Круговая оборона: реагируем на инциденты в области информационной безопасности

Ежегодный отчет Cisco по информационной безопасности комментирует Стивен Рэнсом-Джонс (Steven Ransom-Jones), ведущий специалист по технологиям ИБ компании Neohapsis.

В выпущенном на днях очередномежегодном отчете Cisco по информационной безопасностиупоминаются многие хитроумные методы маскировки, которые злоумышленники постоянно изобретают и оттачивают. Зачастую при этом используются уязвимости защитных программ. И все чаще проникнуть в информационные среды и незаметно заразить компьютеры нарушителям невольно помогают сами пользователи и ИТ-службы.

Учитывая столь сложный и динамичный ландшафт угроз, организациям необходим полноценный, гибкий процесс реагирования на инциденты. Приведу примеры (из упомянутого отчета Cisco по ИБ) того, как злоумышленники проникают в сети.

• В 2014 г. объем спама вырос на 250 %. Активизировался трудно поддающийся обнаружению «спам на снегоступах», когда с огромного числа IP-адресов отправляются небольшие порции нежелательных сообщений. Кроме того, спам стал опаснее: он часто содержит фишинговые ссылки, а иногда и информацию личного характера, из-за чего даже опытные пользователи могут не заподозрить подвоха. Так, недавно исследователи Cisco наблюдали некоторое количество целевых фишинговых писем, которые имитировали корреспонденцию от одной крупной компании и содержали ссылку на известный фишинговый сайт.
• Браузеры — еще одна лазейка для злоумышленников. Они распространяют вредоносный код и нежелательные сообщения через расширения для браузеров. Дело в том, что многие пользователи считают любые расширения безопасными или безобидными. Многие пользователи редко обновляют браузеры — например, только 10 % запросов от Internet Explorer приходятся на новейшую версию. Отчасти по этой причине недавно в США регуляторы ужесточили стандарты для систем онлайн-банкинга, потребовав использовать методы обнаружения аномальных транзакций. Многие пользователи почувствовали это на себе, т.к. каждую финансовую операцию теперь нужно подтверждать несколько раз.
• Наконец, мы все сталкиваемся с дефицитом кадров в области ИБ. По некоторым оценкам, сейчас в мире есть потребность более чем в миллионе таких профессионалов. Отделы ИБ перегружены, организациям непросто найти и удержать в штате специалистов по информационной безопасности. Несмотря на все усилия, недоукомплектованные службы ИБ часто не справляются с потоком уведомлений систем безопасности, нормативных требований и служебных задач. Согласно исследованию под названиемSecurity Capabilities Benchmark, результаты которого были включены впоследний отчет Cisco по информационной безопасности, руководители служб и центров ИБ уверены в своих защитных механизмах. В то же время этим службам не всегда удается найти ресурсы, чтобы развернуть важные системы защиты и справляться с нарушениями ИБ. Менее 50 % опрошенных реализовали процессы, позволяющие успешно: 
• администрировать аутентификационные данные или управлять учетными записями;
• обновлять и настраивать ПО;
• тестировать на проникновение;
• проводить компьютерную экспертизу конечных точек сети;
• сканировать уязвимости.

И это — только несколько примеров, показывающих, что бороться со злоумышленниками стало сложнее, чем раньше, и что каждой организации необходим адекватный механизм реагирования на все более мощные атаки.

Даже те организации, у которых реализованы современные системы защиты, начинают задаваться вопросом: «Что делать, когда атака или компрометация данных произойдет?», а не «...если она произойдет...». Атаки становятся все разнообразнее, а некоторые могут даже видоизменяться «на лету» (как это произошло с DDOS-атаками против некоторых банков). Именно поэтому, чтобы обнаруживать инциденты и реагировать на них, нужно быть изобретательнее и гибче. По данным Cisco, в 75 % случаев от начала атаки до утечки данных проходят считанные минуты, а вот на обнаружение атаки уходит гораздо больше времени. Другие исследования и недавние крупные инциденты в области ИБ подтверждают эти выводы.

Все указывает на то, что для реагирования на инцидент в условиях дефицита кадров организациям нужны квалифицированные ресурсы извне.

Разрабатывая процедуры реагирования, организации должны опираться на передовой опыт в следующих вопросах:

• на каком уровне нужно реагировать?
• Достаточна ли квалификация собственных и сторонних специалистов, чтобы грамотно организовать реагирование?
• Каких результатов нужно добиться в итоге?
• Если атака видоизменяется, как перестроить тактику реагирования?
• Как распространяется угроза? Какие уязвимости использует?
• Какие системы скомпрометированы?
• Какими данными уже завладели злоумышленники? Как можно остановить атаку?
• Как предотвратить эту атаку в будущем и научиться предупреждать другие?

Чтобы ответить на эти вопросы, организациям в первую очередь необходимо оценить готовность персонала и инфраструктуры, в том числе сети, операций ИБ, коммуникаций и процессов обучения сотрудников для реагирования на инциденты. Лучше не пытаться заранее составить список решений всевозможных проблем, а вооружить группу реагирования на инциденты знаниями и инструментами, которые помогут:

• понимать природу события или инцидента;
• оценивать его значимость и необходимость срочных мер;
• определять желательные или допустимые сценарии;
• принимать необходимые меры, чтобы достичь поставленных задач;
• оценивать результаты реагирования и при необходимости корректировать его;
• эффективно задействовать внутренние и внешние ресурсы.

Атаки становятся сложнее, злоумышленники — коварнее, а последствия — масштабнее. Чтобы оперативно управлять операционными рисками, организациям нужны полноценные, комплексные и гибкие процессы реагирования на инциденты. Систем безопасности самих по себе недостаточно. Грамотные процессы, реальное сотрудничество всех заинтересованных лиц, хорошо обученный и мобилизованный персонал — вот что нужно организациям, чтобы успешно реализовать многоуровневую защиту, приспосабливаться к видоизменяющимся атакам и добиваться лучших результатов.

Сетевая Академия Cisco проводит авторизированные тренинги, практикумы Cisco, компьютерные курсы Cisco Киев (курсы ИТ Киев), ИТ тренинги - курсы Cisco (Cisco курсы), занимается подготовкой специалистов для реализации высокоинтеллектуальных проектов в области инфокоммуникационных технологий. У нас вы можете пройти курсы Cisco Москва, курсы Cisco СПб (Санкт-Петербург), курсы Linux, курсы Linux Киев, курсы Linux Москва, Linux курсы СПб.

Ответы на часто задаваемые вопросы: http://edu-cisco.org/docs/welcome.pdf

http://edu-cisco.org

http://vk.com/educisco

http://www.facebook.com/educisco

https://twitter.com/educisco

e-mail: [відкрити контакти][email protected]

skype: edu-cisco.org

tel. [відкрити контакти]+38-097-241-79-18