grnnt

[grnnt]

В нашей жизни ИБ мы сталкиваемся с 3 типами заказчиков:

1.     Считает, что у него и без ИБ все прекрасно и не стоит заморачиватся.

2.     Понимает, что ИБ должна быть, но принимает решения не систематизированно и соответственно не эфективно тратит деньги на системы защиты и квалификацию кадров.

3.     Заказчик - мечта! У него есть всё или почти всё, и это реально работает в руках знающего персонала.

Больше всего от инцидентов страдают как раз первые два типа заказчиков! Вот только вторые еще несут финансовые расходы - на приобретение частичных решений по ИБ и содержание не совсем компетентного стафа.

Вся ведется к тому, что при отсутствии долгосрочной стратегии развития ИБ в организации, нежелании или неправильная оценка рисков со стороны менеджмента скорее рано или поздно приведет к прямым финансовым, репутационным потерям и даже потере бизнеса.

Настоятельно рекомендуем серьезно отнестись к проблемам, связанными с ИБ и планировать комплексное развитие в долгосрочной перспективе, не бояться обращаться за консалтингом и инвестировать в ИБ как в безопасное здание с живой охраной, а не только ставить железные двери в гипсокартонные стены!

Автор: David Davitashvili, Head of Information Security Solution Department

[grnnt]

Репутационные потери после инцидентов ИБ

Главная задача безопасников - донести до менеджмента своей организации информацию о существующих рисках и методах предотвращения финансовых и репутационных потерь в случае форс-мажора – инцидентов ИБ: атак, взлома, хищения данных, мошенничества и т.д.

☝️И тут мы сталкиваемся с очень интересной тенденцией: в то время как практически все научились оценивать прямые финансовые потери, то, в настоящее время, мало кто задумывается и/или применяет какие-либо методологии для оценки размеров ущерба репутации организации.

💼 В качестве примера можно привести одни из самых распространенных на сегодня кейсов: удаленный взлом банкоматов, утечка данных о клиентах и тому подобные случаи, которые становятся достоянием широкой публики. Как правило, внутренние проблемы решаются без особых затруднений с возможностью избежать репутационных потерь, то публичные инциденты порой наносят намного больший урон организациям, причем совершенно не сопоставимый со стоимостью соответствующих решений по ИБ.

🕵️‍♀️Поэтому хочется узнать ваше мнение – есть ли в ваших организациях методология подсчета ущерба от публичных инцидентов и понимание менеджмента о таких способах защиты данных, как: предотвращение утечки конфиденциальных данных, контроль использования и защита паролей администраторов; понимает ли менеджмент то, что рано или поздно жертвами нападения становятся все, кто хоть как-то не принял превентивные меры для снижения вероятности таких событий?

Автор: David Davitashvili, Head of Information Security Solution Department

[grnnt]

Поговорим на тему ботов в разрезе ИБ 😎 Какими они бывают? Как их „готовить“ и как с этим всем связаны файерволы для веб-приложений (далее WAF - Web Application Firewall)?В природе всемирной паутины существуют как полезные - „хорошие“ боты 😇, так и вредоносные - „плохие“ 👾. Причем, более трети общего интернет трафика генерируется ботами, а не людьми. И почти четверть трафика - это плохие боты, что хорошо видно в отчете за 2019 год от компании Imperva, одного из лидеров рынка по WAF решениям и защите от ботов (скачать отчет можно тут https://bit.ly/2MSNVeS)

К хорошим ботам можно отнести:

• Chat Боты, помогают автоматизировать и заменить труд человека в общении с заказчиками. Например, проконсультировать заказчиков по продукции и услугам, решить их проблемы и запросы, помочь с оформлением записи на прием и многое другое. В основном, используются такие популярные мессенджеры как Telegram, Viber, Facebook Messenger и т.д.

• Monitoring Боты (например, Pingdom), используются для мониторинга работоспособности и состояния системы веб-сайтов. Эти боты периодически проверяют и сообщают о времени загрузки страницы, продолжительности простоя и состоянии.

• Social Network Боты (e.g. Facebook Bot), управляемые веб-сайтами социальных сетей, которые обеспечивают видимость вашего сайта и стимулируют участие на их платформах.

• Partner Боты (e.g. PayPal IPN), которые полезны для веб-сайтов и выполняют задачи, транзакции и предоставляют основные бизнес-услуги.

• Search Engine Crawler Боты или пауки, сканируют и индексируют веб-страницы, чтобы сделать их доступными в поисковых системах, таких как Google, Bing и т.д.

• Copyright Боты, проверяют веб-контент, который может оказаться плагиатом: статьи, видео, фото без ссылки на источник. Такие боты обычно используются в социальных медиа, где основную часть контента создают пользователи. Например, система Content ID на YouTube проверяет присутствие в роликах защищенного авторским правом контента.

• Trading боты, помогают найти лучшие предложения о продаже товаров онлайн. Они полезны и для покупателей, и для продавцов. Хороший пример таких ботов - браузерное расширение AliExpress Coupon Finder для поиска купонов и скидок на AliExpress или Honey для покупок на Amazon.Перейдем к теме плохих ботов и их примерам:

• Click Боты, имитируют клик живого человека. Из-за их действий данные об эффективности рекламы могут быть некорректны. Но, страшнее то, что клик боты скликивают бюджет на рекламных объявлениях и из-за них деньги рекламодателя тратятся впустую.

• Price Scraping Боты, используются для автоматического сбора информации о ценах на товары конкурентов и предложения более низких цен, тем самым перебивая клиентов.

• Content Scraping Боты (противоположность Cоpyright Бото��), используются для воровства контента и использования его в личных, паразитирующих целях, например для неправомерного размещения данных на других веб сайтах.

• Account Takeover Боты (a.k.a., Credential Stuffing, Credential Cracking), используются для автоматической проверки украденных аккаунтов или попытки их взлома. В случае успеха, блокируют аккаунты пользователей или совершают финансовые мошенничества, что влечет за собой как финансовые проблемы, так и репутационные.

• Account Creation Боты (a.k.a., Account Aggregation), создают фейковые учетки пользователей с последующим неправомерным их использованием, например, для рассылки спама.

• Credit Card Fraud Боты (a.k.a., Carding, Card Cracking), пытаются скомпрометировать данные кредитных карт, методом быстрого перебора на разных веб ресурсах, основанном на наличия информации о PAN -- имени владельца карты и номера кредитной карты. К примеру, такие данные можно купить в даркнете.

• Denial of Service Боты, используются для атаки веб-сайтов, с целью их замедлить, вызвать обрушение или недоступность для обычных пользователей

• Gift Card Balance Checking Боты, воруют финансы с подарочных карт пользователей на различных веб сайтах

• Denial of Inventory Боты, создают фейковые закупки товаров или сервисов, что не дает легитимным пользователям получать сервис или делать покупки, т.к. товар уже зарезервирован или выкуплен ботами.И что же по защите? ☝️Одним из решений по защите ваших веб-сайтов и веб-приложений от плохих ботов, являются продукты класса WAF. Решения эти можно разделить на два вида:

• On-premise и Public Cloud WAF решение, которое имплементируется на сайте заказчика или в его публичном облаке как AWS или Azure

• Cloud WAF сервис решение, которое представлено ресурсами и возможностями самого производителя решения.Многие производители имеют оба решения в своей обойме по отстрелу злоумышленников. У каждого решения есть свои плюсы и минусы, в которые мы не будем глубоко вникать, но в рамках защиты от ��ловредных ботов, важно отметить следующие моменты.

На просторах бывшего СССР в большинстве случаев заказчики предпочитают on-premise решения, а не Cloud WAF предложения от производителей, ввиду того что большинство Дата центров находится за пределами страны заказчиков и соответственно, ввиду проксирования трафика через облако, задержка доступа к веб-сервисам увеличивается.

Но, в разрезе защиты от ботов, есть важный плюс в пользу Cloud WAF сервиса. За последнее годы, плохие боты, как и с��стемы защиты от них, очень активно развивались и ситуация сложилась таким образом, что On-Premise WAF системы не в состоянии уже защитить от ботов последних поколений. В такой ситуации, Cloud WAF сервис уже выглядит совсем в ином свете, т.к. с развитием технологий и использования так называемого “искусственного интеллекта“ появилась возможность быстро обучать систему защиты и эффективно блокировать новые поколения ботов. В теории, конечно же возможно запустить подобное решение на локальном сайте заказчика, но это решение будет непропорционально дорогим.

Автор: Irakli Shavgulidze , SENIOR CYBER SECURITY ARCHITECT