Отчет Cisco по ИБ проливает свет на «слабые звенья» информационных систем

Расширение области атак позволяет злоумышленникам использовать известные уязвимости «мишеней» с низким уровнем риска, а также устаревших приложений и инфраструктур, которым специалисты в области ИБ уделяют мало внимания

Полугодовой отчет Cisco по информационной безопасности за 2014 год, обнародованный в США на конференции Black Hat, содержит анализ «слабых звеньев» информационных систем. Такие «слабые звенья» (ими могут быть устаревшее ПО, плохо написанный код, ошибки пользователей или оставленные без внимания информационные активы) облегчают злоумышленникам использование уязвимостей, например, с помощью запросов DNS, наборов эксплойтов, усиленных атак, компрометации POS-систем, вредоносной рекламы, программ-вымогателей, протоколов шифрования, социальной инженерии и спама, адаптированного к реальным событиям.

В отчете показано, что организации, уделяющие внимание только наиболее популярным уязвимостям в ущерб высококритичным, привычным и скрытым угрозам, подвергают себя большему риску. Злоумышленники, раз за разом атакующие оставленные без внимания устаревшие приложения и инфраструктуры с известными уязвимостями, могут так и не быть обнаружены, поскольку специалисты в области ИБ заняты более заметными уязвимостями, такими как Heartbleed.

По словам Джона Н. Стюарта (John N. Stewart), старшего вице-президента и директора компании Cisco по информационной безопасности, «многие компании в своем развитии полагаются на Интернет. Чтобы преуспеть в этой стремительно меняющейся среде, исполнительное руководство должно учитывать и брать, в организационном смысле, под контроль сопутствующие киберриски. Анализ и понимание уязвимостей системы информационной безопасности в значительной мере основаны на способности отдельных организаций и всей отрасли добиться осведомленности о киберрисках на самых высоких уровнях, в том числе в советах директоров, и сделать кибербезопасность не просто технологией, а частью деятельности организации. Сегодня, чтобы уметь противостоять атаке в течение всего ее жизненного цикла, организации должны использовать решения для информационной безопасности, способные действовать везде, где угрозы могут обнаружиться».

Составители отчета внимательно изучили корпоративные сети 16-ти крупных международных организаций. По состоянию на 2013 год, в совокупности они контролировали активы на 4 трлн долларов, а их выручка превысила 300 млрд долларов. В результате анализа были обнаружены три потенциальных источника вредоносного трафика в корпоративных сетях:

• атаки типа «человек в браузере». При наблюдении за сетями клиентов в 2014 году почти в 94% сетей был зафиксирован трафик на веб-сайты, содержащие вредоносный код. В частности, от сетей отправлялись DNS-запросы с именами хостов, которые преобразовывались в IP-адреса машин, известных тем, что они были связаны с распространением вредоносного ПО из семейств Palevo, SpyEye и Zeus, включающими в себя функциональные возможности для атак типа «человек в браузере».

• Ботнет, играющий в прятки. Было установлено, что почти 70 процентов сетей отправляют DNS-запросы к динамическим доменам DNS. Это указывает на то, что сети эксплуатируются или скомпрометированы ботнетами, постоянно меняющими свои IP-адреса с помощью динамического DNS во избежание обнаружения или попадания в черный список. Санкционированные исходящие соединения из корпоративной сети редко обращаются к динамическим доменам DNS. Чаще динамический DNS используется в обратных запросах на сервер, управляющий ботнетом, чтобы замаскировать расположение ботнета.

• Шифрование украденных данных. Примерно в 44% сетей, за которыми осуществлялось наблюдение в текущем году, зафиксированы исходящие DNS-запросы к сайтам и доменам с устройствами, предоставляющими услуги шифрования каналов, которыми пользуются для заметания следов злоумышленники, передавая украденные данные по зашифрованным каналам (таким, как VPN, SSH, SFTP, FTP и FTPS).

По заключению исследователей Cisco® в области ИБ, после того, как в прошлом году был арестован предполагаемый создатель широко известного набора эксплойтов Blackhole, количество наборов эксплойтов снизилось на 87%. Несколько наборов эксплойтов, попавших под наблюдение в первой половине текущего года, попытались занять место Blackhole, но явный лидер в этой области пока не определился.

Java удерживает печально известную славу языка с наибольшим количеством уязвимостей, эксплуатируемых злоумышленниками. Исследователи Cisco в области ИБ обнаружили, что если в ноябре 2013 года эксплойты Java составляли 91% всех индикаторов компрометации (и тогда это казалось рекордным показателем), то к маю 2014 года этот показатель достиг 93%. (Этот факт отражен в выпущенном в январе с.г. ежегодном отчете Cisco по информационной безопасности .

Необычные всплески атак на вертикальные отрасли. По итогам первой половины 2014 года, такие высокорентабельные отрасли, как фармацевтическая и химическая промышленность, вновь оказалась в тройке вертикальных рынков, сильнее всего подверженных веб-атакам с использованием вредоносного кода. Далее следуют СМИ и издательское дело —— у них случаи столкновения с вредоносным веб-кодом превысили глобальное медианное значение практически вчетверо. На третьем месте — авиация с превышением глобального медианного значения более чем вдвое.

Распределение по регионам вертикальных рынков, наиболее часто подвергаемых атакам, выглядит так:

• в Северной и Южной Америках на первом месте —— СМИ и издательское дело;

• в регионе EMEAR (Африка, Европа, Ближний Восток и страны СНГ) — рынок продуктов питания и напитков;

• в регионе APJC (Азиатско-Тихоокеанский регион, Китай, Япония и Индия) — рынок страхования.

В вышеупомянутом отчете Cisco по информационной безопасности рассматриваются тенденции первой половины 2014 года в области анализа угроз и кибербезопасности. Отчет подготовлен исследователями в области ИБ — участниками интеллектуальной экосистемы Cisco коллективной информационной безопасности (Cisco CSI). Cisco CSI объединяет множество различных решений в области ИБ и предлагает ведущие отраслевые защитные меры и ресурсы. Помимо исследователей угроз, в Cisco CSI задействованы интеллектуальная инфраструктура, телеметрические механизмы получения информации о продуктах и услугах, публичные и частные информационные ленты, а также сообщество разработчиков открытого ПО.

Экосистема Cisco CSI включает в себя вновь созданное подразделение Talos по исследованию и анализу угроз (Talos Threat Intelligence and Research Group), в состав которого вошли:

— отделы Cisco по исследованию и информированию об угрозах (Threat Research and Communications, TRAC),

— отделы Sourcefire по исследованию уязвимостей (Vulnerability Research Team, VRT),

— отделы Cisco по безопасности приложений (SecApps).

В компетенцию подразделения Talos входит разработка ПО, реверс-инжиниринг, классификация уязвимостей, исследование вредоносного кода и сбор аналитических данных, а само это подразделение поддерживает официальные наборы правил Snort.org, ClamAV, SenderBase.org и SpamCop.