Угрозы кибербезопасности становятся всё более частыми и сложными, а также всё теснее переплетаются с геополитической напряжённостью. Одновременно искусственный интеллект предоставляет злоумышленникам новые инструменты, позволяющие действовать быстрее и в гораздо более широких масштабах.
В беседе с Balticnews.com представитель Kevlar Defense Адли Франсуа рассказывает о том, как изменилась глобальная среда киберугроз, о растущей роли поддерживаемых государствами субъектов угроз, наиболее распространённых способах проникновения злоумышленников в системы организаций, а также о том, почему осознание рисков кибербезопасности всё ещё не привело к достаточной готовности противостоять им.
Он также предупреждает, что Латвии и Балтийскому региону в целом следует ожидать всё более сложных кибератак на критическую инфраструктуру, и подчёркивает, что организациям и правительствам необходимо готовиться не только к предотвращению атак, но и к обеспечению непрерывности работы и восстановлению систем в случаях, когда атака оказывается успешной.
Как бы вы охарактеризовали современный глобальный ландшафт киберугроз? Существенно ли он изменился за последние несколько лет?
Я бы сказал, что да. Думаю, существует несколько факторов, определяющих нынешний ландшафт угроз.
По-прежнему существуют атаки с использованием программ-вымогателей, основной мотивацией которых являются деньги. Такие атаки существуют уже давно.
Что изменилось в последнее время — это чрезвычайно высокая активность субъектов угроз, поддерживаемых государствами, особенно если учитывать нынешнюю глобальную геополитическую ситуацию.
А если добавить к этому скорость, которую обеспечивает искусственный интеллект, атаки стали гораздо более эффективными.
Поэтому, на мой взгляд, сегодня есть три основных движущих фактора: финансовая выгода, геополитическая ситуация и искусственный интеллект. В результате сочетания этих факторов мы наблюдаем больше атак, чем когда-либо прежде.
Может ли любая организация стать целью атаки?
Да. Это касается всех — небольших организаций, государственных учреждений и транснациональных компаний.
Люди иногда всё ещё представляют хакера как одного или двух человек, сидящих за компьютером. Как на самом деле сегодня выглядит современная организация, осуществляющая кибератаки?
В некоторых случаях речь идёт о сотнях людей, особенно когда мы говорим о субъектах угроз, поддерживаемых государствами.
Исходя из расследований атак программ-вымогателей, которые вы проводили по всему миру, каковы сегодня наиболее распространённые способы, с помощью которых злоумышленники получают доступ к сети организации?
Ежегодно мы проводим сотни расследований атак программ-вымогателей, и существует три наиболее распространённых вектора проникновения.
Первый — это украденные учётные данные: имена пользователей и пароли, которые были похищены и выставлены на продажу в даркнете.
Существует рынок, где можно приобрести имена пользователей и пароли.
Второй важный фактор — неисправленные уязвимости. Существует промежуток времени между моментом обнаружения уязвимости и моментом, когда выпускается или устанавливается исправление. Именно этим временным окном пользуются многие злоумышленники.
И, конечно, фишинг всегда был одним из способов проникновения в системы компании.
Искусственный интеллект меняет практически все отрасли. Как ИИ меняет киберпреступность и может ли он одновременно стать одним из самых мощных инструментов киберзащиты?
С помощью ИИ можно создать практически идеально составленное электронное письмо, предназначенное для конкретного человека или организации.
Возможность использовать ИИ для изучения конкретного человека или компании означает, что теперь это можно делать в огромных масштабах.
Но одновременно ИИ позволяет очень быстро проводить анализ. Таким образом, специалисты по кибербезопасности также получили дополнительный инструмент.
Балтийский регион сталкивается с кибератаками, глушением GPS-сигналов, кампаниями по дезинформации и даже актами физического саботажа, которые связывают с российскими гибридными операциями. Остаются ли эти угрозы отдельными или они всё больше становятся частью единой скоординированной стратегии?
Я думаю, что сейчас эти стратегии начинают сливаться воедино.
Раньше киберкомпонент в основном был сосредоточен на кампаниях влияния. Если посмотреть, например, на различные выборы в США, то речь преимущественно шла об операциях влияния — попытках повлиять на результаты выборов и тому подобном.
Однако сейчас мы наблюдаем многочисленные атаки на критическую инфраструктуру, которые имеют последствия национального масштаба.
Это касается транспорта, электросетей и здравоохранения.
Таким образом, характер атак существенно изменился. Речь идёт уже не только о влиянии. Это также саботаж.
Кибератаки на такие организации, как Latvijas valsts meži, привлекли значительное общественное внимание. Если исходить исключительно из общедоступной информации, что этот инцидент говорит о нынешнем состоянии кибербезопасности в Латвии?
К сожалению, учитывая геополитическую ситуацию в этом регионе, я ожидаю, что число подобных атак будет увеличиваться.
Большинство организаций не готовы к атакам такого уровня сложности.
Я думаю, что Латвия и Балтийский регион будут всё чаще сталкиваться с подобными атаками, и критически важная национальная инфраструктура должна быть к ним готова.
Её готовность необходимо регулярно проверять.
Когда происходит кибератака, каким должен быть первый шаг с технической точки зрения?
С технической точки зрения в подобных ситуациях существует определённая последовательность действий.
Первое, что необходимо сделать немедленно, — убедиться, что угроза локализована внутри соответствующей среды.
Необходимо знать все возможные точки входа в эту среду.
С точки зрения сети — будь то VPN, основное или резервное интернет-соединение — необходимо знать все возможные точки входа в сетевом периметре.
После этого необходимо установить контроль, то есть ограничить входящий и исходящий трафик.
Какие основные услуги в области кибербезопасности клиенты Kevlar Defence сейчас запрашивают чаще всего?
Я бы сказал, что реагирование на инциденты — наша услуга номер один.
По сути, клиент приобретает определённый пакет часов, и, когда что-то происходит, мы можем направить команду специалистов для работы в интересах компании или государственного учреждения.
Это может включать цифровую криминалистику, локализацию угрозы, работу с Active Directory и целый ряд других возможностей, необходимых для реагирования на атаку.
Фактически всего одним телефонным звонком можно привлечь сотни профильных специалистов для работы в интересах компании. Думаю, это наша услуга номер один.
Кроме того, учитывая нынешний ландшафт угроз и различные векторы атак, у нас есть ряд услуг, направленных непосредственно на снижение этих рисков.
Фишинговые атаки остаются одним из основных способов проникновения в системы, поэтому мы предлагаем услугу моделирования фишинговых атак.
Кроме того, мы предлагаем обучение сотрудников государственного и частного секторов, чтобы помочь им не стать жертвами кибератак.
Мы также предоставляем услуги круглосуточного мониторинга безопасности — 24 часа в сутки, семь дней в неделю.
Изменилось ли отношение организаций к кибербезопасности за последние пять или десять лет, или вам всё ещё приходится убеждать их в том, что эта угроза реальна?
Я думаю, что у большинства организаций уже есть определённое понимание вопросов кибербезопасности.
Но чего не хватает — так это способности превратить это понимание в конкретный план действий или соответствующий бюджет.
Базовое понимание существует. Но превратили ли организации его в реальные действия? Я думаю, что до этого мы пока ещё не дошли.
Даже при нынешнем уровне осведомлённости, на мой взгляд, всё ещё нет полного понимания того, насколько катастрофическими могут быть последствия кибератак.
Большинство организаций достаточно хорошо управляют другими видами рисков, однако, как мне кажется, многие ещё не пришли к внутреннему пониманию того, что кибератака действительно способна парализовать организацию — или даже целое государство.
Если говорить об электросетях, больницах и банках, работа всех этих организаций может быть остановлена на несколько дней, а в некоторых случаях — даже на несколько недель.
Если сравнивать государственный и частный секторы, существуют ли существенные различия в их готовности к угрозам кибербезопасности?
Частный сектор, вероятно, гораздо лучше осведомлён в этой области.
В государственном секторе, на мой взгляд, не хватает финансирования. Понимание проблемы есть, но с точки зрения финансирования возможности выделять необходимые ресурсы более ограничены.
Я думаю, что в этом отношении частный сектор подготовлен значительно лучше.
Во время недавнего масштабного отключения электроэнергии в Испании были недоступны электричество, интернет и мобильная связь, а неопределённость и дезинформация быстро распространялись. Независимо от причин конкретного инцидента он продемонстрировал, насколько серьёзными могут быть последствия нарушения работы критической инфраструктуры. Что правительства по всему миру должны делать, чтобы подготовиться к сценариям такого масштаба?
Речь идёт не только о предотвращении атак.
Я думаю, правительствам необходимо несколько изменить своё представление о том, каким может быть худший возможный сценарий.
Как бы вы ни представляли себе кибератаку, реальная ситуация может оказаться в десять раз хуже.
Поэтому необходимо готовиться именно к таким сценариям и разрабатывать альтернативные планы того, как продолжать работу.
Кроме того, необходим план восстановления работоспособности систем.
Большинство известных мне организаций имеют план реагирования на инциденты, и обычно он предусматривает восстановление систем в течение одного дня. В некоторых случаях мы уже видим сокращение этого срока до нескольких часов.
В банковской отрасли существуют сложные планы, разработанные консультантами, в которых срок восстановления может составлять четыре часа.
Ключевой момент заключается в том, что эти планы необходимо проверять на практике до того, как произойдёт реальная атака.
Источник: Balticnews.com
