• 99418
  • 4
  • 7
Нравится блог?
Подписывайтесь!

В центре внимания

Как правильно: Kazakhstan или Qazaqstan?

Как правильно: Kazakhstan или Qazaqstan?

ShpakShpak

  • 781
  • 17

Пора ломать традиции

Статья бизнес-консультанта Cisco по информационной безопасности Алексея Лукацкого[1]

 

Традиционные системы предотвращения вторжений (IPS), купленные и с ежегодно продляемым контрактом, есть у многих. И антивирусы тоже есть у многих. И межсетевые экраны. И системы контентной фильтрации. А инцидентов меньше не становится. Почему такая несправедливость? Причин тому несколько. Первая − размытие периметра и невозможность контроля, ранее сконцентрированного в нескольких местах аккумуляции основных объемов трафика. Это направление, когда мы ставили средства защиты либо на периметре, либо в ЦОДе, либо на ПК, остается необходимым, но уже явно недостаточным для того, чтобы считать свою сеть сколь-нибудь защищенной от современных угроз.

Посмотрите на эту картинку. Что вы видите? Есть ЦОД, расположенный в центре. Есть периметр (справа), который обеспечивает нам подключение к внешним интернет-ресурсам изнутри компании. Есть периметр слева, который дает сотрудникам возможность удаленного доступа к внутренним ресурсам компании. Есть удаленные площадки (офисы, филиалы и т.п.).

Допустим, мы смогли четко очертить границы нашей сети; хотя с активным внедрением мобильных технологий и облачных вычислений это достаточно затруднительно. Но значит ли это, что у нас не может быть ушлого сотрудника, который притащил 3G/LTE-модем и, подключив его к корпоративному ПК, не выходит в Интернет в обход средств периметровой защиты? Скорее всего, нет. А можем ли мы гарантировать, что для облегчения своего труда сотрудник не поставил в кабинете точку беспроводного доступа, к которой извне не подключился злоумышленник или просто желающий бесплатно посерфить в Интернете? Тоже не можем.

 

Для решения этой задачи нужны новые технологии, например, NBAD (network-based anomaly detection), о которых я уже писал в сентябре. Но допустим, мы их внедрили, а инциденты все равно появляются. Меньше, но все же есть. Почему? Неужели установленные у нас средства защиты не справляются с угрозами? Как это ни парадоксально, но далеко не всегда. Существует целый класс атак, которые специально разрабатываются для обхода традиционных средств защиты. Это целенаправленные атаки (APT). Если посмотреть на статистику, то мы увидим, что за последние 20 лет число традиционных атак снижается, а число APT возрастает. Достаточно вспомнить нашумевшие примеры с Red October и Stuxnet, чтобы понять, о чем идет речь. Но и "Красный Октябрь", и Stuxnet - это не просто APT, это целые операции в киберпространстве. Гораздо большую опасность представляет собой существенно большее множество APT, из которых и строятся большие операции. Используемые при реализации целенаправленных атак неизвестные уязвимости появляются то там, то тут. В итоге злоумышленники выпускают в "дикую природу" угрозы, которых раньше не было.

Это не массовые атаки, цель которых заразить как можно большее число жертв. Именно на такие угрозы рассчитаны "традиционные" средства защиты. Принцип их работы построен на том, что массовость атаки позволяет оперативно ее обнаружить и разработать для нее "противоядие", оснастив им защитные продукты. Массовость играет против злоумышленников, которые сегодня хотят как можно дольше оставаться незамеченными, чтобы долго и планомерно стричь купоны за свою противоправную деятельность. И для этого их атаки должны быть узкоспециализированными − обычно на конкретной жертве. Иными словами, ситуация поменялась: угрозы становятся скрытыми и сфокусированными − направленными на одну-две организации или их клиентов. Такие угрозы сложно обнаруживать с помощью традиционных подходов, например, "ловушек" в Интернет. Нужна планомерная работа производителей средств защиты, которые бы могли взять на себя функцию исследовательского центра по безопасности и оснащать своих клиентов регулярными обновлениями против новых целенаправленных атак, причем не раз в месяц и не раз в неделю, и даже не раз в день. К примеру, Cisco Security Intelligence Operations Center (SIO) рассылает обновления с периодичностью в 3-5 минут!

 

Мне можно возразить, что "традиционное" средство защиты сродни "обычному" порошку из рекламы. Таких давно уже нет, и все производители говорят, что их средства защиты осовременены и умеют бороться с APT. Возможно. Инцидентов, правда, меньше не становится, но это отдельная тема (я как раз сейчас готовлю материал о вселенском заговоре производителей средств защиты информации). Возможно, средства защиты уже давно обновились, но я все-таки рекомендую смотреть на ситуацию шире. Уйти вообще от традиций 90-х и даже 2000-х годов в ИБ.

Нужны средства защиты не с массовыми, а целенаправленными (APT) угрозами. Нужны средства контроля не только периметра или точек аккумуляции трафика, но и внутренней сети, а также мобильных устройств. Нужны не только сигнатурные средства защиты, но и контролирующие аномалии и поведение. Нужны не только точечные средства, но и распределенные по всей сетевой инфраструктуре. Нужны не только сетевые, но и прикладные средства защиты информации. Нужны не только разрозненные, но и скоординированно действующие средства защиты, взаимоувязанные в единый комплекс защитных мер. Нужно защищать не только пользователей или от пользователей, но и устройства и от устройств (Интернет вещей будет только набирать обороты).

Нужно ломать традиции. А то все ломают − начиная от ИТ-департаментов и бизнеса, давно и прочно запавших на тему мобильности и облаков, и заканчивая злоумышленниками, постоянно изменяющими свое поведение. А безопасники живут по-прежнему в своем мире "контролируемой зоны" и "массовых рассылок". Да, менять традиции непросто. Да, кто-то должен сделать первый шаг. Да, это выводит из сложившегося годами равновесия. Но по-другому уже нельзя...

 

Метки: информационная безопасность, ИБ, стратегия информационной безопасности, системы предотвращения вторжений, архитектура ИБ современного предприятия, целенаправленные атаки APT, Cisco Security Intelligence Operations Center, SIO, Интернет вещей.

   

[1] Опубликована на портале globalcio.ru.

 
Cisco
8 ноября 2013, 17:27
174

Загрузка...
Loading...

Комментарии

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Как казахстанцы могут получить кусок международного рынка аутсорса?

Как казахстанцы могут получить кусок международного рынка аутсорса?

Сокурсник Илона Маска инвестировал в образовательные проекты, и теперь хочет создать в Казахстане рабочие места на глобальном рынке аутсорса.
Zhumanova
18 мая 2017 / 13:38
  • 45912
  • 22
Уятмены снова в деле. Танец обнаженных монашек возмутил пользователей Казнета

Уятмены снова в деле. Танец обнаженных монашек возмутил пользователей Казнета

Видео из столичного клуба, попавшее в Интернет, возмутило пользователей Казнета. Причиной такой реакции стало содержимое ролика – девушки гоу-гоу в костюмах монашек танцуют...
Washington
16 мая 2017 / 10:49
  • 8474
  • 31
А-ля Астана: новый город начали строить на левом берегу Сырдарьи

А-ля Астана: новый город начали строить на левом берегу Сырдарьи

Свершилось! Сегодня в Кызылорде приступили к застройке левобережной части Сырдарьи. Через 10 лет на месте этого пустыря будет шумный и современный новый город, наш престижный деловой Левый берег!
socium_kzo
17 мая 2017 / 17:39
  • 4993
  • 8
Пристань для обиженных людей. Как Жарылкап Калыбай Родину поменял

Пристань для обиженных людей. Как Жарылкап Калыбай Родину поменял

Этот несомненно талантливый, яркий, достаточно харизматичный журналист приобрёл себе много поклонников в среде оппозиционно-либеральной интеллигенции. Теперь они вновь, стоя, аплодируют своему кумиру.
openqazaqstan
17 мая 2017 / 16:01
  • 4439
  • 57
Телохранитель корейского президента сводит мир с ума

Телохранитель корейского президента сводит мир с ума

И телохранители могут быть секс-символами! 36-летний охранник нового президента Южной Кореи Мун Чжэ Ина стал невероятно популярным в последнее время.
Seattle
16 мая 2017 / 16:49
  • 3961
  • 13
Кого нам ждать: обнародована культурно-развлекательная программа EXPO-2017

Кого нам ждать: обнародована культурно-развлекательная программа EXPO-2017

Рианны не будет (как и ожидалось, в общем-то). Зато будут Мумий Тролль с Би-2, Эрос Рамазотти, 30 Seconds to Mars, и даже почему-то Limp Bizkit. А также фестивали J Azzia и "The Spirit of Tengri".
Clair-de-la-Lune
18 мая 2017 / 1:19
  • 3688
  • 8
Алматинские проститутки превращаются в шпионок

Алматинские проститутки превращаются в шпионок

Попасть в притоны на алматинском проспекте Сейфуллина, которых, как бы ни старались полицейские, меньше не становится, теперь можно, только зная явки и пароли.
Mirogloff
19 мая 2017 / 13:25
  • 3463
  • 30
Нью-Йорк — другая планета. Дороги тут переходят, как в моем родном Чимкенте

Нью-Йорк — другая планета. Дороги тут переходят, как в моем родном Чимкенте

Тут нет безвкусицы, нет осуждающих взглядов на меховые тапки под вечерним платьем. Тут все одеваются как дети. Нацепили и пошли. Тоже самое и о волосах.
miyatov
17 мая 2017 / 11:09
  • 3074
  • 8
Как я погрузилась в общажный мрак – это место сделало из меня монстра

Как я погрузилась в общажный мрак – это место сделало из меня монстра

Попрощавшись с уже полюбившейся мне маленькой раздолбанной квартиркой, где соседки слезно умоляли меня остаться, я погрузилась в общажный мрак. Но тогда я этого еще не знала.
AutumnRain
17 мая 2017 / 10:07
  • 3217
  • 61