McAffee. Серия прогнозов угроз на 2014 год

Компания McAffee (хотя может правильнее уже говорить Intel Security) в конце 2013 года опубликовала отчет с прогнозами по развитию угроз на 2014 год. Позже в своем блоге, с 30 декабря по 17 января McAffee развернуто описала положения этого отчета в 11 постах. Их я и привожу.

• Everyone Wants a Piece of Big Data
  
  

  Многие организации сейчас внедряют аналитику Больших Данных, тратя на это миллионы долларов. Однако, в 2014 году и далее начнут проявляться первые попытки воздействия на Большие Данные со стороны.
• Social Media Changes Keep Users Off Balance
  
  Наиболее распространены три категории атак на социальные сети: кража данных, кража денег и угрозы сетевой идентификации и идентификации пользователя.
• Cloud Attacks Could Lead to Data Loss
  В 2014 McAffee ожидает увидеть рост атак, направленных  на облачные сервисы, такие как IaaS, PaaS, SaaS (Инфраструктура, Платформа и ПО как Услуга)
• Mobile Attackers to Benefit From New Payment Methods
  На текущий момент существует множество возможностей платить за покупки через онлайн-сервисы оплаты. Множество вариантов оплаты дает все больше и больше возможностей для кражи средств.
• Software Defined Networking Promises Greater Control While Increasing Security Risks
  Сетевая защита сейчас в основном направлена на контроль плотносегментированных сетей. В этом случае решения SDN (Software-defined networking - Программно-конфигурируемая сеть) могут помочь в контроле и защите сложных виртуальных сетей в ЦОДах.
• Cybercrime and Hacktivism Will Continue to Grow
  Угрозы будут предоставляться как услуги (кстати, в отчете Arbor Networks The Risk vs Cost of Enterprise DDoS Protection за 2012 год уже есть данные по стоимости аренды ботнетов). И отличать вредоносные услуги (такие, как уже упомянутая аренда ботнетов, заказ DDoS и аналогичные) будет сложнее, так как они будут скрываться среди вполне себе "добропорядочных" услуг.
• The Internet of Things Offers Handy Gadget Control, Yet Could Unlock More Than We Expect
  Получив доступ к технике, которая все чаще и чаще подключается к интернету (например, телевизор), злоумышленники могут получить доступ и к другим сетевым устройствам, таким, как телефоны, компьютеры и т.д. 
• Advanced Threats, Techniques Challenge the Best of Defenses
  
  Злоумышленники используют различные варианты сокрытия угроз для управления сетевым трафиком таким образом, что сетевые средства защиты (FW, IPS, IDS и т.д.) не могут их определить.
• Network and Host Attacks Will Again Target Adobe and Microsoft Apps, Java
  Исследование McAffee выделяет три основных вектора разработки вредоносного ПО. Они направлены на уязвимости нулевого дня и вновьразработанные методы атак на Internet Explorer, приложения компании Adobe (например, Adobe Reader и Adobe Flash Player) и Java. Также заметны векторы атак в сторону MS Office.
• Botnets, Spam Explore New Avenues to Steal Data, Money
  Окончание поддержки Windows XP делает ее целью для атак, в которых системы, использующие эту ОС, будут становиться частью ботнетов, что несет за собой целый спектр различных атак.
• HTML5, Exploit Kits, ‘Free’ Software Require Web Safeguards
  Появляется множество "бесплатных" приложений и услуг, призванных сделать нашу жизнь проще. Однако такие сервисы монетизируются, в лучшем, случае за счет рекламы. В других случаях разработчики крадут и продают информацию и статистику с устройств, вынуждают покупать другие вещи (как, например, в играх).
• Malware to Take Advantage of Hotspots, Gaming Consoles
  Вновь появляется интерес к взлому сетевых устройств в небольших офисах и частных домах. В основном это роутеры и точки доступа и игровые консоли.

Также у Андрея Прозорова есть интересный пост, в котором он собрал большое количество прогнозов (в том числе и от McAffee) на 2014 год.

Статистика по инсайдерским утечкам интеллектуальной собственности

Количество исследуемых случаев: 103.
Источник информации: CERT.

Так как не для каждого случая известна полная информация, то в скобках я привожу количество случаев, при которых та или иная информация была доступна.

• Больше всего утечек интеллектуальной собственности в сфере информационных технологий (35%), далее следует банковская сфера (13%) (известно в  101 случае).
• 70% краж совершено на месте (известно в 78 случаях), остальные  с использованием удаленного доступа.
• Деловые партнеры составляют 17% источников утечки (известно в 98 случаях). 
• Уволенные сотрудники составляют 21% источников утечки (известно в 100 случаях).
• Более, чем 30% краж были обнаружены нетехническими средствами, в то время, как менее 6% - программными.
• В 48% случаев финансовый ущерб составил более $1 млн., а в 71% - более $100 тыс. (известно в 35 случаях).

В дополнение к этой информации:
Spotlight On: Insider Theft of Intellectual Property Inside the United States Involving Foreign Governments or Organizations (май 2013)
Insider Threat Study: Illicit Cyber Activity Involving Fraud in the U.S. Financial Services Sector (июль 2012)

Обзор отчета по инсадерам от ESG и Vormetric

Нашел в сети еще один интересный отчет по инсайдерам от команий ESG и Vormetric:  "The Vormetric Insider Threat Report". Отчет датирован октябрем этого (пока еще 2013го) года основан на опросе 707 ИТ-профессионалов, ответственных за  информационную безопасность в своих организациях, объем доходов которых  находится в пределах от менее, чем $250 млн. до более, чем $20 млрд. В опросе участвовали специалисты из разных отраслей и государственных сегментов.

Итак, пока сообщество безопасников зацикливается на защите от вредоносных программ, инсайдеры и связанные с ними атаки остаются проблемой для многих организаций:

• Инсайдерские угрозы продолжают представлять из себя проблему. Большая часть организаций верит, что эти угрозы становятся всё более сложными для выявления и предотвращения, и поэтому они до сих пор уязвимы для угроз такого типа. Но почему? Показатели ИТ (такие, как количество пользователей, устройств, сетевых пакетов и т.д.), облачные вычисления и вредоносные программы позволяют инсайдерам оставлять незамеченными свои действия, представляя их в виде обычной деятельности.
• Статус-кво в безопасности не является хорошей практикой. Компании продолжают вкладывать средства в защиту периметра, межсетевые экраны, IDS/IPS-системы, антивирусную защиту.  Но эти средства защиты не подходят для защиты от инсайдеров и тех угроз, для которых уже имеется правомерный доступ к системам, опыт и понимание того, как можно легко обойти меры защиты и украсть важные данные, причинив при этом огромный ущерб.
• Передовые  организации направили вектор своего движения в сторону стратегий безопасности данных. Данные ESG показывают, что организации, заботящиеся о безопасности, увеличивают свои инвестиции в технологии гранулированного доступа к данным, шифрование, управление инфраструктурой ключей и интеллектуальную защиту данных. Это и есть ведущие показатели движения рынка в будущем. 

Выдержка из отчета:

Ниже приведен список потенциальных методов, используемых инсайдерами. Как вы считаете, насколько уязвима  ваша организация к каждому из них?

Как видно, в среднем половину ответов составляют ответы "Сильно уязвима" и "Отчасти уязвима", что является, на мой взгляд, важным показателем для того, чтобы начать всерьез рассматривать угрозы инсайда и защиты от них.

Сам отчет доступен здесь.

SANS. 17 Critical Controls

Сразу необходимо сказать, что речь идет не о достаточно широко известных SANS 20 Critical Security Controls, а о описанных в документе SANS. Information Risks & Risk Management. 

На самом деле, я бы назвал это чеклистом: утвердительный ответ на все вопросы может позволить говорить о надежности систем в разрезе информационной безопасности. От себя хочу заметить, что каждая из этих мер описана достаточно объемно. Понравилось обпределение политики ИБ, данное в раскрытии первого пункта:

Политика информационной безопасности - письменное соглашение, построенное вокруг защищаемых информационных активов организации и направленное против случайного или преднамеренного раскрытия, модификации или уничтожения таких информационных активов.(Wurzler, 2004)

17 критических мер защиты

1. Введена ли у вас политика информационной безопасности? Понятна и соблюдается ли она всеми сотрудниками, подрядчиками и другими лицами или организациями, имеющими доступ к вашей конфиденциальной информации?
2. Установлено ли антивирусное ПО на все системы?
3. Соблюдаются ли правила обновления ПО, включающие, как минимум, еженедельный мониторинг новостей вендоров или автоматические уведомления о доступности обновлений безопасности? Тестируете и устанавливаете ли вы критические обновления безопасности, как только это становится возможным (но не позднее, чем в течении 30 дней после выхода)?
4. Используются ли мобильные устройства, запрещенные устройства или программное обеспечение? Важен учет и управление такими активами.
5. Надежно ли (в плане информационной безопасности) настроены файерволлы, информационные системы и системы безопасности?
6. Тестируете ли вы свою систему безопасности (как минимум, ежегодно) для гарантированной эффективности технических средств защиты? Тестируете ли вы процедуры реагирования на инциденты (такие как взлом систем, вирусы, отказ в обслуживании)?
7. Можете ли вы восстановить ваши системы, пострадавшие от утечек данных, повреждения или сбоя в сетях в течении 24 часов (для критичных систем и операций, от которых зависите вы или ваши заказчики и партнеры)?
8. Все ли каналы удаленного доступа к внутренней сети защищены аутентификацией, шифруются и доступный из систем, которые защищены по меньшей мере так же, как ваша?
9. Основано ли управление правами доступа на принципе минимальных привилегий? Аннулируете ли вы права доступа и привилегии после того, как они больше не требуются (но не позднее, чем через 24 часа после любых изменений в правах доступа)?
10. Имеется ли у вас в организации квалифицированный персонал, занимающийся информационной безопасностью? Или занимаются ли управлением вашей информационной безопасностью организации, специализирующиеся на этом?
11. Если вам нужно обойти или отключить контроль информационной безопасности ( например, во время чрезвычайных ситуаций или тестирования мер защиты), всегда ли для этого запрашивается подтверждение более, чем одного человека и всегда ли защитные меры активируются обратно тогда, как только это становится возможным?
12. Всегда ли вы требуете от всех третьих лиц, которым вы доверяете свою конфиденциальную информацию, договор о защите такой информации, включающий гарантии использования защитных мер, по крайней мере эквивалентных мерам, принятых в вашей организации. Проводите ли вы аудит их соблюдения?
13. Внедрены ли у вас процессы, позволяющие отслеживать и регистрировать действия лиц, которые имеют доступ или контролируют конфиденциальную информацию и время такого доступа или контроля (например, соглашение о контроле)?
14. Храните ли вы конфиденциальную информацию не дольше, чем это необходимо; и если такая информация больше не требуется, уничтожается ли она при помощи технических средств, не позволяющих ее восстановить?
15. Внедрены ли у вас технические меры защиты для предотвращения несанкционированного доступа к компьютерам, сетям и данным в вашей организации?
16. Контролируете и отслеживаете ли вы  все изменения в вашей сети, чтобы быть уверенным в том, что она надежно защищена?
17. Участвует ли юридический отдел вашей организации в процессе проверки на соблюдение требованиям и установленным нормам регуляторов? 

Кстати, я отдельно уже приводил описание основных характеристик инсайдера из этого же документа. А они, в свою очередь, заимствованы из отчета Symantec по инсайдерским рискам.

Symantec. Основные характеристики инсайдеров.

В документе "Informarion Risks & Risk Management" из библиотеки SANS, о котором я уже говорил ранее, есть интересная информация по инсайдерам. Взята эта информация из отчета Symantec Behavioral Risk Indicators of Malicious Insider Theft of Intellectual Property: Misreading the Writing on the Wall. Ниже приведу данные из отчета, которые обозначены в SANS. Information Risks & Risk Management.

Symantec оценил угрозы кражи интеллектуальной собственности для компаний США в $250 млрд. в год и угрозы от преступлений в области информационной безопасности в $114 млрд. ежегодно. Позже, ФБР в своих отчетах подтвердило, что инсайдеры являются основным источником и инструментом конкурентов для кражи информации ограниченного доступа. Ниже изложены общие характеристики инсайдеров:

• Инсайдеры, ворующие интеллектуальную собственность, часто работают на технических должностях. Основные кражи интеллектуальной собственности совершены работниками-мужчинами, в среднем 37 лет, обычно инженерами, исследователями, менеджерами или разработчиками. Большая часть из них подписывала соглашение об интеллектуальной собственности. Это показывает, что исключительно политика, без понимания ее персоналом и эффективного применения, неэффективна.
• Обычно у инсайдера уже есть новая работа или предложение. Около 65% сотрудников, решивших украсть интеллектуальную собственность, уже имеют реальные предложения работы в компаниях-конкурентах либо открыли свой бизнес на момент кражи. Около 20% были завербованы посторонними лицами, заинтересованными в данной информации, а порядка 25% отдали полученную информацию в иностранные компании или в другие страны.
• Инсайдеры чаще всего воруют ту информацию, к которой имеют доступ. Инсайдеры воруют информацию, которую они знают и часто считают, что имеют права на эту информацию. Как факт, 75% инсайдеров украли информацию, к которой имели доступ.
• Коммерческая тайна - самый распространенный тип интеллектуальной собственности, воруемой инсайдерами. Как правило, коммерческая тайна воруется в 52% случаев. Бизнес-информация, такая как биллинговые данные, прайс-листы и прочая административная информация воруется в 30% случаев, исходные коды в 20%, несвободное ПО в 14%, информация о клиентах в 12% и бизнес-планы в 6% случаев.
• Инсайдеры используют технические средства, чтобы украсть информацию, но большинство краж обнаружены сотрудниками на нетехнических должностях. В большинстве случаев (54%) для кражи используются электронная почта, возможности удаленного доступа и сетевые протоколы передачи данных.
• Основные черты характера инсайдера способствуют увольнению и краже. Общие проблемы проявляются до факта кражи и, вероятно, способствуют мотивации к ней. Это подтверждает роль индивидуальных психологических наклонностей, стрессовых событий и беспокойного поведения как показателей инсайдерских рисков.
• Профессиональные неудачи могут ускорить принятие решения инсайдером украсть интеллектуальную собственность. Ускорение наступает тогда, когда сотрудник устает "думать об этом" и решает действовать или склоняет к этому кого-то другого. Часто это происходит после осознания профессиональной неудачи или неоправдавшихся ожиданий.

RISSPA. ИБ 3.0. Семинар в Санкт-Петербурге.

В пятницу, 22 ноября, прошел первый семинар Петербургского отделения RISSPA, и я имел честь присутствовать на нем. Мария Сидорова, вице-президент RISSPA и руководитель отделения в Северной Столице, приложила много усилий, чтобы мероприятие прошло на должном высоком уровне. И надо сказать, что ей это удалось. Хороший выбор докладов и их разноплановость оставили, лично у меня, очень хорошее впечатление. Но обо всем по порядку:

После приветственного слова Марии первым с докладом выступил Александр Кузьмин, генеральный директор компании «Альтирикс системс». Александр достаточно интересно рассказал, "Как построить СУИБ в организации с территориально-распределенной инфраструктурой", об управлении рисками и о том, что с этим связано.

Далее за трибуной появился независимый эксперт по информационной безопасности Сергей Кубан. Доклад "Практический опыт специалиста по ИБ: от проблем взаимодействия служб ИТ и ИБ до проверок регуляторов" был очень информативен, местами зал даже не успевал уловить всё, что Сергей хотел рассказать. Он поделился опытом, накопленным за свою немалую профессиональную деятельность, обратил внимание на значимость грамотного построения взаимодействия служб ИТ и ИБ, на принцип Парето (80 на 20), в котором 80% отводится организационным мероприятиям и лишь 20% техническим.

Перед кофе-брейком Мария с немалой долей удовольствия наградила двух победителей конкурса, о котором было объявлено незадолго до мероприятия. Скажу честно, выбор одного из победителей стал для меня приятной неожиданностью. 

После перерыва слово взял Андрей Бешков, руководитель программы ИБ компании Microsoft в России. Свой доклад "Гибридные облака как средство защиты персональных данных" Андрей начал со слов:

"Все что я буду говорить желательно воспринимать со здоровой долей скептицизма, вам потом с этим жить"

Однако, Андрей по полочкам разложил все то, что мы знали про облака, но боялись спросить. Как лучше хранить персональные данные в облаках, как их категорировать, какие есть варианты организации доступа и многое другое. Он поделился опытом категорирования в Microsoft. И все это в приятном сумраке. Свет выключили, чтобы презентацию было лучше видно. Однако от выключения света стало только лучше, на мой взгляд. После Андрей ответил на вопросы, которых, кстати, к нему было больше, чем к остальным. По крайней мере, как показалось мне.

Затем Сергей Шустиков, генеральный директор компании Deiteriy, в своем докладе "Стандарт PCI DSS: изменения и нововведения в версии 3.0" выделил основные изменения в новой версии стандарта, рассказал пару случаев из жизни аудитора. Одной из основных мыслей доклада Сергея была, наверное, фраза 

"Безопасность перестает существовать тогда, когда ей перестают заниматься". 

И говорил Сергей о том, что достигнув какого-то результата, его нужно поддерживать, а не освобождать ресурсы и направлять их в другое русло.

Ну, и завершил серию докладов Евгений Родыгин, заместитель генерального директора по развитию компании «М-СТАНДАРТ холдинг», рассказав про "Заблуждения и стереотипы относительно анализа кода. Практическая демонстрация работы сканеров SAST & DAST". И особо приятно здесь то, что даже несмотря на технические сложности с подключением к проектору, слушатели семинара так уютно и по-домашнему собрались вокруг ноутбука, на котором Евгений демонстрировал работу сканеров. Как я уже писал в соцсетях, 

"На #RISSPA_SPb даже технические проблемы не проблема! Евгений Родыгин демонстрирует работу сканеров SAST и DAST в действии! Зал заинтересован работой процесса сертификации изнутри!"

На этом официальная часть была завершена, оставив очень хорошее впечатление. Благодарю организаторов и докладчиков! Также о семинаре написан информативный официальный пресс-релиз.

McAffee:Подписанное вредоносное ПО. Чему Вы теперь верите?

Выдержка из блога McAffee, автор Doug McLean:

Одной из особенностей отчета McAfee Labs Threats Report, Third Quarter 2013 является то, что доля подписанного вредоносного ПО увеличилась почти на 50%, более чем на 1,5 миллиона новых сигнатур. Последствия этого являются весьма существенными как для как для практиков по информационной безопасности, так и для глобальной инфраструктуры доверия.

Новое вредоносное ПО с цифровой подписью

Оригинальный пост: http://blogs.mcafee.com/mcafee-labs/digitally-signed-malware-just-what-can-you-trust-now

Отчет: McAfee Labs Threats Report, Third Quarter 2013