Сталкивались ли вы когда-нибудь с обманом в интернете, а, может быть, и вовсе становились жертвой такой аферы? Поговорим о том, для чего интернет-мошенники выманивают личную информацию пользователей и какую цель преследует фишинг.
Суть фишинга
Просматривая электронную почту, вы однажды обнаруживаете у себя в ящике письмо – якобы от компании «Microsoft». В нем может быть написано нечто: «Ваш идентификатор электронной почты выиграл призовую сумму в размере 900 тысяч долларов США от компании «Microsoft» на 2017 год. Чтобы получить награду, отправьте свое имя, адрес и номер мобильного телефона».
О, так это же почти миллион! Звучит вроде бы очень заманчиво. Но! Взглянув на адрес отправителя ([email protected]), вы понимаете, что это никакой не «Microsoft» хочет сделать из вас богача…
Это стандартный фишинговый прием. В адресе отправителя указан домен бразильского почтового сервера. Это может быть подделка технической информации письма – так называемых хедеров, или же просто сервер с доменом «.gov.br» (government brasil – «правительство Бразилии») взломан, и теперь его используют злоумышленники.
Какую цель преследует фишинг?
Данные, которыми пытаются завладеть мошенники, – ваши имя и фамилия, адрес и телефонный номер. Также после поступления этой базовой информации, злоумышленники могут просить номер банковской карты и счета, мол, «куда перевести выигранные деньги». С помощью этой информации могут обмануть техническую поддержку банка и попытаться получить доступ к вашим счетам.
Риск – незащищенность вашей персональной информации и потеря денег на вашем счету
Кроме того, мошенники могут продать эту информацию на черном рынке другим злоумышленникам. Такие письма направляются автоматически на сотни тысяч адресов, и если хотя бы несколько тысяч пользователей предоставят свою информацию, а из них удастся получить доступ к нескольким сотням банковских счетов – заработок может быть очень хорошим.
Какие еще методы захвата чужих данных распространены?
Также распространен фишинг с использованием фейковых страниц популярных сервисов. Например, пользователь получает письмо якобы от имени Google, Facebook или какого-то другого сервиса. Это письмо побуждает его перейти по ссылке на фиктивный сайт, который имеет вид настоящего, и там пользователь должен ввести свой настоящий пароль. Злоумышленники путем такого обмана заставляют отдать им пароль. Интересно, что фальшивая фишинговая страница переадресует человека к его настоящей почте, то есть вы и не заподозрите, что ваш пароль уже знает другой.
На какие именно электронные почты чаще всего приходят такие сообщения?
Их рассылают по всей сети. Из опыта работы экспертов цифровой безопасности известно, что сервисы крупных международных компаний, в частности Google, очень хорошо фильтруют массовые фишинговые атаки. Выбирая email-провайдера, учитывайте юрисдикцию компании, предоставляющей эти услуги, и то, где расположены ее почтовые серверы.
Также обратите внимание, защищена эта почта так называемым зеленым замочком – соединением https://.
Как уберечь свои данные от мошенников?
Теперь зная, какую цель преследует фишинг, следует применить следующую стратегию: не отвечать на такие письма, обозначать их как спам.
Следует включить двухфакторную аутентификацию (двухэтапная проверка, подтверждение входа) в почте и во всех соцсетях. Двухфакторная аутентификация означает, что для входа в аккаунт недостаточно только правильно ввести пароль. Надо еще ввести код, который вы получите в смс или при помощи генерирования кодов на смартфоне в приложениях, типа Google Authenticator. Даже если вы отдадите мошенникам свой пароль, они не смогут получить доступ к странице, ну разве что у них в руках будет ваш мобильный телефон.
Для Gmail двухэтапную аутентификацию можно найти на странице https:// myaccount.google.com/security и кликнуть на «двухэтапная проверка». Для Dropbox, Facebook и других соцсетей – поискать в настройках. Также следует установить соответствующее расширение для браузера Google Chrome.
Что такое фишинговая атака и как уберечь себя от потерь. В последнее время фишинговые атаки стали очень популярны и я хотел бы рассказать вам что это такое и как не попасть на удочку мошенников.
Фишинг – (от англ. fishing рыбная ловля, выуживание) – вид интернет мошенничества с использованием социальной инженерии для получения доступа к конфиденциальной информации пользователей – логинам и паролям.
Основной задачей фишинг мошенника является получение вашего логина и пароля от определенного сайта, с последующим их использованием, т.е это может быть логин и пароль вашего банковского кабинета или номер и пинкод вашей карточки для вывода ваших денег на свой счет. Так же довольно часто используют фишинг для доступа к вашим аккаунтам в социальных сетях и т.д. В любом случае если ваш пароль и логин стал известен мошенникам последствия для вас будут не приятные.
Как действуют фишинг мошенники
Одним из видов фишинга может быть массовая рассылка от имени какого либо банка или сервиса, с просьбой отправить в ответ ваши данные, т.к. это необходимо на пример для проверки безопасности или еще чего-либо (в основном такие запросы очень правдоподобны и доверчивые пользователи отправляют свои данные не задумываясь).
Другой вид фишинга это подделка сайта оригинала – обычно фишинг мошенниками подделывается единственная страница – страница ввода логина и пароля. Кстати в данном случае определить то, что вы подверглись фишинг атаке можно по тому, что после ввода вами логина и пароля выдается сообщение о том что ввод логина и пароля не верен. При подделке сайта для привлечения на них жертв так же используется массовая рассылка писем с просьбой перейти на сайт.
Как защититься от фишинга и не попасть под фишинг атаку
- Первое что надо помнить всегда: ваш ПАРОЛЬ – ТОЛЬКО ВАШ, ни одна организация не будет требовать от вас вашего пароля. Он нужен вам только для получения доступа к определенному сервису и знать его должны только вы.
- Будьте внимательны при получении почтовых сообщений от неизвестных отправителей и почтовых сообщений просящих перейти по ссылке.
- Всегда проверяйте через адресную строку на том ли сайте вы вводите свой пароль. (обычно подделывается и домен. т.е. он очень похож на свой оригинал, различие может быть всего лишь в одной букве, например microsoft.com может превратиться в maicrosoft.com)
- Пользуйтесь последними версиями браузеров и лицензионного антивирусного ПО
- Следите за тем, что бы при входе на сайты банков было установлено защищенное соединение https
Если у вас есть подозрение, что вы подверглись фишинг атаке, обязательно сразу же смените пароль своего аккаунта и обратитесь в службу безопасности организации данные от которой получили фишинг мошенники.
Хоть интернет и виртуален, но он на столько проник в нашу жизнь, что вред от фишинга может быть вполне материальным, будь осторожнее.
В интернете развелось много вирусов и хакеров, поэтому защита компьютера от несанкционированного доступа имеет очень важную роль.
Экстремалам экстремальные гаджеты . Обзор оснащения экстремала.
Распространение атак направленного фишинга связанно с их эффективностью и слабой возможности традиционных решений по безопасности противостоять им. В то время как обычная фишинговая атака рассылается массово, атаки направленного фишинга (spear phishing) проводятся против конкретных субъектов.
Spear phishing
В настоящее время растет процентная доля целевых фишинговых атак, организуемых через рассылку писем по электронной почте, в которых можно выделить конкретную организацию или группу лиц. Целевые пользователи получают тщательно разработанные фишинговые сообщения, заставляющие человека вводить конфиденциальные персональные сведения – типа логина и пароля, которые дают доступ к корпоративным сетям или базам данных с важнейшей информацией. Помимо запрашивания учетных данных, целевые фишинговые письма могут также содержать вредоносное ПО.Направленный фишинг стал самым распространенным типом таргетированной атаки по одной простой причине: эта техника по-настоящему работает, вводя в заблуждение даже тех пользователей, которые серьезно подходят к вопросам безопасности. Она создает для хакеров опорный пункт для проникновения в корпоративную сеть. По данным исследования Check Point, проведенного среди более 10 тысяч организаций по всему миру, в 84% из них за последние 12 месяцев был скачан хотя бы один зараженный документ. Это происходит потому, что злоумышленнику достаточно просто получить представление о компании или о конкретных ее сотрудниках в сети Интернет, а затем написать такое письмо, которое побудит даже самого бдительного работника открыть вредоносное вложение и тем самым инициировать хакерскую атаку.
Цели атаки
Для определения списка целей злоумышленники могут воспользоваться несколькими путями:- получить список сотрудников с сайта (уровень доверия информации - очень высокий);
- получить список сотрудников с помощью социотехнических техник - звонок или обращение по почте (уровень доверия информации - очень высокий);
- получить ФИО из метаданных документов, размещенных на сайте (уровень доверия информации - высокий);
- linkedin (уровень доверия информации - средний);
- пропарсить соцсети (уровень доверия информации - низкий).
После предварительного сбора списка вероятных сотрудников организации производится сбор данных об их сфере деятельности, зонах ответственности и горизонтальных связях. Также производится поиск точки входа для проведения атаки на выбранных субъектов. После анализа полученной информации можно составлять сценарий атаки.
Психология атаки
Нацеленная фишинговая атака всегда содержит проработанные социотехнические методы и приемы манипулирования человеческим сознанием.С точки зрения психологии атака методами социальной инженерии всегда идет в обход аналитических инструментов разума. Она действует преимущественно на уровне эмоциональной сферы, привычно подавляемой у большинства людей, занятых умственным трудом. Именно поэтому приемы социальной инженерии часто завершаются успехом даже в том случае, когда интеллект атакующего заметно ниже, чем у жертвы.
Высокий IQ мало препятствует обману, поскольку методы СИ бьют по шаблонам поведения, глубинным страхам и выработанным под давлением микросоциума приспособительным рефлексам. Чтобы развитый блок критического восприятия жертвы не мешал атаке, его просто перегружают потоком данных, переключая на анализ второстепенной информации, или используют фактор срочности, чтобы отключить вовсе и заставить действовать необдуманно. Все это похоже на атаку ключевых узлов нейросети.
Один из базовых приемов социальной инженерии- создание дефицита времени, некое событие, на которое жертва должна среагировать немедленно. Срочные решения сложно принимать именно потому, что приходится действовать в условиях нехватки достоверной информации. В таких ситуациях некогда советоваться и проверять все сообщенные атакующим данные, поэтому жертва начинает действовать, руководствуясь сильными чувствами: желанием помочь, стремлением получить признание или поскорее отделаться от неожиданной проблемы. Также часто удается сыграть на жажде легкой наживы, страхе потерять деньги, работу, результаты труда или репутацию.
Жертве могут сказать в лоб, что ситуация срочная, или позволить ей самостоятельно прийти к такому выводу. Второе эффективнее, так как для человека это будет собственная мысль, которая не вызывает сомнений. Именно на нее он будет опираться в своих минимальных рассуждениях, все больше проникаясь доверием к услышанной легенде.
Пример
Объект атаки организация ООО «Ромашка». С сайта компании получены данные о руководителе компании, секретаре и системном администраторе. С помощью телефонного звонка было выяснено ФИО и email главного бухгалтера. Из базы данных ОГРН/ЕГРЮЛ были получены полные реквизиты компании.Объектами атаки выбраны главный бухгалтер и секретарь, под которых были задействованы следующие сценарии атаки (вектор - электронная почта):
Главный бухгалтер:
- От: нейтральный адрес, типа %surname%%birthyear%@mail.ru
- Тема письма: FWD акт сверки
- Текст письма: Добрый день, ФИО. Согласно предварительной договоренности высылаю акт сверки.
- Приложение: Акт сверки ООО Ромашка.xls
- От: [email protected] (поддельный адрес)
- Тема письма: Исковое заявление о взыскании долга
- В Арбитражный суд г. Москвы подано исковое заявление №23401-16 о взыскании долга с ООО «Ромашка», ЕГРЮЛ: ХХХХХХХХХХХХ, ИНН: ХХХХХХХХХХХ, Юридический адрес:, свидетельство о регистрации: ХХХХХХ на основании искового заявления контрагента по взысканию задолженности за оказанные услуги.
- Исковые требования:
- В соответствии со ст. 395 ГК РФ за пользование чужими денежными средствами вследствие их неправомерного удержания, уклонения от их возврата, иной просрочки в их уплате либо неосновательного получения или сбережения за счет другого лица подлежат уплате проценты на сумму этих средств.
- Приложение: судебное решение 23401-16.docx
Тренинг персонала
Во многих компаниях проводятся тренинги по повышению осведомленности персонала к социотехническим атакам.Технические меры защиты от фишинга, такие как фильтрация и анализ почтового/веб трафика, ограничение программной среды, запрет запуска вложений - весьма эффективны, но они не могут противостоять новым угрозам и, что более важно, не могут противостоять человеческой глупости любознательности и лени. Бывали случаи, когда пользователь, будучи не в состоянии открыть/запустить вредоносное содержимое на рабочем месте пересылал его на свой домашний компьютер и запускал, со всеми вытекающими… Поэтому, какую бы основательной не была система технической защиты - не стоит забывать про такой важный фактор как обучение пользователя.
Периодические инструктажи и информационные рассылки являются важной составляющей обучения персонала, но, как показывает практика, их эффективность значительно ниже, нежели обучение сотрудников на собственных ошибках, учитывая фактор вовлеченности в процесс.
Простейшая система, позволяющая провести тестирование и тренинг персонала по выявлению фишинговых атак выглядит следующим образом:
- Подготовка сценария и шаблонов писем;
- Рассылка фишинговых писем пользователям;
- Перенаправление отреагировавших пользователей на специализированную страницу с предупреждением;
- Статистический учет эффективности атаки.
Скриншот «уведомляющей» страницы, сгенерированный фреймворком sptoolkit. В настоящий момент проект заморожен.
Для облегчения такого рода «учений» можно воспользоваться специализированным фреймворком gophish. Существуют и другие утилиты для облегчения задачи социоинженеру, например setoolkit, но они обладают избыточным функционалом и предназначены скорее для активной атаки. Также есть несколько онлайн сервисов, но они, в основном, англоязычные и не подходят для использования среди русскоговорящих целей фишинговой компании.
Gopgish - мультиплатформенный фреймворк с удобным веб-интерфейсом и простейшим развертыванием. Этот фреймворк разработан на Golang и вероятнее всего не заработает на шаред-хостинге, имейте это ввиду.
С его помощью можно создать фишинговую компанию для определенной группы пользователей:
На фишинговой странице можно «собирать» введенные пользователями данные:
После проведения компании можно оценить её эффективность:
Меры предосторожности
В качестве мер защиты необходимо установить контроль за почтовыми вложениями и ссылками, проводить тренинги с персоналом о наличии новых угроз, соблюдать меры предосторожности и уведомлять о всех подозрительных случаях технический персонал.Статьи
Особенность целенаправленных атак (APT) заключается в том, что злоумышленников интересует конкретная компания или государственная организация. Это отличает данную угрозу от массовых хакерских атак – когда одновременно атакуется большое число целей и наименее защищенные пользователи становятся жертвой. Целенаправленные атаки обычно хорошо спланированы и включают несколько этапов - от разведки и внедрения до уничтожения следов присутствия. Как правило, в результате целенаправленной атаки злоумышленники закрепляются в инфраструктуре жертвы и остаются незамеченными в течение месяцев или даже лет – на протяжении всего этого времени они имеют доступ ко всей корпоративной информации.
Сложности классификации
Таргетированные или целевые атаки – атаки, направленные в отношении конкретных коммерческих организаций или государственных ведомств. Как правило, такие атаки не носят массовый характер и готовятся достаточно длительный период. Злоумышленники изучают информационные системы атакуемого объекта, узнают, какое программное обеспечение используется в тех или иных целях. Объектами атаки являются весьма ограниченные какими-либо рамками или целями конкретные информационные системы и/или люди. Вредоносное ПО специально разрабатывается для атаки, чтобы штатные антивирусы и средства защиты, используемые объектом и достаточно хорошо изученные злоумышленниками, не смогли обнаружить угрозу. Чаще всего это уязвимости нулевого дня и особые алгоритмы связи с исполнителями/заказчиками атаки.
Юрий Черкас , руководитель направления инфраструктурных ИБ-решений Центра информационной безопасности компании «Инфосистемы Джет» cчитает, что практически постоянная полемика вокруг определения термина «таргетированная атака» затрудняет классификацию этого термина. Он отмечает, что целевая атака использует те же механизмы взлома, что и любая другая (спам , фишинг , заражение часто посещаемых сайтов и т.д.). «На мой взгляд, одним из основных признаков таргетированной атаки является ее явная направленность на конкретную организацию. Например, вирус, написанный для конкретного ПО собственной разработки конкретной организации. Но так бывает далеко не всегда. Хакер может использовать имеющиеся у него наборы эксплойтов и другие инструменты для атаки на компанию-жертву. В этом случае определить, относится ли атака к таргетированной, достаточно сложно, так как для проведения атаки использовались уязвимости распространенных ОС и прикладного ПО», говорит Юрий Черкас .
Сложности при квалификации целевых атак - один из факторов, который не позволяет рассчитать даже их приблизительное количество.
КДУ (Комплексные Долговременные Угрозы)
Большинство специалистов сходится во мнении относительно следующих особенностей целевых так :
- Это атаки, направленные в отношении конкретных коммерческих организаций, отраслей производства или государственных ведомств.
- Объектами атаки являются весьма ограниченные какими-либо рамками или целями конкретные информационные системы.
- Эти атаки не носят массовый характер и готовятся достаточно длительный период.
- Вредоносное ПО, если оно используется при реализации атаки, специально разрабатывается для конкретной атаки, чтобы штатные средства защиты, достаточно хорошо изученные злоумышленниками, не смогли обнаружить ее реализацию.
- Для реализации атаки могут использоваться уязвимости нулевого дня.
- Как правило, целевые атаки используются для кражи информации, которую легко монетизировать, либо для нарушения доступности к критически важной информации.
- При осуществлении целевой атаки используются те же механизмы взлома, что и при массовых атаках, в частности фишинг. Отличие составляет подготовка атаки с целью предотвращения возможности ее детектирования средствами защиты. Именно применительно к целевым атакам фишинг становится очень актуальной угрозой, поскольку атака в этом случае осуществляется не на абстрактные, а на конкретные физические лица, что может быть учтено методами социальной инженерии.
- После обнаружения и идентификации целевой атаки, уже по итогам ее осуществления, об угрозе этой атаки становится известно, она переходит в категорию «массовых» - может массово использоваться злоумышленниками. При этом, как идентифицированная, угроза этой атаки уже может детектироваться средствами защиты, одной из задач которых является обеспечение минимальной продолжительности перехода угрозы атаки из категории целевых в массовые.
Фазы целевой атаки
Цели атак
По данным A.T. Kearney:
- Офис правления компании . Часто аппаратура ненадлежащим образом защищена от физического повреждения (например, со стороны персонала по уборке или техническому обслуживанию помещений).
- НИОКР . Обычно это отдел, требующий самого высокого уровня защиты, но зачастую он защищен не лучше, чем другие отделы.
- Центры обработки данных представляют собой надежную среду для размещения частного облака. Проблемой является обеспечение безопасного функционирования многочисленных серверов, а также приложений, работающих на этих серверах.
- Сеть поставщиков . Из-за расширяющегося применения сетевых решений при работе с поставщиками возникают риски, связанные с тем, что относительно небольшие компании-поставщики, как правило, хуже защищены.
- Облачные вычисления .В основе своей использование внешнего облака безопасно. Проблемы связаны с тем, что уровень защиты данных зависит от законодательства и что возможен доступ со стороны спецслужб.
- Производство . Множество старых специализированных систем все чаще объединяется в сети, и их работу трудно отслеживать и контролировать. Атаки злоумышленников в этом случае могут привести к производственным потерям или даже к краху компании.
- Базы данных обеспечивают безопасное хранение важной информации. Главная слабость – то, что в качестве «инструментов» для проникновения в базы данных взломщики могут использовать администраторов.
- Конечная продукция , активируемая с помощью информационных технологий. Растущий уровень использования сетевых решений для обеспечения функционирования конечной продукции облегчает проведение кибератак. Дистанционно контролируя устройства пользователей с целью провоцирования поломок, хакеры имеют возможность незаконно получать через эти устройства конфиденциальную информацию. В связи с этим компании может грозить потеря репутации и получение исков от пользователей, ставших жертвами мошенничества
- Офисные сети . Растущий уровень сетевого взаимодействия, предусматривающего объединение почти всех систем, предоставляет хакеру богатые возможности, если он сумеет проникнуть в сеть
- Продажи . Утечка маркетинговых планов, информации о ценах и клиентах подрывает репутацию компании и лишает ее конкурентных преимуществ.
- Мобильные устройства . Покупая смартфоны , доступные на коммерческом рынке, пользователи часто вводят в их память конфиденциальные данные, которые, как правило, без труда могут быть похищены хакерами. Самые испытанные и надежные концепции обеспечения безопасности могут оказаться бесполезными, если сотрудники компании используют собственные мобильные устройства для решения рабочих задач.
- Интернет-магазины . Для незаконного доступа под видом реально существующих покупателей и совершения мошеннических действий хакеры используют реквизиты кредитных карт и личные данные клиентов.
- Телефонные звонки . Эксплуатируя готовность людей помогать друг другу, злоумышленники могут использовать телефонные звонки как способ легкого получения нужной информации.
Таргетированные атаки в финансовой сфере
В обзоре о несанкционированных переводах денежных средств в 2014 году, опубликованном ЦБ РФ накануне, отмечается, что 23 кредитные организации сообщили об инцидентах, имеющих признаки целевых атак. Эксперты подсчитали, что инциденты были направлены на списание средств на сумму 213,4 млн рублей.
Все инциденты связаны с вешним воздействием на ИТ-инфраструктуру в том числе и с внедрением вредоносного кода, благодаря которому высокотехнологичные преступники намеревались выводить средства.
Попытки взлома имеют типовые особенности: атака была целевой и учитывала особенности процессов отправки и обработки сообщений в определенной платежной системе; вредоносный код в ряде случаев стандартными средствами антивирусной защиты не выявлялся, несмотря на актуальные антивирусные базы; зафиксированы также факты проникновения хакеров в локальные сети банков, чтобы, в том числе, с помощью попыток внедрения вредоносного кода через электронные сообщения.
Представители банков констатируют: если раньше мошенники предпочитали грабить клиентов, то теперь переключились на более крупную добычу, а именно – на сами финансово-кредитные учреждения.
«Это более сложная процедура, но с точки зрения выгоды хакерам удобнее взламывать банки, где деньги лежат в одном месте. Основной тенденцией становятся так называемые таргетированные атаки. Они готовятся месяцами и в отношении конкретных банков и финансовых организаций. Это реальная угроза, от которой очень сложно защитится даже продвинутым в плане информационной безопасности банкам. Злоумышленники достаточно хорошо изучили банковское ПО, АБС, средства защиты и так далее», - отмечает Юрий Лысенко , начальник управления информационной безопасности банка Хоум Кредит .
С ним соглашается и Станислав Павлунин , вице-президент по безопасности Тинькофф Банка : «Целевые атаки идут бок р бок с социальной инженерией. DDoS-атаки никуда не исчезли, однако работать с ними гораздо проще, чем с вирусами, которые злоумышленники пишут для целенаправленных действий. Стандартные антивирусы не обнаруживают зловредных объектов, которые написаны для объекта атаки. Системы, которые позволяют фиксировать такие целевые атаки на конкретную финансовую организацию и выявлять риски на лету – это другой класс безопасности», - погалает Станислав Павлунин.
В то же время Юрий Лысенко прогнозирует увеличение числа целевых атак на конкретные банки и финансовые организации, системы дистанционного банковского обслуживания и т.д.
Методики целевой атаки
Публично доступная информация о средствах проведения таргетированных атак и расследовании инцидентов (которые имеют признаки целевых атак) позволяют говорить о разнообразии методов. Например, могут использоваться полностью автоматизированные методы, так и телефонные звонки.
Злоумышленники в ходе атаки исследуют различные возможности, чтобы получить доступ к необходимой информации. Может осуществляться прямой физический доступ или атаковаться сотрудники компании, их устройства и учетные записи в интернет-сервисах.
«Существенной проблемой становится безопасность смежных информационных систем – компаний-поставщиков (особенно разработчиков ПО, осуществляющих поддержку своего продукта) и клиентов. Доверенные отношения с ними могут быть использованы для обхода граничных средств защиты. Это значительно расширяет и без того сложный периметр защиты», - говорит Алексей Качалин , заместитель генерального директора компании «Перспективный мониторинг» .
Уйти от попыток таргетированных атак жертве вряд ли удастся. Например, злоумышленник хочет получить доступ к внутренним ресурсам интересующей его компании. Для этой цели злоумышленник может инициировать множество целевых атак, на протяжении нескольких месяцев или лет. Все элементы атаки (сетевые атаки, вредоносное ПО) могут быть предварительно проверены на «заметность» для распространенных методов обнаружения. В случае неэффективности такие элементы модифицируются. Аналогично обновлению антивирусных баз могут обновляться и средства вторжения, в том числе и те, что уже функционируют в захваченной системе.
Дополнительная сложность – продолжительность и интенсивность таргетированной атаки. Подготовка может занимать месяцы, а активная фаза – минуты. «Существует вероятность, что рано или поздно атака удастся. В конце концов проблема 0-day уязвимостей актуальна всегда. Если у вас есть информация, которая стоит 100 млн, то будьте готовы к тому, что найдется кто-то готовый потратить 50 млн на то чтобы ее украсть. Поэтому единственное что можно сделать – это быть готовым к компрометации и иметь инструменты для быстрого обнаружения атаки, ее пресечения и минимизации ущерба», - считает Александр Гостев , главный антивирусный эксперт «Лаборатории Касперского» .
Установление организаторов
Большинство из таргетированных атак обнаруживается постфактум. Самой большой проблемой остается атрибуция – установление организаторов и исполнителей таких атак.
Установление виновника – это чрезвычайно сложная задача, уверены эксперты. В этом процессе необходимо собрать максимальное число факторов, которые бы указывали на причастность хакерской группы определенной национальности или организации к совершению преступления. Для этого необходимо взаимодействие между компаниями, работающими в сфере информационной безопасности , жертвами, правоохранительными органами разных стран и т.д. Но и в этом случае устанавливаются только единицы виновников, чаще всего из-за грубых ошибок атакующих.
«Для определения источника атаки необходимо учитывать множество факторов. Прежде всего, это анализ кода – в нем могут содержаться слова, косвенно указывающие на языковую или национальную принадлежность авторов. Например, русские слова, написанные латиницей, или ошибки, которые обычно свойственны именно русским авторам и т.д. Однако киберпреступники могут намеренно оставлять такие ложные следы, запутывая тем самым следствие», - говорил Александр Гостев .
Более 100 группировок целенаправленно атакуют коммерческие и госорганизации
Эксперты из глобального центра исследований и анализа угроз «Лаборатории Касперского » сообщили летом 2016 года, что в мире активно более 100 групп, организующих кампании кибершпионажа и атаки класса АРТ, и под их прицел попадают коммерческие и государственные организации в 85 странах мира.
По мнению представителей компании, столь динамичное развитие этой угрозы говорит о том, что целевые атаки перестали быть уделом избранных: злоумышленники оптимизируют свои техники и инструменты, и это удешевляет и упрощает организацию вредоносной кампании, что, в свою очередь, способствует появлению новых игроков.
Основная цель атаки класса АРТ - кража конфиденциальной информации, которую впоследствии можно использовать для получения геополитического преимущества или продажи заинтересованным лицам. По наблюдениям «Лаборатории Касперского», наибольшему риску стать жертвой целевой атаки подвергаются правительственные и дипломатические организации, финансовые компании, предприятия, работающие в энергетической и космической отраслях, учреждения в сфере здравоохранения и образования, телекоммуникационные и ИТ-компании, поставщики для вооруженных сил, а также общественные и политические активисты.
«Мы изучаем сложные целевые атаки более шести лет и с уверенностью можем сказать, что в последнее время они все чаще применяются не только для шпионажа, но и для кражи денег. Целевые атаки затрагивают самые разные организации, их жертвой могут стать отнюдь не только государственные учреждения. Не меньший интерес для злоумышленников представляют крупные компании, обладающие ценной интеллектуальной собственностью или имеющие доступ к большим финансовым активам, - рассказал Юрий Наместников, руководитель российского исследовательского центра «Лаборатории Касперского». - В такой ситуации раннее выявление целевой атаки критически важно для любой организации, желающей сохранить свои конфиденциальные данные. Однако с помощью традиционных защитных решений сделать это очень сложно, поскольку злоумышленники часто используют нетривиальные методы и тщательно скрывают свою активность. Так что компаниям могут помочь либо аналитические сервисы, либо специальные решения для выявления целевых атак».
Методы защиты и предотвращения атак
Основными средствами защиты от целевых атак сегодня являются средства детектирования всевозможных аномалий (кода, команд, поведения и т.д.). При этом:
- Детектирование аномалий в рамках отдельно взятого компьютера, либо корпоративной ИС в целом, осуществляется с целью обнаружения реализуемых, а также частично, либо полностью реализованных атак.
- Обеспечивается возможность нейтрализации известных атак на ранних стадиях их осуществления – решается задача защиты информации , что обеспечивается возможностью однозначной идентификации выявленной аномалии как события реализации атаки, как следствие, осуществления автоматической реакции на зафиксированное аномальное событие.
- В отношении неизвестных угроз атак, к которым относятся угрозы целевых атак, детектирование аномалий неизбежно связано с ошибками первого (при поверхностном анализе событий) и второго (при глубоком анализе) рода. В данном случае, особенно при глубоком анализе, а иначе какого-либо смысла детектирование аномалий не имеет, технологически невозможна однозначная идентификация выявленной аномалии как события реализации атаки, в результате чего невозможна и автоматическая реакция на зарегистрированное событие, которое лишь с некоторой вероятностью может являться атакой. Задача детектирования аномалий в данном случае сводится не к защите информации, а к проведению соответствующего дальнейшего исследования по зарегистрированному факту реализации атаки, с целью максимально оперативной однозначной идентификации атаки.
- После однозначной идентификации аномалии, как атаки (атака становится известной, а ее угроза уже не угроза целевой, а угроза массовой атаки), в отношении этой атаки детектором аномалий уже реализуется защита информации.
Практически все вендоры имеют в своей линейке продукт, который позиционируется как средство защиты от таргетированных атак. К их числу можно отнести FireEye , CheckPoint , McAfee и т.д. Эффективность защиты от таргетированных атак не может всецело определяться только применяемыми техническими средствами.
«Если говорить о технических средствах, то их эффективность будет рассматриваться сквозь призму поставленных компанией целей и задач, что лучше оценивать в рамках проведения пилотных проектов в конкретной среде. Подобно любым решениям продукты по защите от таргетированных атак имеют как свои сильные стороны, так и слабые», - считает Алина Сагидуллина , консультант по информационной безопасности компании «ЛАНИТ-Интеграция» .
Возможность оперативно реагировать на таргетированные атаки имеют центры мониторинга информационной безопасности. Такие центры могут комплексно анализировать состояние атакуемой системы через системы защиты информации; с помощью экспертов, сконцентрированных на анализе информационной безопасности в наблюдаемой системе; при мониторинге фактов компрометации и утечки информации; совокупном анализе крупных информационных систем. «Это позволяет увидеть схожие признаки аномалий в различных сегментах информационной системы», - рассказывает Алексей Качалин .
Технологии защиты от таргетированных атак были и раньше, но сейчас они выходят на новый уровень. В первую очередь речь идет о различных инструментах для выявления аномалий – как на локальных компьютерах, так и на уровне сетевой активности. Задачей таких систем является поиск всего необычного, что происходит, а не поиск вредоносного года. Это объясняется тем, что во многих случаях атакующие могут вообще не использовать вредоносные программы.
«К этим системам добавляется активно развивающийся класс SIEM – «Security information and event management», позволяющий агрегировать вместе поступающие системные события от разных систем защиты (антивирусов , файрволов , эмуляторов, роутеров и т.д.) и видеть в реальном времени все происходящие изменения», - говорит Александр Гостев.
Почему недостаточно традиционных систем защиты
Из-за специфики целенаправленных атак и подготовки к ним, таких как:
- детальное изучение используемых средств защиты с целью их обхода;
- написание уникального ПО и закрепление его в инфраструктуре цели;
- использование в атаках доверенных, но скомпрометированных объектов, не создающих негативный фон;
- применение мультивекторного подхода к проникновению;
- скрытность и пр.
Из-за присущих традиционным средствам защиты технологических ограничений:
- обнаружение направлено только на распространённые (несложные) угрозы, уже известные уязвимости и методы;
- нет встроенного сопоставления и корреляции детектов в единую цепочку событий;
- нет технологий выявления отклонений в нормальных активностях и анализа работы легитимного ПО.
Необходим комплексный подход
Deception-ловушки
Новые средства появились и продолжают появляться. Однако их эффективность напрямую зависит от качества их настройки. По словам Юрия Черкаса , основными технологическими направлениями средств защиты являются:
- песочницы, которые имитируют рабочие станции организации. В песочницах файлы, получаемые из интернета, запускаются и анализируются. Если запускаемый файл влечет за собой деструктивное воздействие, то такой файл определяется как зараженный;
- анализ аномальной сетевой активности (например, на базе NetFlow), который осуществляется путем сравнения текущей сетевой активности с построенной эталонной моделью сетевого поведения. Например, компьютер или сервер, который всегда коммуницирует с некоторым набором определенных сетевых ресурсов по определенным протоколам, вдруг неожиданно начинает пробовать обращаться напрямую к базам данным;
- поведенческий анализ рабочих станций, также основанный на сравнении активности рабочих станций с эталонной моделью. Разница в том, что этот анализ осуществляется не на уровне сети, а на уровне самой рабочей станции с помощью агентов. Не так давно появилась интересная технология, которая отслеживает процессы Windows. В случае отклонения от эталонной модели процесс Windows блокируется, тем самым не давая эксплойту выполнить деструктивное воздействие.
«Нюанс в том, что все эти технологии предполагают анализ поведения. В этом случае ошибки 1-го (false positives) и 2-го рода (false negatives) неизбежны, поэтому эффективность сильно зависит от квалификации сотрудников, настраивающих и эксплуатирующих эти решения», - отмечает Юрий Черкас.
Deception - сеть замаскированных сетевых ловушек и приманок, которые разбросаны по всей ИТ-инфраструктуре
Что обеспечит Deception
- Обнаружение в режиме реального времени целенаправленных атак и атак нулевого дня
- Защиту реальных ИТ-активов за счет переключения активности атакующих на «ловушки»
- Защиту ценных данных от «шифровальщиков»
- Сбор форензики о действиях злоумышленников
- Отсутствие ложных срабатываний
- Не использует агентов и не оказывает влияния на работу пользователей и ИТ-сервисов
Результаты
- Профиль злоумышленника
- Детализированные методы и инструменты, используемые во время атаки
- Углубленный анализ (какие цели преследуют хакеры, какую информацию они ищут)
- История и хронология взлома
- Источники происхождения злоумышленников на основе их IP-адресов и данных DNS
Ущерб от атак – большая загадка даже для жертв
Подсчитать реальный ущерб от таргетированных атак не представляется реальным: по данным ESET , 66% инцидентов системы безопасности остаются незамеченными многие месяцы. Именно под это и «заточено» сложное вредоносное ПО для целевых атак: кража данных происходит незаметно, в «фоновом» режиме.
Большое количество атак остается незамеченными. При обнаружении многие компании стараются скрыть факт инцидента и не предавать его огласке. В
В тройке самых приоритетных задач ИТ-менеджеров по сравнению с предыдущим годом произошли кардинальные изменения. 41% опрошенных назвало защиту данных от таргетированных атак главным приоритетом. Год назад этот пункт не входил в список приоритетов ИТ-менеджеров. Прежде всего защиту от целевых атак назвали своим приоритетом представители среднего бизнеса (43%) и крупных предприятий (38%). Малый бизнес вопрос таргетированных атак интересует в меньшей степени (32%).
Дистанционная викторина
для студентов 1 курса
«Безопасный Интернет»
/Николо Макиавелли/
1. Клавиатурный шпион – это:
Как определить, что ваш компьютер заражен?
a) Друзья получают от вас по электронной почте сообщения, которых вы не посылали
b) Компьютер часто зависает либо программы начинают выполняться медленнее обычного
c) На диске исчезают или изменяют название файлы и папки
d) Компьютер издает неожиданные звуки, воспроизводимые в случайном порядке
e) Все вышеперечисленное
5. Что нужно сделать в первую очередь, если компьютер подвергся атаке?
a) Сделать несколько глубоких вдохов и принять витамины
b) Девушкам выпить не менее литра пива, парням – съесть не менее двух шоколадок
c) Вызвать милицию и скорую помощь, в особенно сложных случаях еще и пожарных
d) Отключить компьютер от интернета
e) Выключить до приезда специалистов монитор
6. Соберите пазл и дайте определение данному понятию.
В ситуациях № 7-10 опишите сои действия.
7. Тебе на электронную почту пришло письмо с интересной игрой от неизвестного пользователя. Что ты будешь делать?
Тебе на электронную почту стали приходить письма, содержащие оскорбления, грубости. Что ты будешь делать?
Новый друг, с которым ты недавно познакомился в Интернете, просит дать твой номер телефона и сказать адрес. Твои действия?
На занятии истории тебе задали найти изображения гербов разных стран. Ты нашел картинку в Интернете, но для того чтобы ее сохранить нужно отправить SMS на указанный номер в Интернете. Как ты поступишь?
Русский писатель, философ и общественный деятель 19 века в романе, написанном в 1837 году, похоже, первым предсказал появление современных блогов и Интернета: в тексте романа есть строки: «между знакомыми домами устроены магнетические телеграфы, посредством которых живущие на далёком расстоянии общаются друг с другом». Разгадайте ребус и узнайте фамилию этого писателя.
 |
Ответ: ______________________________________________________
Дистанционная викторина
для студентов 1 курса
«Безопасный Интернет»
Только те средства по обеспечению безопасности хороши, надежны и долговечны, которые зависят от вас самих и от вашей собственной энергии.
/Николо Макиавелли/
В вопросах №1-5 выберете один вариант ответа
1. Клавиатурный шпион – это:
a) Агент спецслужб, в служебные обязанности которого входит просмотр переписки пользователей
b) Сотрудник, ведущий протокол собраний и набирающий текст сразу на клавиатуре удаленно подключенной к компьютеру
c) Программа, отслеживающая ввод пользователем паролей и пин-кодов
d) Юридический термин, используемый для обозначения правонарушений, связанных с информационной безопасностью
Какую цель преследует такая угроза как фишинг?
a) Перенаправлять любые запросы пользователя в браузере на хакерский сайт о рыбалке
b) Довести пользователя до самоубийства путем постоянного вывода сообщения «купи рыбу!»
c) Организовать отправку от имени зараженного пользователя приглашения в гости тёще по электронной почте каждый раз, когда он собирается с друзьями на рыбалку
d) Обманным путем выудить у пользователя данные, позволяющие получить доступ к его учетным записям
3. Троянская программа опасна тем, что:
a) Проникает на компьютер под видом полезной программы и выполняет вредоносные действия без ведома пользователя
b) Ищет на диске какого-то коня, снижая производительность системы
c) Постоянно читает вслух «Илиаду» Гомера без выражения
d) Обладает всеми вышеперечисленными возможностями
