Дмитрий Волков, CTO Group-IB:
«Киберразведка всегда работает на опережение»

Дмитрий Волков: Наверно может, но мне сложно понять как именно. Бизнес заинтересован в том, чтобы заработать деньги и не заинтересован в том, чтобы их потерять. Кибератака – на что бы она ни была направлена – это потери. Денежные, репутационные, любые. Но защищаться от всего подряд – глупо, дорого и не нужно. TI позволяет выстроить свою стратегию кибербезопасности на основании тех угроз, которые актуальны именно для конкретного бизнеса, конкретной отрасли, в конкретном регионе. Именно TI позволяет вам максимизировать отдачу от инвестиций в систему безопасности и выстроить свою защиту на основании экспертных прогнозов.

Киберразведка – это данные. Данные о появлении новых вредоносных программ, нацеленных на ваш бизнес и на ваших клиентов. Это данные об утечках, продажах баз данных, поиске инсайдеров в вашей же компании и обсуждениях уязвимости ее систем.

Если у бизнеса есть задача предотвратить прямые денежные потери (особенно, если это банк), предотвратить шпионаж за сотрудниками или партнерами, фиксировать подозрительную активность в своей же сети – такому бизнесу нужна TI.

Дмитрий Волков: Расследование компьютерных преступлений обычно начинается, когда инцидент уже произошел — у банка украли деньги, у госучреждения — важные документы, или, допустим, зашифровали компьютеры на производстве. Начинается расследование, которое должно восстановить ход атаки от начала до конца, собрать все цифровые доказательства и установить подозреваемых. Конечная цель расследования — найти конкретных людей, которые совершили киберпреступление, чтобы правоохранительные органы затем смогли их задержать.

У Threat Intelligence задача иная. Разведка – это «вылазка» на сторону противника. Наша задача — сбор данных из различных источников, их изучение и анализ с целью прогнозирования кибератак, подготовки к ним и защиты клиентов от вероятной угрозы. Киберразведка агрегирует информацию об актуальных киберугрозах, следит за тем, как меняется география действий, тактика и инструменты хакерских групп. Это оперативные данные, к которым могут относится сведения о скомпрометированных банковских картах, учетных записях, зараженных мобильных телефонах, новых вредоносных программах, их продаже или модификации, это сведения о серверах управления бот-сетями, о DDos- или Deface-атака и многие другие. Все это собирается и анализируется для того, чтобы проактивно предотвращать новые кибератаки. В отличие от расследований киберразведка всегда работает на опережение.

Дмитрий Волков: 95% данных мы получаем из закрытых источников. Это специализированных андеграундные площадки, даркнет-форумы, различные закрытые каналы в мессенджерах и многие другие. Участие наших соседних подразделение в расследовании особо сложных высокотехнологичных преступлений позволяет нам получать эксклюзивную информацию о киберпреступниках, их взаимосвязях и другие разведданые. Не менее важную роль играют мероприятия по реагированию на инциденты кибербезопасности – Incident Response, которые проводит наша Лаборатория компьютерной криминалистики — одна из крупнейших в Восточной Европе. В процессе реагирования криминалисты Group-IB восстанавливают полную картину произошедшего — как развивалась атака и кто за ней может стоять. Это позволяет нам увидеть «работу» того или иного ВПО в живой среде и зафиксировать его особенности, что поможет в будущем качественно атрибутировать инцидент.

Надо понимать, что данные TI являются частью каждого нашего продукта. Например, аппаратный комплекс Threat Detection System (TDS), который мы устанавливаем у наших клиентов и партнеров, позволяет оперативно обнаружить кибератаку и связать ее с действиями определенных групп атакующих, благодаря тем индикаторам и оперативным данным, которые, в том числе, получает разведка.

Дмитрий Волков: Достаточно много производителей умеют строить граф. Вопрос в том, как они его строят и какие данные получают. Мы начали использовать граф для построения связей достаточно давно. В основном мы имеем дело с фишингом, бот-сетями, псевдонимами, мошенническими транзакциями, APT-группами и другим киберкриминалом. Для графа в каждом случае используются свои массивы данных, разные алгоритмы выявления связей и разные интерфейсы, заточенные под конкретные задачи. Все эти инструменты всегда были внутренней разработкой Group-IB и были доступны только для нас самих. При этом важнейшим для киберразведки Group-IB был графовый анализ сетевой инфраструктуры. Именно этот внутренний инструмент анализа графов мы первыми встроили во все продукты компании, что сделало возможным его использование всеми нашими клиентам. Другие системы графового анализа также будут постепенно встраиваться в наши продукты, однако этот тип построения графа пока уникален на рынке. Он позволяет «вскрывать» и связывать инфраструктурные элементы, задействованные атакующими. На этой основе – выявлять масштаб, географию и связи в их деятельности.

Представьте, что у вас есть данные о некоем эпизоде хищения некой группой. Знания об используемой инфраструктуре позволят вам выявить все эпизоды хищений в разных локациях, например, за 10 лет.

Дмитрий Волков: Чем больше мы видим, тем лучше можем защитить своих клиентов. Компании, пользующиеся услугами Group-IB TI, помимо России и стран СНГ, находятся в Европе, Северной Америке, Австралии, на Ближнем Востоке, в Африке и в Юго-Восточной Азии — Малайзии, Вьетнаме, Сингапуре.

Дмитрий Волков: Основная доля клиентов Threat Intelligence — это финансовые учреждения, телеком-операторы, промышленность. Почему финансовый сектор оказался на первом месте, думаю, понятно: банки и их клиенты находятся в группе риска из-за того, что большинство киберпреступников интересует только одно — деньги.

Если мы говорим про телеком и промышленность, главные риски для этих отраслей связаны с кибершпионажем и саботажем. Проникнув в сеть атакуемого объекта, хакеры стараются как можно дольше оставаться незамеченными, поэтому компании часто даже не знают о том, что они были атакованы. Понимание серьезности киберрисков пришло к ним немного позже, чем в финсекторе, но сейчас мы замечаем, как промышленные предприятия и телеком-компании уделяют все больше и больше внимания кибербезопасности.

Дмитрий Волков: Мы видим несколько корневых тенденций. Значительно выросло число целенаправленных атак с целью шпионажа и получения прямой финансовой выгоды. Активно используется так называемое «цифровое оружие» или кибероружие, способное останавливать производственные процессы и выводить из строя сети объектов критической инфраструктуры и крупных коммерческих предприятий. Это серьезная проблема. Арсенал прогосударственных хакеров сейчас периодически публикуется в открытом доступе, и любой желающий может все это скачать, настроить под себя и начать использовать. Число кибератак будет увеличиваться и все сложнее будет атрибутировать эти атаки. В качестве примеров назову три волны вирусов-шифровальщиков в 2017 году, кибератаки на энергосистемы Украины, атаки на Ближнем Востоке на предприятиях ТЭК, диверсию на Олимпийских играх в Южной Корее, атаки на государственные банки и тд.

Используемые инструменты стали совершеннее — несмотря на развитие средств защиты и применения новых алгоритмов обнаружения атак, атакующим всегда удается обойти их и достигнуть цели. Злоумышленники используют бестелесные вредоносные программы, которые работают только в оперативной памяти и не хранят файлы на жестком диске, что делает сканирование антивирусами в этом случае бесполезным.

Если говорить о традиционной компьютерной преступности, то их атаки становятся, с одной стороны, более технически простыми, а с другой — более масштабными. Активно используются вредоносные программы для заражения плохо защищенных iOT-устройств — видеокамер, видеорегистраторов, роутеров — такие ботсети используются для DDoS-атак, рассылки спама и вредоносных программ.

Дмитрий Волков: Безопасность по-прежнему не поспевает за атакующими. Однако мы видим, что если раньше крупные компании инвестировали по большей части в выстраивание процессов по соблюдению требований регуляторов, то сейчас начинают внедрять более совершенные технологи — средства обнаружения сложных целенаправленных атак, системы обнаружения аномалий, системы хантинга за неизвестными угрозами в сетях организаций, проведения удаленного исследования и реагирования.

Дмитрий Волков: В большинстве случаев для проникновения в ИТ-инфраструктуру госучреждений используются фишинговые письма, они могут быть направлены от лица регуляторов, партнеров и субподрядчиков. Второй популярный метод атаки — распространение вредоносных программ через взломанные сайты регуляторов, которые посещают гослужащие. Злоумышленники заражают их компьютеры и устройства вредоносным кодом, который не детектируется системами защиты и антивирусами, закрепляются, проводят разведку, устанавливают контроль над системой и по скрытым каналам передают данные на удаленные серверы в разных странах мира.

Дмитрий Волков: Пока никаких значимых конкурентов в области киберразведки в России у нас не появилось. Здесь мы в основном сталкиваемся с российскими и некоторыми западными антивирусными вендорами. Антивирусные вендоры предоставляют клиентам технические индикаторы, которые хотя и являются полезным инструментом, имеют минимальную ценность для заказчика — они позволяют выявить только известные угрозы. Мы же сфокусированы на предоставлении, так называемых, «законченных» данных, описывающих не только инструменты, но тактику действий конкретных атакующих, а также сбор данных максимально релевантных для клиента, для его индустрии, в его регионе или регионах присутствия..

Дмитрий Волков: Поскольку наши клиенты, как мы говорили выше, находятся в разных странах мира, то и атакующие для каждого региона разные. Нельзя выделить какого-то одного лидера, однако мы способны провести реагирование и расследование в любой из стран, а взаимодействие с Интерполом и Европолом позволяет довести расследование до логического завершения — ареста злоумышленника практически в любой стране мира.

Дмитрий Волков: Безусловно, технические средства позволяют не только скрыть местоположение атакующих, но и расставить ловушки, чтобы направить исследователей по ложному следу. Например, северокорейская группа Lazarus оставляла ложные флаги, которые могли указывать на связь с русскоговорящими хакерами. Именно поэтому к расследованию и исследованию сложных угроз необходимо привлекать независимых экспертов с международных опытом.

Атаки совершают люди, а люди допускают ошибки и по нашему опыту, если атака носит не единичный характер, то можно найти не только страну, из которой действовал атакующий, но и конкретное лицо. Безусловно, это кропотливая работа, которая, как правило, занимает несколько месяцев и может потребовать привлечения специалистов из разных стран.

Дмитрий Волков: Данные киберразведки мы используем, в том числе для того, чтобы прогнозировать, как будет развиваться киберпреступность в будущем. Используя эти знания, мы совершенствуем наши средства защиты и средства сбора данных об атаках, с которыми мир столкнется завтра.

Мы аккумулировали свои знания и навыки выстраивания связей для определения контекста атаки в новом продукте, получившем название Huntbox. Hunt – от слова «охотиться» и box – это, в нашем понимании, самодостаточная завешенная система, позволяющая интегрировать все средства слежения за киберпреступностью и противодействию угрозам. Huntbox позволяет в ответ на зафиксированные атаки в защищаемых сетях, начать активный сбор данных об инфраструктуре атакующих, обогатить их дополнительной информацией и немедленно доставить клиенту, показав атаку в режиме 360. То есть полностью восстановить хронологию инцидента, от самой первичной стадии - проникновения, до идентификации скомпрометированной инфраструктуры и выработки мер по нейтрализации атакующих и удалению их из сети.