10-й ежегодный отчет Cisco по информационной безопасности за 2017 год: второе пришествие классических направлений вредоносных атак

По данным подготовленного компанией Cisco отчета по информационной безопасности за 2017 год (Annual Cybersecurity Report, ACR), больше трети организаций, чьи информационные системы были взломаны в 2016 году, сообщили о существенных (более 20 %) потерях доходов, упущенных возможностях и оттоке заказчиков. 90 % этих организаций после атак стали совершенствовать технологии и процессы защиты от угроз, разделяя функции ИТ и обеспечения информационной безопасности (38 %), интенсифицируя тренинги по мерам информационной безопасности (38 %) и внедряя методы снижения рисков (37 %). В проводившемся в рамках подготовки Cisco ACR сравнительном исследовании решений безопасности (Security Capabilities Benchmark Study) приняли участие почти 3000 директоров по информационной безопасности и руководителей ИБ-подразделений.

В десятом, юбилейном отчете освещаются глобальные проблемы и возможности подразделений информационной безопасности по защите от непрестанно эволюционирующей киберпреступности и обновляющихся методов атак. Директора по информационной безопасности считают основными препятствиями на пути продвижения стратегических планов защиты бюджетные ограничения, недостаточную совместимость систем и отсутствие квалифицированных специалистов. Руководители также отмечают тот факт, что структуры их подразделений постоянно усложняются, и уже более 65 % организаций используют от 6 до 50 и более продуктов информационной безопасности, что потенциально способствует образованию брешей в защите.

Как свидетельствуют данные отчета Cisco ACR, киберпреступники пользуются этими брешами, возрождая такие «классические» направления атак, как рекламное ПО и почтовый спам, причем уровни последнего зашкаливают до показателей, которых не наблюдалось с 2010 года. На спам приходится почти две трети (65 %) сообщений всей электронной почты, из них 10 % рассматриваются как опасные. Растет глобальный объем спама, распространяемого крупными ботнетами.

В этих условиях критичным фактором становится оценка эффективности методов обеспечения информационной безопасности. Cisco неустанно работает над сокращением времени обнаружения (time to detection, TTD), т. е. времени от компрометации до обнаружения угрозы. Чем меньше время обнаружения, тем более ограничено оперативное пространство атакующих и тем меньше последствия вторжений. Если в начале 2016 года медианное время обнаружения составляло14 ч, то за последние полгода Cisco удалось сократить этот показатель до 6 ч. Приведенные цифры получены в результате обработки добровольной телеметрии, собранной решениями информационной безопасности Cisco, развернутыми по всему миру.

Сколько стоят киберугрозы для бизнеса: потерянные заказчики и потерянные доходы

В отчете Cisco ACR 2017 показано потенциальное влияние атак на финансовое положение пострадавших — от крупных предприятий до среднего и малого бизнеса. Более 50 % организаций после нарушения защиты привлекли пристальное внимание общественности. Наибольший ущерб был нанесен операционным и финансовым системам, пострадала репутация брендов, ухудшились показатели лояльности заказчиков. Для организаций, подвергавшихся атакам, результат был весьма ощутимым:

• у 22 % атакованных организаций уменьшилось число заказчиков, при этом у 40 % из них клиентская база сократилась более чем на 20 %;
• у 29 % уменьшились доходы, из них у 38 % доходы уменьшились более чем на 20 %;
• 23 % атакованных организаций заявили об упущенной выгоде, из них 42 % потеряли более 20 %.

Действия хакеров и новые «бизнес-модели»

В 2016 году хакерские группы стали более «корпоративными». Обусловленные цифровизацией динамичные изменения технологического пейзажа открывают перед киберпреступниками новые возможности. С одной стороны, атакующие продолжают пользоваться проверенными временем технологиями, с другой — прибегают к новым методам, отражающим структуру управления «среднего слоя» их корпоративных мишеней.

• Новые методы атак имитируют корпоративную иерархию. В ряде кампаний по распространению вредоносной рекламы используются т. н. брокеры, или «шлюзы», действующие как менеджеры среднего звена, маскирующие вредоносную активность. Это позволяет злоумышленникам ускорять свои действия, захватывать операционное пространство и избегать обнаружения.

• Возможности и риски облачных технологий. 27 % сторонних облачных приложений, инициаторами применения которых стали сами сотрудники с целью повышения эффективности и поиска новых бизнес-перспектив, были отнесены к категории повышенного риска и создавали значительные проблемы безопасности.

• Традиционное рекламное ПО, загружающее рекламу без ведома пользователя, продолжает доказывать свою эффективность: им заражены 75 % обследованных организаций.

• Светлым пятном стало падение популярности таких крупных наборов эксплойтов, как Angler, Nuclear и Neutrino, деятельность владельцев которых была пресечена в 2016 году, но на их место ринулись более мелкие игроки.

Защищать бизнес и поддерживать бдительность

В отчете ACR 2017 указывается, что расследуются лишь 56 % предупреждений о нарушении защиты, при этом необходимые действия предпринимаются менее чем для половины предупреждений о реальных угрозах. Защищающейся стороне, даже при уверенности в средствах защиты, приходится действовать в условиях наличия сложных систем и недостатка персонала, что дает атакующим преимущество во времени и оперативном пространстве. Для предотвращения, обнаружения и устранения последствий атак, а также для минимизации рисков Cisco предлагает следующее:

• Обеспечение информационной безопасности должно стать одним из бизнес-приоритетов. Топ-менеджеры должны непосредственно отвечать за безопасность, пропагандировать ее и финансировать на приоритетной основе.

• Оценка операционной дисциплины. Необходимо провести ревизию методов защиты, корректировки ПО, точек контроля доступа для сетевых систем, приложений, функций и данных.

• Тестирование эффективности защиты. Следует задать четкие метрики и использовать их для оценки и совершенствования методов защиты.

• Принятие интегрированного подхода к защите. Интеграция и автоматизация должны находиться на верхних строчках списка критериев оценки мероприятий для улучшения контроля, совершенствования взаимной совместимости и сокращения времени обнаружения и прекращения атак. В этом случае подразделения обеспечения информационной безопасности смогут сосредоточиться на анализе и устранении реальных угроз.

Ежегодный отчет Cisco по кибербезопасности: 10 лет сбора и анализа данных

С момента публикации в 2007 году первого отчета Cisco по кибербезопасности произошли разительные изменения. Технологии способствуют росту изощренности атак и помогают более искусно защищаться от них, при этом важным как никогда остается наличие надежного фундамента безопасности.

• В отчете Cisco ACR за 2007 год в качестве мишеней приводились веб- и бизнес-приложения, причем атакующие пользовались методами социальной инженерии и нечистоплотностью пользователей. В 2017 году хакеры атакуют облачные приложения и наращивают объемы спама.

• Десять лет назад распространялось вредоносное ПО, приносившее прибыли организованной преступности. В современной теневой экономике киберпреступность стала родом бизнеса с довольно низким входным барьером для потенциальных заказчиков. Сегодняшние нарушители могут быть кем угодно, находиться где угодно и не иметь никаких специальных знаний — достаточно приобрести один из «коробочных» пакетов эксплойтов.

• В отчете по безопасности за 2007 год было отмечено 4773 предупреждения о нарушении безопасности Cisco IntelliShield Security Alerts, что соответствовало уровню Национальной базы данных уязвимостей (National Vulnerability Database). В отчете же 2017 года число обнародованных вендорами предупреждений об уязвимостях за тот же самый период выросло на 33 % и составило 6380. По нашему мнению, такой рост обусловлен большей осведомленностью в вопросах безопасности, расширением горизонта атак и усилением активности злоумышленников.

• В 2007 году Cisco рекомендовала защищающимся принять целостный подход к обеспечению информационной безопасности, интегрировать инструментарий, процессы и политики, вести просветительскую деятельность среди заинтересованных лиц. В надежде получить всеобъемлющий ответ бизнес обращался к вендорам, но зачастую напрасно, ибо те предлагали разрозненные точечные решения. В 2017 году перед директорами по информационной безопасности встала проблема чрезвычайной усложненности среды. Cisco борется с этим, предлагая архитектурный подход к информационной безопасности и помогая заказчикам извлекать максимальную пользу из существующих инвестиций, увеличивая возможности и уменьшая сложность защиты.

«В 2017 году киберпространство — это бизнес, а бизнес ведется в киберпространстве, и это требует совершенно иного похода и иных результатов. Необходимо постоянное совершенствование, которое должно оцениваться с учетом эффективности, стоимости и хорошо продуманных рисков. Отчет по информационной безопасности за 2017 год демонстрирует и, я надеюсь, обосновывает наши ответы на проблемы бюджета, персонала, инноваций и архитектуры», — отметил Джон Стюарт (John N. Stewart), старший вице-президент и главный директор компании Cisco по информационной безопасности.

Краткая информация об отчете Annual Cybersecurity Report 2017

В десятом выпуске отчета исследуются новейшие сведения об угрозах, полученные специалистами Cisco, приводятся результаты анализа и выявленные отраслевые тенденции в сфере кибербезопасности. Отчет за 2017 год также содержит ключевые результаты третьего ежегодного сравнительного исследования решений безопасности Security Capabilities Benchmark Study, в котором приводится восприятие специалистами состояния информационной безопасности в своих организациях. Отчет выявляет геополитические тенденции, представляет глобальную ситуацию с локализацией данных, а также говорит о важности обсуждения кибербезопасности на самом высоком уровне.

Получить текст отчета Cisco Annual Security Research 2017 и ознакомиться с рекомендациями Cisco по минимизации рисков для бизнеса можно по ссылке www.cisco.com/go/acr2017.