14_4

1. ОБЩИЕ ВОПРОСЫ ОБЕСПЕЧЕНИЯ КИБЕРБЕЗОПАСНОСТИ

© В.А.Кемпф
© В.А. Литвинов, оформление
Рассмотрено и одобрено на заседании
ПМС 02.02.2024 г., протокол № 6

2. Вопросы

1. Что такое кибербезопасность.
2. Современные киберугрозы. Методы
совершения киберпреступлений.
3. Уязвимости интернета вещей.
4. Центры мониторинга и управления
информационной безопасностью.
5. Понятие критической
информационной инфраструктуры.

3. Литература

1. Доктрина информационной безопасности Российской
Федерации: утверждена Указом Президента Российской
Федерации 5 декабря 2016 года № 646. – URL:
http://www.consultant.ru/ (дата обращения 31.10.2021).
2. О безопасности : федеральный закон от 28.12.2010 № 390ФЗ (в ред. от 06.02.2020) – URL: http://www.consultant.ru/
(дата обращения 31.10.2021).
3. План мероприятий по направлению Информационная
безопасность программы Цифровая экономика Российской
Федерации : приложение № 4 к протоколу заседания
Правительственной
комиссии
по
использованию
информационных технологий для улучшения качества
жизни
и
условий
ведения
предпринимательской
деятельности от 18 декабря 2017 г. № 2. [Электронный
ресурс]. – URL: http://static.government.ru/media/files/ (дата
обращения 31.10.2021).

4.

4. О
безопасности
критической
информационной
инфраструктуры Российской Федерации : федеральный закон
от 26 июля 2017 г. №187-ФЗ [Электронный ресурс]. URL
http://kremlin.ru/acts/news/55146.
5. О внесении изменений в отдельные законодательные
акты Российской Федерации в связи с принятием Федерального
закона
«О
безопасности
критической
информационной
инфраструктуры Российской Федерации»»: федеральный закон
от 26 июля 2017 г. №193-ФЗ [Электронный ресурс]. URL:
http://kremlin.ru/acts/news/55143.
6. О внесении изменений в Уголовный кодекс Российской
Федерации и статью 151 Уголовно-процессуального кодекса
Российской Федерации в связи с принятием Федерального
закона
«О
безопасности
критической
информационной
инфраструктуры Российской Федерации»: федеральный закон
от 26 июля 2017 г. №194-ФЗ [Электронный ресурс]. – URL:
http://kremlin.ru/acts/news/55148.

5.

7. Об
утверждении
требований
по
обеспечению
безопасности
значимых
объектов
критической
информационной инфраструктуры Российской Федерации».
[Электронный
ресурс].
–
URL:
https://fstec.ru/en/53normotvorcheskaya/akty/prikazy/1592-prikaz-fstek-rossii-ot-25dekabrya-2017-g-n-239.
8. Методические рекомендации по созданию ведомственных
и
корпоративных
центров
государственной
системы
обнаружения, предупреждения и ликвидации последствий
компьютерных атак на информационные ресурсы Российской
Федерации : № 149/2/7-200 от 24.12.2016 [Электронный ресурс]. –
URL: https://secret-net.ru/services/zashchita-informatsii.
9. ГОСТ Р 50922-2006 Защита информации. Основные
термины и определения – Введ. 01.02.2008 [Электронный
ресурс] ) [Электронный ресурс] – электронные данные. –
Программа информационной поддержки российской науки и
образования
//
справочные
правовые
системы
КонсультантПлюс:
Высшая
школа.
–
2021.
–
URL:
http://www.consultant.ru.

6.

10. ГОСТ Р 51275-2006 Защита информации. Объект
информатизации. Факторы, воздействующие на информацию.
Общие положения. – Введ. 01.02.2008 [Электронный ресурс] –
электронные данные. – Программа информационной поддержки
российской науки и образования // справочные правовые
системы КонсультантПлюс: Высшая школа. – 2021. – URL:
http://www.consultant.ru/.
11. Обеспечение информационной безопасности в органах
внутренних дел [Текст]: учебное пособие / В.А. Кемпф. –
Барнаул: Барнаульский юридический институт МВД России,
2019. – 63 с.

7. 1. Что такое Кибербезопасность?

«Кибербезопасность – это совокупность условий, при
которых все составляющие киберпространства защищены от
максимально возможного числа угроз и воздействий с
нежелательными последствиями».
Данная формулировка вместе с обсуждением проекта Концепции
стратегии кибербезопасности Российской Федерации была
впервые озвучена в ноябре 2013 года на заседании Совета
Федерации.
Кибербезопасность (компьютерная безопасность) — вариация
техник и тактик защиты информации от атак злоумышленников на
средства вычислительной техники, такие как рабочие станции,
серверное оборудование, телекоммуникационное оборудование,
системы хранения данных, информационные системы, а также
мобильные устройства и устройства интернета вещей.
Кибербезопасность неотъемлемая часть всех отраслей экономики
начиная с органов государственной власти, заканчивая крупным
корпоративным бизнесом.

8.

Понятия
«кибербезопасность»
и
«информационная безопасность» довольно часто
используются
в
качестве
синонимов.
В
действительности термин «кибербезопасность»
является
подмножеством
термина
«информационная безопасность».
Под кибербезопасностью понимают защиту от
атак в киберпространстве, а под информационной
безопасностью ― защиту данных от любых форм
угроз, независимо от того, являются ли они
аналоговыми или цифровыми.

9.

Кибербезопасность — это деятельность,
направленная на защиту систем, сетей и
программ от цифровых атак. Целью таких
кибератак обычно является получение
доступа к конфиденциальной информации,
ее
изменение
или
уничтожение,
вымогательство денег у пользователей или
нарушение нормального бизнес-процесса.
(CISCO - крупнейшая транснациональная
компания, разрабатывающая и продающая
сетевое оборудование, предназначенное в
основном для крупных организаций и
телекоммуникационных предприятий)

10.

История кибербезопасности
начинается с появления первых
атак на компьютеры.
В 1988 году Робертом
Моррисом был создан первый
компьютерный червь.
Именно червь Морриса был
первой масштабной и широко
распространенной DoS-атакой
(англ. Denial of Service – «отказ в
обслуживании») в сети ARPANET
– предшественника Интернета.
Роберт Тэппэн Моррис (р. 8
ноября 1965 г.)
Адъюнкт-профессор
Массачусетского
технологического института.

11.

ГОД
Хакерская атака
Взломаны 3 миллиарда учётных записей Yahoo, что стало
одним из крупнейших взломов за всю историю.
20142018
Информация 500 миллионов потребителей была
скомпрометирована в результате утечки Marriot-Starwood
2016
Uber сообщил, что хакеры украли информацию более 57
миллионов его пассажиров и водителей. Была попытка
расплатиться с хакерами.
2017
1. Вирусом Wannacry было заражено 100 тысяч групп по
крайней мере в 150 странах и более 400 тысяч машин
на общую сумму около 4 миллиардов долларов.
2. С сайтов Friendfinder было украдено 412 м2013
3. иллионов учётных записей пользователей. Данные
использовались для шантажа.
4. 147,9 миллиона потребителей пострадали от взлома
Equifax. Этот взлом обошёлся более чем в 4
миллиарда долларов.
5. Вирусом Petya заражены компьютеры во Франции,
Германии, Италии, Польше, США, Великобритании,
России и Украине.

12.

Россия. 2022 год.
Общее количество кибератак в России по итогам
2022-го в сравнении с прошлым годом выросло в
15 раз. Самыми атакуемыми отраслями стали:
• финансовый сектор - 32% от общего числа атак,
• ритейл (розничная торговля) - 14%,
• логистическая сфера - 10%,
• страховая отрасль - 8%,
• государственный сектор - 18%.
DDoS-атакам
подверглись
образовательный
сектор
(7%),
сфера
развлечений
(5%),
туристическая индустрия (4%) и другие отрасли
(2%).

13.

14. 2. Кибербезопасность: современные киберугрозы. Методы совершения киберпреступлений

«Компьютерное
преступление
–
любое
незаконное,
неэтичное
или
неразрешенное
поведение, затрагивающее автоматизированную
обработку или передачу данных.» (Википедия)
«Преступления
в
сфере
компьютерной
информации – это запрещенные уголовным
законом виновные посягательства на безопасность
в
сфере
использования
компьютерной
информации, причинившие существенный вред
или создавшие угрозу причинения такого вреда
личности, обществу или государству.»

15. Состав компьютерных преступлений :

Объект – безопасность в сфере использования
компьютерной
информации
–
общественные
отношения,
обеспечивающие
безопасное
использование ЭВМ, компьютерных систем и сетей.
Предмет – компьютерная информация.
Объективная сторона – действие (бездействие),
связанное с использованием компьютерных систем и
сетей, причинившее вред личности, обществу и
государству или способное причинить такой вред.
Субъект — вменяемое лицо, достигшее возраста
16 лет.
Субъективная сторона характеризуется как
умышленной, так и неосторожной виной.

16. Особенности компьютерных преступлений :

1. Отсутствие четко очерченных географических
границ преступления.
2. Неоднородность объекта посягательства.
3. Выступление машинной информации, как в качестве
объекта, так и в качестве средства преступления.
4. Многообразие предметов и средств преступного
посягательства.
5. Выступление компьютера либо в качестве предмета,
либо в качестве средства совершения преступления.

17. Глава 28. ПРЕСТУПЛЕНИЯ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ

Статья 272. Неправомерный доступ к компьютерной
информации
Статья
273.
Создание,
использование
и
распространение
вредоносных
компьютерных
программ
Статья 274. Нарушение правил эксплуатации средств
хранения, обработки или передачи компьютерной
информации
и
информационно-телекоммуникационных сетей

18.

Статья
Статья 272.
272. Неправомерный
Неправомерный доступ
доступ к
к
компьютерной
компьютерной информации
информации
1. Неправомерный доступ к охраняемой законом компьютерной
информации, то есть информации на машинном носителе, в
электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети,
если это деяние повлекло уничтожение, блокирование, модификацию
либо копирование информации, нарушение работы ЭВМ, системы ЭВМ
или их сети, наказывается штрафом в размере от двухсот до пятисот
минимальных размеров оплаты труда или в размере заработной платы
или иного дохода осужденного за период от двух до пяти месяцев,
либо исправительными работами на срок от шести месяцев до одного
года, либо лишением свободы на срок до двух лет.
2. То же деяние, совершенное группой лиц по предварительному
сговору или организованной группой либо лицом с использованием
своего служебного положения, а равно имеющим доступ к ЭВМ,
системе ЭВМ или их сети, наказывается штрафом в размере от пятисот
до восьмисот минимальных размеров оплаты труда или в размере
заработной платы или иного дохода осужденного за период от пяти до
восьми месяцев, либо исправительными работами на срок от одного
года до двух лет, либо арестом на срок от трех до шести месяцев, либо
лишением свободы на срок до пяти лет.

19.

Статья273.
273.Создание,
Создание,использование
использованиеии
Статья
распространениевредоносных
вредоносныхпрограмм
программ
распространение
дляЭВМ
ЭВМ
для
1. Создание программ для ЭВМ или внесение
изменений в существующие программы, заведомо
приводящих к несанкционированному уничтожению,
блокированию, модификации либо копированию
информации, нарушению работы ЭВМ, системы ЭВМ
или их сети, а равно использование либо
распространение таких программ или машинных
носителей с такими программами наказываются
лишением свободы на срок до трех лет со штрафом в
размере от двухсот до пятисот минимальных размеров
оплаты труда или в размере заработной платы или
иного дохода осужденного за период от двух до пяти
месяцев.
2. Те же деяния, повлекшие по неосторожности
тяжкие последствия, наказываются лишением
свободы на срок от трех до семи лет.

20.

Статья 274. Нарушение правил
эксплуатации ЭВМ, системы ЭВМ или их
сети
1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ
или их сети лицом, имеющим доступ к ЭВМ, системе
ЭВМ или их сети, повлекшее уничтожение,
блокирование или модификацию охраняемой законом
информации ЭВМ, если это деяние причинило
существенный вред, наказывается лишением права
занимать определенные должности или заниматься
определенной деятельностью на срок до пяти лет,
либо обязательными работами на срок от ста
восьмидесяти до двухсот сорока часов, либо
ограничением свободы на срок до двух лет.
2. То же деяние, повлекшее по неосторожности
тяжкие последствия, наказывается лишением свободы
на срок до четырех лет.

21. Виды компьютерных преступлений, соответствующие ст. 272 УК РФ

Социальная инженерия – метод несанкционированного
доступа к информации или системам хранения
информации без использования технических средств.
Фрод
–
вид
мошенничества
в
области
информационных
технологий,
в
частности,
несанкционированные действия и неправомочное
пользование ресурсами и услугами в сетях связи.
Кардинг – вид мошенничества, при котором
производится операция с использованием платежной
карты или ее реквизитов, не инициированная или не
подтвержденная ее держателем.
Фишинг – вид интернет-мошенничества, целью
которого является перехват конфиденциальных
данных пользователей – логинов и паролей.

22. Виды компьютерных преступлений, соответствующие ст. 273 УК РФ

Создание
и
распространение
вредоносного
программного обеспечения, к которому относятся:
• компьютерные вирусы – саморазмножающийся
вредоносный код, приводящий к сбоям в работе
компьютера и потерям информации;
• трояны – вредоносные программы, выдающие себя
за безопасное программное обеспечение с целью
запуска пользователем на своем компьютере;
• эксплойты – программы, использующие уязвимости
компьютерных
систем
и
применяемые
злоумышленниками для захвата контроля над
системой или нарушения её функционирования;
• ransomware – программы-вымогатели, шифрующие
файлы в системе, блокирующие или мешающие
работе
в
системе.
Требуют
оплаты
для
разблокировки.

23. Виды компьютерных преступлений, соответствующие ст. 274 УК РФ

Нарушение правил эксплуатации средств хранения,
обработки или передачи компьютерной информации
либо информационно-телекоммуникационных сетей,
причинившее крупный ущерб.
• Компьютерный
саботаж
–
ввод,
изменение,
стирание, подавление компьютерных данных или
программ; вмешательство в работу компьютерных
систем с намерением помешать функционированию
компьютерной или телекоммуникационной системы.
• Внесение в компьютерную систему вредоносного
программного обеспечения по неосторожности,
повлекшее существенный вред.

24. Глава 13. Административные правонарушения в области связи и информации

Статья 13.11 «Нарушение установленного законом
порядка
сбора,
хранения,
использования
или
распространения
информации
о
гражданах
(персональных данных)»
Статья 13.12 «Нарушение правил защиты информации»
Статья 13.13 «Незаконная деятельность в области
защиты информации»
Статья
13.14
«Разглашение
информации
с
ограниченным доступом»
Статья 13.19 «Нарушение порядка представления
статистической информации»

25.

Киберугроза – это незаконное проникновение или
угроза вредоносного проникновения в виртуальное
пространство
для
достижения
политических,
социальных или иных, целей. Киберугроза может
воздействовать на информационное пространство
компьютера, в котором находятся сведения, хранятся
материалы
физического
или
виртуального
устройства.

26.

Виды киберугроз:
• Вирусное программное обеспечение
• Использование
неактуальных
версий
программного обеспечения
• Инсайдерские угрозы
• Отсутствие политик и процедур по обращению с
информационными ресурсами
• Социальная инженерия

27.

Вирусное программное обеспечение
– одно из основных средств осуществления
кибератак, для защиты от которого, необходимо
иметь
актуальную
версию
антивирусного
программного обеспечения.
Не существует антивирусного ПО, которое бы
защищало от всех вирусов одинаково хорошо. Как
показывает практика, очень полезен обмен
информацией между специалистами о начале атак и
появлении новых вирусов, а также использование
служб по анализу подозрительных файлов и
ссылок с целью выявления червей, троянов и
других вредоносных программ.

28.

Неактуальные версии программного обеспечения
уязвимость
информационной
системы,
при
игнорировании
пользователем
установки
необходимых
обновлений
ПО.
Регулярное
обновление ПО необходимо по ряду причин, одна из
которых - повышение уровня безопасности и защита
от вновь выявленных уязвимостей и угроз.

29.

Инсайдерские угрозы
— риск причинения ущерба организации людьми,
которые находятся внутри контура безопасности. К
таким людям, их называют инсайдерами, могут
относиться бывшие или действующие сотрудники
самой компании, специалисты подрядчиков и т.д, то
есть все, кто имеет доступ к информации
ограниченного
доступа
и
критической
инфраструктуре организации.
Инсайдеры могут быть как злонамеренными, так и
просто неосторожными.
Инсайдеры
имеют
легитимный
доступ
в
компьютерную сеть, который нужен им для
выполнения
своих
обязанностей,
и
средства
безопасности не рассматривают их как угрозу. Для
получения доступа к данным, им не требуется
обходить средства защиты периметра.

30.

Отсутствие политик и процедур по обращению с
информационными ресурсами
Политики и процедуры – это установленные правила
работы в информационной системе организации, а
также распределение ролей и ответственности.
При наличии правильно работающих политик
безопасности, определены зоны ответственности,
защищаемые ресурсы и лица к которым необходимо
обращаться в случае наступления инцидентов
кибербезопасности.

31.

Социальная инженерия
Социальная инженерия (social engineering) или «атака
на человека» — это совокупность психологических и
социологических приёмов, методов и технологий,
которые позволяют получить конфиденциальную
информацию.
Киберпреступники всё чаще используют такие методы
для кражи ценных данных, т.к. человеческий фактор
по-прежнему остаётся слабым звеном в любой
системе защиты. Социальная инженерия базируется
на эксплуатации человеческих слабостей.
Атака на человека может производиться по многим
сценариям, но существует несколько наиболее
распространённых техник работы злоумышленников:

32.

Социальная инженерия: фишинг
Чувство, на котором играют: невнимательность
Фишинг — метод сбора пользовательских данных для
авторизации: обычно это массовые рассылки спама
по электронной почте.
В классическом сценарии на почту жертвы приходит
поддельное
письмо
от
какой-то
известной
организации с просьбой перейти по ссылке и
авторизоваться. Чтобы вызвать больше доверия,
мошенники придумывают серьёзные причины для
перехода по ссылке: например, просят жертву
обновить пароль или ввести какую-то информацию
(ФИО, номер телефона, банковской карты и CVV-код).

33.

Социальная инженерия: Троян
Чувство, на котором играют: жадность
Троянская вирусная программа — разновидность
вредоносной программы, проникающая в компьютер
под видом легитимного программного обеспечения (в
отличие
от
вирусов
и
червей,
которые
распространяются самопроизвольно).
Вирус получил своё название по принципу работы
троянского коня из древнегреческого мифа. Приманка
—
email-сообщение, которое обещает быструю
прибыль, выигрыш и т.п., атакуемый переходит по
нужной ссылке, скачивает и запускает файл с
вирусом, с помощью которого киберпреступники
крадут его данные.

34.

Социальная инженерия: Кви про кво
Чувство, на котором играют: доверчивость
«Услуга за услугу», от латинского «quid pro quo».
Используя этот метод, атакующий представляется
сотрудником службы технической поддержки и
предлагает исправить возникшие неполадки в
системе, хотя на самом деле проблем в работе ПО не
возникало.
Атакуемый
верит
в
наличие
неисправностей и, выполняя указания хакера, лично
передаёт ему доступ к важной информации.

35.

Социальная инженерия: Претекстинг
Чувство, на котором играют: доверчивость
Претекстинг — действие, отработанное по заранее
составленному
сценарию.
Чтобы
завладеть
информацией, преступник выдаёт себя за известное
вам лицо, которому якобы необходима ваша
информация для выполнения важной задачи.
Социальные
инженеры
представляются
сотрудниками
банков,
кредитных
сервисов,
техподдержки или вашим другом, членом семьи. Для
большей достоверности они сообщают атакуемому
какую-либо информацию о нем: имя, номер
банковского счёта, реальную проблему, с которой он
обращался в эту службу ранее.
Пример — чёрные «call-центры», заключённые под
видом сотрудников крупных банков звонят гражданам
и обманом заставляют перевести деньги.

36.

Обратная социальная инженерия
Атакующие
играют
на
доверчивости
невнимательности атакуемых.
и
Методика направлена на то, чтобы жертва сама
обратилась к социальному инженеру и выдала ему
необходимые сведения. Это может достигаться
несколькими путями:
- Внедрение особого ПО,
- Реклама

37.

•Внедрение особого ПО
Поначалу программа или система работает исправно,
затем происходит сбой, требующий вмешательства
специалиста. Ситуация подстроена таким образом,
чтобы тем специалистом, к которому обратятся за
помощью, оказался социальный хакер. Налаживая
работу ПО, мошенник производит необходимые для
взлома манипуляции. После обнаружения взлома
социальный инженер, как правило, остаётся вне
подозрения, т.к. «он ведь наоборот помогал»
атакуемому.
•Реклама
Преступники могут рекламировать свои услуги как
компьютерных мастеров или других специалистов.
Жертва обращается к взломщику сама, а преступник
не только работает технически, но и добывает
информацию через общение со своим клиентом.

38. 3. Уязвимости Интернета вещей

39.

Интернет вещей (IoT, internet of things) – концепция
сети
передачи
данных
между
физическими
объектами («вещами»), оснащёнными встроенными
средствами и технологиями для взаимодействия
друг с другом или с внешней средой.

40.

На данный момент главная проблема IoT уязвимость к кибератакам.
С увеличением количества подключенных «умных»
устройств, растут риски несанкционированного
доступа в IoT-систему. Производители IoT-устройств
часто потворствуют киберпреступникам, выпуская
изделия без каких-либо функций обеспечения
безопасности. В результате такие устройства
пополняют
ряды
ботнета
и
работают
на
киберкриминал.

41.

42.

Основные уязвимости Интернета вещей
1. Недостаточная физическая безопасность
2. Небезопасные настройки по умолчанию
3. Отсутствие возможности управлять устройством
4. Небезопасная передача и хранение данных
5. Использование небезопасных или устаревших
компонентов
6. Отсутствие безопасных механизмов обновления
7. Слабый, угадываемый или жестко заданный
пароль

43.

1. Недостаточная физическая безопасность
Одна из проблем безопасности системы IoT
заключается в том, что ее компоненты распределены
в пространстве и часто устанавливаются в
публичных или незащищенных местах. Это дает
возможность получить доступ к устройству и взять
его под контроль локально или использовать для
доступа к остальной сети.
Атакующий может скопировать настройки (IP-сеть,
MAC-адрес и т.д.) и поставить свое устройство
взамен исходного. Он может установить аппаратную
закладку, заразить вредоносным ПО, украсть данные
или просто физически вывести устройство IoT из
строя.
Решение данной проблемы одно – усложнить
физический доступ к устройствам.

44.

2. Небезопасные настройки по умолчанию
Многие производители IoT-устройств экономят,
реализуя в устройстве много интеллектуальных
функций, при этом не обеспечивая возможность
конфигурации безопасности.
Примеры:
не поддерживается проверка паролей на надежность
отсутствует возможность создавать учетные записи
с различными правами – администратора и
пользователей,
нет
настройки
параметров
шифрования,
логирования и оповещения пользователей о
событиях безопасности.

45.

3.
Отсутствие
устройством
возможности
управлять
Не все производители дают пользователям IoTустройств полностью управлять операционной
системой и запущенными приложениями, а также
проверять целостность и легитимность загруженного
ПО или устанавливать обновления на ОС.
Во время атак прошивка устройства может быть
переконфигурирована так, что восстановить его
работоспособность можно будет, только полностью
перепрошив устройство.
Подобным недостатком воспользовалась в 2019
году вредоносная программа Silex 14-летнего
иранского хакера, превратив за несколько часов
десятки
тысяч
IoT-устройств
в бесполезные
«кирпичи».

46.

4. Небезопасная передача и хранение данных
(Отсутствие шифрования или контроля доступа к
конфиденциальным данным в любом месте
системы, в том числе при хранении, при передаче
или во время обработки.)
Многие IoT-устройства хранят и передают данные
по сети в незашифрованном виде. В этом случае при
передаче IoT-устройством данных через интернет
информация может стать достоянием кого угодно.
IoT-устройства собирают и хранят данные об
окружающей среде, в том числе различную
персональную информацию. Скомпрометированный
пароль можно заменить, а украденные данные с
биометрического устройства – отпечаток пальцев,
сетчатка глаза, биометрия лица – нет.

47.

5. Использование небезопасных
устаревших компонентов
или
Один уязвимый компонент может свести на нет всю
настроенную безопасность экосистемы.
Решением этой проблемы является мониторинг за
выходом патчей безопасности и обновление
программного обеспечения устройств. В случае, если
патчи безопасности не обновляются (при известных
уязвимостях), то самым разумным решением будет
смена программного обеспечения на ПО другого
производителя.
В начале 2019 года эксперт в области кибербезопасности Пол Маррапиз выявил
уязвимости в P2P-утилите iLnkP2P, которая установлена более чем на 2
миллионах устройств, подключенных к сети: IP-камерах, радионянях, умных
дверных звонках, видеорегистраторах. Первая уязвимость позволяет
атакующему идентифицировать устройство, вторая – уязвимость
аутентификации в iLnkP2P – перехватывать трафик в открытом виде, включая
видеостримы и пароли.
В течение нескольких месяцев эксперт трижды обращался к производителю и
дважды к разработчику утилиты, но так и не получил ответа от них.

48.

6. Отсутствие безопасных механизмов обновления
Отсутствие возможности обновления устройства
само по себе является слабым местом безопасности.
Невозможность установить обновление означает, что
устройства в течение неопределенного времени
остаются уязвимыми.
Кроме того, само обновление и прошивка также
могут быть небезопасными. Например:
для получения ПО используются незашифрованные
каналы,
файл обновления не зашифрован или не проверен
на целостность перед установкой,
отсутствует защита от возврата к предыдущей, более
уязвимой версии или отсутствуют уведомления об
изменениях безопасности из-за обновлений.

49.

7. Слабый, угадываемый или жестко заданный пароль
Самой
большой
уязвимостью
IoT-устройств
является
использование слабых паролей, паролей по умолчанию или
паролей, слитых в сеть.
В сентябре 2016 года после публикации статьи о группировках,
которые продают услуги ботнетов для осуществления DDoS-атак,
веб-сайт журналиста Брайана Кребса сам стал жертвой DDoS-атаки,
трафик которой на пике достиг 665 Гб/с, что делает её одной из
самых мощных известных DDoS-атак. Так как хостер отказался
дальше бесплатно предоставлять свои услуги размещения сайта,
сайт был закрыт на время, пока не был найден новый хостер. Атака
была осуществлена ботнетом из зараженных «умных» видео-камер.
В октябре того же года злоумышленники опубликовали исходные
тексты использованного вредоносного ПО (известное под названием
Mirai), чем создали риски неконтролируемого воспроизведения атак
другими хакерами и 21 октября 2016 года произошла мощная
распределенная атака на отказ в обслуживании против Dyn DNS
(оператора DNS в США). Червь Mirai заразил 600 тысяч устройств
интернета вещей, используя базу из 61 стандартных связок логинпароль, и, используя, ботнет провел эту атаку.

50. 4. Центры мониторинга и управления безопасностью как составляющие системы борьбы с киберпреступлениями

Киберугроза – это незаконное проникновение или
угроза вредоносного проникновения в виртуальное
пространство
для
достижения
политических,
социальных или иных, целей. Киберугроза может
воздействовать на информационное пространство
компьютера, в котором находятся сведения, хранятся
материалы
физического
или
виртуального
устройства.

51. Задачи центра мониторинга (SOC-центра)

• собрать и проанализировать данные о текущем
состоянии информационной безопасности и его
изменениях;
• обнаружить, предупредить и ликвидировать
последствия компьютерных атак, направленных
на контролируемые информационные ресурсы;
• оповестить ответственных сотрудников об
обнаружении, предупреждении и ликвидации
последствий компьютерных атак;
• оперативно отреагировать на инциденты ИБ;
• установить причины компьютерных инцидентов;
• собрать
информацию
для
расследования
компьютерных преступлений;
• предоставить службам ИБ аналитику для
принятия управленческих решений.

52. Основной состав сервисов SOC

53.

В принятии решений специалистам SOC помогают
дополнительные системы, которые применяются для
упрощения анализа:
• SIEM (Security Information and Event Management),
системы управления информацией о безопасности
и событиями информационной безопасности),
• IRP (Incident Response Platform, платформы
реагирования на инциденты информационной
безопасности),
• SGRC (Security Governance, Risk-management and
Compliance, системы управления информационной
безопасностью,
рисками
и
соответствием
законодательству).

54.

Центр управления событиями кибербезопасности
(SOC) – это не только технические системы, в режиме
реального времени передающие аналитикам SOC
сообщения от средств защиты, но и сами люди –
эксперты,
которые
могут
отличить
ложное
срабатывание защитного средства от настоящего, и
способные понять, являются ли несколько явно не
связанных между собой сообщений от средств
защиты
звеньями
одной
цепи,
означающей
компьютерное заражение.

55.

SOC-Центры могут быть внутренними и внешними (их
еще называют коммерческими или аутсорсинговыми).
Внутренний SOC как правило создается после того,
как руководитель организации, проведя анализ
рисков и осознав наличие актуальных угроз в
области информационной безопасности, принимает
решение о том, что необходимости круглосуточно, в
режиме 24/7, реагировать на возникающие инциденты
информационной безопасности. При этом создается
внутренний SOC-Центр, в который набирают самых
опытных штатных сотрудников компании и нанимают
новых экспертов по ИБ.

56.

Использование
услуг
внешнего
SOC-Центра
выглядит
следующим образом:
1. Заказчик услуг SOC-Центра обращается к менеджерам SOC с
запросом о подключении к сервисам SOC.
2. Менеджеры Центра SOC согласовывают детали подключения
информационных
и
защитных
систем
заказчика
к
инфраструктуре SOC-Центра.
3. Инженеры внешнего SOC-Центра подключают источники
информации и событий ИБ компании-заказчика в свою
внутреннюю систему управления инцидентами (это как правило
SOAR или SIEM-система).
4. На площадке Заказчика информационные системы и
имеющиеся средства технической защиты настраиваются на
пересылку всей значимой с точки зрения ИБ информации во
внешний SOC.
5. Во внешнем SOC-Центре входящие данные непрерывно
обрабатываются сотрудниками SOC.

57.

Дежурная смена SOC состоит, как правило, из
следующих специалистов:
• Системный администратор
• Специалист по настройке правил
• Аналитик 1-го уровня
• Аналитик 2-го уровня
• Специалист по реверс-инжинирингу
• Форензик-эксперт
• Специалист по киберразведке
• Менеджер SOC

58.

Системный администратор (инженер –
специалист)
настраивает
внутренние
системы
SOC-Центра,
которые
используются в обработке инцидентов
заказчиков (это системы SIEM, SOAR, IRP и
аналогичные), отвечает за стабильность
получения данных из систем компаниизаказчика.

59.

Специалист по настройке правил в системах
SIEM, SOAR, IRP составляет правила
выявления инцидентов и реагирования на
них в используемых в SOC-Центре системах
(правила корреляции в системах SIEM,
которые отвечают за обработку входящих
сообщений
от
систем
безопасности
заказчика
и
за
выстраивание
этих
разнородных
событий
в
логически
целостную
«историю»
для
поиска
возможной атаки.

60.

Аналитик 1-го уровня осуществляет первичную
обработку киберинцидентов – распределение и
первичный отсев явных ложных срабатываний
систем.
Специалисты 1-го уровня в работе опираются, как
правило, на заранее созданные в SOC-Центре
сценарии реагирования, в которых указана
последовательность
шагов,
которые
надо
оперативно предпринять при поступлении того или
иного типа инцидента. В случае, если аналитик 1-го
уровня может самостоятельно выполнить все
действия, он осуществляет реагирование своими
силами. Если он столкнулся с необходимостью
эскалации инцидента, то он передает его на
следующий уровень - аналитику 2-го уровня.

61.

Аналитик 2-го уровня получает данные с 1-го
уровня реагирования. Ему уже нужно не опираться
на
какие-то
шаблоны
реагирования,
а
анализировать уникальную ситуацию, применяя
свою экспертизу и опыт расследования атак,
сопоставляя
различные
события
и факты,
имеющие отношение к киберинциденту.
В случае, если в расследуемой кибератаке
применялось ранее неизвестное вредоносное ПО
или вообще непонятно, что произошло, аналитик 2го уровня эскалирует инцидент еще выше специалисту по реверс-инжинирингу, форензикэксперту
или
в
специализированные
компьютерные лаборатории.

62.

Специалист по реверс-инжинирингу - эксперт
высшей категории.
Задача реверс-инженера состоит в том, чтобы
понять, что делает и как устроен вирус: запустить
вирус в изолированной среде (т.н. песочнице) для
анализа его поведения, провести процедуру
обратной разработки и получить из файла-образца
первоначальный программный код, чтобы уже в
нем найти особенности, которые помогут понять,
что именно делает данный вирус и как ему лучше
противостоять.
Хакеры знают, что их вирус рано или поздно
попадет к такому эксперту на исследование, и
поэтому
применяют
техники
запутывания
(обфусцирования) кода, чтобы усложнить задачу
реверс-инжиниринга.

63.

Форензик-эксперт - это специалист по форензике
(компьютерной криминалистике): изучает, что
изменилось в атакованной системе (компьютере,
сервере, смартфоне), какие данные были стерты,
изменены или похищены вирусом, какие еще
системы были атакованы, способен воссоздать
полный путь распространения угрозы, например,
вируса: определить, на каком компьютере был этот
вирус впервые запущен, что именно он делал на
зараженной системе, как затем развивалась атака и
как был в итоге нанесен ущерб.

64.

Специалист по киберразведке отвечает за поиск
ранее
не
обнаруженных
или
затаившихся
вредоносных
программ
(например,
вирусовлогических бомб, которые срабатывают только при
наступлении определенных условий, а до этого
никак себя не проявляют).
Также такой эксперт ищет в интернете, на
специализированных закрытых хакерских форумах
информацию
о
новых
вирусах,
новых
киберпреступных группировках.

65.

Менеджер SOC координирует работу команды
SOC-центра, связывает друг с другом заказчиков и
исполнителей, выполняет организационную работу.
Это
посредник,
переводящий
техническую
информацию об инциденте с языка ИТ и ИБспециалистов на язык рядовых пользователей,
чтобы руководители организаций-заказчиков могли
понять, насколько серьезным был ущерб или какую
именно угрозу удалось предотвратить.

66. 5. Понятие критической информационной инфраструктуры

67.

Понятие критической информационной инфраструктуры
раскрыто в Федеральном законе №187-ФЗ от 26.07.2017 «О
безопасности
критической
информационной
инфраструктуры», который является базовым документом
для всей тематики, касающейся КИИ.

68.

Критическая информационная инфраструктура –
это информационные системы, информационнотелекоммуникационные
сети,
автоматизированные системы управления, а
также сети электросвязи, используемые для
организации их взаимодействия.

69.

Ключевое условие отнесения системы к КИИ
- ее использование государственным органом или
учреждением, либо российской компанией в сферах:
• здравоохранения,
• науки,
• транспорта,
• связи,
• энергетики,
• банковской системы,
• топливно-энергетический комплекс,
• атомная энергетика,
• оборонная промышленность,
• ракетно-космическая промышленность,
• горнодобывающая промышленность,
• металлургическая промышленность,
• химическая промышленность.

70.

Федеральный закон №187-ФЗ от 26.07.2017 «О
безопасности
критической
информационной
инфраструктуры»:
• вводит основные понятия;
• создает основу правового регулирования;
• вводит понятие Государственная система обнаружения,
предупреждения и ликвидации последствий компьютерных
атак (далее – ГосСОПКА);
• вводит основу для создания Национального
координационного центра по компьютерным инцидентам
(далее — НКЦКИ);
• описывает полномочия Президента и органов госвласти в
области обеспечения безопасности КИИ;
• содержит базу для определения категорий объектов КИИ;
• создает законодательную основу ведения реестра
значимых объектов КИИ;
• определяет права и обязанности субъектов КИИ;
• определяет задачи и требования системы обеспечения
безопасности значимого объекта КИИ.