Пора ломать традиции!
Традиционные системы предотвращения вторжений (IPS), купленные и с ежегодно продляемым контрактом, есть у многих. И антивирусы тоже есть у многих. И межсетевые экраны. И системы контентной фильтрации. А инцидентов меньше не становится. Почему такая несправедливость?
Причин тому несколько. Первая — размытие периметра и невозможность контроля, ранее сконцентрированного в нескольких местах аккумуляции основных объемов трафика. Это направление, когда мы ставили средства защиты либо на периметре, либо в ЦОДе, либо на ПК, остается необходимым, но уже явно недостаточным для того, чтобы считать свою сеть сколь-нибудь защищенной от современных угроз.
Посмотрите на эту картинку. Что вы видите? Есть ЦОД, расположенный в центре. Есть периметр (справа), который обеспечивает нам подключение к внешним интернет-ресурсам изнутри компании. Есть периметр слева, который дает возможность удаленного доступа сотрудникам к внутренним ресурсам компании. Есть удаленные площадки (офисы, филиалы и т.п.).
Блоки сетевой архитектуры современного предприятия
Допустим, мы смогли четко очертить границы нашей сети, хотя с активным внедрением мобильных технологий и облачных вычислений это достаточно затруднительно. Но значит ли это, что у нас не может быть ушлого сотрудника, который притащил 3G/LTE-модем, и, подключив его к корпоративному ПК, не выходит в Интернет в обход средств периметровой защиты? Скорее всего, нет. А можем ли мы гарантировать, что сотрудник, для облегчения своего труда, не поставил в кабинете точку беспроводного доступа, к которой извне не подключился злоумышленник или просто желающий «на халяву» посерфить в Интернете? Тоже не можем.
Для решения этой задачи нужны новые технологии, например, NBAD (network-based anomaly detection), о которых я уже писал в сентябре. Но, допустим, мы их внедрили, а инциденты все равно появляются. Меньше, но все же есть. Почему? Неужели установленные у нас средства защиты не справляются с угрозами? Как это ни парадоксально, но далеко не всегда. Существует целый класс атак, которые специально разрабатываются для обхода традиционных средств защиты. Это целенаправленные атаки (APT). Если посмотреть на статистику за последние 20 лет, то мы увидим, что число атак традиционных снижается, а число APT возрастает. Достаточно вспомнить нашумевшие примеры с Red October и Stuxnet, чтобы понять, о чем идет речь.
Статистика целенаправленных атак за последние 20 лет
Но и «Красный Октябрь», и Stuxnet — это не просто APT, это целые операции в киберпространстве. Гораздо большую опасность представляет собой множество APT, из которых и строятся большие операции. Злоумышленники выпускают в «дикую природу» угрозы, которых раньше не было.
Это не массовые атаки, цель которых заразить как можно большее число жертв. Именно на такие угрозы рассчитаны «традиционные» средства защиты. Принцип их работы построен на том, что массовость атаки позволяет ее оперативно обнаружить и разработать для нее «противоядие», оснастив им защитные продукты. Массовость играет против злоумышленников, которые сегодня хотят как можно дольше оставаться незамеченными, чтобы долго и планомерно стричь купоны от своей противоправной деятельности. И для этого их атаки должны быть узкоспециализированными — обычно на конкретной жертве. Иными словами, ситуация поменялась — угрозы становятся скрытыми и сфокусированными — целенаправленными на одну-две организации или их клиентов. И такие угрозы сложно обнаруживать с помощью традиционных подходов, например, «ловушек» в Интернет. Нужна планомерная работа производителей средств защиты, которые бы могли взять на себя функцию исследовательского центра по безопасности и оснащать своих клиентов регулярными обновлениями против новых целенаправленных атак. Причем регулярность — это не раз в месяц, и не раз в неделю, и даже не раз в день. К примеру, Cisco Security Intelligence Operations Center (SIO) рассылает обновления с периодичность одно обновление в
Мне можно возразить, что «традиционное» средство защиты сродни «обычному» порошку из рекламы. Таких давно уже нет, и все производители говорят, что их средства защиты осовременены и умеют бороться с APT. Возможно. Инцидентов, правда, меньше не становится, но это отдельная тема (сейчас я как раз готовлю материал на тему вселенского заговора производителей средств защиты информации). Возможно, средства защиты уже давно обновились, но я рекомендую смотреть все-таки шире на ситуацию. Уйти вообще от традиций
Нужны средства защиты не с массовыми, а целенаправленными (APT) угрозами. Нужны средства контроля не только периметра или точек аккумуляции трафика, но и внутренней сети, и мобильных устройств. Нужны не только сигнатурные средства защиты, но и контролирующие аномалии и поведение. Нужны не только точечные средства, но и распределенные по всей сетевой инфраструктуре. Нужны не только сетевые, но и прикладные средства защиты информации. Нужны не только разрозненные, но и скоординированно действующие средства защиты, взаимоувязанные в единый комплекс защитных мер. Нужно защищать не только пользователей или от пользователей, но и устройства и от устройств (Интернет вещей будет только набирать обороты).
Нужно ломать традиции. А то вокруг меняются все, начиная от ИТ-департаментов и бизнеса, давно и прочно «запавших» на тему мобильности и облаков, и заканчивая злоумышленниками, постоянно изменяющими свое поведение. А безопасники живут по-прежнему в своем мире «контролируемой зоны» и «массовых рассылок» :-( Да, менять традиции непросто. Да, кто-то должен сделать первый шаг. Да, это выводит из сложившегося годами равновесия. Но по другому уже нельзя...
