У країні з репресивним режимом анонімність є запорукою свободи

Ондрей Кубович, спеціаліст з кібербезпеки компанії ESET, розповідає про конфіденційність в інтернеті, кіберграмотність населення та захист домашніх комп’ютерів в умовах віддаленої роботи.

PCWeek/UE: Сьогодні багато користувачів стурбовані проблемою своєю конфіденційністю в Інтернеті. Ми знаємо, що пошукові системи, соціальні мережі, мобільні програми збирають різну інформацію і багато що знають про нас. Як ви вважаєте, ця проблема перебільшена? Чи потрібно максимально анонімізувати свою поведінку у Мережі?

Ондрей Кубович: Відповідь на це питання залежить від країни, в якій ви живете, вашої роботи, доходу, сімейного стану і т. д. Наприклад, якщо ви правозахисник, який живе в країні з репресивним режимом і часто критикуєте уряд, ваша конфіденційність є ключем не тільки до вашої свободі, але іноді навіть до вашого здоров’я чи виживання. Якщо ви живете в умовах ліберальної демократії, цінність вашої конфіденційності більше пов’язана з контролем над своїми даними, але вона не становить прямої загрози для вашого життя чи благополуччя.

В ідеальному світі компанії повинні бути прозорими щодо того, які дані збираються або можуть збиратися і з якою метою. Ви, як їхній клієнт, також повинні вирішувати, чи готові ви надати (мета) дані в обмін на їх послуги або замість цього заплатити комісію.

Оскільки ми живемо не в ідеальному світі, люди можуть захотіти використовувати інструменти анонімності, такі як розширення браузера, блокуючі трекери, браузери, орієнтовані на конфіденційність, VPN, програми чату з наскрізним шифруванням та інші програми, щоб мати, принаймні, деякий контроль над їх особистими/конфіденційними даними та їх збиранням. Але незважаючи на те, що дані стають цінним товаром, багато людей все ще не можуть зрозуміти, що це означає, і часто відмовляються змінювати свої онлайн звички на шкоду комфорту.

PCWeek/UE: На вашу думку, чи підвищилася поінформованість населення щодо кібербезпеки за останні два роки? Якщо так, що на це вплинуло?

О. К.: У мене немає точних даних, але, на мій погляд, поінформованість підвищилася не лише в компаніях, а й серед населення загалом. Погана новина в тому, що це сталося в основному через різке збільшення неприємних історій з вимаганням через ransomware та іншими типами кібератак. Компанії побоюються, що вони потраплять у заголовки газет, політики нарешті чують те, про що індустрія кібербезпеки говорила протягом багатьох років — кіберзлочинність і ransomware мають стати одним із головних пріоритетів безпеки найближчими роками.

Населення в цілому також могло помітити сплеск, на жаль, через речі, які торкнулися їх особисто — наприклад, недоступність медичної допомоги після того, як ІТ-система госпіталю була виведена з ладу в результаті атаки програм-вимагачів, недоступність або повільна робота порталів. , що надають державні послуги у зв’язку з інцидентами. Безумовно, ми маємо згадати дефіцит палива, спричинений панікою на заправних станціях після зламування Colonial Pipeline.

PCWeek/UE: Багато офісних працівників тепер працюють віддалено. На вашу думку, як цей режим роботи вплинув на рівень корпоративної кібербезпеки? Чи можна забезпечити таким працівникам надійний захист?

О. К.: Спочатку вплив був переважно негативним. Через карантинні обмеження мільйонам компаній довелося швидко перейти від роботи з офісу до роботи з дому, організувавши перехід за кілька днів або тижнів. На впровадження таких серйозних змін зазвичай витрачаються роки. Однак це раптове перемикання також означало, що багато (важливих) внутрішніх систем було відкрито без належних заходів безпеки — найяскравішим прикладом є загальнодоступні служби протоколу віддаленого робочого столу (RDP).

Для злочинців це стало справжнім подарунком, і, згідно з нашою телеметрією, вони не змарнували свій шанс. У 2020 році кількість атак по підбору пароля на RDP різко зросла. Наприкінці 2020 року ми нарахували 29 мільярдів спроб атак на 770 тисяч унікальних клієнтів (унікальні машини – ті, які були атаковані хоча б раз протягом року).

У 2021 році кількість спроб атак продовжувала швидко зростати (55 млрд спроб атак у травні-серпні 2021 року), але кількість унікальних клієнтів стабілізувалася на рівні трохи менше 1 мільйона. Іншими словами, зловмисникам, схоже, важко знайти нові цілі, але ті, які вони вже знайшли, зазнають атаки зі збільшенням кількості паролів, що підбираються..

Але не все таке погано. Велика кількість публічно сполучених інцидентів безпеки з дорогими наслідками спонукала організації переосмислити свою кібербезпеку, шукати та усувати можливі вразливості та вкладати більше коштів у додаткові рішення безпеки та тренінги для своїх співробітників.

Щодо забезпечення надійного захисту роботи з дому, то компанії повинні прагнути до встановлення якомога більшої кількості рівнів захисту:

використовуйте оновлену операційну систему та програмне забезпечення;
посиліть свої системи, видаливши все непотрібне та зберігши мінімальні права користувачів;
відключіть критично важливі системи від Інтернету;
якщо необхідно відкрити певні системи, переконайтеся, що все правильно налаштовано;
дозвольте віддалений доступ лише через VPN;
Забезпечте дотримання політик, що ведуть до використання надійних паролів – для RDP, але й в інших місцях також;
по можливості додавайте двофакторну або багатофакторну автентифікацію;
тримайте все під захистом за допомогою надійного вирішення безпеки;
використовуйте інші інструменти безпеки, які покращать видимість для ваших адміністраторів, такі як EDR, хмарна пісочниця тощо;
навчіть своїх співробітників розпізнавати новітні методи атак, включаючи кампанії соціальної інженерії, які, як і раніше, є основною частиною кіберзлочинної гри;
крім того, розширте навчання, включивши теми, що відносяться до періоду COVID. Наприклад, співробітники, що працюють з дому, часто використовують застарілі та погано захищені домашні маршрутизатори для підключення до корпоративних систем компанії. Отже, заміна, оновлення та правильне настроювання цих пристроїв повинні бути частиною навчальної програми з кібербезпеки.

Однак цей «контрольний список» може бути занадто великим або недостатньо повним, залежно від специфіки загроз вашій організації.

PCWeek/UE: Які компетенції мають бути у спеціаліста відділу інформаційної безпеки сьогодні?

О. К.: На це питання складно відповісти однозначно, оскільки є різні спеціалізації в галузі ІБ, багато з яких вимагають різного набору навичок. Також існує чимало видів діяльності, які можуть бути передані на аутсорсинг третім сторонам. У спектрі м’яких навичок (soft skills) перше місце у списку займають хороші комунікативні навички, оскільки відділу інформаційної безпеки необхідно дохідливо пояснити важливість його дій для безпеки організації, і переконати колег і керівників, які часто сумніваються, прийняти їх точку зору на ризик. Аналогічно для осіб, відповідальних за інциденти, ці навички мають вирішальне значення для правильного управління кризою та запобігання подальшим збиткам, викликаним ескалацією інциденту безпеки. Зайве говорити, що відділ безпеки спілкується з усіма, починаючи зі співробітників і закінчуючи радою директорів, і має використовувати різні навички, як жорсткі, так і м’які, з різними групами людей.

Я попросив свого колегу та дослідника шкідливих програм Зузану Хромцову описати ідеального кандидата: «Дослідник шкідливих програм повинен мати хоча б базове уявлення про технології, чи це мережеві протоколи, мови програмування чи архітектура комп’ютера. Це допомагає виявляти цікавість та захопленість своєю роботою та бути готовим постійно поглиблювати ці знання. Крім того, дослідники шкідливих програм повинні бути знайомі з поширеними тактиками та прийомами протидії (такими як MITRE) та не відставати від нових тенденцій, оскільки зловмисники постійно розвивають свої стратегії. Найголовніше, хороші аналітичні навички допоможуть досліднику шкідливого програмного забезпечення знаходити зв’язки між інцидентами і робити висновки з розслідування».