ИИ в жизни

Гонять с друзьями в CS:GO или Apex Legends веселее, если все сидят в одном мессенджере: шутки в процессе прохождения, тематические чаты и стриминг для друзей — это часть игрового процесса. Если вы большой любитель онлайн-игр, то наверняка уже пользуетесь Discord, который за несколько лет стал каналом связи для геймеров по умолчанию. У некоторых игр и игровых платформ есть свои Discord-серверы, где можно найти тиммейтов, обратиться в техподдержку или просто початиться.

Как обычно, в большие сообщества подтягиваются не только увлеченные общей идеей люди, но и мошенники, спамеры, хейтеры и тролли. Они могут испортить удовольствие от игры или общения в Discord, если заранее не позаботиться о настройках безопасности и приватности. Давайте разберемся, как правильно сконфигурировать мессенджер.

• Где найти настройки безопасности и приватности в Discord
• Как защитить аккаунт в Discord от угона
• Как настроить двухфакторную аутентификацию в Discord
• Как избавиться от спамеров в Discord
• Как убрать раздражающие уведомления в Discord
• Как скрыть свои данные от лишних глаз
  • Как запретить Discord собирать мои данные
  • Как ограничить доступ сторонних приложений к данным Discord
  • Как скрыть от посторонних мои данные и игровую активность
• Как защитить другие аккаунты

Где найти настройки безопасности и приватности в Discord

Все нужные нам параметры собраны в меню Настройки пользователя, которое откроется, если нажать на значок шестеренки под списком друзей и чатов.

Как защитить аккаунт Discord от угона

В первую очередь разберемся с безопасностью учетной записи. Если у вас простой пароль, задайте новый — желательно очень длинный. Также поможет, если в нем будут цифры, заглавные буквы и спецсимволы, но длина имеет наибольшее значение. О том, как придумать хороший пароль, у нас есть отдельный пост.

Чтобы поменять пароль в Discord на компьютере:

• Зайдите в раздел Моя учетная запись.
• Нажмите Изменить пароль.
• Введите старый пароль, а затем новый.
• Нажмите Сохранить.

В мобильном приложении путь отличается:

• Свайпаем текущий чат вправо, в нижнем меню жмем на свой аватар.
• Выбираем раздел Учетная запись (iOS) или Моя учетная запись (Android).
• Жмем Изменить пароль.
• Вводим старый и новый пароль.
• Жмем Сохранить.

Теперь взломать ваш аккаунт будет не так просто!

Как настроить двухфакторную аутентификацию в Discord

Чтобы не оставить киберпреступникам шансов, включите в Discord двухфакторную аутентификацию. Тогда при входе в аккаунт мессенджер будет запрашивать одноразовый код из специального приложения-аутентификатора, например Authy, Google Authenticator или «Яндекс.Ключ». Его придется установить на смартфон или планшет, но такая программа может пригодиться и для защиты других аккаунтов.

На компьютере:

• В разделе Моя учетная запись нажмите Включить двухфакторную аутентификацию.
• Запустите приложение-аутентификатор и просканируйте QR-код с экрана или введите код вручную.
• В поле Войти с вашим кодом введите шесть цифр, которые выдаст аутентификатор, и нажмите кнопку Активировать.

Готово, защита апнулась! Чтобы подстраховаться, добавьте номер телефона и сохраните резервные коды. Они пригодятся, если приложения-аутентификатора не будет под рукой.

Если вы сидите в Discord cо смартфона или планшета:

• В разделе Учетная запись (в iOS) или Моя учетная запись (в Android) нажмите Включить двухфакторную аутентификацию.
• Нажмите Далее, скопируйте код из Discord и запустите приложение-аутентификатор.
• Введите код из приложения-аутентификатора в Discord.

Как избавиться от спамеров в Discord

Теперь сделаем общение в мессенджере более комфортным. Чтобы спамеры и прочие сомнительные личности не ломились в личку с заманчивыми предложениями, разберитесь с настройками конфиденциальности и установите подходящий уровень социофобии.

• Откройте раздел Конфиденциальность.
• В секции Безопасные личные сообщения выберите Оберегайте меня.

Этот вариант заставляет искусственный интеллект Discord сканировать все входящие картинки и блокировать мусор. Если же у вас в друзьях проверенные люди, можно выбрать вариант Мои друзья хорошие — тогда ИИ будет пропускать послания от них.

А чтобы кто попало не напрашивался в друзья, в разделе под логичным названием Кто может добавлять вас в друзья обозначьте группы тех, от кого вы готовы принимать заявки. Спойлер: вариант Все повышает шансы нарваться на спам во входящих.

Вы также можете Разрешить личные сообщения от участников сервера — это общий параметр для всех серверов, к которым вы присоединитесь. По умолчанию эта настройка включена, но можно задать свои правила для каждого отдельного сервера.

Для этого вернитесь в главное окно Discord, кликните правой кнопкой мыши по логотипу сервера в меню слева и выберите Настройки конфиденциальности. В мобильной версии нужно нажать на три точки справа от названия сервера и включить эту опцию в разделе Личные сообщения.

Как избавиться от лишних уведомлений в Discord

Уведомления могут быть очень назойливыми, особенно когда дело касается мессенджеров. Discord в этом смысле ведет себя более-менее прилично, но и ему настройка уведомлений не помешает.

На компьютере:

• Откройте раздел Уведомления.
• Задайте нужный формат оповещений с помощью переключателей Включить уведомления на рабочем столе, Включить индикатор непрочитанных сообщений и Включить мигание на панели задач.
• В разделе Звуки отключите звуковые уведомления для событий, о которых вам не нужно узнавать оперативно, и они не будут отвлекать вас от игры, учебы или работы.

Пока вы сидите за компьютером, Discord не дублирует уведомления на планшете или смартфоне. Однако если вы продолжительное время ничего не делаете в десктопной версии, то оповещения будут приходить и на мобильных устройствах. Вы можете решить, когда мессенджер должен переключиться на мобильные уведомления. Для этого в секции Тайм-аут бездействия для push-уведомлений выберите из выпадающего меню подходящий интервал.

На телефоне настройки немного другие:

• В настройках аккаунта найдите секцию Настройки приложения.
• Нажмите Уведомления.
• Отключите опцию Получайте уведомления в Discord, если не хотите получать оповещения внутри мессенджера.
• Если хотите всегда быть на связи с тиммейтами, включите опцию Получайте уведомления за пределами Discord.

Если вас раздражают мигающий индикатор на телефоне, вибрация или звуковые оповещения, в Android включите опции Отключить индикатор уведомлений, Отключить вибрацию при уведомлении и Выключить звуки.

Как сохранить приватность в Discord

От назойливых сообщений и уведомлений избавились. Теперь давайте разберемся, что о вас знает Discord и что могут узнать другие пользователи. Возможно, часть этой информации вы хотели бы оставить при себе.

Как отключить персонализацию в Discord

Разработчики Discord не скрывают, что собирают данные о вас и ваших привычках, чтобы улучшать работу программы. Если вам это не очень нравится, можно ограничить сбор и использование данных мессенджером. Для этого:

• Откройте раздел Конфиденциальность.
• Найдите секцию Как мы используем ваши данные и отключите опции:
  • Использование данных для улучшения Discord
  • Использование данных для персонализации опыта использования Discord
  • Разрешить Discord отслеживать использование экранного диктора. Обратите внимание: этого пункта нет в Android-версии мессенджера.

Как узнать, какие данные собирает Discord

Учтите, что Discord в любом случае будет собирать информацию о вас. Чтобы посмотреть, какие данные хранит мессенджер, и скачать их на случай блокировки аккаунта, можно запросить у мессенджера файл с архивом личных сведений. Для этого:

• Откройте раздел Конфиденциальность.
• Нажмите кнопку Запросить данные в нижней части экрана.
• На iPhone или в десктопной версии нажмите Запросить мои данные.
• Нажмите ОK.

Ссылка на архив через некоторое время придет на вашу электронную почту.

Как скрыть личную информацию от других сервисов

Помимо самого мессенджера вашими данными могут интересоваться сторонние сервисы, которые вы подключили к Discord. А мессенджер, в свою очередь, может кое-что подсмотреть у них. Если такой обмен вам не по нраву, откройте раздел Интеграции и отвяжите аккаунты сервисов, с которыми вы не хотите делиться информацией из Discord.

Заодно в десктопной версии отключите опцию Автоматически обнаруживать учетные записи с других платформ на этом компьютере. Мессенджеру вовсе не обязательно знать, где еще вы зарегистрированы.

Как скрыть лишнюю информацию от посторонних

Не всем на сервере нужно знать, во что вы играете прямо сейчас. И не всем зрителям стримов нужно знать все подробности вашего профиля. Чтобы посторонние не увидели лишнего:

• В разделе Игровая активность отключите опцию Отображать в статусе игру, в которую вы сейчас играете.
• В разделе Режим стримера проверьте, включена ли опция Скрывать личную информацию. Она делает ваши данные недоступными для зрителей стрима.
• В том же разделе Режим стримера убедитесь, что включена опция Скрыть ссылки-приглашения. В этом случае тролли со стрима не набегут на ваш сервер в Discord.

Защищайте свои аккаунты

С настройками Discord разобрались — можно играть и общаться с комфортом. А чтобы вам вообще никто не мешал, проверьте для верности настройки Steam и Twitch.

Фильм «Джонни Мнемоник» — не дословная экранизация одноименного рассказа: несмотря на то, что сценарий написал сам Уильям Гибсон, в нем есть несколько ключевых отличий. Среди них одно достаточно любопытное — в фильме оговаривается точная дата происходящего: начало 2021 года. Поэтому мы решили разобрать с точки зрения кибербезопасности именно кинематографическую версию, а заодно сравнить вымышленный 2021 год с настоящим.

Мир «Джонни Мнемоника» и завязка сюжета

Сюжет разворачивается в достаточно мрачном мире: мир контролируют мегакорпорации, на Земле бушует эпидемия опасного заболевания NAS (Nerve Attenuation Syndrome). Причиной болезни, по словам одного из персонажей, является «информационная перегрузка: вся электроника вокруг с ее отравляющим излучением».

В нынешних реалиях, конечно, описываемый мир не так уж фантастичен, особенно если вы — сторонник теории заговора о распространении COVID-19 при помощи сетей 5G. Но есть и отличия: в кинематографическом 2021 году в мозг человека можно вживлять чипы, позволяющие хранить гигабайты информации. Ну и Интернет у них, как это водится в фильмах, снятых в 1980-1990-х годах, представляет собой безумную виртуальную реальность с сомнительного качества графикой.

Корпорация Pharmakom

По сюжету лекарство от NAS на самом деле существует, однако фармацевтические корпорации не спешат делиться им с миром — лечить симптомы выгоднее, чем избавлять человечество от болезни. Некоторые сотрудники компании Pharmakom не согласны с такой политикой, поэтому они не просто крадут информацию, но еще и уничтожают все содержимое мейнфрейма компании.

И это выдает сразу несколько крупных недочетов в системе безопасности Pharmakom:

• У ученых слишком широкие права доступа к данным. Понятно, что у людей, занятых в разработке лекарства, должен быть доступ для чтения рабочей информации и даже для записи на сервер. Но зачем им возможность безвозвратно удалять секретную информацию? Явный просчет в политиках безопасности.
• У Pharmakom нет резервных копий (по крайней мере, офлайновых). По большому счету, весь дальнейший сюжет с безумными погонями за курьером основан на том, что компания пытается вернуть данные. Если бы бэкапы были, сотрудникам безопасности достаточно было бы спокойно восстановить данные из резервной копии, а потом ликвидировать утечку вместе с курьером, вместо того чтобы пытаться отпилить курьеру голову, следя за тем, чтобы по ней еще и не сильно били (до «мнемонического» имплантата мы доберемся чуть ниже).

Плюс ко всему, в сети Pharmakom живет еще и цифровая копия сознания основательницы компании, которая обладает свободой воли и доступом ко всему Интернету и в целом тоже не согласна с превращением корпорации в бесчеловечного монстра.

Ло-Теки

С засильем корпораций борются некие Ло-Теки. В оригинальном рассказе это были принципиальные противники технологий, но в экранизации они с технологиями вполне дружат. С ними живет дельфин Джонс, который периодически при помощи своих хакерских умений добывает ценную информацию, которую Ло-Теки потом передают в эфир, вклиниваясь в трансляцию. В центре их убежища — гора мусора с проводами и множеством телевизоров старинной выделки, еще с электронно-лучевыми трубками (сейчас такие только на свалке и встречаются).

Что интересно, несмотря на хулиганство в эфире, на Ло-Теков в общем-то никто не обращает особого внимания (или не может найти, несмотря на стационарную базу, из которой ведутся трансляции), до тех пор, пока они не связываются с Джонни и содержащейся в его голове информацией, украденной у Pharmakom.

Общение по сети

По ходу сюжета Джонни пытается связаться со своим знакомым. Но эксперты Pharmakom, работающие с якудзой, отслеживают его обычные контакты. Из чего можно сделать вывод, что с анонимностью в фантастическом 2021 году дело обстоит еще хуже, чем в реальности.

Казалось бы, если ты работаешь хакером-контрабандистом, то должен как-то уметь обеспечивать свою анонимность в Сети. Но нет, знакомые Джонни всем известны, и специалисты по защите информации моментально вычисляют его (хотя он выходит в Сеть с абсолютно нового краденого компьютера) и находят точное местоположение, несмотря на некий стелс-модуль.

Попутно специалисты Pharmakom активируют вирус, чтобы помешать общению (или задержать Джонни на месте). Как это водится в фильмах, тут беда с терминологией — по современной классификации это не столько вирус, сколько какой-то инструмент для DoS-атаки.

Курьер-мнемоник

Впрочем, перейдем к главной теме фильма, которая непосредственно связана с информационной безопасностью, — к профессии главного героя Джонни. Работает он мнемоническим курьером: в его голову встроено хранилище данных. Такие курьеры используются для передачи (точнее, контрабанды) особо ценной информации, которую нельзя доверять Интернету. Именно его услугами пытаются воспользоваться мятежные ученые, чтобы передать похищенные ими медицинские данные врачам в Ньюарк.

Как устроен имлантат

Технология, стоящая за этим устройством, непонятна: данные хранятся непосредственно в мозге, причем ради установки устройства Джонни пришлось отказаться от изрядной части детских воспоминаний. Номинальная емкость составляет 80 Гбайт, при помощи кратковременного подключения внешней коробочки она расширяется до 160 Гбайт, но по факту закачать можно и в два раза больше. Правда, мозгу от этого достаточно некомфортно — курьера периодически мучают припадки, а из носа идет кровь. Ну и для целостности данных это тоже не очень полезно — они могут быть повреждены.

По сюжету само по себе наличие имплантата можно без особых проблем выявлять. Например, при пересечении границы людей сканируют — и обнаруживают устройство. Но, судя по всему, сканирование достаточно поверхностное: система воспринимает его, как легальный «протез для компенсации дислексии». Почему это не вызывает у пограничников подозрений — неизвестно.

Защита данных

Достаточно оригинально осуществляется защита информации. Во время загрузки клиент случайным образом снимает три скриншота с телевизора. Они «растворяются в данных» и служат «ключом для скачивания». Без них невозможно не просто скачать данные, но даже удалить, так что те же скриншоты необходимо переслать получателю. То есть, по всей видимости, речь здесь идет не только о шифровании самих данных, но и о некоем механизме доступа к имплантату.

Отсюда и начинаются проблемы Джонни: сразу после загрузки данных работающие на Pharmakom оперативники якудзы нападают на ученых. В ходе перестрелки один кадр ключа уничтожается, один остается у Джонни и один достается нападающим.

Пересылка кода

Пересылка «ключа» осуществляется по факсу. И в целом это могло бы быть разумным решением, даже несмотря на то, что в реальном 2021 году эта технология считается устаревшей. Дело в том, что факс работает напрямую через телефонную сеть, и в теории пересылка данных через него может быть безопаснее отправки ключа через Интернет. Вот только есть две проблемы. Во-первых, качество изображения при передаче по факсу, как правило, ухудшается. А во-вторых, в фильме все факсы, как принимающие, так и отправляющие, почему-то доступны через Интернет.

После ухода от якудзы Джонни пытается добыть недостающие скриншоты и дистанционно, из Ньюарка, находит отправляющий факс — он со всеми логами доступен из информационных систем отеля, в которые Джонни попадает путем перебора пароля. С третьей попытки. По всей видимости, пароль там не очень сложный. Впрочем, это как раз соответствует реалиям настоящего 2021 года — в отелях далеко не всегда все в порядке с безопасностью. Так или иначе, Джонни удается узнать адрес факса получателя.

Принимающий факс расположен в копировальном центре в Ньюарке. Он доступен и вовсе без какой-либо дополнительной аутентификации. Более того, подключившись удаленно, можно считать данные из его буфера. Это делает данный канал связи абсолютно непригодным для пересылки секретных данных.

Извлечение данных без кода

Казалось бы, ситуация безвыходная: без ключа Джонни не может ни скачать, ни удалить данные из головы, а поскольку максимально допустимая емкость превышена в два раза, вскоре он погибнет, и лекарство будет утрачено. Но далее по фильму оказывается, что на самом деле есть куча способов извлечь информацию и без ключа (с последствиями разной степени тяжести).

• Якудза пытается отпилить Джонни голову, чтобы заморозить ее и отвезти в Сайгон, где данные можно достать при помощи какого-то детектора квантовой интерференции (quantum interference detector).
• У доктора Спайдера есть некие «коды расшифровки», и если повезет, с их помощью можно достать данные из головы мнемоника. В данном случае не везет, но, судя по всему, иногда получается, что вызывает массу вопросов к надежности использованного алгоритма шифрования.
• Тот же доктор предлагает достать данные и имплантат при помощи хирургического вмешательства, но с риском для жизни и гарантированными проблемами для здоровья пациента (но данные будут целы).
• Дельфин Джонс, который когда-то работал военным хакером на флоте, умеет взламывать коды. И работать с инфразвуковым сканером через стенки черепа. Готов пробовать даже с частью кода.
• В одном из диалогов оперативник якудзы упоминает, что даже если данные просто скачать и удалить, то кто-нибудь может добыть их позже при помощи каких-то «мнемонических сенсоров».

Курьеры-мнемоники: итого

Использование курьеров-мнемоников представляется абсолютно бессмысленным. Применяется симметричное шифрование (как бы ни был сложен ключ, его придется передавать получателю), ключ передается по незащищенным каналам, имплантат допускает нарушение техники безопасности, а следовательно, ставит под угрозу здоровье курьера и целостность информации. Ну и самый главный недостаток — есть куча методов добыть данные без ключа.

Более того, имея два скриншота, Джонни с помощью дельфина успешно взламывает свой мозг и добывает из него третий — то есть среди прочей информации хранится и сам ключ. Это крайне небезопасная практика.

В реальном 2021 году было бы гораздо проще воспользоваться нормальным асимметричным алгоритмом шифрования и переслать данные через Сеть. Даже если факт передачи информации скрыть не получится, это позволит гарантированно передать данные адресату. Тем более, что 320 Гбайт по меркам 2021 года (настоящего) — не такой уж и большой объем.

Что сбылось, а что не сбылось?

К счастью, 2021 год оказался не таким мрачным, как это казалось создателям фильма. Причем речь даже не о социальных проблемах — я сейчас говорю именно с точки зрения кибербезопасности. Давайте посмотрим, что из вышеописанного реально может произойти, а что нет.

• Утечка данных из Pharmakom — в реальном 2021 году регулярно утекают многотерабайтные архивы секретных материалов, в том числе и по фармацевтической тематике.
• Инсайдерская атака и саботаж — тоже не новость. Вот недавний инцидент, и тоже связанный со здравоохранением (пусть и не напрямую).
• Искусственный интеллект, осознающий себя и живущий в сети, — насколько мы знаем, пока не реален.
• Дельфины-хакеры — абсолютно нереальны. Вопреки сочинением многих фантастов, дельфины пока еще не научились воспринимать человеческую информацию и пользоваться электроникой.
• Вторжение в телевизионный эфир — в принципе реально, случаи бывали. Но чаще всего масштабы достаточно невелики, а нарушителей быстро вычисляют.
• Вычисление человека в сети по факту связи с определенным адресом — реально, но требует масштабной подготовительной работы.
• DoS-атака на связь между двумя клиентами сети — реальна, но производится не вирусом, а просто выведением из строя канала связи.
• Вживление чипа в череп человека — пока не реально. Ученые еще не научились вживлять электронику непосредственно в мозг. Эксперименты такие ведутся, но речь не о хранилищах данных, а пока только об интерфейсе для общения с компьютером.
• Ну и самое главное: пересылка данных с курьером методом закачивания информации прямо ему в мозг не только не реальна, но и бессмысленна. Благодаря шифрованию информацию можно удобно и безопасно передавать по Сети.

Как правило, если какой-то интерфейс создан для человека, то боту к нему обращаться совершенно незачем. Программы общаются друг с другом через API, так что в подавляющем большинстве случаев бот, пытающийся получить доступ к онлайновому ресурсу или сервису через пользовательский интерфейс, — это попытка эксплуатации механизмов сервиса в интересах каких-либо злоумышленников. Поэтому с такими ботами принято бороться.

Долгие годы чуть ли не единственным инструментом борьбы с ботами-нелегалами была CAPTCHA — механизм, позволяющий определить, человек ли обратился к веб-сервису. Многие сервисы, в том числе онлайновые системы банков, страницы программ лояльности, да и просто любые сайты, на которых есть хоть какой-то личный кабинет, используют ее до сих пор. Но так ли надежна капча?

На панельной дискуссии, посвященной веб-атакам и онлайн-мошенничеству, которая состоялась в ходе RSA Conference 2021, исследователи обсуждали опыт, извлеченный из атак на крупные организации и полученный при изучении образа действий злоумышленников. Один из докладчиков, Дэн Вудс, в прошлом сотрудник правоохранительных органов, упомянул о достаточно необычном эксперименте. В какой-то момент он притворился соискателем абсолютно любой работы в сети и в результате прошел обучение на сотрудника клик-фермы, которая занималась решением той самой CAPTCHA. Он был поражен объемами работы и нищенской оплатой труда (порядка трех долларов в день), но главным итогом этого эксперимента стал вывод: CAPTCHA больше не нужна.

Что такое клик-ферма

В целом клик-фермы — явление далеко не новое. Они достаточно давно использовались мошенниками для схемы кликфрода, то есть махинаций с бюджетами на рекламу, эффективность которой считается по кликам на баннер или ссылку, а также всевозможного накручивания лайков, просмотров, голосов и любых других показателей, которое нельзя автоматизировать.

Выглядит это очень просто: огромное количество низкооплачиваемых работников кликает по определенной ссылке, перелогинивается, кликает снова и так до бесконечности. Когда-то этой работой занимались боты, но с тех пор как антимошеннические алгоритмы научились распознавать их активность, пришлось подключать настоящих, живых людей.

Так вот, как следует из рассказа Вудса, клик-фермы также поставляют услуги «решения CAPTCHA». То есть боты, которые ведут атаку на какие-либо онлайновые сервисы (чаще всего связанные с финансами), сталкиваются с проверкой и делегируют ее человеку. И это до неприличия дешевая услуга.

Задача сотрудника клик-фермы — как можно быстрее выбрать гидранты, расшифровать надпись, решить уравнение, причинить вред человеку и так далее — в общем, выполнить то задание, которое, по задумке создателей данной капчи, поможет отличить человека от робота.

Возможно, вы видели какую-то вариацию на тему вот такой картинки, которая ходит по Интернету:

Интернет-мем про роботов и CAPTCHA

Так вот, по всей видимости, она перестала быть шуткой.

Так ли вам нужна CAPTCHA?

Разумеется, далеко не все преступники пользуются услугами клик-ферм — некоторые, например, до сих пор пытаются создать искусственный интеллект, способный решить загадку самостоятельно. Казалось бы, имеет смысл продолжать использовать этот механизм как еще один уровень защиты. Но не все так просто.

Пользователи никогда не считали механизм CAPTCHA удобным и комфортным. Он всегда оставлял простор для ошибки — человек может случайно кликнуть не туда, не увидеть все символы, не переключить раскладку клавиатуры. Даже если человек ввел все правильно, он все равно воспринимает капчу как лишнее препятствие, которое негативно влияет на его опыт взаимодействия с информационной системой (UX).

То есть получается, что от злоумышленников CAPTCHA уже не защищает, а вот легитимных клиентов раздражает и отпугивает. Поэтому, вероятно, настала пора отказаться от этого устаревшего механизма.

Альтернативы CAPTCHA

К счастью, CAPTCHA не единственный способ определения того, кто пытается получить доступ к системе — человек или машина. Есть и более современные методы. Например, в арсенале Kaspersky Fraud Prevention имеется технология Advanced Authentication, которая позволяет отказаться от лишних шагов аутентификации и повышает удобство для легитимных пользователей.

Суть технологии заключается в анализе сотен параметров, характеризующих поведение пользователя, пассивных биометрических показателей, данных об устройстве, с которого кто-то пытается аутентифицироваться, об его окружении, и множества иных. Благодаря технологиям машинного обучения Advanced Authentication позволяет принять быстрое верное решение: позволить ли пользователю войти, провести дополнительную верификацию или ограничить его доступ. В том числе технология позволяет точно определить, человек ли обратился к сервису или машина. Подробнее о решении можно узнать вот здесь.

На первый взгляд, в мире «Дюны» информационные технологии изрядно деградировали. Человечество строит космические корабли, но рассчитывает курс в уме; посылает войска на чужие планеты, но сообщениями обменивается через курьеров; колонизирует иные миры, но живет в феодальном обществе. Казалось бы, о какой вообще информационной безопасности тут может идти речь? И тем не менее она играет ключевую роль во вселенной Френка Херберта.

Причины состояния технологий на момент первой книги

Практически все странности с технологиями во вселенной «Дюны» объясняются одним фактом: в какой-то момент истории человечество встретилось с глобальной киберугрозой и поступило радикально — вообще отказалось от привычных нам информационных технологий. Искусственный интеллект, а с ним и компьютеры, попали под запрет.

Причин этого запрета первая книга цикла — собственно «Дюна» — касается лишь поверхностно, а в продолжениях есть целых две противоречащие друг другу версии. Важно одно: в какой-то момент человечество восстало против машин, успешно уничтожило их, и с тех пор обладание «думающей машиной» карается смертной казнью. Основное священное писание (Оранжевая Католическая Библия) прямым текстом говорит: да не сотвори машину, подобную человеческому разуму.

В результате людям пришлось изобретать замену привычным информационным технологиям, и оно пошло по пути развития собственного разума. Появились всевозможные учения, школы, секты и ордена, которые показывали, как вести сложные расчеты в уме, направлять космические корабли через искривленное пространство, анализировать окружающий мир и даже влиять на чужое сознание.

Вдобавок, чтобы эффективно управлять разбросанной по разным звездным системам цивилизацией, лидеры человечества решили вернуться к монархии, феодальному строю и кастовой системе. Но так или иначе, с исчезновением компьютеров информация не перестала играть важную роль в жизни людей — а с ней и информационная безопасность.

Ментат как офицер по безопасности

Ментат — это человек-компьютер, способный обрабатывать в уме огромные объемы информации. Чем в книге «Дюна» занимается ментат дома Атрейдесов Суфир Хават? Кроме того, что участвует в разработке военной стратегии, он:

• отвечает за поиск закладок и уязвимостей в системе безопасности замка;
• проверяет и оценивает надежность персонала;
• оценивает риски.

Иными словами, на него возложены функции главного офицера по безопасности, то есть CISO. При этом, раз уж Хават представляет собой что-то вроде органического компьютера, то по сути он функционирует как живой защитный движок — анализирует все доступные признаки угрозы и выдает вердикт (правда, будучи параноиком, периодически безбожно фолсит). Интересно, что, судя по «первому закону ментата», процитированному Полом Атрейдесом, он работает по алгоритмам поведенческого анализа: «Процесс нельзя понять, остановив его. Постижение процесса развивается, следуя за ним, догоняя его, сливаясь с ним».

Средства обмена информацией

В отсутствие компьютеров основными средствами обмена информацией стали радиосвязь и старомодный обмен депешами. Разумеется, ни тот ни другой метод нельзя считать безопасным, однако в книге описывается несколько приемов, которыми персонажи пользуются для защиты каналов связи. Кроме того, там упомянуты несколько способов безопасного обмена информацией при личной встрече в присутствии потенциальных противников.

Радиосвязь

В современном мире относительной безопасности переговоров по радио можно добиться при помощи шифрования: даже если кто-то посторонний начнет прослушивать вашу радиоволну, он не сможет понять ни слова. Но из-за отказа от электронных вычислений в мире «Дюны» шифровать информацию приходится вручную. В частности, у Атрейдесов предусмотрен «боевой язык» — система условных голосовых сообщений, известная солдатам герцога.

Надо сказать, это не самый надежный метод. Ведь чем больше народа знает тайный язык, тем вероятнее, что вскоре его узнает и противник. Особенно учитывая широкое применение палачами дома Харконненов старомодных приемов криптоанализа.

Обмен записками на физических носителях

Передача депеш — метод, уязвимости которого знакомы с античных времен: курьер может предать, может быть захвачен противником, может просто не дойти. Впрочем, иногда эти уязвимости можно использовать с выгодой. Харконнены, например, периодически отправляют посланников так, чтобы они гарантированно попали в чужие руки — для доставки дезинформации.

Как минимум один раз в книге описывается система самоуничтожения депеши — она снабжена капсулой, разъедающей материал носителя, на котором записано послание. Также Организация Бене Гессерит имеет специальный тайный язык, позволяющий составлять сообщение из точек, — непосвященный даже не поймет, что это информация.

Средства защиты информации при личной встрече

В «Дюне» описано два таких средства. Во-первых, Атрейдесы используют систему тайных знаков, с помощью которых они могут обмениваться достаточно большими объемами информации на глазах у противника. Во-вторых, во дворце барона Харконнена установлен некий конус тишины, позволяющий открыто разговаривать, не опасаясь чужих ушей, — впрочем, как работает эта технология, автор не объясняет.

Человеческий фактор

Строго говоря, поскольку «информационные технологии» в «Дюне» перекочевали в головы ментатов, навигаторов, сестер Бене Гессерит и прочих странных личностей, важность человеческого фактора еще больше повысилась. Ведь теперь нет алгоритмов, которые потенциально могли бы заметить ошибку человека или вредоносные намерения инсайдера. Но тут прогнозы Херберта крайне пессимистичны: отдельные люди и целые фракции предают, продают, интригуют, дезинформируют, внедряют шпионов и добывают информацию пытками. Кроме того, те же Бене Гессерит обладают «голосом» — методом вербальной манипуляции, способным заставить человека сделать то, что он и не планировал.

Была одна надежда на технологию «имперской обработки» (Imperial Conditioning). Что-то типа запрограммированной клятвы Гиппократа — доктора школы Сук теоретически не могли причинить вред своим пациентам. Но Харконнены успешно взломали эту обработку психологическим давлением при помощи заложника.

Посмотрим, как все это будет передано Дени Вильневым. Вполне возможно, что в его версии мира Френка Херберта ситуация с информационной безопасностью будет обстоять не так плохо. Во всяком случае, в экранизации 1984 года Дэвид Линч достаточно свободно обошелся с первоисточником — вполне может быть, что создатели нового фильма также решат что-нибудь «улучшить» во вселенной «Дюны».

Трилогия «Матрицы» — Matrix, Matrix: Reloaded, Matrix: Revolutions — рассказала нам об успешной реализации метавселенной еще до того, как это стало мейнстримом. В роли создателя этого виртуального мира (а точнее, нейро-интерактивной симуляции) выступил искусственный интеллект, в свое время победивший и поработивший человечество. Правда, сотворение этого мира не обошлось без ряда багов, о которых мы сегодня и поговорим.

Основная сложность с восприятием трилогии заключается в том, что из-за ограниченности данных, которыми располагают герои-люди, и постоянной дезинформации, которая поступает со стороны героев-программ, зритель никогда точно не знает, насколько реальна картина мира, которая в данный конкретный момент фильма считается истинной.

Но поскольку нас в данном материале интересует не философский подтекст, а состояние информационной безопасности, опираться мы будем на то, что считается установленными фактами на момент финала третьего фильма. Осторожно: если вы не досмотрели трилогию, а собираетесь, то сразу предупреждаем, что в тексте полно спойлеров.

Борьба с боевиками Сиона

На момент финала трилогии становится понятно, что по большому счету вся эта борьба с освободившимися боевиками, проникающими в Матрицу, — постановка. Для успешного завершения очередного цикла мятежа Матрице нужно какое-то количество врагов извне. Поэтому точно не известно, реально ли пытаются агенты поймать Морфеуса и его команду или просто имитируют бурную деятельность. Как бы то ни было, мы отметим, что в этот момент не так с точки зрения безопасности, не вдаваясь в детали, были ли эти косяки багами или фичами — то есть являются ли они результатом несовершенства программы или были внесены в Матрицу намеренно (например, в качестве ханипотов).

Пиратский сигнал с кораблей сопротивления

Население Матрицы состоит из аватаров людей, подключенных к системе проводами, и программ, изначально существующих в виде кода. Остается непонятным, для чего вообще была реализована возможность удаленной трансляции сигнала извне системы, позволяющая подгружать аватары посторонних людей.

Обычно подобные дыры можно списать на отладочный канал доступа, который забыли закрыть. Но поскольку в данном случае отладкой занимались вовсе не люди, то данная версия не подходит. И потом, даже если сама функция удаленного коннекта была нужна технологически, то почему автопрограммисты не реализовали файрвол, блокирующий пиратский сигнал?

Неконтролируемая система передачи аватара

Внутри Матрицы пиратские аватары могут появляться и исчезать только около кабельного телефона (хотя в чем разница между мобильным и стационарным телефоном в рамках виртуальной реальности, не объясняется). Причем агенты Матрицы в принципе способны деактивировать эту линию — как минимум в момент захвата Морфеуса они ее успешно перерезают. Но если уж она столь критична для проникновения в Матрицу и эксфильтрации из нее, то почему бы агентам в принципе не отключать ее во всем районе проведения операции — или не забанить ее полностью во всей системе?

Несовершенная система адресации

У Матрицы нет данных о том, где точно находится каждый конкретный объект, хотя объективно потребность в этом есть. Можно допустить, что пиратские аватары скрывают свое местоположение в виртуальном пространстве. Но даже для отслеживания еще подключенного к системе Нео агентам нужен жучок. Тут явный косяк с системой адресации.

Тут же вызывает вопросы пресловутая «красная пилюля» Морфеуса. По его словам, она представляет собой программу отслеживания. Она нарушает входящий и исходящий несущий сигнал, что позволяет вычислить местонахождение тела Нео в физическом мире. Почему Матрица не отслеживает эту аномалию? Это было бы логично — как минимум для перехвата «команды спасателей».

Искусственные ограничения агентов Матрицы

Агенты Матрицы — разумные программы, которые могут временно замещать аватар любого человека, подключенного к системе. Они могут до определенных пределов нарушать условные законы физики, но как бы не очень сильно. Хотя известно, что ограничения этих самых законов — полная условность. Те же «близнецы» из второго фильма трилогии обходятся с ними гораздо более вольно. Спрашивается, почему условные ограничения нельзя снимать хотя бы временно, на момент операции захвата? Тут же в копилку ошибок в коде агентов — им зачем-то оставлена возможность отключения от общей информационной системы Матрицы (путем вынимания из уха наушника). Это явная уязвимость в их коде.

Коды к мейнфрейму Сиона

Вся суть охоты машин за Морфеусом в первом эпизоде фильма — попытка завладеть кодами доступа к мейнфрейму Сиона, которые известны каждому капитану. Вызывает кучу вопросов тот факт, что человек, обладающий кодами доступа к критической инфраструктуре повстанцев, и человек, который ходит в Матрицу — это один и тот же персонаж.

Особенно это странно, если вспомнить, что на борту есть люди вообще без интерфейса для подключения к Матрице — очевидно, было бы безопаснее доверить ценнейшую информацию им. Это уже косяк освобожденных людей, причем косяк скорее организационный — что-то вроде стикера с паролями на мониторе, причем именно у того человека, которого собираются снимать для ТВ прямо на рабочем месте.

Программы-изгои

Матрица почему-то не может эффективно избавляться от программ, ставших ненужными. В ее недрах успешно существуют какие-то разумные приложения из старых версий Матрицы, какие-то информационные контрабандисты, какие-то полуфизические боевики, какой-то Сераф, определяющий свою функцию как «I protect that which matters most» (достаточно распространенный слоган компаний из сферы ИБ).

По объяснениям Оракула, все они должны были быть удалены, но вместо этого выбрали отключение от Матрицы и автономную жизнь внутри виртуальной реальности. Существование неконтролируемого устаревшего софта — явная уязвимость, как и в реальной жизни. Они же буквально помогают хакерам атаковать Матрицу!

Контрабанда программ

Некоторые программы существуют исключительно в «мире машин», но при этом могут проникать и в виртуальный мир Матрицы, где обитают аватары людей. Их контрабандой провозит некий условный железнодорожник. Это иллюстрация проблем с сегментацией системы — существование прямого канала связи между двумя сегментами, которые по задумке создателей должны быть изолированными.

Коридор с бэкдорами

Среди изгоев существует программа «Ключник», чья цель — создание ключей от бэкдоров. На самом деле неизвестно, насколько Ключник реально изгой. Возможно, он, как и Оракул, — часть системы контроля бунтовщиков через Избранного. Факт в том, что он не только выпиливает ключи доступа при помощи напильника и токарного станка, но и рассказывает хакерам о существовании целого коридора с бэкдорами, позволяющими получить доступ к разным участкам Матрицы, начиная от внутренней сети, и заканчивая «Источником» — так называемым ядром системы. И Ключник, и коридор — фундаментальная угроза безопасности всей системы. Особенно учитывая то, как именно этот коридор защищен от посторонних.

Основная проблема с защитой коридора состоит в том, что она почему-то существует по условным законам виртуального мира — зависит от нарисованных электростанций и от эмуляций компьютеров на этих станциях. А эти законы в Матрице, как известно, достаточно несложно нарушать. Да даже если бы они посадили внутрь агента, то это было бы эффективнее. Собственно, почему не посадили-то? Нет денег платить зарплату?

Дети лейтенанта Шмидта Клоны агента Смита

У агентов Матрицы изначально была функция замещения кода аватара любого человека. Однако агент всегда существовал в единственном экземпляре. После того как в конце первого фильма Нео, обретя аномальные способности, проник внутрь агента Смита и попытался разрушить его изнутри, какая-то часть кода аватара Нео перенеслась в код агента. После чего Смит ушел в самоволку, а главное — обрел способность обходить искусственные ограничения: как законы физического мира, так и запрет на возможность существования в одном экземпляре. Иными словами, стал полноценным вирусом.

По всей видимости, он был первым вирусом в Матрице. Иначе нечем объяснить, что в системе не существовало нормального антивирусного продукта, который мог бы отслеживать аномалии в коде, а также изолировать и уничтожать опасные приложения, угрожающие безопасности системы.

Учитывая, что большинство освобожденных из Матрицы людей — хакеры, это все, конечно, очень странно. Казалось бы, заразить Матрицу вирусами — это первое, что они должны были попробовать сделать.

Как бы то ни было, существование Смита, копирующего свой код в любой аватар и в любую программу, служит аргументом в переговорах Нео с искусственным интеллектом. В итоге Нео физически подключается к Матрице, позволяет агенту «заразить» свой аватар, подключается к «Смитнету», а потом разрушает всех агентов.

В результате машины соглашаются на перемирие, останавливают истребление людей и даже обещают отпустить тех, кто не хочет жить в Матрице. А могли бы строить изначально безопасную операционную систему, без всех этих косяков. Или хотя бы использовать надежное защитное решение в сочетании с EDR-системой, способной отслеживать аномалии в сети!

Не так давно мы рассказывали о плачевном состоянии кибербезопасности в Матрице. В декабре 2021 года ее создатели выкатили масштабное обновление под названием The Matrix Resurrections. Как это часто случается с системными багфиксами — особенно в последнее время, — какие-то проблемы это обновление решило, но часть их так и осталась нерешенной, а заодно добавились новые баги.

Давайте посмотрим, что же изменилось в Матрице за 18 лет с прошлого обновления, и оценим изменения с точки зрения безопасности Матрицы. Как обычно, предупреждаем: осторожно, спойлеры!

Борьба с пиратскими аватарами

Как и раньше, хакеры извне успешно проникают внутрь Матрицы. В оригинальной трилогии было не вполне понятно, всерьез ли система борется с боевиками Сиона или только делает вид (планы внутри планов внутри планов). Из новой же картины складывается впечатление, что программы Матрицы действительно не хотят видеть в своей системе посторонних, и все контрмеры работают в полную силу — просто они недостаточно эффективны.

Пиратский сигнал с хакерских кораблей

Хакерские корабли как раньше летали по «реальной реальности» и передавали свой пиратский сигнал в Матрицу, так и продолжают летать и передавать. Файрвол на входе в Матрицу так и не реализован — хотя, казалось бы, с этого стоило начать. А в идеале уже давно нужно бы внедрить Zero Trust.
Вывод: проблема не решена вообще никак.

Система передачи пиратского аватара

То ли Матрица победила чудовищную систему трансляции пиратских аватаров через эмуляцию проводных телефонных линий, и хакерам пришлось изобретать что-то новое, то ли хакеры самостоятельно решили усовершенствовать свои методы — в результате проводная телефония была забыта.

Как бы то ни было, теперь система другая: пришлые боевики используют сложную систему динамических редиректов — то есть умеют превращать двери и зеркала в порталы как для быстрой транспортировки пиратских аватаров с места на место, так и для входов в систему. Это очень напоминает работу Ключника из второго фильма — возможно, хакерам удалось повторить (или позаимствовать) часть его кода.
Вывод: ситуация ухудшилась.

Система отслеживания пиратских аватаров

Матрица стала гораздо быстрее реагировать на действия посторонних аватаров. Теперь контрмеры принимаются практически в каждом случае проникновения боевиков в систему, и действуют они гораздо оперативнее — возможно, создатели Матрицы последовали нашим рекомендациям из обзора оригинальной трилогии и наконец-то внедрили EDR. Более того, теперь хакеры вынуждены постоянно запутывать следы — к примеру, прибегать к открытию порталов в движущемся поезде, чтобы дольше скрывать свою активность от агентов.
Вывод: ситуация заметно улучшилась.

Агенты Матрицы

Матрица отказалась от уникальных и, по всей видимости, ресурсоемких агентов. Они остались как код, но существуют исключительно внутри зацикленной, дважды виртуальной симуляции. Матрица же научилась переключать любой аватар подключенного человека в режим бота, действующего в интересах системы. С визуальной точки зрения отличие в том, что раньше агент замещал аватар человека, а теперь внешне аватар остается тем же самым, но переходит под контроль ИИ.

Боты действуют более примитивно, чем агенты, но зато умеют работать в режиме роя, то есть синхронно и, по субъективной оценке, более эффективно. Впрочем, физические законы эти боты по-прежнему соблюдают, да и вообще по факту результат прежний: хакеры успешно выполняют свои задачи, просто суетиться им приходится куда больше.

Вывод: новая система существенно отличается от старой, но с задачами справляется не лучше.

Программы-изгои

Раньше в Матрице было полно ненужных программ, не имевших полезных для системы функций и существовавших в свое удовольствие. Вместе с обновлением искусственный интеллект провел крупномасштабную чистку системы от устаревшего ПО, уничтожив подавляющее большинство изгоев. Не всех, конечно, но оставшихся ничтожно мало. Впрочем, некоторые эмигрировали в физический мир (не будем рассказывать, как, чтобы не добавлять лишних спойлеров). Так или иначе, избавление от устаревшего ПО — крайне правильный шаг, который мы всячески приветствуем.
Вывод: значительное улучшение.

Сегментация сетей

А вот отношение Матрицы к изоляции подсетей все еще оставляет желать лучшего. Боевикам извне удается вломиться не только в саму Матрицу, но и в симуляцию Матрицы, развернутую внутри Матрицы на дважды виртуальных серверах. То есть все тот же проходной двор: если попал в сеть, то иди куда хочешь, хоть в бухгалтерию, хоть в R&D. Одним словом, очень странное отношение, особенно в свете отсутствия файрвола на входе или работающей системы Zero Trust.
Вывод: особых изменений не заметно.

Система контроля аномалий

Реализованная в оригинальной трилогии система контроля аномалий в коде при помощи Избранного больше не работает. Вместо нее создали новую систему: теперь циклов пересоздания Избранного и Сиона нет, но Матрица пытается манипулировать переподключенным Нео через Тринити и коллег по работе. Результат еще более плачевный, чем раньше. Вместо одного человека с аномалиями в коде аватара они получают двух. И не факт, что это предел.
Вывод: ситуация значительно ухудшилась.

Проблема экс-агента Смита

Матрица не уничтожила код бывшего агента Смита, а взяла его под контроль и теперь пытается использовать в новой сложной системе контроля аномалий. Вероятно, ИИ интересует часть его кода, в которой каким-то образом остались элементы кода Нео. Ту часть, что отвечала за неконтролируемую репликацию, по всей видимости, удалили. Однако к концу фильма Смиту удается избавиться от контроля (как обычно, благодаря вмешательству Нео), и он остается в Матрице. Причем теперь он может перескакивать из аватара в аватар, а сама Матрица это никак не контролирует. То есть если раньше он был достаточно тупым вирусом, то теперь стал полноценной APT.
Вывод: ситуация заметно ухудшилась.

Новые проблемы

Расстановка сил в фильме ощутимо изменилась. Во-первых, человечество значительно усилилось за счет того, что в конце оригинальной трилогии Сион не был уничтожен. Во-вторых, из-за раскола в стане машин на стороне людей теперь играют и некоторые носители искусственного интеллекта. Причем как разумные машины, так и чисто программные личности. Все это породило несколько принципиально новых проблем.

Утечки данных

Перебежавшие носители искусственного интеллекта захватили с собой изрядное количество информации, часть которой можно считать критически важной. Теперь люди знают гораздо больше об архитектуре Матрицы и некоторых критических системах.

Безопасность критической инфраструктуры

Хакеры значительно усилили активность в «реальной реальности» и теперь периодически атакуют объекты критической инфраструктуры на физическом уровне. Более того, машины-перебежчики активно помогают человечеству взламывать другие машины на уровне железа — например, взламывают систему управления харвестером и таранят другие защищенные объекты. Благодаря этому боевики Сиона продолжают успешно красть тела подключенных к Матрице людей.

Общие выводы

По итогу обновление Матрицы скорее ухудшило общую безопасность машин, нежели улучшило ее. Если бы искусственный интеллект не превратил контролируемую им часть человечества в бездушную батарейку, то, возможно, он мог бы использовать людей для анализа уязвимостей, который явно имело смысл провести перед выкатыванием этого масштабного обновления.

Фантасты, как известно, любят ронять на Землю астероиды или куски Луны. Но в фильме «Падение Луны» (Moonfall), который выходит на экраны в феврале, речь идет не о природной катастрофе, а о некой техногенной заразе. И среди технологий защиты, используемых в этом космическом триллере, внимательные зрители могут даже разглядеть слово Kaspersky.

Однако мы не будем устраивать спойлеров по фильму, а попробуем разобраться, в чем может состоять реальная космическая киберугроза. Фантасты-то давно разобрались: у них регулярно кто-нибудь умудряется перенаправить ракету в другую сторону, сидя за домашним ноутбуком, или взломать одной командой некий центр управления и вырубить целую армию дронов. Или в последний момент разблокировать кодовый замок в стыковочном шлюзе, крича своим коллегам: «Сейчас, сейчас, осталось перебрать всего лишь шестьсот миллиардов комбинаций!» А вот еще типичный сюжет: инопланетяне в форме радиосигналов проникают в космические приборы землян, а оттуда и дальше, захватывая Интернет и присоединенных к нему человечков. Ну круто же!

В реальности мы пока не видим масштабных и успешных кибератак на космическую технику. Хотя подозрения иногда возникают. Так, некоторые конспирологи обвиняли хакеров в провалах последних запусков российских зондов к Марсу. Тут есть определенная логика: ведь первую мягкую посадку на Марс совершила советская станция «Марс-3» еще в 1971 году, она даже доставила туда первый марсоход. Казалось бы, дальше все должно быть еще успешнее. Но спустя четверть века, в 1996 году, станция «Марс-96» с четырьмя посадочными модулями сгорела вскоре после запуска. Та же история повторилась в 2011 году: неудачей закончился запуск российской станции «Фобос-Грунт», вместе с которой погиб и первый китайский зонд для Марса «Инхо-1».

Да, в официальной версии аварий этих станций нет никаких хакеров. Но если почитать интервью гендиректора НПО им. Лавочкина, там ясно сказано, что проблемы с безопасностью у них были очень серьезные, и аппаратуру марсианских станций можно было легко повредить еще до запуска: «Поленился надеть антистатический браслет, коснулся тайком аппарата — щелкнуло статическое электричество, и все, где-то перегрузилась микросхема, бомба для будущих проблем заложена…»

Держа в голове подобные сюжеты, мы с коллегами несколько лет назад сделали космическую секцию на одной из конференций по кибербезопасности. В целом доклады получились интересные, однако космические эксперты снова опустили нас на Землю в вопросах кибератак. По их словам, с космическими системами управления не работает классическая схема взлома, когда хакер берет общедоступный контроллер, скачивает прошивку у производителя, спокойно исследует у себя на стенде, а потом атакует «боевую» систему по найденным уязвимостям. Космическая техника достаточно уникальна, нужно годами работать с конкретной системой, чтобы в ней разбираться, и вторую такую же для тестов не найдешь.

Поэтому, говорили нам знатоки космических систем, основные уязвимости — не в космосе, а на Земле. Причем такие, что триллер из них не сделаешь. Скорее, комедию. Например, полученные со спутника секретные данные надо передать заказчику — как это делается? Через обычный Интернет со всеми его утечками. А если не хочется утечек, возвращайся к дедовским методам: курьеры с бронированными чемоданчиками.

Или вот другая земная история. В начале сентября 2018 года агенты ФБР эвакуировали астрономическую обсерваторию в штате Нью-Мексико и держали ее в карантине больше недели. Неужели инопланетяне? Ведь именно так начинался фантастический роман «Слепое озеро» Роберта Чарльза Уилсона, да и рассказ «Белая трость калибра 7,62» Онджея Неффа. Но все оказалось проще: один вахтер обсерватории использовал рабочий Wi-Fi, чтобы качать детское порно.

Однако сказанное не означает, что в космосе все хорошо с кибербезопасностью и остается только смеяться над Голливудом. Дело в том, что за последние годы многое поменялось. В новых космических системах все меньше аналоговой техники с уникальными технологиями, зато все больше стандартных цифровых решений известных производителей. И неудивительно — ведь на роль космических лидеров XXI века претендуют именно лидеры IT-индустрии.

Смотрите: компания SpaceX — это Илон Маск, один из основателей платежной системы PayPal. Другой создатель космических кораблей (пока cуборбитальных), компания Blue Origin — проект Джеффа Безоса, основателя Amazon. А еще был Spaceship One, который финансировал Пол Аллен, основавший вместе с Биллом Гейтсом Microsoft, — в дальнейшем SpaceShipOne превратился в SpaceshipTwo Ричарда Брэнсона. Империя добра Google тоже старается не отставать — проводит конкурс луноходов Lunar XPRIZE. Ну и не забудем отечественных звездных айтишников: Юрий Мильнер, основатель Mail.ru и венчурного фонда DST Global, финансирует проект межзвездного зонда Breakthrough Starshot, который в следующем десятилетии собираются запустить к ближайшей к нам экзопланете Проксима Центавра b.

Лично мне на этом месте вспоминается чья-то крылатая фраза: «Я никогда не полечу на самолете, построенном программистами». Очевидно, что перенос нынешней IT-индустрии в космос несет с собой все ее проблемы — от адской религии «Аджайл» до хакерских войн.

В первую очередь это касается спутников связи. Бразильская мафия, например, еще в позапрошлом десятилетии придумала использовать американские военные спутники: для получения качественной, бесплатной и анонимной связи достаточно собрать несложную антенну. Но для киберпреступников особенно ценна другая фича — физическая недоступность ретрансляторов. Представьте хакерскую группу, которая управляет ботнетами. Чтобы сорвать их атаку, правоохранительным органам достаточно вычислить адрес командного центра, а потом прийти к провайдеру и изъять соответствующий сервер. Но как изъять сервер, если физически он стоит где-нибудь в глухих джунглях, а его адрес — летает в космосе? Ага, незадача. Именно поэтому APT-группы, такие как Turla, с успехом используют взломанные спутниковые каналы для своей деятельности.

Не исключено, что в этой деятельности хакерам поможет и запуск новых низкоорбитальных спутниковых группировок OneWeb, Starlink и «Сфера». Уже сейчас эксперты по безопасности отмечают в этих космических разработках именно те проблемы, которые давно известны земной IT-индустрии. Производители стараются максимально «срезать косты», поэтому для сборки и обслуживания больших групп спутников используются дешевые и широкодоступные компоненты различных производителей. Многие компоненты не анализируются на предмет безопасности, поскольку это требует дополнительных расходов. Зато злоумышленники могут легко найти эти компоненты на Земле и выявить — или даже заранее внедрить — уязвимости, необходимые для атак. При этом до сих пор не существует государственных стандартов касательно кибербезопасности спутников.

В заключение упомяну еще один сценарий, специально для тех, кто обычно говорит: «Ну, меня это не касается — у меня же нет миллионов, которые можно украсть, и нет серверов, которые можно взломать». Этим людям стоит посмотреть российский фантастический фильм «Вторжение», где показана очень реалистичная атака на простых граждан. Искусственный интеллект из космоса, захвативший телекомы, начинает звонить всем людям, изображая голоса их начальников и родственников, и просит их выполнить определенные действия. И люди соглашаются, превращаясь в армию послушных зомби.

Если отложить в сторону инопланетное происхождение захватчика, в этой атаке легко узнаются современные методы телефонных мошенников, к которым добавлен более детальный сбор персональных данных (да, такое уже есть), подделка нужного голоса (и это уже есть), а также взлом систем связи через атаку на спутники — что тоже реально, как вы уже поняли из этой статьи.

В общем, не надо думать, что космические хакеры до вас не дотянутся. Поэтому доешьте вашу космическую кашу и обновите ваш космический антивирус.

Фантасты, как известно, любят ронять на Землю астероиды или куски Луны. Но в фильме «Падение Луны» (Moonfall), который выходит на экраны в феврале, речь идет не о природной катастрофе, а о некой техногенной заразе. И среди технологий защиты, используемых в этом космическом триллере, внимательные зрители могут даже разглядеть слово Kaspersky.

Однако мы не будем устраивать спойлеров по фильму, а попробуем разобраться, в чем может состоять реальная космическая киберугроза. Фантасты-то давно разобрались: у них регулярно кто-нибудь умудряется перенаправить ракету в другую сторону, сидя за домашним ноутбуком, или взломать одной командой некий центр управления и вырубить целую армию дронов. Или в последний момент разблокировать кодовый замок в стыковочном шлюзе, крича своим коллегам: «Сейчас, сейчас, осталось перебрать всего лишь шестьсот миллиардов комбинаций!» А вот еще типичный сюжет: инопланетяне в форме радиосигналов проникают в космические приборы землян, а оттуда и дальше, захватывая Интернет и присоединенных к нему человечков. Ну круто же!

В реальности мы пока не видим масштабных и успешных кибератак на космическую технику. Хотя подозрения иногда возникают. Так, некоторые конспирологи обвиняли хакеров в провалах последних запусков российских зондов к Марсу. Тут есть определенная логика: ведь первую мягкую посадку на Марс совершила советская станция «Марс-3» еще в 1971 году, она даже доставила туда первый марсоход. Казалось бы, дальше все должно быть еще успешнее. Но спустя четверть века, в 1996 году, станция «Марс-96» с четырьмя посадочными модулями сгорела вскоре после запуска. Та же история повторилась в 2011 году: неудачей закончился запуск российской станции «Фобос-Грунт», вместе с которой погиб и первый китайский зонд для Марса «Инхо-1».

Да, в официальной версии аварий этих станций нет никаких хакеров. Но если почитать интервью гендиректора НПО им. Лавочкина, там ясно сказано, что проблемы с безопасностью у них были очень серьезные, и аппаратуру марсианских станций можно было легко повредить еще до запуска: «Поленился надеть антистатический браслет, коснулся тайком аппарата — щелкнуло статическое электричество, и все, где-то перегрузилась микросхема, бомба для будущих проблем заложена…»

Держа в голове подобные сюжеты, мы с коллегами несколько лет назад сделали космическую секцию на одной из конференций по кибербезопасности. В целом доклады получились интересные, однако космические эксперты снова опустили нас на Землю в вопросах кибератак. По их словам, с космическими системами управления не работает классическая схема взлома, когда хакер берет общедоступный контроллер, скачивает прошивку у производителя, спокойно исследует у себя на стенде, а потом атакует «боевую» систему по найденным уязвимостям. Космическая техника достаточно уникальна, нужно годами работать с конкретной системой, чтобы в ней разбираться, и вторую такую же для тестов не найдешь.

Поэтому, говорили нам знатоки космических систем, основные уязвимости — не в космосе, а на Земле. Причем такие, что триллер из них не сделаешь. Скорее, комедию. Например, полученные со спутника секретные данные надо передать заказчику — как это делается? Через обычный Интернет со всеми его утечками. А если не хочется утечек, возвращайся к дедовским методам: курьеры с бронированными чемоданчиками.

Или вот другая земная история. В начале сентября 2018 года агенты ФБР эвакуировали астрономическую обсерваторию в штате Нью-Мексико и держали ее в карантине больше недели. Неужели инопланетяне? Ведь именно так начинался фантастический роман «Слепое озеро» Роберта Чарльза Уилсона, да и рассказ «Белая трость калибра 7,62» Онджея Неффа. Но все оказалось проще: один вахтер обсерватории использовал рабочий Wi-Fi, чтобы качать детское порно.

Однако сказанное не означает, что в космосе все хорошо с кибербезопасностью и остается только смеяться над Голливудом. Дело в том, что за последние годы многое поменялось. В новых космических системах все меньше аналоговой техники с уникальными технологиями, зато все больше стандартных цифровых решений известных производителей. И неудивительно — ведь на роль космических лидеров XXI века претендуют именно лидеры IT-индустрии.

Смотрите: компания SpaceX — это Илон Маск, один из основателей платежной системы PayPal. Другой создатель космических кораблей (пока cуборбитальных), компания Blue Origin — проект Джеффа Безоса, основателя Amazon. А еще был Spaceship One, который финансировал Пол Аллен, основавший вместе с Биллом Гейтсом Microsoft, — в дальнейшем SpaceShipOne превратился в SpaceshipTwo Ричарда Брэнсона. Империя добра Google тоже старается не отставать — проводит конкурс луноходов Lunar XPRIZE. Ну и не забудем отечественных звездных айтишников: Юрий Мильнер, основатель Mail.ru и венчурного фонда DST Global, финансирует проект межзвездного зонда Breakthrough Starshot, который в следующем десятилетии собираются запустить к ближайшей к нам экзопланете Проксима Центавра b.

Лично мне на этом месте вспоминается чья-то крылатая фраза: «Я никогда не полечу на самолете, построенном программистами». Очевидно, что перенос нынешней IT-индустрии в космос несет с собой все ее проблемы — от адской религии «Аджайл» до хакерских войн.

В первую очередь это касается спутников связи. Бразильская мафия, например, еще в позапрошлом десятилетии придумала использовать американские военные спутники: для получения качественной, бесплатной и анонимной связи достаточно собрать несложную антенну. Но для киберпреступников особенно ценна другая фича — физическая недоступность ретрансляторов. Представьте хакерскую группу, которая управляет ботнетами. Чтобы сорвать их атаку, правоохранительным органам достаточно вычислить адрес командного центра, а потом прийти к провайдеру и изъять соответствующий сервер. Но как изъять сервер, если физически он стоит где-нибудь в глухих джунглях, а его адрес — летает в космосе? Ага, незадача. Именно поэтому APT-группы, такие как Turla, с успехом используют взломанные спутниковые каналы для своей деятельности.

Не исключено, что в этой деятельности хакерам поможет и запуск новых низкоорбитальных спутниковых группировок OneWeb, Starlink и «Сфера». Уже сейчас эксперты по безопасности отмечают в этих космических разработках именно те проблемы, которые давно известны земной IT-индустрии. Производители стараются максимально «срезать косты», поэтому для сборки и обслуживания больших групп спутников используются дешевые и широкодоступные компоненты различных производителей. Многие компоненты не анализируются на предмет безопасности, поскольку это требует дополнительных расходов. Зато злоумышленники могут легко найти эти компоненты на Земле и выявить — или даже заранее внедрить — уязвимости, необходимые для атак. При этом до сих пор не существует государственных стандартов касательно кибербезопасности спутников.

В заключение упомяну еще один сценарий, специально для тех, кто обычно говорит: «Ну, меня это не касается — у меня же нет миллионов, которые можно украсть, и нет серверов, которые можно взломать». Этим людям стоит посмотреть российский фантастический фильм «Вторжение», где показана очень реалистичная атака на простых граждан. Искусственный интеллект из космоса, захвативший телекомы, начинает звонить всем людям, изображая голоса их начальников и родственников, и просит их выполнить определенные действия. И люди соглашаются, превращаясь в армию послушных зомби.

Если отложить в сторону инопланетное происхождение захватчика, в этой атаке легко узнаются современные методы телефонных мошенников, к которым добавлен более детальный сбор персональных данных (да, такое уже есть), подделка нужного голоса (и это уже есть), а также взлом систем связи через атаку на спутники — что тоже реально, как вы уже поняли из этой статьи.

В общем, не надо думать, что космические хакеры до вас не дотянутся. Поэтому доешьте вашу космическую кашу и обновите ваш космический антивирус.

Он живет в Клермон-Ферране, в самом центре Франции. Пишет фэнтези, иногда прыгает с парашютом и старается сделать каждый день своей жизни запоминающимся. А еще он — член команды Global Research and Analysis Team (GReAT). Это подразделение экспертов «Лаборатории Касперского» исследует целевые атаки и продвинутые вредоносные программы по всему миру, раскрывая деятельность таких хакерских групп, как Carbanak, Cozy Bear и Equation.

— Иван, твое имя сразу заставляет спросить: у тебя есть какие-то славянские корни?

— Более или менее. Имя унаследовано от моего деда с отцовской стороны. Фамилия «Квятковский» пришла из Польши, но самое смешное, что это не собственная фамилия деда: он был приемным ребенком, так что его реальное имя и происхождение неизвестны. То есть славянские корни определенно есть, но какие именно — уже не узнать.

— Ты анализируешь вредоносное ПО и хакерскую активность. Как можно получить такую профессию? Я сомневаюсь, что такие вещи были в списке курсов, когда ты учился в университете.

— Да, во времена моей молодости не было еще такого вузовского предмета, как кибербезопасность, не говоря уже о каких-то специальных курсах по анализу вредоносного ПО. Честно говоря, я вообще попал в эту сферу случайно.

В 2008 году я готовился получить диплом по программированию и планировал работать в области искусственного интеллекта. Перед поездкой в Ванкувер на стажировку мне нужно было расторгнуть договор на интернет-доступ, поскольку я не хотел оплачивать все то время, что буду за границей. Я связался с провайдером, объяснил ситуацию. Они сказали, что я должен прислать им письмо примерно за месяц до отъезда, и они обо всем позаботятся.

Так я и сделал, и буквально через пару дней обнаружил, что Интернет уже отключен. Никогда еще в истории интернет-провайдеров запрос пользователя не обрабатывался с такой скоростью! Но шутки шутками, а для студента-компьютерщика остаться на месяц без Интернета — немыслимая перспектива. Мой провайдер не мог восстановить доступ, или, что более вероятно, им просто не хотелось. Поэтому я стал изучать уязвимости Wi-Fi, чтобы подключиться к соседской точке доступа до отъезда.

В те времена все использовали протокол WEP, а он был очень дырявый. Вот таким образом я почувствовал вкус к компьютерной безопасности и сразу понял, что буду заниматься такими исследованиями и дальше. Ну а дальше простая логика: можно было заниматься исследованиями без разрешения, что в итоге могло привести к аресту, а можно было сделать из этого увлечения легальную профессию. Естественно, я выбрал второе.

Я почти сразу забросил искусственный интеллект и начал самостоятельно изучать информационную безопасность в дополнение к основной учебе. Когда я получил диплом, то уже мог найти работу в этой сфере — с тех пор я в ней и остаюсь.

— Забавно, у меня как раз следующий вопрос в списке был такой: а можно ли вообще стать исследователем безопасности, не будучи в душе хакером?

— Я бы сказал, что такая работа требует серьезной увлеченности и самоотдачи и обычно привлекает очень настойчивых людей. Это вполне характерные черты хакерского духа.

— А как ты оказался в «Лаборатории Касперского»?

— До этого я сотрудничал с небольшими компаниями, которые предоставляют ИБ-сервисы в Париже. Работа была неплохая, но я почувствовал, что хочется перейти на новый уровень, делать что-то по-настоящему значимое. Исследование киберугроз показалось мне именно такой работой.

Я выбрал «Лабораторию Касперского» в 2018 году, как раз после того, как на компанию обрушилась волна негатива в западных СМИ. Моя интуиция подсказывала, что если группа экспертов по безопасности сумела разозлить так много людей — значит, эти ребята делают правильное дело. Будучи теперь частью этой команды, могу подтвердить, что не ошибся.

— В тот год представители компании FireEye признались, что проявляют определенную избирательность при разглашении информации о вредоносном ПО: они не спешат публично рассказывать о найденном зловреде, если он был создан спецслужбами США. Это вполне понятная позиция для американской компании. Но ведь команда GReAT — международная, тут работают эксперты из России, из западных стран, из стран Азии… Как вы решаете такие вопросы, если они вообще возникают?

— Лично у меня нет каких-то специальных запретов на исследования вредоносного ПО, которое по происхождению может быть российским, или американским, или французским. Но даже если бы они у меня были, в нашей международной команде есть много других экспертов, которые с радостью займутся исследованием подобной угрозы. В этом смысле у нас нет никаких ограничений в отношении злоумышленников, которых мы можем выслеживать.

На более высоком уровне, на мой взгляд, необходимо четко разделять нападение и защиту. Иногда государственные службы имеют законные причины провести кибератаку — например, для борьбы с терроризмом. В других случаях это не так — например, если говорить об атаках с целью кражи интеллектуальной собственности. Но у нас, экспертов GReAT, нет достаточной квалификации для определения того, какие действия считать законными. Если бы мы выступали в роли арбитров, то погрязли бы в неразрешимых противоречиях.

По-моему, самое правильное отношение к этому вопросу выражается словами философа и правоведа Монтескьё: «Сила останавливает силу». Государственные спецслужбы могут применять силу, а мы как компания, занимающаяся защитой, обладаем силой для того, чтобы усложнить им жизнь. Благодаря нашей работе им приходится дважды подумать, прежде чем запустить атаку. Мы делаем их атаки дороже и таким образом ограничиваем применение этой силы во вред людям. Для меня такого объяснения вполне достаточно, чтобы расследовать любые операции в киберпространстве, без оглядки на их происхождение.

Я думаю, присутствие «Лаборатории Касперского» на рынке исследования угроз играет решающую роль, и ни в коем случае нельзя допустить, чтобы единственный вендор, не присоединившийся ни к какой стороне, был изгнан с рынка. Я надеюсь, все наладится, и мы продолжим выявлять APT, с какой бы стороны ни приходили кибератаки. Мы исследователи равных возможностей!

— Эксперты GReAT в марте провели вебинар, посвященный анализу кибератак на Украину: там упоминались HermeticWiper, WisperGate, Pandora… В то же время увеличилось и число атак на российские организации: вайперы, DDoS, прицельный фишинг. Однако мы не видели специальных публикаций GReAT об атаках на Россию. Почему?

— В основном это вопрос количества. Атак на Украину было много, они хорошо заметны, поскольку рассчитаны на деструктивный эффект: стирание данных, шифровальщики и тому подобное. Многие наши конкуренты тоже внимательно наблюдают за Украиной, в некоторых случаях они даже сотрудничают с нами, и это позволяет получить более точные данные о том, что происходит в этой стране. Что, в свою очередь, приводит к более активному освещению в СМИ.

Атаки на Россию тоже идут, но они менее заметны. Мы описали некоторые из них в наших отчетах для частных клиентов. И сейчас мы наблюдаем активность некоторых хакерских групп в этом регионе (в основном китайскоговорящих).

— Мы слышали заявления от имени Anonymous об атаках на российские сайты, и некоторые сайты действительно пострадали от дефейса. Ты веришь, что это то же самое движение Anonymous, которое было 15 лет назад?

— По-моему, Anonymous как «народное движение» закончилось много лет назад. Конечно, и сейчас есть настоящие хактивисты, которые могут называться этим именем. Однако не представляет сомнений, что время от времени APT-группировки используют этот «бренд» для прикрытия своих кибервоенных операций.

Я вообще считаю, что исследователям киберугроз не стоит верить в самоназвание хакерских групп. Если хочется определить, какая группа действительно устроила атаку, лучше сосредоточиться на технических особенностях этой атаки.

— Государственные службы некоторых европейских стран посоветовали своим гражданам отказаться от продуктов «Лаборатории Касперского». Но Франция как будто пытается быть нейтральной в этом вопросе. Это из-за выборов? Или у французского народа действительно какое-то другое отношение к конфликту на Украине?

— Я думаю, тут дело не в народе, а в государственных институтах. Французское национальное агентство по кибербезопасности, ANSSI, всегда старалось держаться нейтрально по большинству вопросов. В остальном же, как мне кажется, в отношении украинского конфликта Франция придерживается такой же позиции, как и остальная Европа.

— Каковы теперь отношения GReAT с остальным миром информационной безопасности? Говорят, некоторые ИБ-организации уже открещиваются от сотрудничества. Как это повлияет на вашу работу?

— Основная проблема связана с американскими компаниями, которые предоставляли нам некоторые полезные сервисы. Они либо собираются прекратить сотрудничество, либо уже ограничили нам доступ к своим инструментам. Это, конечно, ухудшает наши возможности при проведении исследований.

Что касается коллег по индустрии — да, некоторые перестали общаться с нами. Однако в большинстве случаев наши личные отношения с другими ИБ-экспертами не испортились.

В целом очевидно, что сокращение обмена информацией об угрозах сокращает способность всей индустрии выполнять свои задачи.

— А как эксперты GReAT общаются друг с другом? У вас бывают встречи в реале? Съезжаетесь в Москву, чтобы вместе выпить пива?

— Честно говоря, в последнее время с этим трудновато. В основном мы работаем удаленно, но в каждом регионе проводятся свои еженедельные встречи для координации работы. Когда я только начал работать в «Лаборатории Касперского», у нас была как минимум одна общая ежегодная встреча всей команды, а также конференция Security Analyst Summit, на которой тогда тоже собирались вживую. Но из-за ковида в последние пару лет собраться не получалось.

Раньше я регулярно ездил в Москву, чтобы пообщаться с российскими экспертами нашей команды. Но теперь непонятно, получится ли так делать и дальше. Надеюсь, мы все-таки найдем возможность видеться, поскольку эти встречи всегда были замечательными.

Корпоративным центрам мониторинга информационной безопасности (SOC) становится все сложнее противостоять современным продвинутым киберугрозам. Никуда не пропадают и внутренние проблемы: нехватка кадров в сфере безопасности, профессиональное выгорание и зачастую недостаточные бюджеты. Типичный SOC состоит из аналитиков, берущих на себя первичную сортировку и разбор уведомлений, группы экспертов, анализирующих продвинутые угрозы, специалистов по работе с данными об угрозах, а также команды менеджеров. Наибольшие объемы задач приходятся на аналитиков, а значит, им необходимо организовывать свою работу с максимальной эффективностью.

Согласно данным отчета ESG, существует три подхода к организации структуры SOC и обработки уведомлений, и все они примерно одинаково популярны. Больше четверти (28%) организаций утверждают, что специалисты их SOC разделены на группы по уровню их навыков и степени ответственности. В 36% фирм сотрудники группируются по векторам атак. В оставшихся 36% компаний аналитики обрабатывают уведомления в порядке общей очереди, вне зависимости от своих навыков или типов угроз.

В этом посте мы рассмотри эти три подхода подробнее, оценим их плюсы и минусы и поговорим о лайфхаках, которые сделают работу сотрудников SOC проще и эффективнее. Однако не стоит забывать: ничто из описанного не является железным правилом, и реальные компании обычно используют смешанные подходы в зависимости от своих потребностей.

1. Классический подход

Подход, которого придерживаются 28% организаций, отражает традиционный взгляд на структуру SOC. Аналитики распределены по нескольким линиям, первая из которых обрабатывает все входящие уведомления. После первичной сортировки эта линия решает проблемы, с которыми может справиться своими силами. Если же инцидент слишком сложен и у первой линии нет инструкций, как на него реагировать (или в случае, если понятно, что атака не автоматизирована и ей в режиме реального времени управляют люди), он передается второй линии.

У этих специалистов второй линии обычно больше навыков и опыта. Они либо работают «единым фронтом», разбирая инциденты по мере появления, либо специализируются в разных областях: например, одни эксперты анализируют угрозы операционной системе (Linux или Windows), а другие — сетевые угрозы. Иногда используется и третья линия с еще более узкими специализациями. Такая система позволяет специалистам первой линии заниматься рутинными инцидентами, второй — сосредоточиться на продвинутых угрозах, а самые сложные случаи отправлять на третью линию.

В этой структуре массовый наплыв уведомлений затрагивает только первую линию, где начинающие аналитики могут оттачивать свои навыки. Более квалифицированные сотрудники второй и третьей линий в свою очередь применяют и углубляют свои специализированные знания. В таком режиме эффективность обработки уведомлений постоянно повышается за счет того, что накапливаемый опыт помогает сотрудникам справляться со все более запутанными случаями. Однако эта система не сможет работать без максимально подробных инструкций для первой линии, а значит, требует большого объема подготовительной работы по их составлению.

2. Разделение по векторам атаки, видам угроз или специализациям

Этот подход используют 36% опрошенных компаний. Он включает распределение специалистов по разным векторам атак, таким как сетевые угрозы, атаки на серверы или онлайн-приложения, внутренние угрозы и DDoS-атаки. Разделение также может проводиться по типам систем (например, рабочие места, облака или ЦОД) или степени их важности: угрозы критически важным системам передаются второй линии, а остальные обрабатываются первой.

На практике этот и предыдущий подходы часто используются вместе в гибридной модели. Например, первая линия обрабатывает все входящие уведомления и перенаправляет задачи определенного типа экспертам второй или третьей линии, работающим на соответствующем направлении.

Плюс такого подхода заключается в возможности специалиста углубиться в интересующее его поле и значительно повысить квалификацию и качество реагирования на угрозы. Однако при таком подходе в случае необходимости может быть сложно найти замену уходящему специалисту.

3. Единая очередь

Подход, используемый еще 36% организаций, заключается в работе с единым потоком обработки оповещений, без разделения специалистов на линии. Этот подход предполагает, что все эксперты имеют примерно одинаковый уровень квалификации и способны справляться с большинством инцидентов без их передачи по цепочке. Однако некоторое разделение задач все же встречается: самые запутанные случаи могут направляться специальной группе высококвалифицированных профессионалов.

Структура SOC «Лаборатории Касперского» ближе всего именно к этой модели, с одним отличием: роль первой линии выполняет искусственный интеллект. Благодаря технологиям машинного обучения он автоматически отсеивает часть ложных срабатываний, что экономит силы и время сотрудников. Кроме того, AI отмечает интересные детали в уведомлениях и упрощает работу с ними для специалистов-людей.

Вторая линия является общей и единой для всех специалистов. Если сотрудник не может обработать какой-либо из инцидентов, он может отправить его на так называемую виртуальную линию. Она называется так потому, что не существует постоянно, а создается только на время обработки подобных инцидентов. В отличие от второй линии, виртуальная не имеет фиксированной структуры: в нее можно направить незанятых специалистов второй линии или продвинутых профессионалов из третьей, которые обычно не занимаются рядовыми инцидентами, а вместо этого разрабатывают логику детектирования угроз и методы их проактивного обнаружения.

Такой подход позволяет специалистам улучшать свои навыки в более широких областях, а не замыкаться на одном направлении или задачах определенной степени сложности. Они получают разнообразный опыт, а значит, возрастает и надежность SOC в целом. К тому же работа с непривычными задачами снижает риск выгорания, которое чаще всего возникает из-за рутины. И самое главное — всегда есть возможность передать разросшуюся задачу «команде прикрытия».

С другой стороны, такой подход требует большого количества квалифицированных сотрудников, а значит, усложняет подбор команды; не стоит забывать и о расходах на разработку и внедрение технологий машинного обучения.

Еще одно решение проблемы выгорания

Есть еще один лайфхак, позволяющий сотрудникам вырваться из рутинного потока задач. В SOC «Лаборатории Касперского» у каждого аналитика ежемесячно есть два рабочих дня, в которые он не обрабатывает уведомления, а переключается на более творческие задачи. Это может быть, например, улучшение процессов, поиск угроз вручную, программирование средств автоматизации для SOC, анализ отчетов об инцидентах или подготовка списка типичных ошибок для улучшения качества карточек инцидентов, которые подготавливаются для клиентов. Или же он может потратить это время на самообразование.

Если руководитель замечает, что сотрудник стал ошибаться больше обычного, он предложит использовать один или оба эти дня, чтобы немного переключиться и очистить голову.

Такая смена деятельности позволяет аналитикам отдохнуть и снизить уровень стресса от монотонности работы по обработке уведомлений. Компания может поощрять команду бонусами за ценные улучшения процессов безопасности, предложенные в такие «самостоятельные» дни.

Модели работы SOC в разных компаниях сильно различаются в зависимости от их зрелости, бюджетов и релевантных ИБ-рисков. Но мы наблюдаем и глобальные тенденции, влияющие на типичную структуру SOC. В первую очередь речь идет о внедрении технологий автоматизации работы служб ИБ и сортировки уведомлений — например, с помощью решений SOAR. Доступ ко всем системам из одной точки значительно ускоряет обработку уведомлений. Вторая тенденция — нехватка квалифицированных кадров. В SOC требуется все больше специалистов-универсалов, способных справиться с разнообразными угрозами. Пока неизвестно, как эти тренды повлияют на существующие подходы, но очевидно одно: пришло время проанализировать состояние персонала и процессов в SOC и начать внедрять улучшения, которые не дадут киберугрозам подорвать вашу защиту.