или украденных? Ноутбуки. Их оставляют в кармане впереди стоящего кресла в самолете или экспресса в аэропорт; их забывают в такси или кафе. С одной стороны, утеря ноутбука сама по себе не несет угрозы для информационной безопасности. Ведь хранящаяся на нем информация относится к другому типу защищаемого актива. С другой – лэптопы имеют немалую стоимость (особенно после недавнего анонса компании Apple). Кроме того, атака на компьютер (или на смартфон или промышленный контроллер) может привести к тому, что он превратится в «кирпич» и станет непригодным для выполнения своих основных задач.

Сервисные. Многие компании ринулись сейчас в цифровую трансформацию и стали внедрять к месту, а чаще нет, прорывные технологии. Возьмем, к примеру, блокчейн, на базе которого могут быть построены сервисы управления цепочками поставок, расчетов за электроэнергию, ведения кадастров недвижимости или обмена залоговыми накладными. Уязвимость в этих сервисах способна привести к невозможности дальнейшего оказания определенных услуг и признания недействительными результатов предыдущих сделок в них. Другой, более приземленный пример влияния ИБ на сервис – реализация атак «отказ в обслуживании», которые могут повлиять на доступность, скажем, сервиса дистанционного банковского обслуживания, интернет-магазина или просто обычного сайта. Два года назад, во время эпидемии вредоносного кода Nyetya (он же NotPetya) попала «под раздачу» датская Moller-Maersk – за 7 минут все 49 000 компьютеров, 3500 серверов (из 6200) были уничтожены; остановилась работа всех 1200 приложений (1000 из них также уничтожены). Ущерб составил от 200 до 300 миллионов долларов США (хотя авторы самого вредоноса заработали на нем всего 18 тысяч долларов).

Человеческие. Предпоследние в списке, но не последние по значимости активы, которые часто недооцениваются и которым службы ИБ (и тем более ИТ, если именно они отвечают за кибербезопасность) уделяют несоизмеримо мало внимания. А ведь именно человек становится самым слабым звеном в любой организации и именно из-за его ошибок или явных злонамеренных действий происходят многие проблемы. Именно человек открывает фишинговые письма. Именно человек вставляет подкинутые флешки в свой компьютер. Именно человек записывает пароль на стикер и приклеивает его к монитору.

Нематериальные. Этот тип активов обычно очень редко выделяется в качестве объекта защиты многими специалистами по кибербезопасности. Хотя они ближе всего к тому, что понятнее всего бизнесу. Репутация, бренд, доверие, лояльность, интеллектуальная собственность. Все то, что достаточно сложно измерить, но то, что составляет ценность для компании, ее клиентов и партнеров. Возьмем, к примеру, рассылку фишинговых писем от имени компании. Какие активы страдают в данном случае? Информационные? Нет. Физические? Сервисные? Человеческие? Тоже нет. А вот удар по репутации компании и снижение лояльности клиентов и партнеров налицо. И все это результат недооценки вопросов защиты нематериальных активов. Любопытный случай, связанный с этим типом активов, произошел в 2011 году. Американская компания HBGary Federal, занимавшаяся административными проверками граждан, претендующих на федеральные должности, была взломана. Спустя год компания вынуждена была объявить о своем закрытии в связи с утратой доверия клиентов.

img

Классификация активов

Вторым шагом, после определения типов активов, требующих защиты, станет их классификация в соответствии с их ценностью для бизнеса. От этого будет зависеть, сколько мы сможем потратить на их защиту (ведь мы помним аксиоматическое правило «стоимость защиты не должна превышать стоимость защищаемого актива»). Человеческие, сервисные и физические активы классифицировать обычно проще всего. Сотрудники и люди, работающие по контракту, разделяются по информации и сервисам, которые им нужны для выполнения служебных обязанностей. Физические активы определяются по их балансовой стоимости (это самый простой вариант). Сервисные – по их влиянию на бизнес-показатели. Про классификацию информационных активов можно написать целую книгу, и уж точно размер настоящей статьи не позволяет полностью раскрыть эту тему. Следует только сказать, что для автоматической классификации структурированных и неструктурированных данных подойдет несколько типов решений – DLP (Data Leakage Protection), DRM (Digital Rights Management), CASB (Cloud Access Security Broker), DAG/DCAP (Data Access Governance / Data Centric Audit and Protection), ECM (Enterprise Content Management), а также встроенные возможности в IaaS/SaaS-платформы (в частности, Office 365), системы хранения и резервного копирования.

Знай своего врага

Еще в конце VI – начале V века до нашей эры в китайском трактате «Искусство войны» было написано: «Если ты знаешь врага и знаешь себя, тебе нет нужды бояться сражений. Если ты знаешь себя, но не знаешь врага, при каждой победе ты понесешь поражение. Если ты не знаешь ни врага, ни себя, проиграешь каждый бой». Поэтому развитием аксиомы «Знай свои активы», является принцип «Знай своего врага», подразумевающий, что мы должны классифицировать тех, кто может атаковать наши активы и нанести им вред в той или иной форме. К сожалению, как и в случае с активами, не существует общепризнанной классификации «плохих парней» и их выбор зависит от того, в какой отрасли вы трудитесь. Например, у ФСБ существует такая классификация нарушителей, состоящая из шести уровней:

1)      Возможность проводить атаки только за пределами контролируемой зоны (КЗ).

2)      Возможность проводить атаки в пределах КЗ, но без физического доступа к средствам вычислительной техники (СВТ).

3)      Возможность проводить атаки в пределах КЗ, с физическим доступом к СВТ.

4)      Возможность привлекать специалистов, имеющих опыт в области анализа побочных электромагнитных излучений и наводок.

5)      Возможность привлекать специалистов, имеющих опыт в области использования недокументированных возможностей (НДВ) на уровне прикладного ПО.

6)      Возможность привлекать специалистов, имеющих опыт в области использования НДВ на уровне системного ПО.

 

У ФСТЭК своя классификация, которая, однако, пересекается с тем, что предлагает ФСБ, и базируется на способности нарушителя использовать недокументированные возможности (закладки) в программном обеспечении:

1)             Нарушители с низким потенциалом.

2)             Нарушитель со средним потенциалом.

3)             Нарушитель с высоким потенциалом.

К сожалению, описанные классификации учитывают лишь атаки на информационные активы и «забывают» про остальные активы, более нужные и важные для бизнеса, но совершенно бесполезные для деятельности двух регуляторов, отвечающих в России за информационную безопасность. В ГОСТ Р 52448-2005 «Обеспечение безопасности сетей электросвязи. Общие положения» дана более реальная классификация нарушителей:

  • Террористы и террористические организации.
  • Конкурирующие организации и структуры.
  • Спецслужбы иностранных государств и блоков государств.
  • Криминальные структуры.
  • Взломщики программных продуктов ИТ.
  • Бывшие сотрудники.
  • Недобросовестные сотрудники и партнеры.
  • Пользователи.

Выбор актуальных для нас нарушителей (именно для нас, а не теоретически возможных) позволяет нам в дальнейшем сфокусироваться на так называемом моделировании угроз, что позволит определиться с примерным перечнем плохих действий, способных нанести вред нашим активам. Очевидно, что пользователи вряд ли будут атаковать нас через уязвимости в прошивках или процессорах Intel; в отличие от спецслужб иностранного государства. Это еще одна тема, которой можно посвятить целую книгу (я даже пишу такую). Для простоты изложения могу порекомендовать изучить существующие каталоги угроз, из которых можно выбрать то, что мы считаем актуальным для применяемой нами модели нарушителя. Это может быть «Threats Catalogue Force majeur» от немецкого института BSI, банк данных угроз от российской ФСТЭК или каталог угроз CAPEC/ATT&CK от американской корпорации MITRE. Правда, стоит критически оценивать их содержимое и не забывать обновлять свои знания о методах, применяемых хакерами. Возьмем такой информационный актив, как пароль. Мы прекрасно понимаем, что его надо защищать. Поэтому будем бороться с теми пользователями, кто записывает пароли на стикеры и приклеивает их к мониторам или к обратной стороне клавиатуры. Но знаете ли вы, что согласно исследованию Касперского, на фитнес-трекер или умные часы можно загрузить вредоносный код, способный не только отслеживать перемещение владельца, но и «красть» логины/пароли (точность 96%) и PIN-коды (точность 87%)? Готовы ли мы бороться с этой, достаточно свежей угрозой на наш информационный актив?

Заключение

Помните старую русскую сказку «Поди туда – не знаю куда, принеси то – не знаю что»? Она очень хорошо отражает ситуацию в тех организациях, где не следуют описанной в данной статье аксиоме. Действительно, как можно защищать неизвестные активы от неизвестных нарушителей, реализующих неизвестные угрозы? Действия службы ИБ в этом случае будут носить хаотический характер и, как правило, окажутся бесполезны. Другое дело, когда мы обладаем полной информации о том, какие активы у нас есть и против кого мы выстраиваем систему защиты. Правда, возвращаясь к началу статьи, не нужно безоговорочно верить в то, что мы знаем все свои активы. Владельцы казино тоже думали, будто знают, но хакеры продемонстрировали им их неправоту. Поэтому в заключение хочу сказать только одно: «Знайте свои активы! Знайте своего врага! Знайте его методы!» Это залог успеха в обеспечении кибербезопасности.

Ключевые слова: кибербезопасностькиберугрозы

Горячие темы: Аксиомы кибербезопасности

Журнал: Журнал IT-Manager [№ 06/2019]Подписка на журналы

Об авторах

Алексей Лукацкий

Алексей Лукацкий

Бизнес-консультант по безопасности Cisco.

Коммерческий дата-центр Xelent достиг 80% заполнения стоек

Коммерческий дата-центр Xelent отчитался о рекордном для петербургских ЦОД уровне заполнения стоек в 80%. Такой результат достигнут за счет роста количества инсталлированных стоек в первом полугодии 2019. Стимулом для притока клиентов послужила успешная сертификация Xelent на соответствие уровню Tier 3.

Существенную роль в достижении 80% заполнения внесли существующие клиенты, которые значительно увеличили свое присутствие в дата-центре, перенеся в него оборудование из других дата-центров (в том числе и из других регионов) или собственных серверных.

Высокий уровень заполнения Xelent свидетельствует о технологических преимуществах, которые обеспечивают высокую плотность размещения клиентского оборудования, отмечают в компании.  Для ее достижения в ЦОД Xelent применяются 48U-стойки, рассчитанные на среднее потребление 10кВт и охлаждением с PUE 1,3. Xelent предлагает клиентами не только услуги размещения оборудования, но и предоставляет его в аренду, загружая тем самым свою емкость. Дата-центр всегда ориентировался на все клиентские сегменты — от юнитов до десятков и сотен стоек, что позволило обеспечить приток клиентов из различных отраслей и масштабов бизнеса.

В стратегии развития Xelent – дальнейший переход на сервисную модель и развитие клиентских приложений. Компания наращивает продажи партнерских облачных решений, работая по модели мульти-облачного агрегатора, параллельно развивая свой портфель облачных сервисов там, где отсутствуют предложения партнеров. Недавно ЦОД запустил личный кабинет для клиентов, в котором можно управлять своими ресурсами и подключать новые продукты, и предоставляет всем клиентам, независимо от масштаба, сервис enterprise-уровня и техническую поддержку из четырех специалистов разных специальностей в режиме 24\7.

Новый облачный сервис — виртуальный дата-центр под управлением VMware VCloud Director — позволяет клиентам оперативно управлять облачной инфраструктурой и глубоко интегрировать ее в имеющуюся ИТ- инфраструктуру компании.

«Сейчас мы собираем пул клиентов, которым будет предоставлено бесплатное тестирование виртуального ЦОД и виртуального частного облака сроком сразу на три месяца, – комментирует Илья Рогов, директор по облачным сервисам Xelent. – Фактически, выгода клиента от тестовой эксплуатации сервиса составит около одного миллиона рублей. А после окончания тестового периода мы гарантируем стоимость сервиса ниже, чем в среднем по рынку».

Компания: Дата-Центр Xelent

OPPO Reno 10x Zoom уже в продаже: зум без потери качества

Компания OPPO объявляет о старте продаж Reno 10x Zoom, смартфона с 10-кратным гибридным зумом без потери качества и тройной камерой с модулями на 48 МП, 13 МП и 8 МП. Новинка также оснащена 16 МП фронтальной камерой на поворотном модуле, процессором Qualcomm Snapdragon 855 и технологией быстрой зарядки VOOC 3.0.

Смартфон будет доступен в официальном онлайн-магазине, а также в сетях магазинов «МВидео» и «Эльдорадо» с 15 июня. Цена устройства составляет 64 990 рублей.

При покупке до 8 июля в магазинах ретейлеров пользователи получат в подарок наушники JBL Charge 4, стоимостью 8 490 рублей. А в период с 9 июля по 9 сентября, покупатели получат в подарок наушники JBL T190 BT, стоимостью 2 090 рублей.

Роскачество составило топ фотоаппаратов

Роскачество совместно с коллегами из Международной ассамблеи организаций потребительских испытаний (ICRT International Consumer Research and Testing), провело исследование фотоаппаратов, оценив качество снимков, сделанных в автоматическом и ручном режимах, качество видео и звука, функциональность и удобство использования.

В исследование вошли 98 моделей, среди которых 55 моделей беззеркальных аппаратов со сменной оптикой, 30 – зеркальных (профессиональные, продвинутые и любительские), 10 – компактных (обычных, продвинутых и с поддержкой съемных объективов) и 3 – псевдозеркальных.

Программа испытаний включила 326 показателей по основным шести категориям: качество изображения в автоматическом режиме, качество изображения в ручном режиме, качество видео, качество монитора и видоискателя, функциональность и удобство использования.

Беззеркальные камеры со сменным объективом

По результатам испытаний среди беззеркальных камер с поддержкой сменных объективов лидерами стали модели:

  • Nikon Z6 с NIKKOR Z 24-70mm 1:4 S,
  • Nikon Z7 с NIKKOR Z 24-70mm 1:4 S,
  • Sony Alpha 7 III с SEL FE 28-70mm 1:3.5-5.6 OSS.

Интересно, что разброс по качеству у одной и той же торговой марки может быть действительно заметен, как например Fujifilm X-T3 и X-H1 находятся в десятке лучших беззеркальных камер, а Fujifilm X-A3 замыкает рейтинг фотоаппаратов данного типа. У последнего фотоаппарата низкие баллы за стабилизатор, качество видео и скорость. При этом между брендами далеко не всегда есть существенные различия.

Также стоит отметить, что представители всех исследуемых марок (Canon, Fujifilm, Nikon, Panasonic и Sony) набрали очень высокие баллы за съемку на улице при ярком освещении, что, впрочем, неудивительно, так как это самая повседневная базовая функция. Такая же история и с портретной съемкой. Однако здесь в топе был фотоаппарат, делающий, по мнению экспертов, просто безупречные портреты – Fujifilm X-Pro2 с объективом FUJINON SUPER EBC 35mm 1:1.4 R.

Лучшую цветопередачу в автоматическом режиме показали:

  • Fujifilm X-T3 с объективом FUJINON SUPER EBC XF 50mm 1:2 R WR,
  • Sony Alpha 7 III с SEL FE 28-70mm 1:3.5-5.6 OSS
  • Canon EOS M100 с MOUNT ADAPTER EF-EOS M + EF 50mm 1:1.8 STM (кстати, сама модель этого фотоаппарата – довольно бюджетный вариант).

А вот в ручном режиме лучшая цветопередача у:

  • Fujifilm X-T30 с объективом FUJINON ASPHERICAL SUPER EBC XF 18-55mm 1:2.8-4 R LM OIS,
  • Fujifilm X-T3 с FUJINON SUPER EBC XF 50mm 1:2 R WR
  • Fujifilm  X-E3 с FUJINON SUPER EBC XF 56mm 1:1.2 R APD.

В свою очередь, лучшие видео были сняты на:

  • Nikon Z7 с MOUNT ADAPTER FTZ + AF-S NIKKOR 85mm 1:1.8 G и с NIKKOR Z 24-70mm 1:4 S,
  • Nikon NIKKOR Z 24-70mm 1:4 S
  • Panasonic LUMIX DC-G9.

Зеркальные фотоаппараты или «зеркалки»

Для исследования зеркальных фотоаппаратов бралась техника Canon, Nikon и Pentax, но и здесь очевидного лидера нет. Модель Nikon D3500 с объективом AF-S NIKKOR 50mm 1:1.8 G смогла занять первое место по показателю съемки в ручном режиме и второе – в автоматическом. Лидером топа по качеству съемки в автоматическом режиме стала модель Canon EOS 77D с объективом EF 50mm 1:1.8 STM.

Многих подвело появление на снимках дисторсии (искажение линий и геометрических объектов) и в формате JPEG, и в RAW. Любопытно, что Pentax K-1 II с объективом SMC FA 77mm 1:1.8 Limited, показавший себя хуже других фотоаппаратов в качестве съемки улицы при ярком освещении, проблем с дисторсией как раз не имел и получил за этот показатель отличные баллы.

Компактные фотоаппараты или «мыльницы»

Лучшими мыльницами стали:

  • Fujifilm X100F
  • Panasonic LUMIX DC-LX100M2
  • Canon PowerShot G1X Mark III

Сильными сторонами Fujifilm и Canon оказалось качество съемки улицы при дневном освещении, а также стабилизация изображения.

Лучшими в съемке улицы оказались Sony Cyber-shot RX0, Fujifilm X100F и Canon PowerShot G1X Mark III, а в портретной съемке – Fujifilm X-A5 с FUJINON SUPER EBC XF 50mm 1:2 R WR, Canon PowerShot G5X и PowerShot G1X Mark III. Фотоаппараты Panasonic показали высокие результаты в тесте динамического диапазона при высоких ISO.

https://www.it-world.ru/

Facebook заплатит штраф в $5 млрд за передачу данных Cambridge Analytica

Американская U.S. Federal Trade Commission, как ожидается, оштрафует компанию Facebook на $5 млрд за неподобающее обращение с данными пользователей. В частности, имеется в виду инцидент с британской политико-консультационной компанией Cambridge Analytica.

Ожидается, что помимо выплаты штрафа, компания Facebook также попадет под пристальное наблюдение властей касательно того, как именно она обрабатывает данные пользователей и не грозит ли еще подобный случай.

В Конгрессе часть конгрессменов назвали штраф слишком большим, но им напомнили, что компания Facebook заработала в 2018 году $55,8 млрд выручки и $22,1 млрд прибыли.

Huawei инвестирует $3.1 млрд в Италию в течение трех лет

Компания Huawei планирует сделать в Италию крупные инвестиции, вложив $3.1 млрд в ближайшие три года. При этом будет создано порядка 1000 рабочих мест. Параллельно 1000 рабочих мест будет сокращено в США.

Также в Huawei отметили, что несмотря на то, что Министерство финансов США по-прежнему держит компанию в бане, у предприятия есть «план Б», где взять комплектующие и ПО.

При этом США давит на Италию и другие европейские страны с целью не допустить оборудование Huawei к строительству сетей 5G и другой сетевой инфраструктуры в ЕС.

Правящая коалиция Италии в марте одобрила китайский транспортно-инфраструктурный план «Пояс и путь», став первой крупной державой Запада, которая поддержала эту инициативу. Этот шаг, как указывает агентство Reuters, рассердил Вашингтон и встревожил другие страны Евросоюза. Они опасаются, что через Италию Китай получится доступ к новейшим технологиям.

Стремясь успокоить США, на прошлой неделе Рим принял указ об усилении своих полномочий в инфраструктурных проектах, предусматривающих развертывание в стране сети 5G. Указ должен быть одобрен парламентом в ближайшие 60 дней. В Huawei призвали Италию применять особые полномочия не только к китайским вендорам, но и всем поставщикам телекоммуникационного оборудования из ЕС.

Число пользователей связи 5G превысит к 2023 году 1 млрд в Азии и Северной Америке

Компания IHS прогнозирует, что к 2023 году число пользователей связи 5G составит в Северной Америке и Тихоокеанско-Азиатском регионе 1,1 млрд человек.

К текущему моменту 5G запущена, в частности, в Австралии и Южной Корее. В США связь стандарта 5G предоставляют в некоторых регионах страны компании Verizon, AT&T, Sprint и T-Mobile.

Прогнозируется, что в США число пользователей связи стандарта 5G составит к 2023 году 294 млн человек. В Азиатско-Тихоокеанском регионе таких будет 785 млн.