Линия обороны
от хакеров

Жестокая правда такова: сколько бы ваша организация ни тратила на новейшее оборудование, программное обеспечение, тренинги и персонал в сфере кибербезопасности, она обречена. Неважно даже, отделены ли ее главные системы от прочих. Если бизнес зависит от цифровых и подключенных к интернету систем (а если вы думаете, что они не подключены, то, скорее всего, ошибаетесь), о 100-процентной безопасности следует забыть. Точка.

Проблема огромна, потому что компьютерные сети работают практически во всех отраслях экономики США, а изощренность и активность злоумышленников — государств, преступных синдикатов и террористических группировок — в последнее время невероятно возросла. Примером служат хакерские атаки в США на муниципальное управление штата Атланта и на сеть передачи данных, к которой были подключены четыре оператора газопроводов, хищение данных кредитного агентства Equifax, а также масштабные вирусные атаки WannaCry и NotPetya. Во многих громких случаях пострадавшие компании были уверены в своей надежной защите.

Я вхожу в команду Национальной лаборатории Айдахо (Idaho National Lab, INL), которая изучает, как организации, критически важные для экономики и национальной безопасности США, могут наилучшим образом защититься от киберугроз. Мы сфокусировались на организациях, которые полагаются на автоматизированные системы управления — например, чтобы регулировать температуру и давление на предприятиях энергетики и нефтеперерабатывающих заводах. Мы предлагаем решение, которое бросает вызов традиционным методам: определите функции, сбой которых представляет опасность для вашего бизнеса, по максимуму изолируйте их от интернета, уменьшите их зависимость от цифровых технологий до абсолютного минимума и обеспечьте мониторинг и управление с помощью аналоговых устройств и доверенных людей. Хотя наша методика пока находится на экспериментальной стадии, организации уже сейчас могут взять на вооружение многие элементы нашего подхода.

Нужно признать, что эта стратегия не подходит для ИТ-бизнеса и в некоторых случаях может увеличить операционные затраты и уменьшить производительность. Однако это единственный способ гарантированно защитить критически важные системы от цифровых атак. В этой статье я расскажу о разработанной в лаборатории методике, которая поможет распознать такие системы. Она укажет на уязвимые функции и процессы, сбой в которых может погубить компанию, хотя руководители это не вполне осознают. На протяжении последних лет мы применяем элементы нашей методики в различных компаниях и в вооруженных силах США. В рамках нашего подхода мы провели успешный годичный пилотный проект в одной из крупнейших электроэнергетических компаний США — Florida Power & Light. Второй пилотный проект — в одном из подразделений вооруженных сил США — ведется прямо сейчас. В INL мы также ищем способы распространения нашего подхода. Это означает, что, скорее всего, мы начнем сотрудничать с определенными инженерными службами, выдадим им лицензию и научим применять нашу методику.

СУЩЕСТВУЮЩАЯ УГРОЗА

В прежние времена в промышленности использовали механические насосы, компрессоры, клапаны, реле и приводы. Ситуацию оценивали по аналоговым датчикам, а квалифицированные инженеры, которым доверяли, переговаривались с главным офисом по проводным телефонам. Для диверсанта единственной возможностью вызвать сбой в системе (не считая инфильтрации в цепочку поставок или вербовки работника компании) было физическое проникновение сквозь три системы защиты: ограда, охрана и оружие.

Сегодня процессы в 12 из 16 секторов инфраструктуры, которые Департамент внутренней безопасности США объявил критически важными, практически полностью полагаются на цифровые системы управления и защиты. Их «системы и активы, как физические, так и виртуальные, настолько жизненно важны для США, что их приведение в негодность или разрушение окажет разрушительное воздействие на физическую и экономическую безопасность нации, здравоохранение, госбезопасность или любую комбинацию перечисленного». Несомненно, цифровые технологии — источник новых поразительных возможностей и роста эффективности, но они оказались очень уязвимыми перед кибератаками. В системах управления крупных корпораций, госорганов и научных учреждений взломщики постоянно пытаются нащупать слабые места. В этом помогают программы, которые легко можно найти в даркнете: многие из них бесплатные, другие же стоят сотни и тысячи долларов (к более дорогим даже прилагается техническая поддержка). Зачастую их атаки можно предотвратить с помощью передовых технологий кибербезопасности, но на практике от тщательно продуманных целевых атак, проводимых на протяжении месяцев, а то и лет, практически невозможно защититься.

Финансовые последствия кибератак становятся все серьезнее. Ущерб от WannaCry и NotPetya составил более $4 млрд и $850 млн соответственно. По имеющимся данным, в атаке WannaCry, в которой Соединенные Штаты и Великобритания обвинили Северную Корею, использовались программные технологии, украденные из Агентства национальной безопасности США. Используя уязвимость операционных систем Windows, которую не закрыли обновлением системы безопасности, программа шифровала данные на компьютере, а затем требовала выкуп — были заражены сотни тысяч компьютеров в больницах, школах, организациях и домохозяйствах в 150 странах. Атаку NotPetya, которая, как предполагается, была частью российской кампании по дестабилизации ситуации на Украине, провели через обновление в бухгалтерском софте украинского производства. Сначала атаке подверглось правительство Украины, затем компьютеры по всей стране, а затем — другие государства: среди пострадавших корпораций были датская судоходная компания Maersk, немецкая фармацевтическая компания Merck, британская кондитерская компания Cadbury и крупнейший в мире рекламный холдинг WPP.

РАСТУЩАЯ УЯЗВИМОСТЬ

Переход на цифровые технологии происходит все быстрее: автоматизация, интернет вещей, облачные хранилища, искусственный интеллект и машинное обучение. Распространение и растущая зависимость от сложных, подключенных к интернету, преимущественно програм­мных цифровых технологий имеет слабую сторону — кибербезопасность. В статье, опубликованной в 2014 году Центром новой американской безопасности, Ричард Данциг, бывший глава ВМС США и нынешний член совета директоров центра, разъяснил парадокс, к которому привели цифровые технологии. Вот его слова.

«Дав необычайные возможности, они же делают пользователей менее защищенными. Коммуникационные мощности способствуют развертыванию кооперации и связей, но тем самым открывают двери для нападений. Концентрация данных и управления значительно повышает производительность и масштабы операций, но пропорционально возрастает и количество того, что может быть украдено или нарушено кибератакой. Сложное устройство аппаратуры и программного обеспечения гарантирует мощность вычислительной системы, но при этом порождает уязвимости и не всегда распознает атаки… В целом, киберсистемы нас питают, но в то же время ослабляют и отравляют».

Дело в том, что эти технологии настолько сложны, что даже их разработчики и поставщики, которые знакомы с ними лучше всех, не могут в полной мере учесть всех уязвимостей. Поставщики обычно продают системы автоматического управления как способ избежать рисков, связанных с ошибками людей, но автоматика просто заменяет одни риски другими. Согласно центру Ponemon Institute, в котором проводят независимое исследование конфиденциальности, защиты данных и политики информационной безопасности, сейчас компьютерные системы такие запутанные, что компаниям в США в среднем нужно больше 200 дней, чтобы просто заметить утечку данных. И чаще всего они не находят уязвимости сами, а узнают о них от третьих лиц.

Несмотря на то, что число скандальных кибератак в мире постоянно растет (уже причинен ущерб таким компаниям, как Target, Sony Pictures, Equifax, Home Depot, Maersk, Merck и Saudi Aramco), крупные предприниматели пока не могут устоять перед привлекательностью цифровых технологий: высокая производительность, снижение ошибок из-за «человеческого фактора», повышение качества, обширная информация о клиентах, создание новых предложений. С каждым годом руководители тратят все больше и больше на информационную безопасность и дорогостоящие консультации, продолжая использовать традиционные подходы и надеясь на лучшее. Они просто тешат себя иллюзиями.

СЛАБОСТЬ «КИБЕРГИГИЕНЫ»

Традиционный подход — или «гигиена» кибербезопасности — предлагает следующее:

• провести полную инвентаризацию технических и программных средств компании;

• приобрести и внедрить новейшие инструменты защиты, в том числе для оконечных устройств и сетей, а также систему обнаружения хакерских атак;

• регулярно проводить тренинги по обнаружению фишинговых рассылок и уход от них для персонала;

• создать «воздушную прослойку» — в теории, отключить важные системы от других сетей и интернета, хотя на практике такого не бывает;

• нанять штат специалистов по кибербезопасности с разным функционалом, закупать услуги защиты у разных провайдеров, чтобы добиться всего перечисленного выше.

Многие компании придерживаются самых передовых принципов защиты, заданных в концепции Национального института стандартов и технологий США (NIST) и в списке из 20 наиболее важных мер информационной безопасности от компании SANS Institute. Это требует безукоризненного выполнения сотен действий в течение длительного времени: сотрудники должны использовать сложные пароли и регулярно их менять, необходимо зашифровывать передаваемые данные, сегментировать сеть с помощью брандмауэров, немедленно устанавливать новые патчи безопасности, ограничить количество людей, у которых есть доступ к важным системам, тщательно проверять поставщиков и т. д.

Похоже, многие СЕО верят, что, следуя этим рекомендациям, они защитятся от тяжелых потерь. Однако многочисленные успешные атаки показывают, что их оптимизм не оправдан. В упомянутых ранее компаниях, понесших урон от хакеров, на момент взлома кибербезопасностью занимался огромный штат с немалыми финансовыми ресурсами. Кибергигиена поставит заслон перед заурядными атаками ботов и непрофессиональных хакеров, но не поможет защититься от целенаправленных непрерывных атак на критически важные системы, все чаще проводимых хитроумными злоумышленниками.

В фондоемких отраслях — например, в энергетике, транспорте и тяжелом машиностроении — никакие знания и никакие деньги не помогут безошибочно выполнять описанные рекомендации. В действительности большинство организаций не может справиться даже с первым пунктом: полной инвентаризацией технических и программных средств. Но как вы будете защищать то, о чем даже не знаете?

К тому же в эталонных рекомендациях есть свои минусы. Обычно на время установки обновления защиты требуется прекратить работу всех систем, что возможно не всегда. Например, энергетические и химические предприятия, а также другие компании, первоочередная задача которых — обеспечить бесперебойный надежный процесс, не могут останавливать производство всякий раз, когда выходит очередное обновление системы безопасности. Так что в таких компаниях патчи устанавливают порциями во время планового простоя — и зачастую это происходит спустя несколько месяцев после выхода обновления. Другая проблема заключается в том, что техническое оборудование компании не всегда сосредоточено в одном месте. Например, большие электроэнергетические предприятия управляют тысячами подстанций, разбросанными по территории в тысячи квадратных километров. И тут появляется дилемма: если вы можете получить доступ к ПО по сети, чтобы устанавливать обновления, то талантливый злоумышленник также легко может проникнуть в сеть, вмешаться в работу программного обеспечения, правда, уже не с благими намерениями. Если сотрудники будут физически отправляться для обновления ПО на каждый объект, процесс станет непомерно дорогим. А если вы доверите это дело сторонней компании, можно даже не надеяться, что у вас получится проконтролировать каждый шаг.

Но даже если «гигиенические» рекомендации и удастся воплотить в полной мере, они не создадут адекватного заслона изощренным хакерам с их финансовыми ресурсами и способностью атаковать снова и снова, постоянно меняя тактику в поиске лазеек. Неважно, насколько хорошо вы соблюдаете кибергигиену, целенаправленно атакующий хакер все равно может проникнуть в информационную систему компании. На проведение атаки у него уйдут недели или месяцы, но цель будет достигнута.

Так думаю не только я. Майк Ассанте, бывший директор по безопасности Американской электроэнергетической компании и нынешний руководитель в SANS Institute, сказал: «Кибергигиена помогает защищаться от мелких хулиганов. Если в идеальном мире ее будут строго придерживаться, это поможет предотвратить 95% атак». Однако в реальности, по его словам, «это не преграда на пути продвинутых злоумышленников, направляющихся к определенной цели». В интервью The Wall Street Journal Боб Лорд, бывший начальник службы безопасности в Twitter и Yahoo, рассказал: «Когда я разговариваю с сотрудниками службы корпоративной безопасности, я замечаю в них нотки фатализма, например: “Я не могу защитить от самых изощренных атак в масштабе всей страны. Это гиблое дело. Так что я даже не буду думать, что с этим можно сделать”».

Наглядный тому пример — вирусная атака Shamoon в 2012 году на нефтяную компанию Saudi Aramco, которая была хорошо защищена. В результате атаки, в которой власти США подозревают Иран, пострадало три четверти корпоративных компьютеров — на них была стерта вся информация. Атака, случившаяся в марте 2018-го, должна была нарушить работу контроллеров системы безопасности нефтехимического завода в Саудовской Аравии и спровоцировать взрыв. По данным New York Times, код злоумышленника содержал ошибку — из-за этого атака провалилась. «Злоумышленникам надо было не только выяснить, как получить доступ к системе, но и хорошо разобраться в планировке объекта — какие трубы где проходят и какие вентили повернуть, чтобы вызвать взрыв», — написала газета.

РАДИКАЛЬНАЯ ИДЕЯ INL

Пришло время для совершенно другого подхода: в особых случаях отказаться от полной зависимости от сложных цифровых систем и интернета. Чтобы его применить, надо, выявив важнейшие для вас технологии и функции, сократить или полностью исключить сетевые соединения, через которые хакеры могут получить к ним доступ.

Национальная лаборатория Айдахо разработала методику проектирования, ориентированную на кибербезопасность (consequence-driven cyber-informed engineering, CCE). Цель ССЕ — не однократная оценка киберрисков, а, скорее, постоянный пересмотр их приоритетности в глазах руководителей бизнеса. Хотя проект еще на пилотной стадии, мы уже получили отличные результаты и планируем выдать лицензии на применение нашей методики нескольким сервисным фирмам. Уже сегодня основные правила ССЕ можно адаптировать к любой организации.

Методология включает четыре шага, которые согласованно выполняют следующие специалисты:

• мастер ССЕ — пока что это кто-то из INL, но в дальнейшем — сотрудники технической поддержки, обученные в INL;

• все руководители, ответственные за соблюдение норм и законов, судебные разбирательства и снижение рисков: СЕО, директор по производству, финансовый директор, директор по управлению ­рисками, начальник юридического отдела и директор по безопасности;

• профессионалы, которые контролируют производственные функции;

• эксперты по системе безопасности, а также операторы и инженеры, наилучшим образом знакомые с самыми важными процессами в компании;

• эксперты по кибербезопасности и инженеры-технологи, которые знают, как можно повредить системы и оборудование.

Для некоторых из перечисленных категорий людей дело будет напряженным. Например, выявление ранее неизвестных рисков корпоративного уровня сначала приведет директора по безопасности в ступор. Но это объяснимо: ни один директор по безопасности не может полностью подготовить компанию к атаке подготовленного злоумышленника.

1. Выделите «жемчужины» вашей системы.

Работа начинается с того, что в INL называют приоритизацией последствий: написание возможных сценариев катастроф или происшествий с серьезными последствиями. Нужно выделить функции или процессы, сбой которых навредит компании настолько, что поставит под угрозу ее существование. В качестве примера можно привести атаку на трансформаторы, которая на месяц лишит электроэнергетическую компанию возможности поставлять электричество, или взлом управления компрессорными станциями, что сделает невозможной для газововщиков поставлять газ потребителям на протяжении месяца. Другой пример — целевая атака на системы защиты на химическом или нефтеперерабатывающем заводе, в результате которой давление превысит допустимые пределы, что приведет к взрыву, в котором могут погибнуть или пострадать сотни и тысячи людей. Взрыв в свою очередь выльется в судебные разбирательства и огромные суммы возмещения ущерба. Это навредит рыночной капитализации компании и будет стоить ее руководителям их должностей.

Аналитики, знакомые с тем, как действуют изощренные хакеры, помогают команде предвидеть возможные цели атак. Ответив на вопросы «Что бы вы сделали, если бы хотели вывести из строя технологии или разорить компанию?» и «Что бы вы сделали, чтобы добраться до самых труднодоступных объектов?», команда может выявить цели, на которые могут обратить внимание хакеры и разрушение которых было бы наиболее катастрофичным, но одновременно и наиболее достижимым. Затем можно разработать возможные сценарии и предложить их к обсуждению руководством. В зависимости от размера компании на этот этап может уйти от нескольких недель до нескольких месяцев.

2. Нарисуйте карту цифрового ландшафта.

Следующее задание, которое займет не менее недели, — составить план всего аппаратного и программного обеспечения, технических средств связи, людей, которые их обслуживают, и процессов (включая процессы ваших поставщиков и услуги третьих лиц), которых могут затронуть наихудшие для компании сценарии. Необходимо наметить этапы производства, детально задокументировать все места, в которых располагаются системы контроля и автоматизации, и зафиксировать каждый физический и информационный вход. Такая схема отображает возможные пути проникновения, и зачастую компании знают далеко не обо всех из них.

Составленные из этих элементов схемы никогда не покажут всей картины. Дополнительно нужно задаться такими вопросами: «Как информация проходит через сети и как вы ее защищаете?» и «Кто имеет доступ к оборудованию?» Ответы вас удивят. Например, команда может узнать от сетевого архитектора или инженера по системам управления, что жизненно важные системы подключены не просто к операционной сети, но и к бизнесовой части, включающей кредиторские и дебиторские счета, платежные системы, клиентскую информационную систему и — соответственно — имеет выход в интернет. Спросив человека, работающего с поставщиками, можно услышать, что поставщик данной системы поддерживает постоянное беспроводное подключение, чтобы проводить дистанционный анализ и диагностику. А поставщик технических средств безопасности будет заверять вас, что не может напрямую контактировать с оборудованием, но, вникнув в процессы обновления, вы выясните, что это неправда. Любое такое открытие — полная неожиданность для команды.

3. Выделите возможные пути проникновения.

Используя методы корпорации Lockheed Martin, команда определяет самые короткие и легкие пути, по которым хакеры попробуют добраться до целей, обозначенных на первом этапе. Эти пути стоит ранжировать по степени сложности. Мастер ССЕ и другие сторонние специалисты, включая людей с доступом к секретным сведениям о хакерах и их методах, играют ведущую роль на этом этапе. Они делятся собранной по крупицам из официальных источников информацией об атаках на подобные системы по всему миру. Дополнительная информация от компании о технических средствах безопасности, технических возможностях и методах реагирования на угрозы компьютерной безопасности поможет команде окончательно сформировать список возможных путей проникновения. Он будет использоваться на четвертом этапе, когда руководители высшего звена будут определять приоритеты.

4. Разработайте способы снижения рисков и защиты.

Теперь пришло время найти варианты ухода от самых серьезных киберрисков. Если к цели есть 10 путей, но они все проходят через один сетевой узел, очевидно, что там лучше установить ловушку — тщательно контролируемую систему обнаружения, которая подаст первый сигнал об опасности команде быстрого реагирования.

Некоторые решения очень легкие и недорогие: например, подключаемый через провод вибрационный датчик без программного обеспечения. Такой датчик замедлит или отключит сегмент, получивший вредоносные цифровые инструкции, которые могут повредить его или вывести из строя. Другие решения более дорогие и долговременные — например, аналогичная, но не идентичная резервная система, которая сможет продолжить выполнение жизненно важных функций даже после системного сбоя. Многие решения не оказывают негативного влияния на ваши системы, но некоторые все же снизят производительность. Поэтому руководителям компании придется решить, с какими рисками они готовы мириться, какие необходимо снять, какие переложить на другую организацию, а последствия каких смягчить.

Если какой-то критически важный процесс просто невозможно выполнить без цифрового канала, нужно постараться свести количество цифровых потоков, связанных с этим процессом, к минимуму. Это поможет распознать необычный трафик. Кроме того, компания должна установить устройство, защищающее систему при поступлении цифровых команд, способных привести к катастрофе — скажем, механический рычаг или переключатель, которые не допустят, чтобы давление или температура превысили допустимые показатели. А иногда компании следует поручить часть обязанностей людям, которым можно доверять, — они, к примеру, могут контролировать механический термометр или измеритель давления, чтобы убедиться, что цифровые приборы дают верные показания. Если в вашей компании не было серьезных инцидентов, связанных с кибербезопасностью, вам покажется, что отключать от сети все, что только возможно, устанавливать старомодные механические приборы и нанимать сотрудников с функциями, которые давно автоматизированы, — несовременно и плохо для вашего бизнеса. Попробуйте отнестись к этому как к активному управлению рисками. Да, возможно, это уменьшит производительность и обойдется дороже. Однако это умный ход — если таким образом вы будете надежнее защищены от неприятностей, чем с вашими текущими установками. Вероятно, СЕО и директор по производству скептически отнесутся к нашей методике. Но любой проект, предлагающий изменения в укоренившихся методах управления, — серьезное испытание. Ожидайте сопротивления, особенно поначалу. Собирать такое количество информации о компании и признавать слабости, о которых вы не знали или просто не хотели думать, — непросто. На более поздних этапах терпение понадобится инженерам, потому что их системы внимательно изучат на наличие слабых мест. Убедитесь, что члены вашей команды чувствуют себя спокойно даже во время самых серьезных проверок. В конце концов, детальная информация о подходах злоумышленников и их возможных последствиях — показывающая, как именно это может произойти в вашей компании — будет важным открытием. Даже участникам команды, которые не одобряют подобных методов, потребуется присоединиться к процессу, когда они осознают все риски и способы их снижения.

ЧТО ВЫ МОЖЕТЕ СДЕЛАТЬ УЖЕ СЕГОДНЯ

Научитесь мыслить как злоумышленники. Вы даже можете собрать команду людей, которые будут постоянно испытывать на прочность системы защиты в компании, пытаясь добраться до критически важных объектов. Команда должна состоять из экспертов по процессам, происходящим в компании, системам управления и безопасности и оперативным сетям.

Даже если вы можете поддерживать высокий уровень кибергигиены, вы должны подготовиться к возможной атаке. Лучше всего внедрить культуру кибербезопасности, подобную той, что существует на лучших химических заводах или атомных электростанциях. Каждый сотрудник, от высокопоставленного руководителя до рядового служащего, должен осознавать, сколь важна быстрая реакция, если система компьютера или оборудование, за которым они следят, начинают вести себя неправильно: это может быть неполадкой, а может и сигналом о кибератаке.

Наконец, нужно разработать план Б на случай, если вы и ваша команда не сможете полагаться на системы, обеспечивающие наиболее важные процессы. Этот план поможет проводить основные операции, пусть и в ограниченном режиме. В идеале резервная система не должна опираться на цифровые технологии и быть подключена к сети — особенно к интернету. Но, как минимум, она не может быть идентичной оригинальной системе: очевидно, что, если хакеры смогут взломать вашу систему, они с легкостью взломают еще одну, идентичную первой.

Каждая организация, которая зависит от цифровых технологий и интернета, может стать жертвой серьезной кибератаки. Никакая кибергигиена не остановит Россию, Северную Корею и продвинутые преступные и террористические группировки с большими ресурсами. Единственный способ защитить свой бизнес — сделать, как вам может показаться, шаг назад в технологиях, однако это будет шаг вперед в плане продуманного проектирования. Главная цель — сократить или даже полностью исключить зависимость критических функций от цифровых технологий и подключения к интернету. Повышенные затраты окупятся, ведь, продолжив «нормальный» бизнес, вы рискуете его разрушением.

Об авторе

Энди Бочман (Andy Bochman) — старший аналитик сети, отдел национальной и внутренней безопасности Национальной лаборатории Айдахо.