Отраслевое понимание: как ваша любимая игровая клавиатура может свалить весь бизнес

Ранее в этом месяце атака выкупа WannaCry заразила более 300 000 компьютеров под управлением Windows по всему миру. Напряжение вымогателей требовало, чтобы зараженные компании и частные лица платили 300 долларов США за разблокировку каждой машины, а также за данные, хранящиеся на их устройствах. Хотя WannaCry был быстро сорван, существуют большие, страшные и неизвестные угрозы, которые могут нанести огромный ущерб вашему бизнесу.

Вы, вероятно, прочитали десятки статей о том, как вы можете защитить свой бизнес и себя, и вы, вероятно, заручились помощью программного обеспечения для защиты конечных точек, чтобы обеспечить безопасность вашей компании. Но знаете ли вы, что даже самые незаметные устройства, подключенные к вашей сети, могут позволить хакерам нанести огромный ущерб вашему бизнесу?

Я поговорил с Йосси Эпплбумом, со-генеральным директором Sepio Systems, о том, что вам нужно знать о масштабных атаках в сфере финансовых услуг, о том, что нужно делать небольшим финансовым компаниям, чтобы оставаться наготове, и почему периферийные устройства, такие как мыши и клавиатуры, могут быть серьезной угрозой для вашего бизнеса.

PCMag: Каков наихудший, кошмарный сценарий с точки зрения взлома кого-то или какой-либо группы в финансовом учреждении?

Йосси Эпплбум (YA): Каждый раз, когда данные подвергаются риску, это кошмарный сценарий, особенно когда речь идет о финансовых учреждениях. Потеря контроля над частной финансовой информацией заинтересованной стороны ставит под угрозу целостность данных и, возможно, средства к существованию заинтересованных сторон, которые имеют денежную оболочку в игре, основанную на предположении, что их данные всегда будут в безопасности. Что еще более важно, с финансовой точки зрения, утечка этой информации угрожает всеобъемлющим фидуциарным отношениям организации - прошлому, настоящему и будущему.

Утечка данных особенно страшна, поскольку часто не существует четкого показателя масштабов нарушения и связанного с ним риска. Это может быть как кража учетных записей одного аккаунта, так и кража полных баз данных, содержащих огромные объемы персональных данных, например, кража данных в панамской юридической фирме, в которой просочились более 11 миллионов документов.

Главные сотрудники по информационной безопасности (CISO) финансовых учреждений осведомлены об опасностях утечки данных и всегда будут определять их приоритетность в своем бесконечном списке киберугроз. Глобальные финансовые институты тратят сотни миллионов долларов в год на создание многоуровневых систем предотвращения потери данных (DLP). Немногие CISO способны создавать нерушимые системы, которые защищают даже от самых распространенных кибератак. С другой стороны, плохие игроки поднимают планку сложности атак, используя утечку правительственного кибер-оружия против гражданских целей, таких как банки.

Преступники используют стратегическое кибер-оружие - в том числе манипулируемое, повседневное оборудование, такое как клавиатуры и другие Human Interface Devices (HID) - против коммерческих целей. Проблема заключается в том, что эти инструменты кибератак могут существовать в системах, совершенно не обнаруживаемых существующими инструментами киберзащиты. Это, пожалуй, самая страшная и самая опасная форма шпионажа данных: необнаружимые устройства, которые извлекают информацию под радаром.

Не существует способа «разлить бобы» после их разлива. После утечки данные не могут быть защищены задним числом. Следовательно, менеджеры данных и CISO должны сохранять повышенную бдительность и делать все от них зависящее, чтобы обеспечить постоянную герметизацию всех векторов, включая все потенциальные точки доступа в системе.

PCMag: С точки зрения того, что уже произошло, что является самым серьезным нарушением финансовых услуг в стране и как это произошло?

YA: «Худшее» будет зависеть от того, кого вы спросите. С точки зрения финансового учреждения, на ум приходят крупные нарушения, такие как нарушение JPMorgan Chase 2014 года, когда кибератака затронула целых 76 миллионов домохозяйств и 7 миллионов малых предприятий среди большой сети заинтересованных сторон.

Однако, с точки зрения отдельного клиента, худшим нарушением является то, которое навсегда изменило его или ее жизнь и чувство финансовой безопасности. Это одна из самых важных вещей, которую следует помнить: недостаточная защита от кибератак может необратимо разрушить жизнь людей, которые зависят от того, как вы сохраняете свои данные, а также доверие и репутацию всего учреждения.

Следует также отметить, что многие финансовые нарушения, свидетелями которых мы стали, являются кризисами вчерашнего дня. Конечно, многие компрометирующие кибератаки использовали вредоносные программы для доступа и извлечения информации из сети. Но общим знаменателем всех широко распространенных нарушений является то, что кто-то их обнаружил. Необнаруженные утечки, которые сейчас могут активно извлекать данные, представляют собой самую большую угрозу безопасности данных.

Один из наших клиентов, международный банк, обнаружил небольшое аппаратное устройство, подключенное к его сети, спрятанное под столом. Это устройство было подключено к сети; однако, команда кибербезопасности не могла видеть это. Ни один из существующих инструментов не почувствовал его и не обнаружил его существование, но, тем не менее, он был там, отправляя данные в удаленное местоположение через сотовую связь. Неизвестное количество и тип данных были скомпрометированы в течение неизвестного периода времени, и никто не знал об этом. Сегодня, спустя год после этого шокирующего открытия, сотрудники службы безопасности почти ничего не знают о том, кто установил устройство и сколько данных было взято.

Следующий большой вектор атаки будет исходить от аппаратных устройств-призраков. Вот почему мы прилагаем все усилия, чтобы обнаружить и смягчить эти атаки.

PCMag: для небольших финансовых компаний, что они должны искать с точки зрения угроз, точек входа и распространенных ошибок?

Ю.А.: Небольшие финансовые институты во многих случаях находятся в большей опасности, чем крупные. В большинстве случаев у них нет большой группы безопасности, и их системы кибербезопасности менее сложны. В некоторых случаях мы были свидетелями того, как небольшие финансовые сервисные компании используют пятилетний брандмауэр и трехлетнее антивирусное программное обеспечение для защиты своих цифровых активов. Эта компания управляла инвестициями некоторых из крупнейших личных счетов в Соединенных Штатах.

Предположение, что малогабаритное финансовое учреждение равняется меньшему риску, полностью неверно. Хедж-фонд, управляющий несколькими миллиардами долларов, обычно очень маленькая компания. Семейный офис, управляющий крупными личными денежными счетами, также невелик, как и в случае юридической фирмы в Панаме, которая хранила финансовые секреты известных мировых лидеров. Все вышеперечисленное было нарушено, и большинство из них не знали о нарушении в течение очень долгого времени; некоторые до сих пор не знают об этом.

Менеджеры этих небольших компаний во многих случаях не понимают, какой риск они принимают, потенциальный ущерб их компаниям и, самое главное, потенциальный ущерб их клиентам. Многие компании считают, что их передовые решения для защиты программного обеспечения могут обеспечить водонепроницаемую защиту системы посредством мониторинга в режиме реального времени и прогнозной аналитики. Это может быть правдой в отношении программного обеспечения, но то, что типичный CISO может не распознать, это то, что злоумышленник встроил утечку непосредственно в аппаратную инфраструктуру, куда данные выливались годами. Любой менеджер данных или специалист по кибербезопасности скажет вам, что самое важное место, где вы можете начать защищаться от уязвимостей, - это понимание существующей инфраструктуры. Это означает, что вы получите надежный контроль над тем, что подключено к вашей сети.

Важно помнить, что любой путь к данным - потенциальная ответственность. Независимо от того, какого размера компания, предоставляющая финансовые услуги, принятие необходимых мер предосторожности и инвентаризация устройств в системе могут помочь ограничить вашу защиту ваших данных.

PCMag: Вы обычно не связываете клавиатуры, мыши и другие периферийные устройства в качестве точек входа для подобных атак. Почему мы должны беспокоиться о таких устройствах?

YA: Подумайте об этом: можете ли вы установить программное обеспечение, которое вы скачали из Интернета, на свой корпоративный компьютер? Возможно нет. Но можете ли вы принести клавиатуру снаружи в свой офис и подключить ее? Вероятно, да.

Люди правы, полагая, что неизвестное программное обеспечение является риском. Вот почему существует множество инструментов безопасности для мониторинга и предотвращения установки программного обеспечения на корпоративном компьютере кем-либо, кроме ИТ-персонала. Но по какой-то причине аппаратные устройства не соответствуют одному и тому же стандарту.

Кибератаки, инициируемые программным обеспечением, в большинстве случаев ограничены существующими инструментами киберзащиты, а это означает, что все инструменты, начиная от пакета безопасности конечной точки и заканчивая инструментами защиты периметра и криминалистики, настроены для обнаружения точки входа и ее блокировки. Однако одна клавиатура может нанести больший ущерб, чем большинство вредоносных программ в мире, отфильтровывая данные в течение длительных периодов времени.

Представьте, что ИТ-специалист вашей организации отправляет электронное письмо всей компании, в котором говорится, что завтра организация получит совершенно новые клавиатуры. Какой процент ваших сотрудников увидит новую клавиатуру на своем столе на следующий день и подключит ее? 20 процентов? 50 процентов? 100 процентов? Ответ в том, что это ближе к 100 процентам, чем кто-либо хочет признать. Требуется только один человек, чтобы установить одно из этих устройств, которым манипулировали для извлечения информации, чтобы поставить под угрозу всю систему.

Теперь мы знаем, что многие инструменты, используемые для проникновения и взлома глобальных финансовых центров, были фактически украдены у правительственных прототипов в странах по всему миру. Например, клавиатуры, изначально разработанные Агентством национальной безопасности США (АНБ) для отслеживания нажатий клавиш и сбора данных из сетей через USB-порт подключенного компьютера, теперь используются злоумышленниками для сбора данных для атак шантажа и вымогателей.

Кроме того, с ростом количества гнусных хакерских инструментов, продаваемых в темной сети, самые передовые технологии сбора вредоносных данных теперь могут оказаться в руках хакера за считанные дни, когда у властей нет четкого способа отследить покупатель, продавец или местонахождение устройства. Это означает, что самые сложные, необнаружимые устройства сбора данных могут теперь существовать в бесчисленных системах данных, даже если CISO даже не знают о них.

Эти устройства сравнимы с паразитическими насекомыми, такими как клещи или вши. Они кажутся банальными и безвредными, когда плавают в вашем районе. Однако их трудно почувствовать, когда они устанавливаются в вашу систему и могут существовать там незамеченными в течение длительного периода времени. Более того, они несут основную ответственность и могут нанести непоправимый ущерб данным и вашим заинтересованным сторонам.

PCMag: без конкретной рекламы ваших услуг, как компании могут обеспечить их безопасность, особенно если они в значительной степени полагаются на подключенные устройства для выполнения своей работы?

Я.А.: Есть много элементов, которыми невозможно управлять. Как я уже говорил, безграничный цифровой рынок темной паутины практически невозможно остановить. Из-за анонимности покупателей и продавцов, свободная для всех торговля аппаратными устройствами представляет собой беспрецедентную задачу быть настроенным на угрозы взлома, которые влияют на системы извне.

Однако диспетчеры данных должны контролировать угрозы взлома, исходящие от оборудования. Это начинается с полного понимания всех аппаратных устройств, которые взаимодействуют с вашей системой. Традиционно специалисты по технологиям организации устанавливают, что у них есть X конечных точек, которые подключаются к Y количеству серверов и внешних устройств. В современной зоне киберзащиты крайне важно, чтобы они шли глубже, на периферийный уровень.

Сетевые провода, которые передают информацию между двумя устройствами, должны быть полностью проверены, через каждые два края, через все точки подключения. Существуют устройства, которые могут перехватывать данные в этих точках и отправлять их в удаленное местоположение без распознавания.

Чтобы уберечь системы от такого рода вымогательств, сети с большим количеством устройств должны быть отсортированы с помощью расчески с мелкими зубьями. CISO должны сделать все возможное, чтобы обеспечить целостность своих системных устройств. Гарантия того, что ваши устройства действительно ваши, а не замаскированное оборудование, является лучшим способом защиты от киберугроз.

Начните с осознания. Не игнорируйте потенциальный риск этих невинных на вид аппаратных устройств. Угроза реальна и актуальна для всех нас.