10-й ежегодный отчет Cisco по информационной безопасности за 2017 г.: второе пришествие классических направлений вредоносных атак

По данным подготовленного компанией Cisco отчета по информационной безопасности за 2017 г. (Annual Cybersecurity Report, ACR), больше трети организаций, чьи информационные системы были взломаны в 2016 г., сообщили о существенных (более 20%) потерях доходов, упущенных возможностях и оттоке заказчиков. 90% этих организаций после атак стали совершенствовать технологии и процессы защиты от угроз, разделяя функции ИТ и обеспечения информационной безопасности (38%), интенсифицируя тренинги по мерам информационной безопасности (38%) и внедряя методы снижения рисков (37%). В проводившемся в рамках подготовки Cisco ACR сравнительном исследовании решений безопасности (Security Capabilities Benchmark Study) приняли участие почти 3000 директоров по информационной безопасности и руководителей ИБ-подразделений.

В десятом, юбилейном отчете освещаются глобальные проблемы и возможности подразделений информационной безопасности по защите от непрестанно эволюционирующей киберпреступности и обновляющихся методов атак. Директора по информационной безопасности считают основными препятствиями на пути продвижения стратегических планов защиты бюджетные ограничения, недостаточную совместимость систем и отсутствие квалифицированных специалистов. Руководители также отмечают тот факт, что структуры их подразделений постоянно усложняются, и уже более 65% организаций используют от 6 до 50 и более продуктов информационной безопасности, что потенциально способствует образованию брешей в защите.

Как свидетельствуют данные отчета Cisco ACR, киберпреступники пользуются этими брешами, возрождая такие «классические» направления атак, как рекламное ПО и почтовый спам, причем уровни последнего зашкаливают до показателей, которых не наблюдалось с 2010 года. На спам приходится почти две трети (65%) сообщений всей электронной почты, из них 10% рассматриваются как опасные. Растет глобальный объем спама, распространяемого крупными ботнетами.

В этих условиях критичным фактором становится оценка эффективности методов обеспечения информационной безопасности. Cisco неустанно работает над сокращением времени обнаружения (time to detection, TTD), т.е. времени от компрометации до обнаружения угрозы. Чем меньше время обнаружения, тем более ограничено оперативное пространство атакующих и тем меньше последствия вторжений. Если в начале 2016 г. медианное время обнаружения составляло 14 часов, то за последние полгода Cisco удалось сократить этот показатель до 6 часов. Приведенные цифры получены в результате обработки добровольной телеметрии, собранной решениями информационной безопасности Cisco, развернутыми по всему миру. 

Сколько стоят киберугрозы для бизнеса: потерянные заказчики и потерянные доходы

В отчете Cisco ACR 2017 показано потенциальное влияние атак на финансовое положение пострадавших — от крупных предприятий до среднего и малого бизнеса. Более 50% организаций после нарушения защиты привлекли пристальное внимание общественности. Наибольший ущерб был нанесен операционным и финансовым системам, пострадала репутация брендов, ухудшились показатели лояльности заказчиков. Для организаций, подвергавшихся атакам, результат был весьма ощутимым:

• у 22% атакованных организаций уменьшилось число заказчиков, при этом у 40% из них клиентская база сократилась более чем на 20%;

• у 29% уменьшились доходы, из них у 38% доходы уменьшились более чем на 20%;

• 23% атакованных организаций заявили об упущенной выгоде, из них 42% потеряли более 20%. 

Действия хакеров и новые «бизнес-модели»

В 2016 г. хакерские группы стали более «корпоративными». Обусловленные цифровизацией динамичные изменения технологического пейзажа открывают перед киберпреступниками новые возможности. С одной стороны, атакующие продолжают пользоваться проверенными временем технологиями, с другой — прибегают к новым методам, отражающим структуру управления «среднего слоя» их корпоративных мишеней.

• Новые методы атак имитируют корпоративную иерархию. В ряде кампаний по распространению вредоносной рекламы используются т.н. брокеры, или «шлюзы», действующие как менеджеры среднего звена, маскирующие вредоносную активность. Это позволяет злоумышленникам ускорять свои действия, захватывать операционное пространство и избегать обнаружения.

• Возможности и риски облачных технологий. 27% сторонних облачных приложений, инициаторами применения которых стали сами сотрудники с целью повышения эффективности и поиска новых бизнес-перспектив, были отнесены к категории повышенного риска и создавали значительные проблемы безопасности.

• Традиционное рекламное ПО, загружающее рекламу без ведома пользователя, продолжает доказывать свою эффективность: им заражены 75% обследованных организаций.

• Светлым пятном стало падение популярности таких крупных наборов эксплойтов, как Angler, Nuclear и Neutrino, деятельность владельцев которых была пресечена в 2016 г., но на их место ринулись более мелкие игроки. 

Защищать бизнес и поддерживать бдительность

В отчете ACR 2017 указывается, что расследуются лишь 56% предупреждений о нарушении защиты, при этом необходимые действия предпринимаются менее чем для половины предупреждений о реальных угрозах. Защищающейся стороне, даже при уверенности в средствах защиты, приходится действовать в условиях наличия сложных систем и недостатка персонала, что дает атакующим преимущество во времени и оперативном пространстве. Для предотвращения, обнаружения и устранения последствий атак, а также для минимизации рисков Cisco предлагает следующее:

• Обеспечение информационной безопасности должно стать одним из бизнес-приоритетов. Топ-менеджеры должны непосредственно отвечать за безопасность, пропагандировать ее и финансировать на приоритетной основе;

• Оценка операционной дисциплины. Необходимо провести ревизию методов защиты, корректировки ПО, точек контроля доступа для сетевых систем, приложений, функций и данных;

• Тестирование эффективности защиты. Следует задать четкие метрики и использовать их для оценки и совершенствования методов защиты;

• Принятие интегрированного подхода к защите. Интеграция и автоматизация должны находиться на верхних строчках списка критериев оценки мероприятий для улучшения контроля, совершенствования взаимной совместимости и сокращения времени обнаружения и прекращения атак. В этом случае подразделения обеспечения информационной безопасности смогут сосредоточиться на анализе и устранении реальных угроз.

Ежегодный отчет Cisco по кибербезопасности: 10 лет сбора и анализа данных

С момента публикации в 2007 г. первого отчета Cisco по кибербезопасности произошли разительные изменения. Технологии способствуют росту изощренности атак и помогают более искусно защищаться от них, при этом важным как никогда остается наличие надежного фундамента безопасности.

• В отчете Cisco ACR за 2007 г. в качестве мишеней приводились веб- и бизнес-приложения, причем атакующие пользовались методами социальной инженерии и нечистоплотностью пользователей. В 2017 г. хакеры атакуют облачные приложения и наращивают объемы спама.

• Десять лет назад распространялось вредоносное ПО, приносившее прибыли организованной преступности. В современной теневой экономике киберпреступность стала родом бизнеса с довольно низким входным барьером для потенциальных заказчиков. Сегодняшние нарушители могут быть кем угодно, находиться где угодно и не иметь никаких специальных знаний — достаточно приобрести один из «коробочных» пакетов эксплойтов.

• В отчете по безопасности за 2007 г. было отмечено 4773 предупреждения о нарушении безопасности Cisco IntelliShield Security Alerts, что соответствовало уровню Национальной базы данных уязвимостей (National Vulnerability Database). В отчете же 2017 г. число обнародованных вендорами предупреждений об уязвимостях за тот же самый период выросло на 33% и составило 6380. По нашему мнению, такой рост обусловлен большей осведомленностью в вопросах безопасности, расширением горизонта атак и усилением активности злоумышленников.

• В 2007 г. Cisco рекомендовала защищающимся принять целостный подход к обеспечению информационной безопасности, интегрировать инструментарий, процессы и политики, вести просветительскую деятельность среди заинтересованных лиц. В надежде получить всеобъемлющий ответ бизнес обращался к вендорам, но зачастую напрасно, ибо те предлагали разрозненные точечные решения. В 2017 г. перед директорами по информационной безопасности встала проблема чрезвычайной усложненности среды. Cisco борется с этим, предлагая архитектурный подход к информационной безопасности и помогая заказчикам извлекать максимальную пользу из существующих инвестиций, увеличивая возможности и уменьшая сложность защиты.

«В 2017 г. киберпространство — это бизнес, а бизнес ведется в киберпространстве, и это требует совершенно иного похода и иных результатов. Необходимо постоянное совершенствование, которое должно оцениваться с учетом эффективности, стоимости и хорошо продуманных рисков. Отчет по информационной безопасности за 2017 г. демонстрирует и, я надеюсь, обосновывает наши ответы на проблемы бюджета, персонала, инноваций и архитектуры», ‒ отмечает Джон Стюарт (John N. Stewart), старший вице-президент и главный директор компании Cisco по информационной безопасности.