Игра в защиту
Доля кибератак на российские компании через подрядчиков выросла втрое
Свыше 90% корпоративных сетей в России уязвимы для полного захвата, а каждая третья успешная кибератака происходит через подрядчиков пострадавшей организации. Рост числа атак в целом и стремительное удешевление услуг хакеров на теневом рынке заставляют бизнес пересмотреть базовые подходы к защите, в частности признать информационную безопасность одним из факторов операционной устойчивости.
Фото: Ирина Бужор, Коммерсантъ
Фото: Ирина Бужор, Коммерсантъ
В рамках проведенного ИБ-компанией «Бастион» исследования, с которым ознакомился “Ъ”, около 94% внутренних тестов компаний на проникновение завершились полным захватом корпоративной сети. Аналитики изучили системы защиты более 300 компаний разных отраслей и пришли к выводу, что показатель количества успешных взломов вырос по сравнению с прошлым годом, тогда он составлял 85,7%.
Общее число кибератак за год, по данным «Бастиона», выросло на 25%, а каждая четвертая успешная атака (26%) осуществляется через цепочки поставок — партнеров и подрядчиков с более слабой защитой. Компания RED Security оценивает, что треть всех расследованных инцидентов компрометации инфраструктуры российских компаний были связаны с атаками через подрядчиков, а годом ранее доля таких атак не превышала 10%.
В основе многих инцидентов лежит человеческий фактор: по данным «Бастиона», только 1% сотрудников сообщает о потенциально фишинговых письмах в службу безопасности, в то время как 16% переходят по вредоносным ссылкам. Это делает бизнес открытым для целевых атак, себестоимость которых резко упала: на теневом рынке доступ к корпоративной сети можно приобрести за $10–50, а услуги по взлому перешли от моделей Ransome-as-a-Service (шифрование как сервис) и Phishing-as-a-Service к всеобъемлющей Crime-as-a-Service, когда каждый элемент криминальной инфраструктуры доступен по одной подписке, говорят в «Бастионе».
В таких условиях традиционные меры — сложные пароли и «периметровая оборона» — теряют эффективность. Эксперты «Бастиона» и RED Security настаивают, что фокус должен сместиться на внутренний мониторинг, архитектуру Zero Trust (концепция безопасности, где каждый запрос на доступ проверяется независимо от его источника) и регулярные учения, чтобы превратить кибербезопасность из статьи расходов в фактор операционной устойчивости. «В эпоху дешевых атак самая экономически эффективная защита — грамотное использование и постоянный мониторинг имеющихся средств ИБ. Причем даже базовые антивирусные решения при таком подходе демонстрируют высокую эффективность»,— отмечает руководитель отдела реагирования на инциденты «Бастиона» Семен Рогачев. Наращивать бюджет прежде всего нужно именно на IT-направлении, так как большинство инцидентов происходит по вине не ИБ-специалистов, а IT-систем и практик, считает заместитель гендиректора ИБ-компании «Гарда» Рустэм Хайретдинов.
Модель Zero Trust гендиректор SafeTech Lab Александр Санин считает хорошей концепцией безопасности, однако отмечает, что она применяется далеко не всеми вендорами. Архитектор ИБ UserGate uFactor Дмитрий Овчинников объясняет это тем, что при реализации модели нулевого доверия возрастает сложность управления доступами, что вызывает падение степени свободного взаимодействия между системами и пользователями внутри корпоративной сети. Проджект-менеджер MD Audit (входит в ГК Softline) Кирилл Левкин отмечает, что полноценный Zero Trust «из коробки» недостижим сразу, однако его поэтапная реализация вполне реальна. «Речь не о покупке одного продукта, а о смене подхода: отказ от доверия по факту нахождения "внутри сети", минимизация привилегий, контроль сессий и постоянная верификация действий. Это важно, потому что именно Zero Trust ограничивает масштаб ущерба: атака становится дороже, медленнее и заметнее»,— добавил он.