SlideShare a Scribd company logo

Годовой отчет Cisco по информационной безопасности за 2016 год

Cisco Russia , profile picture
Cisco Russia

Годовой отчет Cisco по информационной безопасности за 2016 год подчеркивает растущую сложность и эволюцию киберпреступности, включая использование программ-вымогателей и bot-сетей для атак. Доклад представляет результаты исследований, которые показывают снижение уверенности специалистов по безопасности в своей инфраструктуре, несмотря на усилия компаний по улучшению защиты. Отчет также акцентирует внимание на значимости геополитических факторов и необходимости пересмотра стратегий безопасности.

Technology
1 of 87
Downloaded 375 times
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
Годовой отчет Cisco по информационной безопасности за 2016 год
2 Основные положения И хакерские атаки, и противостоящие им системы безопасности становятся все более сложными и совершенными. «Плохие парни» создают мощные инфраструктуры для осуществления и поддержки своих вредоносных кампаний. Киберпреступники постоянно совершенствуют свои технологии и способы кражи личных данных и интеллектуальной собственности, а их сетевые атаки остаются незамеченными. Ежегодный отчет Cisco по безопасности за 2016 г., в котором представлены результаты исследований, аналитика и перспективы развития отрасли, подготовленные группой Cisco Security Research, подробно рассматривает задачи, которые сегодня стоят перед специалистами по безопасности в борьбе с хорошо подготовленными и обладающими всеми необходимыми ресурсами хакерами. Отчет также содержит дополнительные материалы о современных угрозах на основе изысканий сторонних специалистов, таких как исследовательская лаборатория Level 3 Threat Research Labs. Мы внимательно рассмотрим данные, собранные аналитиками Cisco, и продемонстрируем изменения во времени, подчеркнем значение определенных закономерностей и их смысл, а также объясним, как специалистам по безопасности следует реагировать на те или иные угрозы. Темы отчета: ИСТОЧНИК АНАЛИТИКИ УГРОЗ В этом разделе рассматриваются важнейшие тенденции кибербезопасности, установленные нашими аналитиками, а также содержатся последние сведения о векторах и методиках веб-атак и уязвимостях систем. Здесь также содержится подробный анализ таких растущих угроз, как программы-вымогатели. В основе анализа тенденций 2015 года, проведенного Cisco Security Research, лежат телеметрические данные со всего мира. ОТРАСЛЕВАЯ АНАЛИТИКА В этом разделе рассматриваются тенденции в обеспечении безопасности, которые затрагивают современные предприятия, в том числе применение шифрования и потенциальные риски безопасности, связанные с этим. Мы рассмотрим слабости схем защиты сетевых инфраструктур, применяемых средним и малым бизнесом (SMB). Мы также представим результаты исследования предприятий, которые полагаются на устаревшее, неподдерживаемое или завершившее свой жизненный цикл ПО для обеспечения работы ИТ-инфраструктуры. СРАВНИТЕЛЬНОЕ ИССЛЕДОВАНИЕ ВОЗМОЖНОСТЕЙ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В этом разделе приводятся результаты второго сравнительного исследования возможностей систем безопасности, проведенного Cisco. Основное внимание уделялось мнению специалистов по безопасности о состоянии обеспечения информационной безопасности в организациях. Сравнив результаты анализа за 2015 г. с результатами анализа за 2014 г., Cisco определила, что теперь директора и менеджеры по безопасности менее уверены в актуальности своих инфраструктур безопасности и в их готовности противодействовать сетевым атакам. Однако анализ также показал, что предприятия активизируют обучение персонала и другие процессы обеспечения информационной безопасности, стремясь усилить защиту своих сетевых инфраструктур. С результатами исследования можно ознакомиться только в годовом отчете по информационной безопасности Cisco за 2016 год. ДЕЙСТВУЯ НА ОПЕРЕЖЕНИЕ Этот раздел содержит обзор геополитической среды в контексте ее влияния на информационную безопасность. Обсуждаются результаты двух исследований Cisco: одно связано с озабоченностью руководителей относительно кибербезопасности, а другое рассматривает мнение лиц, принимающих решения в ИТ, относительно рисков безопасности и вопросов доверия. Мы также описываем свои успехи в деле сокращения времени обнаружения угроз (TTD) и подчеркиваем значимость перехода к интегрированной архитектуре противодействия угрозам как эффективному способу противостоять им. Основные положения Специалисты по безопасности должны пересмотреть свои стратегии защиты. Годовой отчет Cisco по информационной безопасности за 2016 год
3 Содержание Содержание Годовой отчет Cisco по информационной безопасности за 2016 год ОСНОВНЫЕ ПОЛОЖЕНИЯ............................................... 2 ОСНОВНЫЕ ИЗМЕНЕНИЯ И ОТКРЫТИЯ........................ 4 ВСЕ РАДИ ЦЕЛИ: ДЛЯ СОВРЕМЕННЫХ КИБЕРПРЕСТУПНИКОВ ДЕНЬГИ ВАЖНЕЕ ВСЕГО................................................................................ 7 АНАЛИТИКА УГРОЗ......................................................... 9 Материалы по теме....................................................... 10 Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей............................................... 10 Скоординированные усилия лидеров отрасли позволили обнаружить и «накрыть» одну из крупнейших в мире бот-сетей для DDoS-атак.............. 14 Заражение веб-браузеров: широко распространенный и главный источник утечки данных................................ 16 Управление бот-сетями. Глобальный обзор ................ 17 «Слепое пятно» DNS: атаки с использованием DNS для перехвата управления..................................... 19 Аналитика угроз........................................................................20 Векторы веб-атак.......................................................................20 Методы веб-атак........................................................................21 Изменения характера угроз.......................................................23 Вертикальный риск борьбы с вредоносным ПО........................25 Блокирование веб-угроз. Географический обзор.....................27 ОТРАСЛЕВАЯ АНАЛИТИКА......................................29 Шифрование: популярная тенденция и сложная задача для специалистов по безопасности...........................................30 Киберпреступники начали активнее использовать серверы на WordPress...............................................................................33 Устаревающая инфраструктура: проблема, которой уже 10 лет..........................................................................................35 Предприятия малого и среднего бизнеса — слабое звено информационной безопасности крупных предприятий?..........37 СРАВНИТЕЛЬНОЕ ИССЛЕДОВАНИЕ ВОЗМОЖНОСТЕЙ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ CISCO...........................................41 Понимание, что принятых мер недостаточно..........................42 ДЕЙСТВУЯ НА ОПЕРЕЖЕНИЕ...................................55 Геополитическая перспектива: неопределенность в среде управления Интернетом............................................................56 Проблемы кибербезопасности пугают руководителей............57 Изучение доверия: риски и трудности для предприятий.........58 Время обнаружения: гонка за сокращением............................60 Шесть принципов встроенной защиты от угроз.......................62 Сила в числе: ценность внутриотраслевого сотрудничества..........................................................................63 О КОМПАНИИ CISCO................................................64 Авторы и источники годового отчета Cisco по информационной безопасности 2016 года .............................65 Партнеры Cisco..........................................................................67 ПРИЛОЖЕНИЕ...........................................................68
4 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Основные изменения и открытия
5 Основные изменения и открытия •• Компания Cisco в сотрудничестве с Level 3 Threat Research Labs и хостинг-провайдером Limestone Networks смогла выявить и нейтрализовать крупнейшую кампанию с использованием комплекта эксплойтов Angler в США. Кампания была направлена против свыше 90 000 компьютеров и обеспечивала ежегодные доходы в десятки миллионов долларов организаторам атак. •• SSHPsychos (Group 93) — одна из крупнейших бот-сетей для DDoS-атак из когда-либо встречавшихся аналитикам Cisco — была значительно ослаблена благодаря совместным усилиям Cisco и Level 3 Threat Research Labs. Как и в случае с Angler, такой результат достигнут благодаря отраслевому сотрудничеству, направленному против злоумышленников. •• Вредоносные расширения браузеров могут стать существенным источником утечки коммерческих данных; эта проблема широко распространена. По нашим оценкам, у более чем 85 % рассмотренных в исследовании организаций были установлены вредоносные расширения браузеров. •• Хорошо известные бот-сети, такие как Bedep, Gamarue и Miuref, составляли основную часть деятельности бот-сетей и затронули интересы ряда организаций, анализ которых мы проводили в июле 2015 г. •• Проведенный Cisco анализ вредоносного ПО, опасность которого подтверждена, показал, что подавляющее большинство такого вредоносного ПО (91,3 %) использует для атаки системы доменных имен (DNS). Посредством ретроспективного исследования запросов системы доменных имен (DNS) Cisco выявила «жульнические» службы сопоставления системы доменных имен (DNS), работавшие в сети заказчиков. Заказчики не знали, что их сервера сопоставления имен использовались собственными сотрудниками в рамках имевшейся инфраструктуры системы доменных имен (DNS). •• Уязвимости в Adobe Flash до сих пор пользуются популярностью у киберпреступников. Тем не менее поставщики ПО делают все возможное для уменьшения риска, которому подвержены пользователи в связи с вредоносным ПО для Flash. •• Отслеживая тенденции за 2015 год, наши аналитики предположили, что шифрованный трафик по протоколу HTTPS достиг переломного момента: скоро этот протокол станет основным для интернет-трафика. Хотя шифрование помогает защитить потребителей, оно также может снизить эффективность работы средств обеспечения информационной безопасности. В результате этого сообществу разработчиков таких средств будет сложнее отслеживать угрозы. Дополнительно проблема усугубляется тем, что некоторые виды вредоносного ПО могут обмениваться зашифрованными данными по ряду самых разных портов. •• Злоумышленники используют для своих преступных действий зараженные веб-сайты, созданные с помощью популярной платформы веб-разработки WordPress. Таким образом они могут распоряжаться ресурсами сервера без обнаружения. •• Доля устаревающей инфраструктуры растет. Из-за этого организации все больше склоняются к потенциально опасным компромиссам. Мы проанализировали 115 000 устройств Cisco® в Интернете и обнаружили, что на 92 % устройств из нашей выборки работало программное обеспечение, для которого существуют известные уязвимости. Кроме того, 31 % из работающих устройств Cisco, которые были предметом исследования, достигли фазы «прекращения продаж», а 8 % находились на этапе «конца жизненного цикла». Основные изменения и открытия Киберпреступники усовершенствовали свои инфраструктуры, чтобы повысить эффективность и прибыльность своих сетевых атак. Годовой отчет Cisco по информационной безопасности за 2016 год
6 •• В 2015 году руководители по информационной безопасности в компаниях выражали меньшую уверенность в своих инструментах и процессах обеспечения информационной безопасности, чем в 2014 году. Это показало сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год. Например, в 2015 году 59 % организаций утверждали, что их инфраструктура безопасности была «очень современной». В 2014 году об этом говорили 64 % респондентов. Однако в то же время обеспокоенность относительно информационной безопасности растет и мотивирует организации совершенствовать свои системы защиты. •• Сравнительное исследование показало, что в среднем и малом бизнесе используется меньше систем защиты, чем на крупных предприятиях. Например, 48 % предприятий среднего и малого бизнеса (SMB) сообщили в 2015 году, что они применяют системы веб-защиты — по сравнению с 59 % в 2014 году. Кроме того, в 2015 г. 29 % сообщили, что они используют средства установки исправлений и конфигурирования — по сравнению с 39 % в 2014 г. Столь слабое положение вещей подвергает предприятия среднего и малого бизнеса (SMB) существенному риску. Ведь злоумышленникам легче проникать в сети таких организаций. •• С мая 2015 г. компания Cisco сократила среднее время до обнаружения известных угроз (TTD) в сетях, использующих наше оборудование, до 17 часов — то есть меньше одних суток. Эта цифра намного превосходит текущие средние оценочные показатели TTD в отрасли, которые составляют от 100 до 200 дней. Годовой отчет Cisco по информационной безопасности за 2016 год Основные изменения и открытия
7 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Все ради цели: для современных киберпреступников деньги важнее всего
8 Все ради цели В прошлом в «дебрях» Интернета скрывались многочисленные сетевые мошенники. Они старались не обнаруживать себя и лишь кратковременно вторгались в корпоративные сети с целью использования уязвимостей. Сегодня киберпреступники осмелели и все активнее внедряются в веб-ресурсы. Они потребляют мощности серверов, крадут данные и вымогают деньги у своих жертв в Интернете. Такие атаки усиливают эскалацию между злоумышленниками и теми, кто ведет с ними борьбу. Если злоумышленники смогут находить все больше площадок в сети для своей вредоносной деятельности, то наносимый ими ущерб будет расти по экспоненте. В этом отчете аналитики безопасности Cisco описывают тактические приемы, с помощью которых хакеры создают для себя масштабные инфраструктуры, чтобы сделать свои атаки еще эффективнее и результативнее. Злоумышленники продолжают осваивать все более эффективные методы получения незаконного дохода и все чаще обращаются к серверным ресурсам. Основным примером этого является взрывной рост численности программ-вымогателей (см. стр. 10). Программы-вымогатели представляют для преступников простой способ отбирать больше денег непосредственно у пользователей. Когда злоумышленники с минимальными усилиями организуют автоматические кампании, компрометирующие десятки тысяч пользователей в день, получаемая прибыль может быть поистине впечатляющей. Помимо разработки лучших способов монетизации своих атак, злоумышленники также посягают и на пользующиеся доверием ресурсы для использования их в качестве плацдармов для атак. Создатели программ-вымогателей и разработчики других эксплойтов переносят трафик на взломанные веб-сайты на платформе WordPress, чтобы воспользоваться серверным пространством и затруднить обнаружение своей активности (см. стр. 33). А организаторы SSHPsychos, одной из крупнейших бот-сетей, которые когда-либо встречались аналитикам Cisco, почти беспрепятственно работали в обычных сетях, пока Cisco и Level 3 Threat Research Labs совместными усилиями не убедили интернет-провайдеров заблокировать трафик этой бот-сети. Все ради цели: для современных киберпреступников деньги важнее всего Годовой отчет Cisco по информационной безопасности за 2016 год
Аналитика угроз
10 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Набор эксплойтов Angler — это один из самых обширных и эффективных комплектов эксплойтов использования уязвимостей. Его связывают с несколькими нашумевшими кампаниями незаконной рекламы и применения программ- вымогателей. Кроме того, он стал значимой составляющей общего взрывного роста активности программ-вымогателей, которую наши аналитики угроз внимательно отслеживают в течение последних нескольких лет. Злоумышленники используют программы-вымогатели для шифрования файлов пользователей, которым передаются ключи для расшифровки лишь после уплаты «выкупа» — обычно порядка 300–500 долларов. Как указывалось в полугодовом отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, криптовалюты, например Bitcoin, и сети анонимного доступа, такие как Tor, дают возможность злоумышленникам легко выходить на рынок вредоносного ПО и быстро получать доход. Рост популярности программ-вымогателей можно связать с двумя основными их преимуществами: во-первых, они требуют немного усилий от злоумышленников, а во-вторых — они предоставляют возможность быстро получать прибыль, поскольку шантажируемые пользователи непосредственно выплачивают «выкуп» злоумышленникам в криптовалютах. Благодаря исследованиям тенденций, связанных с Angler и подобными программами-вымогателями, компания Cisco определила, что некоторые из операторов эксплойтов задействовали для Angler необычно высокий процент прокси- серверов по всему миру на системах под управлением Limestone Networks. Такое использование серверов может служить показательным примером еще одной тенденции, в последнее время наблюдаемой нашими аналитиками в теневой экономике: для осуществления своих атак злоумышленники маскируют вредоносные ресурсы под проверенные. В данном случае IP-инфраструктура, поддерживавшая работу Angler, была небольшой. Как правило, число активных в отдельно взятый день систем было от 8 до 12. При этом, большинство из них оставались активными в течение всего одного дня. На рис. 1 показано число уникальных IP-адресов, с которых осуществлялись атаки, наблюдавшихся компанией Cisco в течение июля 2015 г. Cisco определила, что операторы Angler последовательно переходили между IP-адресами, чтобы замаскировать угрозы и предотвратить любые помехи для их заработка. Материалы по теме Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей Аналитика угроз Компания Cisco собрала и проанализировала глобальный набор данных телеметрии для этого отчета. Мы постоянно изучаем и анализируем выявленные угрозы, в частности вредоносный трафик. Это помогает нам прогнозировать возможные стратегии преступников и облегчает обнаружение угроз. Источник: Cisco Security Research Figure X. Angler IP Addresses by Date, July 2015 Июль 2015 г. 16 Количество IP-адресов В диапазоне 8-12 12 8 4 311 15 2010 Рис. 1. Число IP-адресов Angler по датам, июль 2015 г. ПОДЕЛИТЬСЯ
11 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Как показано на рис. 2, Angler начал действовать с определенного IP-адреса (здесь — 74.63.217.218). По мере того как система компрометирует пользователей и порождает «шум», на который обращают внимания службы безопасности систем, злоумышленники переходят на соседний IP-адрес (74.63.217.219). Такая деятельность проходит по непрерывным блокам IP-адресов, принадлежащим одному поставщику услуг хостинга. Cisco исследовала данные об IP-адресах и определила номера автономных систем (ASN), связанные с IP-адресами, а также провайдеров, которым они принадлежат. Мы определили, что большинство связанного с Angler трафика поступало от серверов, эксплуатируемых двумя вполне заслуживающими доверия хостинг-провайдерами: Limestone Networks и Hetzner (рис. 3). Они отвечали более чем за 75 процентов всего объема такого трафика за июль. Cisco сначала связалась с Limestone Networks, на системах которой, похоже, размещалась самая большая часть инсталляций Angler в мире. Limestone активно откликнулась на возможность сотрудничества. Компании приходилось ежемесячно иметь дело с большим числом отмен платежей по кредитным картам, так как злоумышленники пользовались незаконно полученными именами и данными кредитных карт для аренды произвольных групп серверов на тысячи долларов. 74.63.217.218 IP-адреса Limestone Network Июль 2015 г. Figure X. Low IP Infrastructure Supporting Angler 74.63.217.219 74.63.217.220 74.63.217.221 74.63.217.222 74.63.237.178 74.63.237.181 74.63.237.179 74.63.237.180 74.63.237.182 2 8 Источник: Cisco Security Research 3 4 5 6 7 Рис. 2. Инфраструктура IP-адресов, поддерживающих Angler Рис. 3. HTTP-запросы Angler по провайдерам, июль 2015 г. Источник: Cisco Security Research Figure X. Angler HTTP Requests by Провайдер, July 2015 Провайдер A Провайдер B Провайдер C Провайдер D Провайдер E Провайдер F Провайдер G Провайдер H Провайдер I Провайдер J Провайдер K Провайдер L 10 0006000Количество запросов (Limestone Networks) (Hetzner) 75 % всего измеряемого трафика ПОДЕЛИТЬСЯ
12 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Подход злоумышленников к оплате серверов усложнял сопоставление злонамеренных действий с отдельным субъектом. Например, злоумышленник мог арендовать в один день три или четыре сервера, а в другой оплатить еще три или четыре сервера уже с использованием другого имени или другой кредитной карты. Таким образом, можно было пошагово переходить с одного IP-адреса на другой по мере выявления скомпрометированных серверов и их отключения службой безопасности. Для расследования этой деятельности Cisco запросила помощь у исследовательской лаборатории Level 3 Threat Research Labs, а также у OpenDNS — компании, входящей в группу Cisco. Усилия Level 3 Threat Research Labs помогли составить более точную картину глобального распространения угрозы: компания Cisco смогла подробнее определить масштабы угрозы и максимальную степень ее распространения на пике активности. В то же время OpenDNS представила уникальный анализ активности доменов, связанных с угрозой, и помогла Cisco лучше понять, как злоумышленники использовали методики наподобие сокрытия доменов (domain shadowing). Аналитики угроз в Cisco затем отдельно выяснили, как именно пользователи сталкивались с Angler и как к ним впоследствии поступали компоненты вредоносного кода. Они выяснили, что популярные веб-сайты перенаправляют пользователей на Angler через вредоносную рекламу. Фальшивые рекламные объявления размещались на сотнях крупных популярных новостных сайтов, сайтов с объявлениями по недвижимости или материалами о культуре. Такие сайты обычно называются в сообществе информационной безопасности «заведомо добропорядочными» (known good). Кроме того, аналитики угроз Cisco обнаружили множество небольших, казалось бы произвольно отобранных веб-сайтов. Они осуществляли переадресацию того же рода, использовался даже некролог в небольшой сельской газете в США. Последняя стратегия, скорее всего, была рассчитана на атаку против пожилых людей. Такие пользователи с большей вероятностью используют веб-браузеры по умолчанию, такие как Microsoft Internet Explorer, но реже учитывают необходимость регулярно исправлять уязвимости Adobe Flash. Другой важный аспект этой операции Angler — объем уникальных ссылок (referers) и низкая частота использования каждой из них (рис. 4). Мы обнаружили более 15 000 уникальных сайтов, направляющих пользователей на Angler, причем 99,8 % этих сайтов использовались менее 10 раз. Большинство источников ссылок таким образом были активны лишь в течение короткого времени и удалялись после атаки на нескольких пользователей. В нашем анализе за июль 2015 г. мы отметили, что пики активности совпадали с выходом описаний различных уязвимостей нулевого дня от Hacking Team (CVE-2015-5119, CVE-2015-5122).1 Cisco определила, что около 60 % загрузок Angler, применяемых в данной конкретной операции, устанавливали тот или иной вариант программы-вымогателя, в большинстве случаев — Cryptowall 3.0. Другие типы загрузок включали Bedep — загрузчик вредоносного ПО, который широко применяется для установки вредоносного ПО мошеннической рекламы для переходов. (См. «Заражение браузеров: широко распространенный и существенный источник утечки данных» на стр. 16). Оба вида вредоносного ПО помогают злоумышленникам очень быстро получать значительный доход от скомпрометированных пользователей, причем практически без дополнительных усилий. Рис. 4. Уникальные ссылки (referers) по дням, июль 2015 г. Июль 2015 г. 311 15 Источник: Cisco Security Research Figure X. Unique Referers by Day, July 2015 Количествоуникальныхсайтов,направляющих трафикнасервер,подвергающийсяатаке Пиковая активность совпала с работой эксплойтов «нулевого дня», пользующихся уязвимостями, от которых еще нет защиты 2K 0 ¹ “Adobe Patches Hacking Team’s Flash Player Zero-Day,” by Eduard Kovacs, SecurityWeek, 8 июля 2015 г.: http://www.securityweek.com/adobe-patches-hacking-teams-flash-player-zero-day.
13 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Согласно результатам исследования Cisco, главная группа хакеров, ответственная приблизительно за половину активности эксплойтов Angler в данной кампании, атаковала до 90 000 жертв в день. По нашей оценке, эта кампания приносила злоумышленникам более 30 млн долл. дохода ежегодно. Сеть, действовавшая из систем Hetzner, предположительно имела сравнимые показатели. Это означает, что группа хакеров, осуществившая операцию, которая затронула серверы Limestone Networks и Hetzner, отвечает за половину активности Angler во всем мире на момент проведения анализа Cisco. По оценкам аналитиков Cisco, эта операция могла обеспечить валовый доход около 60 млн долл. США в год. Доходы от Angler X 90Kцелей на сервер в день 10% обслуженных запросов от эксплойтов 62% доставленных программ- вымогателей 2,9% уплаченных выкупов $ 300 Выкуп платят 9515 пользователей в месяц средняя сумма выкупа 147серверов в месяц, перенаправляющих трафик $ 34Mгодовой валовой доход от программ-вымогателей на кампанию 40% скомпрометировано = ПОДЕЛИТЬСЯ Figure X. Angler Revenue Источник: Cisco Security Research targets per day 90K of Angler infections delivered ransomware 62% unique IP addresses were served exploits in a single day 9K of users being served exploits were compromised 40% 147 average ransom $ 300 gross yearly income for ransomware per campaign $ 34Mof ransoms paid per day redirection servers 2.9% X X =
14 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Cisco также обнаружила, что на серверах, к которым подключались пользователи, фактически не проводилось каких-либо вредоносных операций Angler. Они служили для перенаправления. Пользователь попадал в цепочку переадресации и выдавал запрос GET для целевой страницы, которая перенаправляла на прокси-сервер. Затем прокси- сервер переводил трафик на сервер с уязвимостью в другой стране, размещенный у другого провайдера. В ходе исследования выяснилось, что один сервер с уязвимостью связывался со многими прокси-серверами. (См. рис. 5) Cisco также обнаружила сервер статуса, который обрабатывал такие задачи, как мониторинг работоспособности. У каждого прокси-сервера, отслеживаемого сервером статуса, имелось два уникальных URL-адреса. При запросах по определенному пути сервер статуса возвращал сообщение с кодом состояния HTTP 204. Таким образом, злоумышленники могли уникально идентифицировать каждый из прокси-серверов и убедиться не только в том, что он работает, но и в том, что противоположная сторона не принимала никаких мер по отношению к нему. Используя второй URL-адрес, злоумышленники могли загружать журналы с прокси-сервера и определять, насколько эффективно работает их сетевая инфраструктура. Отраслевое сотрудничество было абсолютно необходимой составляющей, без которой компания Cisco не смогла бы расследовать деятельность комплекта эксплойтов Angler. В конечном счете это помогло прекратить перенаправление на прокси-серверы Angler на серверах провайдеров в США, а также расследовать сложную деятельность киберпреступников, жертвами которой каждый день становились тысячи пользователей. Cisco тесно сотрудничала с Limestone Networks, выявляла новые серверы злоумышленников по мере их активации и тщательно следила за ними, чтобы нейтрализовать их вредоносную активность. Через некоторое время злоумышленники ушли с Limestone Networks. И сразу же снизилась глобальная активность Angler. Скоординированные усилия лидеров отрасли позволили обнаружить и «накрыть» одну из крупнейших в мире бот-сетей для DDoS-атак Интегрированные технологии защиты от угроз могут остановить крупную атаку до того, как она затронет корпоративную сеть. Однако в ряде случаев для остановки потенциально масштабной атаки нужны не только технологические средства защиты, но и сотрудничество между поставщиками услуг, разработчиками средств информационной безопасности и отраслевыми группами. По мере того как преступники начинают все серьезнее относиться к монетизации своей деятельности, предприятиям в технологической отрасли также требуется эффективнее сотрудничать между собой для предотвращения успешных атак преступников. SSHPsychos (также называемая Group 93), одна из крупнейших бот-сетей распределенных атак типа «отказ в обслуживании», когда-либо встречавшихся аналитикам безопасности в Cisco, была значительно ослаблена в результате сотрудничества Cisco с Level 3 Threat Research Labs. Рис. 5. Базовая инфраструктура Angler Пользователь Сервер статусаПрокси-сервер Эксплойт-сервер Страница запросов Привязка к прокси- серверу Прокси-сервер получает данные с сервера эксплойтов (порт 81). Сервер эксплойтов отправляет HTTP-запросы на сервер состояния. Сводка данных журнала направляется на главный сервер Сервер статуса отслеживает HTTP-запросы/состояние Figure X. Angler: Back–End Infrastructure Источник: Cisco Security Research Главный сервер ПОДЕЛИТЬСЯ Чтобы узнать больше о том, как компания Cisco прервала международный поток выручки от эксплойтов Angler, прочите запись в блоге Cisco Security: «Threat Spotlight: Cisco Talos блокирует масштабный международный набор эксплойтов, который приносил более 60 млн долл. США в год за счет одних лишь программ-вымогателей».
15 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз УНИКАЛЬНАЯ УГРОЗА Сеть DDoS-атак SSHPsychos представляет уникальную угрозу по нескольким причинам. Поскольку она включает десятки тысяч машин, распределенных по всему Интернету, ее мощности достаточно для инициирования такой распределенной DDoS-атаки, которой нельзя будет противодействовать путем последовательного отключения отдельных устройств. В данном случае бот-сеть создавалась с применением атаки с перебором паролей по трафику SSH (рис. 6). Протокол SSH используется для обеспечения защищенного обмена данными и широко применяется для удаленного администрирования систем. В отдельные моменты времени на SSHPsychos приходилось свыше 35 % всего мирового трафика SSH в Интернете (рис. 7), как показывают результаты анализа Cisco и Level 3. SSHPsychos действует в двух странах: Китае и США. Попытки входа в систему посредством перебора 300 000 паролей производились с серверов поставщика хостинга в Китае. Когда злоумышленникам удавалось выполнить вход, подобрав корневой пароль пользователя root, атаки методом перебора прекращались. Через 24 часа после этого злоумышленники производили вход с IP-адреса, расположенного в США, и устанавливали руткит для осуществления DDoS-атак на скомпрометированную машину. Эта тактика явно была направлена на отвод подозрений сетевых администраторов. Цели бот-сети могли различаться, но в ряде случаев это были крупные интернет-провайдеры. Сканировщики, успешно выполняющие вход Узел вредоносного ПО Попытки последовательного перебора комбинаций SSH (300 000 уникальных паролей) Целевая сеть Источник: Cisco Security Research Рис. 6. SSHPsychos использует атаки методом перебора Рис. 7. На пике распространения на SSHPsychos приходилось 35 % всемирного трафика в Интернете. 50 000 100 000 150 000 Попытки последовательного перебора комбинаций Февраль Март Апрель SSHPsychos 103.41.125.0/23 SSHPsychos 43.255.190.0/23SSHPsychos 103.41.124.0/23 Figure X. At Peak, SSHPsychos Accounted for 35% of Internet SSH Traffic Источник: Cisco Security Research ПОДЕЛИТЬСЯ
16 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз СОТРУДНИЧЕСТВО С ЭКСПЕРТАМИ В ОБЛАСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Из-за масштабов сети DDoS-атак наши эксперты считали, что производимый ею ущерб будет сложно нейтрализовать. Необходимо было действовать в паре с организацией, которая могла бы эффективно изолировать группу, производящую атаки методом перебора паролей, от Интернета. В то же время магистральные провайдеры неохотно соглашаются фильтровать передаваемые своими клиентами данные. Cisco обратилась в Level 3 Threat Research Labs. Специалисты Level 3 проанализировали трафик в блоке сети, или диапазоне IP-адресов, где, как предполагалось, размещалась SSHPsychos (103.41.124.0/23). Подтвердилось, что с этих адресов и на них не поступало никакого легального трафика. Тогда они направили трафик по нулевому маршруту. Затем они связались с провайдерами соответствующих доменов и попросили их убрать трафик этой сети. Результаты принятых мер проявились немедленно (рис. 8). Исходная сеть не проявила практически никакой новой активности. В большой объем трафика атак перебором пароля по протоколу SSH начало поступать из новой сети в сетевом блоке 43.255.190.0/23. Характеристики этого трафика совпадали со свойственными SSHPsychos. После такого внезапного возобновления трафика, похожего на SSHPsychos, Cisco и Level 3 решили принять меры против 103.41.124.0/23, а также против нового сетевого блока 43.255.190.0/23. Отключение сетевых блоков, используемых SSHPsychos, не полностью нейтрализовало эту сеть DDoS-атак. Тем не менее оно определенно ограничило возможности создателей сети в их преступной деятельности, а также остановило распространение SSHPsychos на другие машины (по крайней мере временно). В ситуации, когда киберпреступники продолжают выстраивать все более крупные сети для атак, отрасль информационной безопасности нуждается в поиске новых вариантов сотрудничества, которые необходимы для успешного противодействия угрозам типа SSHPsychos. Провайдерам доменов верхнего уровня, Интернет-провайдерам, хостинг- провайдерам, DNS-преобразователям и поставщикам решений информационной безопасности уже нельзя пассивно наблюдать со стороны, как киберпреступники осуществляют свои планы в сетях, предназначенных только для передачи легального трафика. Другими словами, когда преступники передают вредоносный трафик, более или менее очевидный для невооруженного глаза, отрасль обязана перекрыть пути, позволяющие использовать эти легальные сети в целях злоумышленников. Заражение веб-браузеров: широко распространенный и главный источник утечки данных Группы обеспечения информационной безопасности часто рассматривают расширения веб-браузеров как малозначительную угрозу. Однако им следовало бы присвоить мониторингу таких расширений повышенный приоритет, чтобы можно было быстро выявлять и устранять заражения данного рода. Причина такой срочности состоит в том, что, согласно данным наших исследований, заражения браузеров происходят куда чаще, чем считают специалисты многих организаций. С января по октябрь 2015 г. мы исследовали 26 семейств вредоносных расширений для браузеров (рис. 9). Судя по тенденциям заражений браузеров за эти месяцы, кажется, что общее число заражений уменьшается. 0 180 000 Попытки последовательного перебора комбинаций Компания Cisco сотрудничает с Level 3 120 000 60 000 Июнь Июль Figure X. SSHPsychos Traffic Drops Dramatically After Intervention Источник: Cisco Security Research Рис. 8. Трафик SSHPsychos значительно падает после вмешательства. Рис. 9. Заражения браузеров, с января по октябрь 2015 г. Чтобы узнать больше о мерах, принятых Cisco и Level 3 Threat Research Labs, в отношении SSHPsychos, прочтите запись в блоге Cisco Security «Threat Spotlight: SSHPsychos». Январь 0,5 % Процентное соотношение 0,3 % 0 Обнаружение инфицирования браузеров ИюльАпрель 2015 г. Октябрь Источник: Cisco Security Research Figure X. Increased Encryption Makes IOC Detection More Difficult 40 %
17 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Однако это впечатление обманчиво. Рост объема трафика HTTPS, отмеченный в этот период, усложнил процедуру выявления признаков компрометации, связанных с 26 отслеживаемыми нами семействами, так как шифрование сделало информацию в URL-адресах недоступной. (Дополнительную информацию о шифровании и о сложностях, которые оно создает для специалистов по безопасности, см. в разделе «Шифрование: набирающая обороты тенденция — и проблема для специалистов по безопасности» на стр. 30). Вредоносные расширения браузеров могут похищать информацию и представлять главный источник утечки данных. Каждый раз, когда пользователь открывает новую веб-страницу с помощью скомпрометированного браузера, вредоносные расширения браузера собирают данные. Они не просто извлекают базовые данные о каждой веб-странице во внутренней сети предприятия или в Интернете, посещаемой пользователем. Они также собирают конфиденциальную информацию, встроенную в URL-адреса. Такая информация может включать учетные данные пользователей, данные заказчиков, а также сведения о внутренних API-интерфейсах и инфраструктуре организации. Многоцелевые вредоносные расширения браузеров устанавливаются в составе программных пакетов или вместе с рекламным ПО. Они могут навредить пользователям рядом различных способов. В зараженном браузере они могут провоцировать пользователей щелкнуть по злонамеренной рекламе, типа полноэкранных рекламных объявлений или всплывающих окон. Они также могут распространять вредоносное ПО, провоцируя пользователя щелкнуть по вредоносной ссылке или загрузить зараженный файл, на который указывает вредоносная реклама. Кроме того, они могут перехватывать запросы браузера пользователя и вставлять вредоносные веб-страницы в страницы результатов поисковых систем. На примере 45 компаний из нашей выборки мы определили, что в течение каждого отдельного месяца более чем в 85 % организаций присутствовали вредоносные расширения браузеров — результат, свидетельствующий о широком масштабе их распространения. Поскольку зараженные браузеры часто считаются относительно малой угрозой, они могут оставаться необнаруженными или невычищенными в течение нескольких дней и даже дольше, что дает злоумышленникам дополнительное время и возможности для проведения своих кампаний (см. «Время обнаружения: гонка за сокращением» на стр. 60). Поэтому мы утверждаем, что дополнительное время и ресурсы групп обеспечения информационной безопасности, затраченные на мониторинг данного вида угроз, окупят себя, и рекомендуем расширить использование автоматизации, чтобы упростить сортировку угроз по приоритетам. Управление бот-сетями. Глобальный обзор Бот-сети — это сети компьютеров, зараженных вредоносным ПО. Злоумышленники могут управлять ими как единой группой и давать команды на выполнение определенной задачи, например рассылки спама или запуск распределенной DDoS-атаки. За последние годы увеличивались как их численность, так и размеры. Чтобы лучше понять текущую обстановку по угрозам в глобальном масштабе, с апреля по октябрь 2015 года мы исследовали сети 121 компании на предмет наличия признаков хотя бы одной из восьми широко распространенных бот-сетей. Полученные данные были нормализованы для получения общего обзора активности бот-сетей (рис. 10). За этот период мы выяснили, что Gamarue — модульный, многоцелевой инструмент для кражи информации, известный уже не первый год — был самой распространенной угрозой внешнего контроля. Объемактивностибот-сетей 400 0 Апрель Май Июнь Июль Август Сентябрь Октябрь 2015 г. Miuref Другое Gamarue Vawtrak Bedep Cryptowall Figure X. Growth of Individual Threats (Ratio of Infected Users) Источник: Cisco Security Research Рис. 10. Рост числа отдельных угроз (коэффициент зараженных пользователей)
18 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз В июле был обнаружен резкий рост числа заражений, связанных с программой-вымогателем Cryptowall 3.0. Эта активность в значительной мере приписывается комплекту эксплойтов Angler, который, как известно, способен размещать на зараженных компьютерах загрузку Cryptowall. Как указано в полугодовом отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, авторы Angler и других наборов эксплойтов оперативно воспользовались «окнами без исправлений» в Adobe Flash — временным интервалом между выпуском обновления компанией Adobe и моментом, когда пользователи фактически устанавливают обновление². Исследователи угроз в Cisco связывают пик активности в июле 2015 г. с эксплойтом Flash нулевого дня CVE-2015-5119, информация о котором была раскрыта в составе общедоступных публикаций группы Hacking Team³. Комплект эксплойтов Angler также устанавливает троянскую программу Bedep, которая используется для так называемого «скликивания» рекламных объявлений с оплатой за клик. В июле также отмечалось небольшое увеличение распространенности и этого рода угроз (рис. 11). Bedep, Gamarue и Miuref (еще одна троянская программа и средство перехвата управления над браузером, которое может «скликивать» рекламу) суммарно составляли более 65 % деятельности бот-сетей в проанализированной нами пользовательской базе. Процент заражений Bedep на протяжении проанализированного нами отрезка времени оставался сравнительно стабильным. Однако за это время наблюдалось кажущееся уменьшение числа заражений Miuref. Мы считаем, что это объясняется ростом доли трафика HTTPS, который помог скрыть признаки заражения Miuref. На рис. 12 показаны типы бот-сетей, ответственные за большинство заражений в течение исследованного нами отрезка времени. Возглавляли список многоцелевые бот-сети, такие как Gamarue и Sality; далее за ними шли бот-сети для «скликивания». Троянские программы, перехватывающие банковскую информацию, занимали третье место: угрозы этого рода хоть и не новы, однако все еще распространены довольно широко. Сравнение числа инфицирований бот-сетями 200 0 100 Всплеск из-за использования эксплойта «нулевого дня», защиты от которого еще не существует Figure X. Monthly Threat Coverage, Based on Number of Infected Users Апрель Май Июнь Июль Август Сентябрь Октябрь 2015 г. MiurefGamarue Vawtrak Bedep Cryptowall Источник: Cisco Security Research Рис. 11. Ежемесячное покрытие угроз, по числу зараженных пользователей Figure X. Monthly Threat Coverage, Based on Threat Categories Апрель Май Июнь 0 100 Июль Август Сентябрь Октябрь 2015 г. Бот-сети для скликивания Программы-вымогатели Многоцелевые бот-сети Банковские трояны Источник: Cisco Security Research %типовбот-сетей Рис. 12. Ежемесячное покрытие угроз, по категориям угроз ² Полугодовой отчет Cisco, посвященный вопросам безопасности за первую половину 2015 года: http://www.cisco.com/web/offers/lp/2015-midyear-security-report/index.html. ³ “Adobe Patches Hacking Team’s Flash Player Zero-Day,” Эдуард Ковач, SecurityWeek, 8 июля 2015 г.: http://www.securityweek.com/adobe-patches-hacking-teams-flash-player-zero-day. ПОДЕЛИТЬСЯ
19 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Проведенный Cisco анализ вредоносного ПО, опасность которого была подтверждена, показал, что преимущественная часть этого вредоносного ПО (91,3 %) использует службу доменных имен (DNS) одним из трех следующих способов: •• перехват управления системой; •• извлечение данных; •• перенаправление трафика. Чтобы получить эти процентные значения, мы исследовали все образцы поведений в различных принадлежащих нам системах- «песочницах». Вредоносное ПО, которое принципиально не использовало DNS каким-либо образом или задействовало DNS только для проверки работоспособности подключения к Интернету, исключалось из списков. Оставшееся в них вредоносное ПО использовало DNS для подключения к сайтам, которые заведомо являлись опасными или же считались подозрительными. Несмотря на зависимость злоумышленников от DNS при осуществлении кампаний с использованием вредоносного ПО, лишь немногие компании отслеживают DNS, в том числе и в целях информационной безопасности. Такое отсутствие надзора делает DNS идеальным инструментом для киберпреступников. Согласно недавно проведенному нами обзору (см. рис. 13), 68 % специалистов по безопасности сообщают, что в их организациях не отслеживаются угрозы от рекурсивных запросов DNS. (Рекурсивные серверы доменных имен DNS выдают IP-адреса согласно запрошенным доменным именам узлам, которые направили запрос.) Почему DNS является «слепым пятном» для столь многих организаций? Основная причина заключается в том, что группы обеспечения информационной безопасности и специалисты по DNS обычно работают в разных ИТ-подразделениях компании и редко общаются между собой. Хотя им следовало бы это делать. Мониторинг DNS необходим для выявления и нейтрализации заражения вредоносным ПО, которое уже использует DNS для одной из трех названных выше целей. Это также важный первый шаг на пути к выявлению других компонентов, которые могли бы использоваться при дальнейшем расследовании атаки: от определения типа инфраструктуры, на которой основана атака, и до выхода на ее источник. В то же время мониторинг DNS требует большего, чем просто сотрудничество между группами информационной безопасности и специалистами по DNS. Он требует сочетания правильных технологий и опыта для проведения корреляционного анализа. (Дополнительную информацию см. в разделе «Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей» на стр. 10, где рассказано, как компания OpenDNS помогла Cisco наглядно проанализировать домены и IP-адреса, которые использовались набором эксплойтов Angler.) РЕТРОСПЕКТИВНЫЙ АНАЛИЗ DNS Проведенное в Cisco ретроспективное расследование запросов DNS и следовавшего за ними трафика TCP и UDP выявило ряд источников вредоносного ПО. Они включают серверы перехвата управления, веб-сайты и точки распространения. Ретроспективное расследование также обнаруживает контент высокой степени опасности, используя аналитику из списков угроз, отчетов об угрозах в сообществах, наблюдаемых тенденций компрометации компьютерных систем и знания об уникальных уязвимостях, свойственных отрасли клиента. Наши ретроспективные отчеты помогают выявлять попытки медленной и малозаметной утечки данных, обычно связываемой со сложными целенаправленными атаками (APT), которые во многих случаях не регистрируются традиционными технологиями обнаружения. Цель анализа состоит в выявлении аномалий среди огромного объема исходящего трафика обмена данными. Такой «вывернутый наизнанку» подход может выявлять возможную компрометацию данных и опасные для сетевой инфраструктуры операции, которые в противном случае остались бы незамеченными. Figure X. Monitoring Threats via Recursive DNS Источник: Cisco Security Research организаций не отслеживают рекурсивные запросы DNS вредоносного ПО при атаках задействует DNS 68 %91,3 % Рис. 13. Мониторинг угроз от рекурсивных запросов DNS «Слепое пятно» DNS: атаки с использованием DNS для перехвата управления
20 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Таким образом мы выявили неавторизованные преобразователи DNS, действующие в сетевых инфраструктурах наших заказчиков. Заказчики не знали, что преобразователи использовались собственными сотрудниками в рамках имевшейся инфраструктуры DNS. Если не обеспечить активное управление DNS и их отслеживание, становятся возможными такие вредоносные действия, как «отравление» кэша DNS и переадресация DNS. Помимо обнаружения и идентификации неавторизованных DNS, ретроспективное расследование также выявило следующие проблемы в сетях заказчиков. •• Адресное пространство заказчика входит в блок-списки третьих сторон по спаму и вредоносному ПО. •• Адресное пространство заказчика маркировано для известных серверов внешнего управления Zeus и Palevo. •• Активные кампании вредоносного ПО, в том числе CTB-Locker, Angler и DarkHotel. •• Подозрительные действия, включая использование сети Tor, автоматическое перенаправление электронной почты и онлайн-преобразование документов. •• Повсеместное туннелирование DNS на домены, зарегистрированные в Китае. •• «Тайпсквоттинг» DNS⁴. •• Внутренние клиенты, обходящие доверенную инфраструктуру DNS клиента. Рассмотрев выбранную группу заказчиков Cisco Custom Threat Intelligence по многим вертикальным направлениям, мы также обнаружили следующие виды вредоносного ПО (указан процент распространенности среди общего числа проанализированных клиентов): Аналитика угроз Векторы веб-атак ADOBE FLASH ИСПОЛЬЗУЕТСЯ ВСЕ РЕЖЕ Хотя общий объем использования за последний год Flash уменьшился (см. следующий раздел, «Тенденции по содержимому Flash и PDF»), он все же остается любимым объектом разработчиков эксплойтов. В сущности, для вредоносного ПО на Flash не наблюдается заметной тенденции ни к росту, ни к сокращению в 2015 г. ( рис. 14). Связанное с Flash вредоносное ПО, вероятно, останется основным вектором проникновения в течение некоторого времени (следует отметить, что авторы эксплойтов Angler активно использовали уязвимости Flash). Отраслевое давление с целью исключить Adobe Flash из процесса использования браузеров приводит к сокращению объема Flash-содержимого в Интернете (см. следующий раздел, «Тенденции по содержимому Adobe Flash и PDF»). Это явление аналогично тому, что происходило с содержимым Java в последние годы и привело к стабильной тенденции снижения объемов вредоносного ПО для Java (собственно, авторы Angler даже не стали включать в набор эксплойты для Java). В то же время объемы вредоносного ПО для PDF оставались довольно стабильными. Microsoft Silverlight также стал менее приоритетным вектором атаки, поскольку многие разработчики прекратили поддержку API-интерфейса, используемого для интеграции Silverlight в браузеры. Многие компании прекращают использование Silverlight, переходя к основанным на HTML5 технологиям. Корпорация Microsoft сообщила, что в планах разработки нет новой версии Silverlight; в настоящее время она выпускает только обновления, связанные с информационной безопасностью. Figure X. Types of Malware Number of Total Customers Источник: Cisco Security Research 4/5 3/5 Комплект эксплойтов Angler Cпамовая бот-сеть Cutwail Dyre Комплекты эксплойтов (общие) Троян Bedep Программы-вымогатели Трафик с «луковой» маршрутизацией, использующей кодирование, с сервисом Onion.city (поисковая система для анонимного Интернета) Figure X. Types of Malware Number of Total Customers Источник: Cisco Security Research 4/5 3/5 Комплект эксплойтов Angler Cпамовая бот-сеть Cutwail Dyre Комплекты эксплойтов (общие) Троян Bedep Программы-вымогатели Трафик с «луковой» маршрутизацией, использующей кодирование, с сервисом Onion.city (поисковая система для анонимного Интернета) 30 500 20 000 Объемы журналов Сен. 2013 г. Сен. 2015 г. Flash Java PDF Figure X. Share of Attack Vectors, Two–Year Comparison Источник: Cisco Security Research Рис. 14. Доля векторов атак, сравнение за 2 года ⁴ «Тайпсквоттинг» — это регистрация доменных имен, похожих на существующие доменные имена; такая стратегия часто используется злоумышленниками для атак на пользователей, которые нечаянно допускают опечатку во вводимом доменном имени.
21 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз ТЕНДЕНЦИИ ПО СОДЕРЖИМОМУ ADOBE FLASH И PDF Аналитики Cisco отслеживали общий спад количества содержимого Adobe Flash в сети (рис. 15). Недавние действия Amazon, Google и других крупных игроков в сети Интернет стали причиной снижения объемов Flash-содержимого. Эти компании либо уже не принимают веб-рекламу, в которой используется Flash, либо блокируют ее. В то же время доля содержимого PDF была сравнительно стабильной в течение последнего года и, скорее всего, такой и останется. Однако формат PDF в последнее время уже не является приоритетным вектором атак. Сокращение объемов содержимого Flash, скорее всего, продолжится и даже, вероятно, ускорится в ближайшее время, так как компания Adobe объявила о своем намерении прекратить поддержку Flash.⁵ Тем не менее до полного прекращения использования Flash наверняка пройдет некоторое время. Flash встроен в такие браузеры, как Google Chrome, Microsoft Internet Explorer и Microsoft Edge и все еще широко используется в веб-содержимом, включая игровой и видеоконтент. И все же в предстоящие годы, по мере внедрения новых технологий (таких как HTML5 и мобильные платформы), долгосрочные тенденции для векторов веб-атак, наподобие Java, Flash и Silverlight, все более однозначны. В дальнейшем они станут менее распространенными. Поэтому они станут намного менее привлекательными для ориентированных на прибыль киберпреступников, которых интересуют векторы, позволяющие легко скомпрометировать большую популяцию пользователей и быстро получить доход. Методы веб-атак На рис. 16 и рис. 17 показаны различные типы вредоносного ПО, используемого злоумышленниками для получения доступа к корпоративным сетям. На рис. 16 показано чаще всего встречающееся вредоносное ПО: рекламное, шпионское, программы нежелательного перенаправления, эксплойты, использующие iFrame, и программы фишинга. Рис. 15. Процент общего трафика, приходящийся на Flash и PDF Январь % общего интернет-трафика 60 % 14 % Ноябрь Источник: Cisco Security Research Figure X. Percentage of Total Traffic for Flash and PDF Flash PDF Рис. 16. Наблюдаемое чаще всего вредоносное ПО ⁵ “Adobe News: Flash, HTML5 and Open Web Standards,” Adobe, 30 ноября 2015 г.: http://blogs.adobe.com/conversations/2015/11/flash-html5-and-open-web-standards.html. Источник: Cisco Security Research Figure 16. Most Commonly Observed Malware Двоичные файлы Windows5070 Троян-загрузчик JavaScript5858 iFrame-загрузчик JavaScript8958 Мошенничество с Facebook36 681 JavaScript31 627 Троян-загрузчик Windows4911 Фишинг3798 iFrame3726 Обфускация (запутывание кода) JavaScript3552 Перенаправление6472 3261 Троян-загрузчик Android 3228 Троян Windows Сумма (sample_count) x 1000
22 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Рис. 16 можно рассматривать как коллекцию видов вредоносного ПО, используемого киберпреступниками для получения начального доступа. Это испытанные и наиболее экономичные способы, позволяющие с легкостью скомпрометировать большие популяции пользователей. Эксплойты JavaScript и мошенничество на Facebook (социальный инжиниринг) оказались чаще всего используемыми методами атаки, как показало наше исследование. На рис. 17 показано менее популярное вредоносное ПО. Обратите внимание, что «менее популярное» в данном случае не означает «менее эффективное». Согласно исследованию Cisco Security, редко встречающееся вредоносное ПО может представлять растущую угрозу или использоваться для целенаправленных кампаний. Многие из этих более сложных методик направлены на извлечение максимально возможного дохода от скомпрометированных пользователей. Они крадут ценные данные или удерживают под контролем цифровые активы пользователей ради выкупа. Поэтому при отслеживании вредоносного ПО из Интернета недостаточно просто сосредоточиться на чаще всего наблюдаемых типах угроз. Необходимо рассматривать полный спектр атак. Источник: Cisco Security Research Figure 17. Sample of Observed Lower-Volume Malware Сумма (sample_count) < 40 Загрузчик «Upatre» для Windows2 Лазейки Windows2 Ложные вызовы Windows2 Загрузчик троянов3 Подозрительные PDF-файлы7 «Лазейка системы управления работой приложений (ACE)» для Windows 5 JavaScript "Blackhole"10 Троян Windows9 Вредоносное ПО Gampass для Windows15 Вредоносное ПО Krap-K для Windows35 Вредоносное ПО Sality для Windows44 Интернет-червь Windows1 Троян «Upatre» для Windows1 Троян-загрузчик Windows1 iFrame2 Троян-загрузчик JavaScript1 Рис. 17. Пример наблюдаемого менее популярного вредоносного ПО
Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Рис. 18. Общее количество CVE по поставщику Источник: Cisco Security Research, национальная база уязвимостей Figure X. Total Number of CVEs by Vendor O racle M icrosoft Cisco Adobe Apple IBM Google M ozillaW ordPress Ubuntu (Canonical) Debian HP EM C Linux Red Hat SAP Apache Siem ensFedora ProjectW ireshark Novell КоличествоCVE 200 0 400 600 Источник: Cisco Security Research, Metasploit, база эксплойтов 5 0 10 15 20 Adobe Microsoft Apple Cisco Novell Joomla VMware Имеющиесяобщедоступныеэксплойты Figure X. Number of Public Exploits Available by Vendor Vulernability Рис. 19. Число общедоступных эксплойтов по уязвимостям поставщиков На приведенной выше диаграмме показано общее количество CVE, опубликованных поставщиками за 2015 год. Обратите внимание, что здесь Adobe занимает не такое высокое положение, как на диаграмме справа, на которой показаны уязвимости с имеющимися для них эксплойтами. Кроме того, WordPress показывает всего 12 уязвимостей для собственного продукта за 2015 год. Дополнительные 240 уязвимостей происходят от подключаемых модулей и скриптов, созданных сторонними разработчиками. Как показано на рис. 20, списки уязвимостей и связанных с ними эксплойтов могут оказаться полезными для специалистов по безопасности. Специалисты могут использовать списки для контроля и приоритизации наиболее опасных и самых распространенных уязвимостей, исправляя их ранее, чем представляющие меньший риск уязвимости. См. веб-сайт подробных данных CVE (https://www.cvedetails.com/top-50- products.php), где содержится дополнительная информация о CVE по поставщикам. 23 Изменения характера угроз ADOBE FLASH ЗАНИМАЕТ ПЕРВОЕ МЕСТО В СПИСКЕ УЯЗВИМОСТЕЙ. Платформа Adobe Flash на протяжении нескольких лет была особенно популярным вектором угроз для преступников. Уязвимости Flash все еще часто встречаются в списках высокоприоритетных предупреждений. В 2015 году хорошей новостью стало то, что разработчики продуктов, где эти уязвимости часто встречаются (например, веб-браузеров) признали существование этого недостатка и теперь принимают меры по сокращению доступных киберпреступникам возможностей. В 2016 году злоумышленники, скорее всего, сконцентрируются на пользователях Adobe Flash. Для некоторых из таких уязвимостей Flash имеются эксплойты, доступные открыто в Интернете или продаваемые в составе наборов эксплойтов. (Как отмечалось на стр. 21, объем связанного с Flash содержимого уменьшился, но Flash остается приоритетным вектором атак уязвимостей). Повторяя тактику, которая использовалась для уменьшения опасности Java — еще одного распространенного вектора угроз, — многие веб-браузеры блокируют Flash или запускают его в «песочнице», чтобы защитить пользователей. Хотя это можно назвать положительной тенденцией, важно не забывать, что в течение некоторого времени злоумышленники все же будут успешно применять соответствующие эксплойты. Пользователи могут пропускать своевременное обновление браузеров, а преступники продолжат использовать эксплойты, направленные на предыдущие версии браузерного ПО. Однако аналитики Cisco считают, что средства защиты, недавно встроенные в некоторые широко распространенные веб-браузеры и операционные системы, снизят популярность Flash среди киберпреступников. Поскольку киберпреступники ориентированы на достижение максимальных результатов (например, максимального дохода) самым эффективным образом, они не будут тратить много усилий на атаки, окупаемость которых низка. ПОДЕЛИТЬСЯ
24 Flash EK Hanjuan NullHole Sweet Orange Fiesta Nuclear Rig Neutrino Nuclear Pack Magnitude Angler CVE-2015 - 7645556024191671 51225119311331043090035903360311 03130310 Figure X. Common Vulnerabilities Источник: Cisco Security Research Общедоступные эксплойты 3105 Уязвимости Flash Другие уязвимости Рис. 20. Распространенные уязвимости На рис. 20 показаны уязвимости, представляющие значительный риск; также указывается, входит ли уязвимость в комплект эксплойтов, который продается (см. строку «Flash EK»), или же для нее существуют общедоступные эксплойты (см. строку «Общедоступные эксплойты»). Уязвимости, для которых имеются работающие эксплойты, наиболее приоритетны при установке исправлений. Этот список может помочь специалистам по безопасности определить приоритеты при установке исправлений и противодействии угрозам. Наличие эксплойта для конкретного продукта — будь то открытого или в составе комплекта эксплойтов — еще не означает, что атаки с его использованием обязательно происходят. Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз
25 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Вертикальный риск борьбы с вредоносным ПО Для отслеживания особо опасных вертикалей контакта с вредоносным ПО в Интернете мы исследовали сравнительные объемы трафика атак («интенсивности блокирования») и «нормального», или ожидаемого, трафика. На рис. 21 показаны 28 основных отраслей и сравнительная интенсивность блокировок в них в соотношении с нормальным сетевым трафиком. Коэффициент 1,0 означает, что число блокировок пропорционально объему наблюдаемого трафика. Любые значения выше 1,0 указывают на интенсивность блокировок выше ожидаемой, а значения ниже 1,0 представляют интенсивность блокировок, которая ниже ожидаемой. Source: Cisco Security Research 1 6 8 4 2 1 6 8 4 2 1 6 8 4 2 1 6 8 4 2 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Food and Beverage Transportation and Shipping Entertainment Heating, Plumbing, and A/C Engineering and Construction Industrial Healthcare Professional Services ElectronicsGovernment Utilities Insurance Education IT Telecom. Accounting Media and Publishing Aviation Travel and Leisure Charities and NGO Real Estate and Land Mgmt. Pharmaceutical and Chemical Automotive Legal Retail and Wholesale Banking and Finance Energy, Oil, and Gas Manufacturing Agriculture and Mining 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 2 1 2 1 2 1 2 1 2 1 2 1 2 1 2 4 Рис. 21. Ежемесячная интенсивность по вертикальным блокам, ноябрь 2014 г. — сентябрь 2015 г.
26 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз ПОДЕЛИТЬСЯ На рис. 22 показано, насколько мимолетным может быть фокус хакеров на определенных вертикалях. (Ноль представляет отсутствие чистого изменения.) С января по март 2015 г. государственные учреждения были вертикалью с наибольшей интенсивностью блокировок. С марта по май такой вертикалью стала электронная промышленность. В середине лета большинство блокировок происходило в отрасли профессиональных услуг. А осенью 2015 г. первое место среди вертикалей по числу блокировок заняло здравоохранение. Согласно результатам нашего исследования, все четыре вертикали с наибольшей активностью блокировок в 2015 г. подвергались атакам, связанным с троянскими программами. В «государственной» вертикали также встречалось большое количество атак с инъекцией кода PHP, в то время как на вертикаль профессиональных услуг было направлено большое количество атак IFrame. Рис. 22. Относительные показатели блокировки в различных отраслях, помесячное сравнение Источник: Cisco Security Research Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Еда и напитки Транспорт и перевозки Развлечения Отопление, канализация и кондиционир- ование Инженерное дело и строительство Промышленность Жилищно- коммунальное хозяйство Страхование Образование ИТ для телекомму- никаций Бухгалтерский учет СМИ и издательская деятельность Авиация Путешествия и отдых Благотворител- ьные учреждения и неправитель- ственные организации Недвижимость и землепольз- ование Фармацевтика и химическая промышленность Автомобилест- роение Юриспруденция Розничная и оптовая торговля Банковское дело и финансы Энергетика, нефтегазовая отрасль Промышленное производство Сельское хозяйство и горнодобыча -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -8 4 8 0 -2 -8 4 8 0 -2 -8 4 8 0 -2 -8 4 8 0 -2 Здравоохра- нение Профессио- нальные услуги Электроника Государственный сектор
27 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Польша 1,5 Figure X. Web Blocks by Country or Region Россия 1Дания 1 Япония 1 Канада 1,5 Китай 4Франция 2 Блокирование = вредоносный трафик/ожидаемый трафик США 1 Источник: Cisco Security Research Гонконг 9 Германия 1,5 Рис. 23. Блокировка веб-угроз по странам или регионам Блокирование веб-угроз. Географический обзор Мы также исследовали происхождение операций блокирования вредоносного ПО по странам и регионам, как показано на рис. 23. Страны для изучения выбирались по интенсивности их интернет-трафика. Коэффициент блокирования 1,0 означает, что число наблюдавшихся блокировок пропорционально размеру сети. В сетях стран и регионов, в которых интенсивность блокирования была выше средней, вероятно, имеется больше веб-серверов и хостов с уязвимостями, для которых не установлены механизмы исправления. Злоумышленники не обращают внимания на государственные границы и размещают вредоносное ПО там, где это будет максимально эффективным.
28 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Присутствие в крупных, коммерчески активных сетях, где обрабатывается большой объем Интернет-трафика, было еще одной причиной высокой активности блокировок — в том числе поэтому Гонконг возглавил наш список. На рис. 24, содержащем помесячное сравнение числа веб-блокировок по странам и регионам с ноября 2014 г. по октябрь 2015 г., приведена дополнительная контекстная информация для этих позиций в списке. Обратите внимание, что в Гонконге более интенсивная по сравнению с обычной активность веб-блокировок началась весной 2015 г., как и во Франции. С того времени и там, и там произошло значительное снижение числа веб-блокировок. Однако, поскольку более высокие показатели интенсивности ранее в этом году несколько отклонялись от базового показателя, то даже после недавнего снижения Гонконг все же остается ощутимо выше в списке на конец года, чем в его начале. После пика блокировок во Франции к середине лета произошел возврат к нормальным уровням. Figure X. Realative Web Block Activity by Country or Region, Month to Month, November 2014 г.–October 2015 г. Источник: Cisco Security Research Ноябрь 2014 г. Гонконг Германия Февраль Апрель Июнь Август ОктябрьНоябрь 2014 г. 0 1 3 5 7 9 11 13 15 0 1 3 5 0 1 3 5 7 9 0 1 3 5 7 9 0 1 3 5 0 1 3 5 7 9 11 13 15 1717 1919 2121 Франция Австралия Италия Февраль Апрель Июнь Август Октябрь Китай 2015 г. 2015 г. Рис. 24. Блокировка веб-угроз по странам и регионам, помесячно, ноябрь 2014 г. — октябрь 2015 г.
29 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Отраслевая аналитика
3030 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Шифрование играет важную роль. Компании должны защищать свою интеллектуальную собственность и другие конфиденциальные данные. Рекламодателям необходимо сохранять целостность контента и внутренних аналитических данных. Кроме того, в сфере бизнеса возрастает потребность в защите конфиденциальности клиентов. Однако шифрование может не только решать проблемы информационной безопасности, но и быть их источником, например создавать ложное чувство защищенности. Организации достигли определенных успехов в шифровании информации при передаче между узлами, но хранимые данные нередко остаются незащищенными. В большинстве значимых нарушений безопасности за последние несколько лет злоумышленники воспользовались незашифрованными данными, хранящимися в центре обработки данных и других внутренних системах. Под таким прикрытием хакеры добираются до ценных сведений без особых проблем. Для организаций также важно понять, что сквозное шифрование может снизить эффективность некоторых решений для обеспечения информационной безопасности. Шифрование скрывает показатели взлома, позволяющие выявлять и отслеживать вредоносную активность. Но оставлять конфиденциальные данные незашифрованными ни в коем случае нельзя. Средства обеспечения информационной безопасности, а также специалисты, которые ими оперируют, должны адаптироваться к современным условиям. Для этого требуется собирать верхние колонтитулы и другие незашифрованные элементы потока данных и прочих источников контекстной информации для анализа зашифрованного трафика. Инструменты, основанные на контроле полезной нагрузки, например полном захвате пакетов, теряют эффективность. Лучшие результаты показывают средства анализа на основе метаданных, в частности Cisco NetFlow. Изучив тенденции 2015 года, наши аналитики пришли к выводу, что зашифрованный трафик (HTTPS) достиг переломной точки. Пока он не покрывает большинство транзакций, но вскоре станет основной формой трафика в Интернете. Исследования показывают, что зашифрованный трафик уже регулярно составляет более половины передаваемого объема данных в байтах (рис. 25) за счет издержек HTTPS и более крупного размера контента, передаваемого через HTTPS, например при передаче данных на сайты для хранения данных. При любой веб-транзакции отправляется (исходящий трафик) и принимается (входящий трафик) определенное число байтов. Транзакции HTTPS отличаются более крупным объемом исходящих запросов по сравнению с HTTP — примерно на 2000 байтов. В свою очередь, входящие запросы HTTPS также влекут издержки, но при росте объема ответов это становится менее значительным. Отраслевая аналитика Корпорация Cisco занимается исследованием и аналитикой тенденций и методов в области информационной безопасности. Как ни странно, некоторые из них усложняют задачу отслеживания угроз, повышая риск взлома или атаки для организаций или отдельных пользователей. 46 % 57 % Figure X.SSL Percentages % HTTPS-запросов 2015 г. % общего числа байтов Январь Октябрь 60 Процент трафика 20 40 24 % 33,56 % Источник: Cisco Security Research Рис. 25. Процент SSL Шифрование: популярная тенденция и сложная задача для специалистов по безопасности ПОДЕЛИТЬСЯ
3131 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год За счет совмещения входящих и исходящих байтов мы можем определить суммарный процент байтов, зашифрованных по протоколу HTTPS, в каждой веб-транзакции. В связи с ростом объема трафика HTTPS и дополнительными издержками было выявлено, что байты HTTPS составляют 57 % всего веб-трафика в октябре 2015 года (рис. 25), а в январе этот показатель равнялся всего 46 %. С помощью анализа веб-трафика мы также определили, что с января 2015 года объем запросов HTTPS рос постепенно, но значительными темпами. На рис. 25 видно, что в 24 % запросов в январе использовался протокол HTTPS, а в остальных — протокол HTTP. В октябре протокол HTTPS использовался в 33,56 % отслеживаемых запросов. Кроме того, был обнаружен рост процентного соотношения входящих байтов HTTPS. Эта тенденция сохранялась в течение всего года. По мере роста объема трафика с использованием протокола HTTPS требуется увеличение пропускной способности. На каждую транзакцию требуется дополнительно 5 Кбит/с. Мы объясняем общий рост объема зашифрованного веб-трафика такими факторами, как: •• увеличение объема мобильного трафика в приложениях со встроенным шифрованием данных; •• рост числа пользовательских запросов на загрузку зашифрованных видеофайлов; •• рост числа запросов на серверы для хранения и резервного копирования данных, на которых хранятся конфиденциальные данные, представляющие ценность для злоумышленников; На рис. 26 показано, что с начала 2015 года число запросов HTTPS к веб-ресурсам для хранения и резервного копирования данных возросло на 50 %. Объем услуг передачи данных также значительно возрос за тот же период — на 36 %. В итоге объем зашифрованного трафика растет за счет роста числа транзакций, а также байтов в каждой из них. Каждая транзакция несет определенную выгоду и потенциальный риск, определяя необходимость во встроенной системе защиты от угроз для повышения уровня контроля. % дельты2015 г. Хранение и резервное копирование данных в режиме онлайн 50 % Службы передачи файлов 36 % Перевод веб-страницы 32 % Поиск фото/изображений 27 % Азартные игры 26 % Порнография 25 % Интернет-телефония 19 % Потоковое видео 17 % Поисковые системы и порталы 14 % Персональные сайты 14 % Ссылки 13 % Незаконные загрузки 13 % Интернет-сообщества 12 % Запрещенные медпрепараты 11 % Госуправление и закон 10 % Белье и купальники 10 % Веб-почта 10 % Контент для взрослых 8 % Рекламные объявления 8 % Мобильные телефоны 8 % Figure X. HTTPS Request- Biggest Changes from January to September 2015 Источник: Cisco Security Research Рис. 26. Запросы HTTPS: важные изменения с января по сентябрь 2015 года ПОДЕЛИТЬСЯ
3232 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Если рассмотреть ведущие домены по запросам (рис. 27), становится понятно, что многие основные страницы Google и Facebook с контентом зашифрованы. Как правило, шифруется лишь 10 % их рекламного трафика. Какими бы трудными ни были задачи, шифрование данных  необходимо в условиях современных угроз. Злоумышленники весьма искусны в преодолении систем разграничения доступа, поэтому пользователям нельзя оставлять важнейшие сведения незашифрованными на любом этапе хранения или передачи данных. В этой связи специалистам по информационной безопасности необходимо отслеживать маршруты веб-трафика, чтобы исключить поступление HTTPS-запросов из подозрительных источников или их утечку по таким направлениям. Небольшое предупреждение: не стоит искать зашифрованный трафик по заранее определенному набору портов. Как описано в следующем разделе, наши исследования показывают, что вредоносное ПО наверняка будет отправлять зашифрованные данные по различным портам. ФАКТОР ЭНТРОПИИ Высокая энтропия — отличный показатель передачи зашифрованных или сжатых файлов, а также обмена такими данными⁶. Преимущество для специалистов по информационной безопасности состоит в том, что энтропию несложно отслеживать, поскольку для этого не требуется криптографических протоколов. В течение трех месяцев начиная с 1 июня 2015 года аналитики Cisco по вопросам безопасности отслеживали 7 480 178 потоков из 598 138 предоставленных образцов вредоносного ПО с показателем угрозы 100. За этот период зарегистрирован 958 851 поток с высокой энтропией, что составляет 12,82 %. Мы также выявили 917 052 потока по протоколу TLS (12,26 %). Кроме того, 8419 потоков по протоколу TLS проходили через порты, отличные от порта 443, который является портом по умолчанию для защищенного HTTP. Среди портов, которыми вредоносное ПО пользовалось для передачи данных, оказались порты 21, 53, 80 и 500. По мере роста объема зашифрованного интернет-трафика организациям становится все важнее сформировать интегрированную архитектуру для защиты от угроз (см. раздел «Шесть принципов интегрированной защиты от угроз» на стр. 62). Специализированные решения не приспособлены для выявления потенциальных угроз в зашифрованном трафике. Встроенные системы безопасности предоставляют специалистам по безопасности дополнительный контроль за происходящим на устройствах или в сетях, упрощая выявление подозрительных маршрутов активности. ⁶ Энтропия: в области вычислений энтропия (недостаток порядка или предсказуемости) — это степень случайности, набранная операционной системой или приложением, для использования в криптографии или других областях, требующих случайных данных. Рис. 27. Основные узлы шифрования трафика HTTPS 0-25 % 26-50 % 51-75 % 76-100 %% зашифрованного трафика Figure X. Top 100 Hosts Источник: Cisco Security Research www.google-analytics.com crl.microsoft.com pagead2.googlesyndication.com ad4.liverail.com b.scorecardresearch.com ads.adaptv.advertising.com ping.chartbeat.net v4.moatads.com au.download.windowsupdate.com ib.adnxs.com c2s-openrtb.liverail.com http.00.s.sophosxl.net platform.twitter.com pixel.adsafeprotected.com ads.yahoo.com Образцы узлов 76-100 % Образцы узлов 51-75 % Образцы узлов 26-50 % Образцы узлов 0-25 % maps.googleapis.com www.google.com googleads.g.doubleclick.net ad.doubleclick.net 0.2mdn.net outlook.office365.com hangouts.google.com www.facebook.com mail.google.com Шифрование 0-25 % 44 узла Шифрование 51-75 % 12 узлов Шифрование 26–50 % 12 узлов Шифрование 76-100 % 32 узла
3333 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Как говорилось во вводной части этого отчета, киберпреступники постоянно ищут методы повышения эффективности и сокращения затрат их деятельности, а также новые способы обхода систем обнаружения. Все чаще они задействуют веб-сайты, созданные на основе популярной платформы WordPress. На сайтах WordPress злоумышленники могут завладеть стабильным потоком взломанных серверов для создания инфраструктуры, поддерживающей программы-вымогатели, средства банковского мошенничества или фишинговые атаки. Интернет полон заброшенных сайтов, созданных с помощью WordPress, за информационной безопасностью которых никто не следит. Такие сайты нередко взламывают и используют для осуществления атак. Проанализировав системы, использованные для поддержки программ-вымогателей и другого вредоносного ПО, аналитики Cisco по вопросам безопасности обнаружили, что многие киберпреступники переносят свою деятельность на серверы WordPress. С февраля по октябрь 2015 года число доменов WordPress, используемых преступниками, выросло на 221 % (см. рис. 28). Аналитики Cisco уверены, что это обусловлено несколькими причинами. Если программы-вымогатели используют другие средства для передачи ключей шифрования или иной информации для управления и контроля, такие потоки можно обнаружить или заблокировать, тем самым прерывая процесс шифрования. Однако потоки передачи ключей шифрования через взломанные серверы WordPress могут не вызывать подозрений. Это повышает вероятность успешного завершения шифрования файлов. Иными словами, сайты WordPress выполняют роль агентов ретрансляции. Рис. 28. Число доменов WordPress, используемых разработчиками вредоносного ПО Figure X. WordPress Domains Used by Malware Creators Источник: Cisco Security Research Февраль 73 Апрель 82 Июнь 114 Август 171 Сентябрь 212 Март 83 Май 123 Июль 181 Январь 128 235 Октябрь Lancope, дочерняя компания Cisco, изучила степень шифрования внутреннего и интернет-трафика в трех секторах бизнеса (два университета, больница и поставщик интернет-услуг — все расположены в США). В одном из университетов специалисты Lancope выявили, что почти весь внутренний трафик был зашифрован (82 %). Кроме того, 53 % интернет-трафика учебного заведения также было зашифровано. Эти показатели соответствуют результатам исследований, проведенных Lancope в других отраслях. Лишь 36 % внутренних данных больницы были зашифрованы. Однако в случае с интернет-трафиком зашифрованными оказались более половины данных (52 %). При исследовании ведущего поставщика интернет-услуг оказалось, что внутренний трафик был зашифрован на 70 %, а интернет-трафик — на 50 %. Исследование Lancope свидетельствует о широком внедрении шифрования передаваемых данных в различных сегментах. Специалисты Cisco считают, что схожую стратегию следует применить к шифрованию хранящихся данных, чтобы ограничить влияние организационных нарушений безопасности. На шаг ближе к шифрованию: реальные данные Киберпреступники начали активнее использовать серверы на WordPress Figure X. The Move Toward Encryption Case Data Веб-данныеВнутренние данные Источник: Lancope Threat Research Labs Больница 36 % 52 % Университет 2 82 % 53 % Университет 1 14 % 37 % 70 % 50 % Интернет- провайдер
3434 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Чтобы обойти недостатки других технологий, преступники стали использовать WordPress для размещения данных вредоносного ПО и серверов для управления и контроля. Сайты WordPress обладают рядом преимуществ. Например, множество заброшенных сайтов предоставляют преступникам дополнительные возможности для взлома документов со слабой системой информационной безопасности. Существует риск использования таких систем для выполнения вредоносного ПО. В случае обнаружения атаки один из взломанных серверов может быть отключен. Если это произойдет в ходе атаки, вредоносная программа-загрузчик может не получить полезной нагрузки. Или вредоносное ПО потеряет связь с серверами для управления и контроля. Аналитики Cisco выяснили, что злоумышленники преодолели этот недостаток путем использования нескольких серверов WordPress. Специалистам Cisco также удалось обнаружить списки подобных серверов, хранящиеся на сайтах для предоставления общего доступа к данным, таких как Pastebin. Вредоносное ПО использовало эти списки для поиска рабочих серверов для управления и контроля, что позволяло ему работать даже при отказе взломанного сервера. Исследователи также определили загрузчиков вредоносного ПО, содержавших список сайтов WordPress, на которых хранятся полезные нагрузки. При отказе одного из сайтов загрузки вредоносное ПО переходило к следующему и загружало информационное наполнение с работающего сервера WordPress. Взломанные сайты WordPress часто работали не на последней версии WordPress, отличались слабыми паролями администратора и использовали подключаемые модули без исправлений информационной безопасности. Эти уязвимости позволяли злоумышленникам присваивать серверы WordPress и использовать их в качестве вредоносной инфраструктуры (см. рис. 29). Аналитики Cisco определили некоторые типы программного обеспечения и файлов, чаще всего размещаемые на взломанных сайтах WordPress: •• исполняемые файлы, представляющие собой информационное наполнение для атак с использованием комплекта эксплойтов; •• файлы конфигурации для вредоносного ПО, например Dridex и Dyre; •• прокси-код, передающий данные для сокрытия инфраструктуры управления и контроля; •• фишинговые веб-страницы для сбора имен пользователей и паролей; •• сценарии HTML, перенаправляющие трафик на серверы комплекта эксплойтов. Кроме того, аналитики Cisco определили множество семейств вредоносного ПО, использующих взломанные сайты WordPress для создания инфраструктуры: •• ПО для кражи информации Dridex; •• ПО для кражи паролей Pony; •• программы-вымогатели TeslaCrypt; •• программы-вымогатели Cryptowall 3.0; •• программы-вымогатели TorrentLocker; •• ботнет для рассылки спама Andromeda; •• троянские дропперы Bartallex; •• ПО для кражи информации Necurs; •• фальшивые страницы входа. Рис. 29. Модель взлома сайтов WordPressFigure X. How Cryptowall Ransomware uses hacked WordPress servers for Command and Control Сервер управления Cryptowall Пользователь просматривает веб-страницу с баннерной рекламой Двоичный файл Cryptowall, загруженный с сервера WordPress Cryptowall извлекает требование выкупа и предоставляет ссылку на сайт платежа. Cryptowall подключается к серверу управления для получения ключа шифрования Cryptowall шифрует документы ! ! ! Источник: Cisco Security Research 3 4 5 6 1 Эксплойт Flash2 ПОДЕЛИТЬСЯ
3535 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Для устранения подобных угроз специалистам по безопасности следует применять технологию безопасности веб-трафика, контролирующую контент, который поступает с сайтов на базе WordPress. Такой трафик можно считать нестандартным, если сеть загружает с сайтов WordPress программы, а не просто веб-страницы и изображения (хотя на сайтах WordPress можно также размещать законное ПО). Устаревающая инфраструктура: проблема, которой уже 10 лет Все современные организации в большей или меньшей степени относятся к числу ИТ-компаний, поскольку используют инфраструктуру информационных и операционных технологий для связи, цифровых операций и получения прибыли. По этой причине им необходимо позаботиться об ИТ-безопасности. Однако многие предприятия полагаются на сетевые инфраструктуры, основанные на устаревших компонентах под управлением уязвимых операционных систем с низкой степенью защиты от кибератак. Недавно мы проанализировали 115 000 устройств Cisco в Интернете и средах заказчиков, чтобы привлечь внимание к рискам безопасности, обусловленным устаревающей инфраструктурой и невниманием к уязвимостям. Мы определили эти 115 000 устройств в нашем однодневном примере, изучив Интернет и рассмотрев устройства «наизнанку» (от представления в Интернете к предприятию). С помощью изучения и анализа мы обнаружили, что программное обеспечение 106 000 из 115 000 устройств содержит известные уязвимости. Это означает, что 92 % проанализированных устройств Cisco в Интернете подвержены известным уязвимостям. Специалисты Cisco также выявили, что версия программного обеспечения на тех устройствах содержала в среднем 26 уязвимостей. Кроме того, мы узнали, что многие организации использовали в своей сетевой инфраструктуре устаревшее ПО (рис. 30). Мы обнаружили, что некоторые заказчики в области финансовых услуг, здравоохранения и розничной торговли используют версии нашего программного обеспечения, выпущенные более 6 лет назад. Мы также выяснили, что для многих инфраструктурных устройств настал последний день поддержки (LDoS), то есть для них недоступны обновления и повышение безопасности (рис. 31). Для этих устройств даже не предоставляются исправления известных уязвимостей, поэтому они не получают сведений о новых угрозах. Заказчиков уведомили об этой проблеме. 0 1 2 3 4 5 6 Кол-во лет Figure X. Average Software Age in Years Аэропорт С вязь Производство лекарств Крупный бизнес Ф инансовые услугиЗдравоох- ранение С трахование Интернет- провайдеры Розничная торговля Телекомму- никации Источник: Cisco Security Research Рис. 30. Средний возраст программного обеспечения в годах 2 Страхование 1 Крупный бизнес 0.6 Розничная торговля 10 Интернет- провайдеры 16.3 Здравоох- ранение 15.7 Телекомму- никации 15 Финансовые услуги 19.9 Figure X. Percentage of LDoS for Infrastructure Devices Источник: Cisco Security Research Производство лекарств 4.8 Аэропорт 5 Связь Рис. 31. Процент инфраструктурных устройств, достигших последнего дня поддержки (LDoS) Подробнее об этом можно узнать в статьях на блоге Cisco Security: «ИТ-безопасность: переоцененная зрелость» «Эволюция атак на устройства Cisco IOS» «SYNful Knock: обнаружение и нейтрализация атак на Cisco IOS»
3636 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Использование устаревающей инфраструктуры распахивает двери киберпреступникам. Однако общий рост числа оповещений, включая уязвимости проприетарного программного обеспечения и ПО с открытым исходным кодом, — верный признак того, что компании в технологическом сегменте делают все возможное, чтобы устранить лазейки для злоумышленников. С 2014 по 2015 год совокупные показатели оповещений возросли на 21 %. С июля по сентябрь 2015 года их число выросло особо значительно. Немалую часть этого роста можно объяснить крупными программными обновлениями от таких поставщиков, как Майкрософт и Apple, поскольку обновления продуктов увеличивают количество оповещений об уязвимостях ПО. Основные поставщики программного обеспечения стали чаще выпускать исправления и обновления, а также сделали сам процесс обновления более прозрачным. Растущий объем — основной стимул для организаций, автоматизирующих управление уязвимостями за счет использования средств обеспечения аналитики информационной безопасности и платформ управления, которые помогают управлять крупными объемами системных и программных ресурсов, уязвимостями и сведениями об угрозах. Эти системы и прикладные программные API-интерфейсы обеспечивают более рациональное, своевременное и эффективное управление безопасностью в организациях любого размера. Совокупные показатели оповещений свидетельствуют о растущем интересе к управлению уязвимостями Рис. 32. Совокупные показатели оповещений Кроме того, 8 % из 115 000 проанализированных устройств достигли завершающего этапа своего жизненного цикла, а еще 31 % достигнет этого этапа в пределах от одного до четырех лет. Устаревающая и устаревшая ИТ-инфраструктура полна уязвимостей для организаций. По мере перехода на Интернет вещей (IoT) и Всеобъемлющий Интернет (IoE) компаниям становится все важнее использовать безопасную сетевую инфраструктуру, которая обеспечивает целостность данных и потоков информации, передаваемых по сети. Это крайне важно для успешного распространения развивающейся концепции Всеобъемлющего Интернета (IoE). Многие заказчики Cisco создали свои сетевые инфраструктуры около десяти лет назад. Тогда многие компании просто не учитывали того факта, что они будут полностью зависеть от своей инфраструктуры. Также организации не ожидали, что она станет основной целью злоумышленников. Компании стараются не обновлять инфраструктуру, поскольку это дорогостоящий процесс, требующий простоя сети. В некоторых случаях простого обновления недостаточно. Отдельные продукты настолько устарели, что их нельзя обновить для внедрения новейших решений по обеспечению информационной безопасности, необходимых для защиты бизнеса. Эти факты свидетельствуют о том, насколько важно обслуживать инфраструктуру. Организациям следует планировать регулярные обновления и признать ценность заблаговременного контроля критически важной инфраструктуры, прежде чем на нее будет совершена атака. ПОДЕЛИТЬСЯ Январь Декабрь Источник: Cisco Security Research 0 8K Всего предупреждений Figure X. Cumulative Annual Alert Totals 21% c 2014 г. по 2015 г. 2013 г. 2014 г. Октябрь
3737 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 33. Число уязвимостей в распространенных категориях По результатам исследования стандартных категорий уязвимостей, с 2014 по 2015 год категория межсайтового скриптинга (XSS) сократилась на 47 % (рис. 33). Это снижение может быть обусловлено более тщательными проверками на наличие уязвимостей. Поставщики стали эффективнее определять уязвимости этого типа и устранять их до выхода продуктов на рынок. В 2015 году категории информационных утечек или раскрытия информации сократились на 15 %. Эти уязвимости включают непреднамеренное раскрытие информации лицам, у которых нет явного доступа к ней. Поставщики стали внимательнее относиться к средствам управления доступом к данным, сократив число случаев проявления этого распространенного типа уязвимостей. Категории угроз: сокращение буферных ошибок, информационных утечек и случаев непреднамеренного раскрытия информации Предприятия малого и среднего бизнеса (SMB) играют важнейшую роль в экономической жизни государств. Они также несут ответственность за сохранность конфиденциальных данных заказчиков. Однако, как подробно описано в сравнительном исследовании возможностей систем информационной безопасности Cisco за 2015 год (см. стр. 41), предприятия малого и среднего бизнеса (SMB) демонстрируют, что их системы защиты от злоумышленников гораздо слабее, чем требуется. В свою очередь, эти уязвимости могут подвергать опасности корпоративных заказчиков предприятий. Злоумышленники, способные взломать сеть такой компании, могут также найти путь к сети крупного предприятия. Судя по результатам сравнительного исследования возможностей систем информационной безопасности Cisco за 2014 год, предприятия малого и среднего бизнеса (SMB) сократили число используемых процессов для анализа взломов и средств защиты от угроз по сравнению с предыдущим годом. Например, в 2015 году 48 % таких организаций сообщили, что используют средства обеспечения безопасности интернет-трафика. В 2014 году об этом заявили 59 %. В 2015 году только 29 % опрошенных компаний заявили об использовании инструментов исправления и конфигурирования. В 2014 этот показатель составлял 39 %. Более того, из всех опрошенных предприятий малого и среднего бизнеса (SMB), в которых нет исполнительного лица, ответственного за информационную безопасность, около четверти уверены, что их бизнес не представляет особой ценности для киберпреступников. Это мнение указывает на чрезмерную уверенность компаний в своей способности противостоять современным сложным атакам или же (что более вероятно) в том, что они не заинтересуют злоумышленников. Предприятия малого и среднего бизнеса — слабое звено информационной безопасности крупных предприятий? ПОДЕЛИТЬСЯ Источник: Cisco Security Research Figure X. Common Vulnerabliity Categories 2014 г. 2015 г. CWE-119: ошибки буферизации 861 681 CWE-22: пересечение путей 42 22 CWE-94: внедрение кода 76 37 CWE-264: разрешения, привилегии и разграничение доступа 270 220 CWE-89: внедрение SQL-кода 35 20 CWE-287: проблемы аутентификации 50 27 CWE-200: утечка/раскрытие информации 269 191 CWE-352: подделка межсайтовых запросов (CSRF) 36 45 CWE-59: переход по ссылкам 12 4 (рост) CWE-79: межсайтовый скриптинг (XSS) 201 120 CWE-16: конфигурация 4 10 CWE-78: внедрение команд ОС 42 26 (Increase)
3838 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год ПРЕДПРИЯТИЯ МАЛОГО И СРЕДНЕГО БИЗНЕСА (SMB) С МЕНЬШЕЙ ВЕРОЯТНОСТЬЮ СОЗДАЮТ ГРУППЫ РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ Предприятия малого и среднего бизнеса (SMB) реже создают группы реагирования на инциденты и аналитики угроз, нежели крупные компании. Это может быть обусловлено бюджетными ограничениями: респонденты указывали финансовые трудности как одно из основных препятствий при внедрении расширенных процессов и технологий для обеспечения безопасности. 72 % крупных предприятий (со штатом более 1 000 сотрудников) используют обе группы, в то время как среди компаний со штатом менее 500 сотрудников этот показатель составил 67 %. Предприятия малого и среднего бизнеса (SMB) также используют меньше процессов для анализа взломов, устранения причин инцидента и восстановления систем к состоянию до взлома (рис. 35). Например, 53 % предприятий со штатом более 10 000 сотрудников используют средства анализа сетевых потоков для анализа взломанных систем. Среди компаний со штатом менее 500 сотрудников это делают лишь 43 %. 60 % компаний со штатом более 10 000 сотрудников исправляют и обновляют приложения с потенциальными уязвимостями. Среди предприятий со штатом менее 500 сотрудников этот показатель составляет 51 %. По-видимому, предприятия малого и среднего бизнеса все реже используют определенные средства защиты от угроз. Например, в 2014 году 52 % предприятий малого и среднего бизнеса пользовались решениями безопасности мобильного доступа, а в 2015 году этот показатель сократился до 42 %. Кроме того, в 2014 году 48 % предприятий малого и среднего бизнеса (SMB) использовали средства обнаружения уязвимостей, и лишь 40 % — в 2015 году (см. рис. 36). Рис. 35. Предприятия малого и среднего бизнеса (SMB) используют меньшее число процессов информационной безопасности, нежели крупные компании Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMBs Use Fewer Security Processes than Large Enterprises Какие из приведенных здесь процессов использует ваша организация для анализа скомпрометированных систем? Техническая экспертиза памяти Анализ сетевого потока Анализ системных журналов Внешние (сторонние) группы реагирования на инциденты и их анализ Анализ корреляции событий с записями в журналах Анализ реестра Обнаружение IOC Внедрение дополнительных или новых средств обнаружения и контроля Размер компании Какие процессы использует ваша организация для восстановления систем до состояния, предшествовавшего инциденту? Исправление и обновление приложений, считающихся уязвимыми 30% 43% 47% 30% 34% 43% 31% 49% 250-499 51% 34% 47% 51% 32% 34% 43% 34% 55% 500-999 53% 34% 52% 55% 34% 40% 49% 37% 57% 1000-9999 57% 37 % 53 % 59 % 39 % 42 % 52 % 36 % 61 % 10,000+ 60 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMB Biggest Obstacles Что из ниже перечисленного вы считаете основными препятствиями для внедрения современных процессов и технологий безопасности? Размер компании 250-499 500-999 1000-9999 Бюджетные ограничения 40% 39% 39% 41% Проблемы совместимости с существующими системами 32% 30% 32% 34% Другие приоритеты 25% 25% 24% 24% 10,000+ Рис. 34. Основные препятствия на пути предприятий малого и среднего бизнеса (SMB) Рис. 36. Ослабление систем защиты предприятий малого и среднего бизнеса (SMB) в 2015 году Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMB Defenses Decrease in 2015 Используются ли в вашей организации какие-либо из приведенных здесь видов защиты от угроз безопасности? 2014 г. 2015 г. Информационная безопасность мобильного доступа 52 % 42 % 51 %Защита беспроводного доступа 41 % Поиск уязвимостей 48 % 40 % VPN 46 % 36 % Управление информацией и событиями в системе информационной безопасности (SIEM) 42 % 35 % Техническая экспертиза сетевой инфраструктуры 41 % 29 % Установка исправлений и настройка 39 % 29 % Техническая экспертиза оконечных устройств 31 % 23 % Тестирование на проникновение 38 % 32 %
3939 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Почему так важен тот факт, что предприятия малого и среднего бизнеса (SMB) начинают использовать меньше средств защиты, нежели более крупные компании? Ситуация в области информационной безопасности такова, что злоумышленники разрабатывают все более изощренные методы взлома сетевых инфраструктур и сокрытия своих действий. В таких условиях ни одна компания не может позволить себе оставить свои сети без защиты или откладывать использование процессов, позволяющих узнать о характере взлома, чтобы не допустить подобного в будущем. Кроме того, предприятия малого и среднего бизнеса (SMB) могут не осознавать, что их собственная уязвимость ведет к рискам для их более крупных, корпоративных заказчиков и их сетевых инфраструктур. Современные киберпреступники нередко проникают в одну сетевую инфраструктуру, чтобы найти точку входа в другую, более ценную. Именно предприятия малого и среднего бизнеса (SMB) могут стать начальной точкой для такой атаки. НИЖЕ ВЕРОЯТНОСТЬ СТАТЬ ЖЕРТВОЙ НАРУШЕНИЯ БЕЗОПАСНОСТИ ОБЩЕДОСТУПНЫХ БАЗ ДАННЫХ Предприятия малого и среднего бизнеса (SMB) с меньшей вероятностью становились жертвами нарушения безопасности общедоступных баз данных. Скорее всего, это связано с их меньшей зоной присутствия в сети. Среди предприятий со штатом более 10 000 сотрудников 52 % сталкивались с нарушением безопасности общедоступных баз данных, в то время как среди компаний со штатом менее 500 сотрудников в подобной ситуации оказывались лишь 39 %. Вполне очевидно, что нарушение информационной безопасности общедоступных баз данных наносит немалый ущерб деятельности компании, однако у них есть одно преимущество: часто подобные ситуации заставляют организации с большим вниманием отнестись к своим системам безопасности и усилить защиту. Результаты опроса, проведенного компанией Cisco (см. стр. 74), показывают, что в случае нарушения безопасности общедоступных баз данных крупные предприятия значительно улучшают свои технологии обеспечения безопасности и внедряют более эффективные процессы. Отношение предприятий малого и среднего бизнеса к возможности стать целью киберпреступников свидетельствует о пробелах в их восприятии современных угроз. Как показано на рис. 38, 22 % компаний со штатом менее 500 сотрудников сообщили, что в них отсутствует исполнительное лицо, напрямую отвечающее за информационную безопасность, поскольку они не считают себя ценными целями для злоумышленников. Компани (Объясн лица, от и отчетн Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value T Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 2 78 % НетДа Да 250-4 11 % 7 % 8 % 8 % Рис. 38. Предприятия малого и среднего бизнеса (SMB) не считают себя особо ценными целями Крупные компании (более 10 000) Скольким компаниям пришлось иметь дело с нарушением безопасности? 39 % 52 % Предприятия среднего и малого бизнеса (250–499) Figure X. SMBs Report Fewer Public Breaches; Less Likely than Enterprises to Initiate Changes in Response Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 37. Предприятия малого и среднего бизнеса (SMB) реже подвергаются нарушениям безопасности общедоступных баз данных Компани (Объясн лица, от и отчетн Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value T Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 2 78 % НетДа Да 250-4 11 % 7 % 8 % 8 % Компания не является значимой целью для злоумышленников. (Объяснение причин, по которым в компании нет должностного лица, ответственного за информационную безопасность и отчетность в этой области.) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value Targets Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 22 % 17 %13 %26 % 74 %78 % 87 % 83 % НетДа НетДа 250-499 500-999 1000-9999 10,000+ 11 % 7 % 8 % 8 % ПОДЕЛИТЬСЯ
4040 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Опрос показал, что в целом все большее число предприятий малого и среднего бизнеса (SMB) привлекают сторонние компании для выполнения некоторых функций информационной безопасности, однако они реже передают на аутсорсинг консультации и консалтинг, нежели крупные игроки рынка. Например, 55 % крупных компаний пользуются сторонними поставщиками услуг консалтинга, а среди предприятий со штатом менее 500 сотрудников этот показатель составляет 46 %. 56 % крупных компаний привлекают сторонних подрядчиков для выполнения проверок систем информационной безопасности, в то время как среди предприятий со штатом менее 500 сотрудников этим занимаются 42 % (см. рис. 39). Однако в 2015 году возросло число предприятий малого и среднего бизнеса (SMB), пользующихся некоторыми услугами обеспечения безопасности сторонних поставщиков. В 2014 году 24 % предприятий малого и среднего бизнеса (SMB) со штатом менее 499 сотрудников заявили, что не пользуются какими-либо услугами сторонних поставщиков. В 2015 году об этом сообщили только 18 % предприятий малого и среднего бизнеса (SMB). Тот факт, что все больше предприятий малого и среднего бизнеса (SMB) поручают управление системами информационной безопасности сторонним компаниям, не может не радовать. Это свидетельствует о том, что предприятиям малого и среднего бизнеса (SMB) требуются универсальные средства защиты сетей, которые не перегружают их персонал или бюджет. Однако такие предприятия могут быть ошибочно убеждены, что поручение процессов обеспечения информационной безопасности сторонним поставщикам значительно сократит вероятность взлома сети. Они также могут возлагать бремя ответственности за информационную безопасность на другие компании. Такая точка зрения выдает желаемое за действительное, поскольку лишь действительно интегрированная система защиты от угроз, анализирующая, устраняющая и предотвращающая атаки, может обеспечить информационную безопасность корпоративного уровня. ПРЕДПРИЯТИЯ МАЛОГО И СРЕДНЕГО БИЗНЕСА (SMB) ЧАЩЕ ПОРУЧАЛИ ВЫПОЛНЕНИЕ ФУНКЦИЙ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СТОРОННИМ КОМПАНИЯМ В 2015 ГОДУ Источник: сравнительное исследование возможностей систем информационной безопасности корпорации Cisco, 2015 г. Figure X. More SMBs Outsource in 2015 Размер компании Рекомендации и консультирование Мониторинг Аналитика угроз Реагирование на инциденты Аудит Восстановление 250-499 46% 45% 42% 39% 35% 33% 51% 46% 46% 44% 37% 38% 54% 42% 46% 44% 42% 36% 55% 44% 56% 40% 41% 36% Отсутствуют 18% 12% 11% 10% Какие причины побудили вашу организацию среднего или малого бизнеса (250–499 сотрудников) покупать эти услуги у сторонних организаций? Отсутствие собственного опыта 31% Дешевле 51% Нехватка внутренних ресурсов (ПО, кадры) 30% Объективность 45% Более быстрое реагирование на инциденты 45% 1000-9999500-999 10,000+ Когда речь идет об информационной безопасности, какие из ниже перечисленных типов услуг предоставляются вам полностью или частично сторонними организациями? Рис. 39. В 2015 году услугами обеспечения информационной безопасности сторонних поставщиков пользовалось большее число предприятий малого и среднего бизнеса (SMB). ПОДЕЛИТЬСЯ
4141 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Сравнительное исследование возможностей систем информационной безопасности Cisco
42 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год С учетом возросшей сложности угроз исследование Cisco указывает на снижение уверенности специалистов по безопасности. При этом растущие опасения меняют подход профессионалов к обеспечению информационной безопасности сетевых инфраструктур. Например, сотрудники все чаще проходят обучение по вопросам информационной безопасности, разрабатывается больше официальных политик, а также растет объем задач, передаваемых сторонним поставщикам, таких как проверки систем информационной безопасности, консалтинг и реагирование на инциденты. Иными словами, вполне очевидно, что специалисты по безопасности всеми силами борются с угрозами, нависшими над сетевыми инфраструктурами. Инициативы, связанные с обучением и привлечением сторонних компаний, свидетельствуют о положительных тенденциях развития, но отрасль информационной безопасности не может ограничиваться лишь этим. Необходимо расширять использование инструментов и процессов, повышающих эффективность обнаружения и удержания угроз, а также восстановления после них. С учетом ограничений бюджета и неполной совместимости решений компаниям также необходимо искать эффективные методы, предоставляющие интегрированную защиту от угроз. Компаниям также следует плотнее сотрудничать с другими организациями при нарушении безопасности общедоступных баз данных (как в случае с бот-сетью SSHPsychos; см. стр. 14), поскольку обмен опытом может помочь предотвратить атаки в дальнейшем. Чтобы численно оценить мнение специалистов по безопасности, Cisco опросила руководителей (CSO) и менеджеров (SecOp) по безопасности из разных стран и организаций об их ресурсах и процедурах обеспечения информационной безопасности. Сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год предоставляет аналитические сведения о развитости современных операций и методов обеспечения информационной безопасности, а также позволяет сравнить эти результаты с итогами первоначального исследования, проведенного в 2014 году. Сравнительное исследование возможностей систем информационной безопасности Cisco Понимание, что принятых мер недостаточно
43 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год По мере того как специалисты по безопасности узнают об угрозах подробнее, они могут начать искать пути укрепления систем защиты. Один из вариантов — привлечение сторонних компаний для выполнения задач по обеспечению информационной безопасности, для управления которыми больше подходят консультанты или поставщики. В 2015 году 47 % опрошенных нами компаний поручали проверку систем информационной безопасности сторонним поставщикам. В 2014 году этот показатель составлял 41 %. Кроме того, в 2015 году 42 % компаний привлекали сторонних поставщиков для выполнения процессов реагирования на инциденты, в то время как в 2014 году этим занимались 35 % организаций (рис. 40). Все больше специалистов по безопасности поручают сторонним компаниям по крайней мере некоторые функции обеспечения информационной безопасности. В 2014 году 21 % участников опроса сообщили, что не привлекали сторонних поставщиков для предоставления каких-либо услуг обеспечения безопасности. В 2015 году их число значительно сократилось и составило 12 %. 53 % респондентов сообщили, что пользуются услугами сторонних компаний, поскольку это выгоднее, а 49 % делают это для получения объективных аналитических сведений. С целью повышения уровня защиты сетевых инфраструктур и данных специалисты по безопасности рассматривают возможность размещения сетей у сторонних поставщиков. Хотя компании все еще предпочитают локальное размещение, число профессионалов, пользующихся размещением у поставщиков, возросло. В 2015 году 20 % компаний использовали частные облачные решения с размещением у поставщика, что на 2 % больше показателя 2014 года (рис. 41). Рис. 41. Рост популярности размещения у сторонних поставщиков Рис. 40. Обзор услуг, предоставляемых сторонними поставщиками РЕСУРСЫ: ОРГАНИЗАЦИИ ЧАЩЕ ПРИВЛЕКАЮТ СТОРОННИЕ КОМПАНИИ Консалтинг Аудит Мониторинг Реагирование на инциденты Аналитика угроз Восстановление Нет/внутри организации 51 % 41 % 42 % 35 % 34 % 21 % Н/Д (недоступно) 52 % 47 % 44 % 42 % 36 % 12 % 39 % Дешевле Объективность Более быстрое реагирование на инциденты Отсутствие собственного опыта Недостаток опытных специалистов в штате 53 % 49 % 46 % 31 % 31 % Почему предоставление этих услуг поручается сторонним компаниям? 2015 r. (n=1129) Какие услуги обеспечения безопасности предоставляются сторонними организациями? 2014 г. (n=1738) 2015 r. (n=2432) Figure X. Outsourced Services Seen as Cost Effective Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. † Число респондентов, пользующихся услугами обеспечения безопасности сторонних поставщиков (2015 г.; n=2129) Локальное размещение сетевых инфраструктур организации все еще наиболее популярно, однако доля сетей, размещенных у сторонних поставщиков, возросла с прошлого года Figure X. Off-Premise Hosting on the Rise 2014 г. (n-2417) 2015 г. (n=2417) Локальное размещение в составе частного облака 50 % 51 % Общедоступное облако с размещением у поставщика 8 % 10 % Частное облако с размещением у поставщика 18 % 20 % Локальное размещение с управлением от стороннего поставщика 23 % 24 % Локальное размещение 54 % 48 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
44 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Группы по информационной безопасности, опрошенные компанией Cisco, стремятся обеспечить максимальную защиту своих сетевых инфраструктур, но доступные им ресурсы могут быть ограниченны. Специалисты по безопасности указывают, что бюджетные ограничения (39 %) — основной фактор выбора тех или иных услуг и инструментов обеспечения безопасности. На втором месте стоят проблемы совместимости технологий (32 %; см. рис. 42). Бюджетные ограничения становятся серьезной проблемой для предприятий на начальной или близкой к начальной стадии развития (см. рис. 43). 39 % специалистов по безопасности указывают бюджетные ограничения как помеху внедрению расширенных процессов безопасности. Из компаний с подобными ограничениями 43 % находятся на раннем этапе развития, а 48 % — на близком к начальному. Один из признаков того, что некоторые организации стали внимательнее относиться к своим ресурсам информационной безопасности, состоит в их подходе к распределению бюджета. Опрос указывает на небольшой рост числа организаций, отделяющих бюджет на обеспечение информационной безопасности от общего ИТ-бюджета. В 2014 году 6 % специалистов сообщили, что они полностью разделили бюджет на средства информационной безопасности и ИТ-бюджет. В 2015 году их доля возросла до 9 % (см. рис. 44). Figure X. Budget Constraints Are the Major Barrier to Security Upgrades 2015 г. (n=2432)Основные препятствия на пути внедрения расширенных функций безопасности Отсутствие поддержки со стороны старшего руководства 20 % Опасение приобретать решения, эффективность которых не подтверждена собственным опытом 22 % Нехватка обученного персонала 22 % Корпоративная культура/отношение 23 % Недостаток знаний 23 % Слишком высокая текущая нагрузка 24 % Другие приоритеты 24 % Требования сертификации 25 % Проблемы совместимости 32 % Бюджетные ограничения 39 %$ Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 42. Бюджетные ограничения — основная помеха обновлениям систем информационной безопасности FIgure X. Budget Constraints as Biggest Obstacles to Adopting Advanced Security Processes and Technology ВысокийВыше среднегоСреднийНиже среднего 38 %38 %39 % 48 % 43 % Низкий Процент респондентов, считающих бюджетные ограничения главной помехой в своей деятельности (n=2432) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 43. Бюджетные ограничения более актуальны для компаний на ранних стадиях развития Основная причина получения работы Полностью включен в ИТ-бюджет Частично Входит в ИТ- бюджет 6 % 9 % 33 % 33 % 61 % 58 % $ $ A Minority of Organizations Still Have Security Budgets that Are Completely Separate From it, but Incidence Has Increased. Входит ли бюджет на обеспечение информационной безопасности в состав ИТ-бюджета? Figure X. Slight Increases in Organizations with Separate Security Budgets 2014 r. (n=1720) 2015 r. (n=2417) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Отдельно Рис. 44. Небольшой рост числа организаций с отдельным бюджетом на обеспечение информационной безопасности ПОДЕЛИТЬСЯ
45 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Принимая политики информационной безопасности в качестве стандарта или проходя сертификацию, организации показывают свое стремление к улучшению информационной безопасности. Почти 2/3 специалистов по безопасности сообщили, что их компании прошли или проходят сертификацию по стандартизированным политикам или методам информационной безопасности (рис. 45). Это еще один верный признак того, что предприятия осознают ценность знаний в области обеспечения информационной безопасности и реагирования на инциденты. Figure X. Majority of Organizations Are Certified or Seeking Certification Подготовка к процессу сертификации В процессе сертификации Организация использует стандартизированную политику информационной безопасности (2015 г. n=1265) 63 % Химическая технология или производство 58 % Некомпьютерное производство 57 % Транспортировка 46 % Сельское и лесное хозяйство, рыболовство 44 % Фармацевтика 36 % Горнодобыча 70 % Финансовые услуги 70 % Телекоммуникации 67 % Здравоохранение 65 % Правительство 64 % Коммунальные услуги и энергетика 63 % Другие отрасли Сертификация пройдена 63 %31 % 7 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 45. Большинство организаций прошли или проходят сертификацию Рис. 46. Межсетевые экраны (МСЭ) и средства предотвращения утечки данных — самые распространенные инструменты обеспечения информационной безопасности Проведя исследование тенденций использования средств обеспечения информационной безопасности, мы выяснили, что чаще всего для этой цели применяются межсетевые экраны (65 %). За ними следуют средства предотвращения утечки данных (56 %) и аутентификации (53 %; см. рис. 46). В 2015 году компании в меньшей степени полагались на облачные средства. Хотя специалисты по безопасности проявили желание пользоваться услугами обеспечения безопасности сторонних поставщиков (см. стр. 43), их больше привлекает локальное развертывание инструментов (см. стр. 71, чтобы ознакомиться с полным списком). Средства защиты от угроз безопасности, используемые организацией Управление системами безопасности с помощью облачных сервисов (участники опроса специалистов по безопасности, использующие системы защиты от угроз безопасности) 2014 г. (n=1738) 2014 г. (n=1646) 2015 r. (n=2268)2015 r. (n=2432) Безопасность сети, межсетевые экраны и предотвращение вторжений* 60 % Н/Д (недоступно) 35 % Информационная безопасность электронной почты/мгновенных сообщений 56 % 52 % 37 % 34 % Шифрование/конфиденциальность/защита данных 53 % 53 % Предотвращение утечки данных 55 % 56 % Аутентификация 52 % 53 % Межсетевой экран (МСЭ)* Н/Д (недоступно) 65 % 31 % Обеспечение безопасности веб-трафика 59 % 51 % 37 % 31 % *Межсетевые экраны и предотвращение вторжений являлись единым подходом в 2014 году: «Безопасность сети, межсетевые экраны и предотвращение вторжений». Figure X. Firewalls and Data Loss Prevention Are Most Commonly Used Security Tools Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
46 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год ВОЗМОЖНОСТИ: СПАД УВЕРЕННОСТИ В 2015 году специалисты по безопасности стали менее уверенными в том, что их инфраструктура безопасности отвечает современным требованиям, нежели в 2014 году. Такой спад уверенности, несомненно, обусловлен непрерывным потоком мощных атак на крупные предприятия, последующей кражей конфиденциальных данных и публичными извинениями компаний, чьи сетевые инфраструктуры были взломаны. Однако снижение уверенности сопровождается растущим интересом к разработке более эффективных политик. Как видно на рис. 47, в 2015 году больше компаний (66 %) внедрили официальную стратегию обеспечения безопасности, нежели в 2014 году (59 %). Рис. 48. Спад уверенности в 2015 году Показателем спада уверенности является также и тот факт, что специалисты по безопасности сомневаются в своих технологиях. В 2014 году 64 % респондентов были уверены, что их инфраструктура безопасности отвечает современным требованиям и постоянно обновляется. В 2015 году доля таких компаний сократилась до 59 % (рис. 48). Кроме того, в 2014 году 33 % специалистов признали, что их организации не оснащены новейшими средствами обеспечения информационной безопасности. В 2015 году этот показатель возрос до 37 %. Степень уверенности несколько выше среди руководителей по безопасности (CSO), которые отличаются большим оптимизмом, нежели менеджеры. 65 % руководителей считают, что их инфраструктура безопасности соответствует современным требованиям, тот же показатель среди менеджеров составил 54 %. Уверенность последних может быть ниже из-за необходимости реагировать на ежедневные инциденты, что приводит к менее оптимистичному взгляду на эффективность систем информационной безопасности. ПОДЕЛИТЬСЯ Рис. 47. Все больше организаций разрабатывают официальные политики безопасности Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Off-Premise Hosting on the Rise 2014 г. (n=1738) Стандарты информационной безопасности 2015 г. (n=2432) Официальная общекорпоративная стратегия обеспечения безопасности, регулярно обновляемая и предоставляемая в письменной форме 66 % Ничего из вышеперечисленного 1 % 1 % Использование стандартизированной политики информационной безопасности, такой как Международная организация по стандартизации (ISO) 27001 59 % 52 % 52 % 54 % 38 % Официальное определение критически важных бизнес-ресурсов, которые требуют особого внимания при управлении рисками и являются важными для бизнеса или нуждаются в повышенной защите согласно нормативным требованиям Figure X. Confidence is Lower in 2015 2014 г. (n=1738) 2015 г. (n=2432) In 2015, Companies are Less Confident that Their Security Infrastructure is Up-to-Date; Budget is the Top Barrier to Upgrades. Наша инфраструктура безопасности актуальна и постоянно обновляется с применением самых совершенных технологий. Мы регулярно осуществляем замену или обновление наших технологий обеспечения безопасности, но обходимся при этом не самыми новыми и совершенными инструментами. Мы меняем или обновляем наши технологии обеспечения безопасности только тогда, когда прежние уже не работают или устарели, либо в случае возникновения совершенно новых потребностей. 64 % 59 % 33 % 37 % 3 % 5 % Как бы вы описали состояние вашей инфраструктуры безопасности? Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
47 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Специалисты по безопасности также неоднозначно относятся к готовности своих систем для отклонения атак злоумышленников. 51 % специалистов твердо убеждены в своей способности обнаруживать уязвимости до того, как они станут полномасштабными инцидентами. Лишь 45 % уверены, что могут определить масштаб взлома сети и устранить нанесенный ущерб (см. рис. 49). Специалисты по безопасности также менее уверены в способности защитить свои сетевые инфраструктуры от атак. Например, в 2015 году меньше профессионалов уверены в эффективности систем информационной безопасности, внедренных в процедуры приобретения, разработки и обслуживания систем (54 % в 2015 году и 58 % в 2014 году; см. рис. 50). (см. страницу 76, чтобы ознакомиться с полным списком). Рис. 49. Разная степень уверенности относительно эффективности обнаружения взломов ПОДЕЛИТЬСЯ Figure X. Mixed Confidence in Ability to Detect Compromises Процент организаций, способных обнаружить уязвимость в системе информационной безопасности до того, как она разовьется до полномасштабного инцидента Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Процент организаций, способных без труда определить масштаб взлома и устранить его последствия 451 8 46 (2015 г.; n=2432) Наша инфраструктура безопасности актуальна и постоянно обновляется с применением самых совершенных технологий. 511 4 45 Совершенно неверно Совершенно верноНеверно Верно Как бы вы описали состояние вашей инфраструктуры безопасности? 59 % Рис. 50. Снижение уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы Figure X. Lower Confidence in Ability to Build Security into Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях (%) 93 582 5 35 96 541 4 42 2015 г. n=2432 2014 г. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности
48 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год В некоторых отраслях уверенность специалистов в возможностях систем информационной безопасности не так высока. Например, в 2015 году лишь 54 % респондентов были уверены в эффективности своей системы при проверке действительности инцидентов информационной безопасности (см. рис. 51). (см. страницу 77, чтобы ознакомиться с полным списком). Респонденты также сомневаются, что их системы могут определить масштаб таких взломов и обеспечить их удержание. 56 % респондентов сообщили, что регулярно и официально пересматривают и улучшают свои методы обеспечения безопасности со стратегической точки зрения. 52 % уверены, что их технологии обеспечения безопасности тесно интегрированы и эффективно работают вместе (см. рис. 52). (см. страницу 79, чтобы ознакомиться с полным списком). Рис. 51. Предприятия уверены в эффективности своих средств управления информационной безопасностью Security Controls Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средства управления информационной безопасностью 92 541 6 38 95 541 5 41 2015 г. n=2432 2014 г. n=1738 Совершенно неверно Совершенно верноНеверно Верно На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. Совершенно неверно Совершенно верноНеверно Верно 94 561 4 38 96 561 4 40 2015 г. n=2432 2014 г. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 г. n=2432 2014 г. n=1738 Определение масштаба вторжения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 г. n=2432 2014 г. n=1738 Практическое применение систем информационной безопасности Figure X. Enterprises Lack Confidence in Ability to Contain Compromises Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 52. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности ПОДЕЛИТЬСЯ
49 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Как и в 2014 году, в 2015 году более 1/4 специалистов по информационной безопасности признали, что считают свои средства обеспечения информационной безопасности эффективными лишь отчасти (рис. 53). Figure X. One-Fourth of Enterprises Believe Security Tools Are Only Somewhat Effective Крайне низкая МаксимальнаяНизкая Средняя ВысокаяЭффективность инструментов информационной безопасности Блокирование известных угроз безопасности 73 230 3 24 50 75 240 2 5123 2015 г. n=2432 2014 г. n=1738 Обнаружение аномалий в сетевой инфраструктуре и динамическая защита от модификаций адаптивных угроз 70 210 4 27 49 70 210 2 4928 2015 г. n=2432 2014 г. n=1738 Применение политик безопасности 71 201 3 27 51 70 200 2 5028 2015 г. n=2432 2014 г. n=1738 Оценка потенциальных рисков безопасности 70 221 4 26 48 69 190 2 5029 2015 г. n=2432 2014 г. n=1738 Определение масштабов взлома. Сдерживание атаки и восстановление после дальнейших вторжений 67 190 3 30 48 68 190 2 4930 2015 г. n=2432 2014 г. n=1738 Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 53. Четверть предприятий считают свои средства обеспечения информационной безопасности эффективными лишь отчасти
50 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Нарушения безопасности общедоступных баз данных часто становятся определяющим моментом для организаций. Как только они происходят, компании яснее осознают необходимость предотвращения нарушений безопасности в дальнейшем. Однако в 2015 году меньше профессионалов по безопасности сообщили о том, что их организации становились жертвами нарушений безопасности общедоступных баз данных: в 2014 году их доля составила 53 %, а в 2015 году — 48 % (рис. 54). Специалисты признают, что взломы напоминают о важности усовершенствования процессов обеспечения безопасности: 47 % специалистов, чьи организации стали жертвами взлома общедоступных баз данных, сообщили, что в результате атак были улучшены политики и процедуры. Например, 43 % респондентов сообщили, что после взлома общедоступных баз данных они ввели дополнительное обучение по вопросам информационной безопасности, а 42 % увеличили бюджет на приобретение необходимых технологий. Хорошая новость в том, что организации, ставшие жертвами взлома общедоступных баз данных, с большей вероятностью усовершенствуют свои процессы обеспечения информационной безопасности. В 2015 году 97 % специалистов по безопасности сообщили, что они организуют обучение по вопросам информационной безопасности не менее одного раза в год, в то время как в 2014 году этот показатель составлял 82 % (см. рис. 90 на стр. 82). Рис. 54. Взломы общедоступных баз данных помогают повысить информационную безопасность Приходилось ли вашей организации расследовать инциденты нарушения безопасности? (n-1701) (n=1347) Figure X. Public Breaches Can Improve Security 48 %Да 53 %Да или 2015 г.2014 г. Повлиял ли факт нарушения бзопасности на изменение политики защиты вашей компании от угроз безопасности и, если да, в какой степени? Процедуры или технологии? (n=1134) Не повлиял Оказал сильное влияние Оказал среднее влияние Оказал слабое влияние 10 %1 % 42 % 47 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. ПОДЕЛИТЬСЯ Рис. 55. Все больше организаций организуют обучение информационной безопасности Figure X. More Organizations Conduct Security Training 43 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности.
51 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год УРОВЕНЬ РАЗВИТИЯ: БЮДЖЕТНЫЕ ОГРАНИЧЕНИЯ АКТУАЛЬНЫ ДЛЯ ОРГАНИЗАЦИЙ ЛЮБОГО УРОВНЯ По мере того как организации развертывают более совершенные методы и политики, их оценка эффективности систем информационной безопасности может меняться. Сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год разбило участников опроса и их организации на пять категорий зрелости в зависимости от ответов на вопросы, касающиеся процессов обеспечения безопасности (рис. 56). В рамках исследования анализируется влияние различных факторов (возможности, отраслевая принадлежность, особенности стран) на степень развития. Интересен тот факт, что организации на разных этапах развития порой встречают схожие препятствия на пути внедрения более совершенных процессов и инструментов обеспечения информационной безопасности. Хотя точные процентные соотношения могут различаться, бюджетные ограничения занимают первое место среди помех на всех этапах развития (рис. 57). Рис. 57. Препятствия на пути повышения информационной безопасности не зависят от степени развития Рис. 56. Модель зрелости распределяет организации по особенностям процессов обеспечения информационной безопасности Figure X. Maturity Model Ranks Organizations Based on Secuirty Processes Cisco изучила несколько вариантов сегментации выборки, прежде чем остановиться на 5-сегментном отображении, составленном на основе серии вопросов о состоянии процедур информационной безопасности. Это 5-сегментное решение довольно близко соответствует набору моделей CMMI. Низкий Выше среднего Ниже среднего Высокий Средний Пятисегментное решение Оптимизация Количествен- ное управление Определено Регулярное использование Исходное значение Акцент на усовершенствовании процессов Процессы оцениваются и контролируются по количественным показателям Определены процессы для организации; преобладание профилактических процессов Процессы определены для проектов; преобладание реактивных процессов Процессы сложно прогнозировать, поэтому работа с ними ведется по ситуации 1 2 3 4 5 Уровень Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Obstacles to Adopting Better Secuirty not Affected by Maturity Level Какие из следующих проблем вы считаете основными препятствиями на пути внедрения расширенных функций и технологий обеспечения безопасности? Уровень сложности Низкий Выше среднего ВысокийНиже среднего Средний Бюджетные ограничения Конкурентные приоритеты 39 %43 % 48 % 38 %38 % Отсутствие поддержки со стороны старшего руководства 20 %14 % 20 % 19 %22 % Нехватка обученного персонала 26 %19 % 27 % 22 %26 % Требования сертификации 26 %14 % 17 % 25 %27 % 22 %21 % 27 % 23 %19 % Недостаток знаний об угрозах Процессы и технологии инфор- мационной безопасности 25 %31 % 20 % 22 %23 % Нежелание приобретать решения, не прове- ренные в рыночных условиях Текущая нагрузка слишком велика, и брать на себя дополнительную ответственность довольно проблематично 24 %12 % 25 % 19 %25 % Особенности корпора- тивной культуры в отношении инфор- мационной безопасности 23 %31 % 23 % 21 %22 % 36 % 23 % 22 %25 %25 % Проблемы совмести- мости с устаревшими системами 29 %21 % 28 % 33 %34 %
52 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год На схеме справа качество инфраструктуры информационной безопасности в различных отраслях сопоставляется со степенями развития. Она основана на мнении респондентов о своих процессах обеспечения информационной безопасности. Отрасли, расположенные в верхней правой четверти, отличаются высочайшей степенью зрелости и качеством инфраструктуры. На схеме ниже показано распределение степеней развития Cisco в зависимости от отрасли. В 2015 году почти половина опрошенных компаний в области транспортировки и фармацевтики находится в сегменте высокой степени зрелости. Телекоммуникационные и коммунальные компании реже оказываются в этом сегменте в 2015 году, чем в 2014 году. Результаты основаны на мнении респондентов о своих процессах обеспечения информационной безопасности. Рис. 58. Эффективность систем информационной безопасности по инфраструктуре и отраслям ПОДЕЛИТЬСЯ Рис. 59. Уровни развития в зависимости от отрасли Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Maturity Levels by Industry Распределение сегментов по отрасли Уровень сложности Низкий Выше среднего ВысокийНиже среднего Средний Химическая производство 1 % 6 % 39 %21 % 33 % Финансовые услуги 1 % 10 % 38 %26 % 26 % Государственный сектор 3 % 10 % 34 %28 % 25 % Здравоохранение 1 % 10 % 37 %30 % 22 % Производство, не связанное с компьютерами 1 % 10 % 32 %34 % 22 % Фармацевтика 2 % 3 % 44 %30 % 21 % Транспорт 1 % 5 % 46 %28 % 20 % Коммунальные услуги и энергетика 1 % 15 % 23 %28 % 32 % Телекоммуникации 2 % 11 % 33 %26 % 28 % Figure X. Gauging Security Maturity by Infrastructure and Industry Коммунальные услуги и энергетика Производство, не связанное с компьютерами Телекоммуникации Фармацевтика Другое Горнодобыча Транспорт Здравоохранение Химическая производство Государственный сектор Финансовые услуги: банковское дело, страхование Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средний Выше среднего Высокий Постоянноеобновление, новейшиетехнологии Обычнаячастота обновлений
53 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Maturity Levels by Country Распределение сегментов по странам 2014 г. (n=1637) 2015 г. (n=2401) Уровень сложности Низкий2014 Выше среднего ВысокийНиже среднего Средний США 22 %2 % 4 % 45 %27 % Бразилия 1 % 9 % 40 %26 % Германия 1 % 12 % 39 %24 % Италия 4 % 3 % 34 %23 % Великобритания 0 % 14 % 32 %22 % Австралия 1 % 5 % 29 %36 % Китай 0 % 6 % 32 %25 % Индия 24 % 36 % 32 % 29 % 37 % 21 % 34 % 1 % 4 % 40 %34 % Япония 2 % 16 % 32 %16 % 27 %3 % 10 % 44 %16 % 2 % 5 % 34 %35 % 1 % 4 % 43 %25 % 1 % 23 % 38 %25 % 8 % 8 % 41 %18 % 9 % 7 % 30 %35 % 0 % 3 % 36 %29 % 27 % 24 % 24 % 13 % 25 % 19 % 32 % 20 % 14 % 7 % 3 % 16 % 7 % 15 % 24 %40 % 20 %Мексика 6 % 8 % 50 %16 % 27 %Россия 1 % 14 % 32 %26 % 35 %Франция 1 % 15 % 29 %20 % 54 % На схеме ниже показано распределение степеней развития Cisco в зависимости от страны. Результаты основаны на мнении респондентов о своих процессах обеспечения информационной безопасности. На схеме справа качество инфраструктуры безопасности в различных странах сопоставляется со уровнями развития. Страны, расположенные в верхней правой четверти, отличаются высочайшим уровнем зрелости и качеством инфраструктуры. Важно отметить, что эти результаты основаны на мнении специалистов по информационной безопасности о готовности своих систем безопасности. Figure X. Gauging Security Maturity by Infrastructure and Country Япония Франция Россия Германия Мексика Италия Китай Бразилия Индия Данные Великобритания Австралия Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средний Выше среднего ВысокийПостоянноеобновление, новейшиетехнологии Обычнаячастота обновлений Рис. 60. Эффективность систем информационной безопасности по инфраструктуре и странам Рис. 61. Уровни развития в зависимости от страны ПОДЕЛИТЬСЯ
54 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год РЕКОМЕНДАЦИИ: ПРОВЕРКА РЕАГИРОВАНИЯ В РЕАЛЬНЫХ УСЛОВИЯХ По результатам нашего сравнительного исследования возможностей систем безопасности, реальность для специалистов по безопасности оказалась довольно суровой. Они все меньше уверены в своей готовности противостоять кибератакам. Однако проверка в реальных условиях через мощные взломы оказала положительное влияние на отрасль, о чем свидетельствует рост обучения по вопросам информационной безопасности и разработка официальных политик. Кроме того, все большее привлечение сторонних компаний для проведения проверок и реагирования на инциденты указывает на то, что организациям требуется помощь экспертов. Предприятиям следует еще больше изучать свою готовность к отражению атак, а специалистам по безопасности необходимо сдерживать растущие затраты для поддержки технологий и персонала. Более того, уверенность возрастет по мере развертывания инструментов, позволяющих не только обнаруживать угрозы, но и нейтрализовать последствия их влияния, а также получать сведения, необходимые для предотвращения атак в будущем.
55 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Действуя на опережение
56 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год После Эдварда Сноудена геополитическая среда управления Интернетом изменилась до неузнаваемости. Теперь свободный поток информации, пересекающий границы, окружает постоянная неопределенность. Прецедентный иск австрийского активиста Макса Шремса к социальному гиганту Facebook вызвал, пожалуй, наибольший общественный резонанс, который и побудил Судебную палату Европейского союза 6 октября 2015 г. отменить положение о «безопасной гавани» (Safe Harbor) США⁷. Теперь при передаче данных из Европейского союза (ЕС) в США компаниям приходится полагаться на другие механизмы и юридические средства защиты, что, в свою очередь, стало поводом к расследованию. Компании, работающие с данными, по-прежнему пытаются оценить негативные последствия этого дела. Хотя Европейский союз (ЕС) и власти США на протяжении двух последних лет и работали над заменой «безопасной гавани», многие по-прежнему выражают ряд сомнений относительно предполагаемого нового механизма. Возможно, он и не появится к заявленному сроку в январе 2016 г. или, что более вероятно, не сможет восстановить доверие рынка, если он не полностью решит проблемы, определенные Судебной палатой ЕС и в результате опять будет аннулирован⁸. Эксперты по безопасности данных ожидают, что «безопасная гавань» 2.0 будет не менее противоречивой, чем предыдущая версия. Она даже может пройти тот же путь — кто-то будет оспаривать ее в суде, вплоть до отмены⁹. Комплексное шифрование, а именно его ценность для потребителей и организаций, а также трудности, которые оно вызывает у правоохранительных органов при расследовании преступлений и террористических операций, также будет темой множества переговоров между правительствами и лидерами отрасли в предстоящем году. Из-за террористических атак в Париже в ноябре 2015 г. некоторые политики стали еще активнее лоббировать идею о предоставлении правоохранительным органам доступа к содержимому зашифрованных сообщений¹⁰. Это может стать дополнительным фактором в пользу разработки «безопасной гавани 2.0» (Safe Harbor 2.0), так как гражданские свободы уступят место мерам по обеспечению безопасности. Геополитическая перспектива: неопределенность в среде управления Интернетом Действуя на опережение Геополитические эксперты Cisco представляют обзор изменений в сфере управления Интернетом, в том числе в законодательстве о передаче данных и дискуссиях об использования шифрования. Также в данном разделе представлены некоторые результаты двух исследований Cisco. Одно из них посвящено изучению сомнений, возникающих у руководителей организаций в вопросах кибербезопасности. Другое раскрывает то, как лица, ответственные за принятие ИТ-решений, воспринимают риски, связанные с вопросами безопасности, а также уровень их доверия к системе защиты своих организаций. Мы также коротко расскажем о том, в чем состоит ценность интегрированной архитектуры защиты от угроз, а также о прогрессе Cisco в сокращении времени обнаружения (TTD). ⁷ «Судебная комиссия объявляет о недействительности решения Комиссии о "безопасной гавани"», CJEU, 6 октября 2015 г.: http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150117en.pdf. ⁸ «Платформа "безопасной гавани" 2.0 вызывает все больше вопросов по мере приближения крайнего срока в январе», Глин Муди, Ars Technica, 16 ноября 2015 г.: http://arstechnica.com/tech-policy/2015/11/safe-harbour-2-0-framework-begins-to-capsize-as-january-deadline-nears/. 9 «Платформа "безопасной гавани" 2.0 вызывает все больше вопросов по мере приближения крайнего срока в январе», Глин Муди, Ars Technica, 16 ноября 2015 г.: http://arstechnica.com/tech-policy/2015/11/safe-harbour-2-0-framework-begins-to-capsize-as-january-deadline-nears/. ¹⁰ «Террористические атаки в Париже вызывают дебаты о шифровании», Дэнни Ядрон, Алистер Барр и Дайсуке Вакабаяши, The Wall Street Journal, 19 ноября 2015 г.: http://www.wsj.com/articles/paris-attacks-fan-encryption-debate-1447987407.
57 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Что следует организациям просить у поставщиков данных в таких неопределенных условиях, чтобы их бизнес соответствовал нормативным требованиям передачи данных? В краткосрочной перспективе им определенно необходимо получить от поставщиков гарантии того, что они используют типовые положения контракта Европейского союза (ЕС) или обязательные к применению корпоративные правила (а не только «безопасную гавань») при передаче данных за пределы Европейского союза (ЕС). Другая важная геополитическая проблема, которую организации должны отслеживать, связана с уязвимостями и эксплойтами. Некоторые правительства выражают озабоченность ростом рынка неисправленных уязвимостей — так называемого «ПО как оружия». Такие инструменты жизненно важны для сообщества исследователей в области информационной безопасности, так как они позволяют искать способы защиты сетевых инфраструктур по всему миру. Но попав «не в те руки», а особенно в руки репрессивных режимов, эта технология, созданная для благих целей, может использоваться для финансовых преступлений, кражи национальных и коммерческих тайн, подавления инакомыслия и разрушения критически важной инфраструктуры. Как ограничить доступ к неисправленным уязвимостям, не связывая руки тех, кто проводит важные исследования? Решением этой задачи правительства будут заниматься в ближайшие месяцы и годы. По мере того как правительства пытаются найти выход из этой острой ситуации, им потребуется тщательно оценить то, как их решения повлияют на информационную безопасность. Например, неопределенность законов, которые контролируют передачу информации о неопубликованных уязвимостях, может препятствовать исследованиям угроз безопасности или стимулировать опубликование уязвимостей перед тем, как поставщики смогут их исправить. Любой подход к решению этой проблемы должен быть приемлемым для всего мирового сообщества. Проблемы кибербезопасности пугают руководителей Очевидно, что надежная система информационной безопасности помогает предприятиям избежать опасных нарушений безопасности и атак. Но велика ли вероятность того, что она сможет способствовать росту успеха компании? Согласно опросу глав финансовых директоров и руководителей компаний, проведенному Cisco в октябре 2015 г. и посвященному роли кибербезопасности в бизнесе и цифровой стратегии, руководители предприятий понимают, что защита организации от угроз может быть решающим фактором успешности компании. Организации все активнее внедряют в свою структуру цифровые технологии, поэтому их развитие будет зависеть от их возможности защитить свою цифровую платформу. Как показал опрос, кибербезопасность — это актуальная проблема для руководителей: 48 % опрошенных сказали, что их чрезвычайно беспокоят нарушения кибербезопасности, 39 % заявили, что они беспокоят их умеренно. Эта проблема не стоит на месте: 41 % опрошенных заявили, что нарушения безопасности заботят их гораздо больше, чем три года назад, а 42 % респондентов сказали, что их обеспокоенность несколько больше, чем раньше. Руководители компаний также предполагают, что инвесторы и регуляторы будут задавать более трудные вопросы о процессах безопасности, как и о других бизнес-функциях. 92 % участников опроса согласились, что регуляторы и инвесторы ожидают, что компании будут предоставлять больше  сведений о рисках кибербезопасности в будущем. Кажется, что предприятия также четко понимают трудности обеспечения кибербезопасности, с которыми они сталкиваются. Чаще всего упоминалась неспособность политик кибербезопасности успевать за бизнес-изменениями. Следующей по частоте проблемой стало отсутствие показателей для определения эффективности информационной безопасности (рис. 62). Рис. 62. Предприятия сталкиваются со сложными проблемами кибербезопасности Источник: Cisco Security Research Figure X. Enterprises Face Tough Cybersecurity Challenges 32 % 24 % 21 % Незнание основных уязвимостей систем кибербезопасности Неэффективный контроль соблюдения политик кибербезопасности 26 % Недостаточные вложения в системы кибербезопасности 27 % Недостаток нужных показателей для определения эффективности систем кибербезопасности Неспособность политики кибербезопасности соответствовать темпам изменения бизнеса
58 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Около трети руководителей также тревожат возможности защиты критически важных данных. Опрошенных попросили назвать типы данных, которые сложнее всего защитить. 32 % выбрали категорию «конфиденциальная финансовая информация». Среди самых трудных типов данных для защиты респонденты также назвали «данные клиентов» и «конфиденциальность коммерческой информации» (см. рис. 63). Изучение доверия: риски и трудности для предприятий Неуклонный рост числа нарушений информационной безопасности еще раз говорит о необходимости для предприятий гарантированно защитить системы, данные, деловых партнеров, заказчиков и граждан. Мы видим, что доверие становится основным фактором для компаний, выбирающих ИТ- и сетевую инфраструктуру. К слову, многим из них требуется интегрировать функции информационной безопасности и проверки достоверности в весь жизненный цикл продукта решений, из которых состоит инфраструктура. В ходе исследования, проведенного Cisco в октябре 2015 г., было выявлено, как ИТ-руководители воспринимают риски и проблемы безопасности, а также была определена роль благонадежности поставщиков ИТ-услуг в их ИТ-инвестициях. Мы опросили как лиц, ответственных за информационную безопасность, так и сотрудников из других подразделений в организациях в нескольких странах. (Дополнительные сведения об исследовании рисков безопасности и благонадежности, в том числе о нашей методологии, см. в приложении.) НИЖЕ ПРЕДСТАВЛЕНЫ ОСНОВНЫЕ РЕЗУЛЬТАТЫ НАШЕГО ИССЛЕДОВАНИЯ. Мы выяснили, что 65 % респондентов считают, что их организация сталкивается со значительными рисками несанкционированного вторжения в их информационное пространство, исходящими, в том числе, от мобильных устройств, средств ИТ-безопасности и облачных решений на предприятии (рис. 64). Рис. 63. Руководителей тревожит проблема защиты критически важных данных Источник: Cisco Security Research Информация о заказчиках (транзакционные данные) Конфиденциальная финансовая информация Конфиденциальная коммерческая информация (операционные данные) 32 % 31 % 30 % Figure X. Executives Concerned About Securing Critical Data Рис. 64. Восприятие рисков безопасности Предприятия считают, что наиболее высокому риску нарушения безопасности подвержены следующие области их инфраструктуры: 50 % Мобильность Облачные платформы 42 % респондентов считают, что их организации находятся под угрозой 65 % ИТ-безопасность 43 % Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Perceptions of Security Risk ПОДЕЛИТЬСЯ
59 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год 68 % участников опроса назвали вредоносное ПО в качестве основной внешней проблемы информационной безопасности организации. Фишинг и сложные целенаправленные угрозы заняли второе и третье место — 54 % и 43 % соответственно (см. рис. 65). Что касается внутренних проблем информационной безопасности (см. рис. 66), то более половины (54 %) респондентов как основную угрозу указали загрузки вредоносного ПО, а также внутренние нарушения сотрудниками (47 %) и уязвимости аппаратного обеспечения и ПО (46 %). Мы также выяснили, что большинство предприятий (92 %) используют специальную группу информационной безопасности. 88 % участников опроса сообщили, что их организация в целом пользуется официальной стратегией обеспечения безопасности, которая регулярно обновляется. Однако только 59 % используют стандартизированные политики и процедуры для проверки благонадежности поставщиков ИТ-услуг (см. рис. 67). Кроме того, около половины (49 %) крупных предприятий модернизируют свою инфраструктуру безопасности с помощью современных технологий, а другие регулярно обновляют свою инфраструктуру. Очень немногие предприятия ждут, пока технология устареет, и только после этого обновляются. Рис. 65. Внешние проблемы безопасности (всего респондентов) Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. External Challenges Faced (Total Respondents) Не считаю что-либо из указанного проблемой для своей организации Сложные целенаправленные угрозы 43 % Атаки типа «отказ в обслуживании» 38 % Атаки методом грубой силы 35 % Атаки нулевого дня 35 % 3 % Фишинг 54 % Вредоносное ПО 68 % Рис. 66. Внутренние проблемы информационной безопасности (всего респондентов) Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Internal Challenges Faced (Total Respondents) 54 %Загрузка вредоносного программного обеспечения Нарушения внутренней безопасности сотрудниками 47 % 46 % Уязвимости аппаратного или программного обеспечения Использование сотрудниками собственных устройств, программного обеспечения или облачных приложений для рабочих целей 43 % Недостаток осведомленности сотрудников 39 % Недостаточная обученность персонала, ответственного за ИТ-безопасность 26 % Не считаю что-либо из указанного проблемой для своей организации 5 % Рис. 67. В большинстве крупных предприятий есть специальная служба информационной безопасности 92 % Выделенная группа по вопросам информационной безопасности Стандартизированные политики и процедуры проверки 59 % Общеорганизационная стратегия обеспечения безопасности 88 % Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Most Large Enterprises Have a Dedicated Security Team In-House ПОДЕЛИТЬСЯ
60 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год В современной среде, ориентированной на угрозы, уверенность в процессах, политиках, технологиях и сотрудниках поставщика (и возможность их проверки) играют важную роль для создания длительных доверительных отношений между поставщиками и предприятиями. Поставщики технологий демонстрируют благонадежность следующими способами: •• интегрируя средства информационной безопасности в свои решения и цепочку создания стоимости с самого начала; •• используя политики и процессы, которые снижают риски; •• формируя культуру осведомленности об информационной безопасности; •• быстро и прозрачно реагируя на нарушения безопасности; •• быстро устраняя инциденты и обеспечивая постоянный контроль после этого. Как поставщики могут продемонстрировать благонадежность Обновление инфраструктуры — это, конечно, наиболее рекомендуемый подход. Компаниям любого размера необходимо развернуть надежную инфраструктуру, в которой средства обеспечения информационной безопасности встроены во все аспекты сетевой инфраструктуры. Однако можно уменьшить поверхность атаки и просто с помощью открытой культуры, учитывающей требования информационной безопасности. Для формирования такой культуры организациям необходимо внедрить согласованные политики и процессы для всего предприятия, которые гарантируют применение механизмов информационной безопасности в каждом бизнес-аспекте. Затем нужно донести такое видение до всех своих партнеров и поставщиков, а также постоянно работать над демонстрацией прозрачности и ответственности перед заказчиками, партнерами и другими заинтересованными лицами. Время обнаружения: гонка за сокращением Мы определяем «время обнаружения» как отрезок времени между моментом выявления неизвестного файла и проявлением его как угрозы. Мы определяем длину этого отрезка, используя добровольную телеметрию информационной безопасности, собранную решениями безопасности Cisco, развернутыми во всем мире. Категория «ретроспективные данные» на рисунке 68 отображает количество файлов, первоначально отнесенных Cisco к категории «неизвестные», которые затем были отнесены к категории «известная угроза». По данным отчета Cisco, посвященного вопросам безопасности за первую половину 2015 года, среднее время обнаружения угрозы составило около 2 дней (50 часов). Рис. 68. Время обнаружения: декабрь 2014 — октябрь 2015 г. Источник: Cisco Security Research Декабрь 2014 г. Октябрь 2015 г. Figure X. Time to Detection, December 2014 – November 2015 112766 112664 96106 197158 286457 379366 205601 192975 150480 154353 20.4 17.5 50.3 46.4 44.5 44.4 49.3 41.4 34.3 32.8 27.0 Медианное время обнаружения 20 40 60 Часа Ретроспективы 185539
61 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год С января по март среднее время обнаружения не менялось и составляло от 44 до 46 часов, при этом незначительно снижаясь. В апреле оно повысилось до 49 часов. Однако к концу мая время обнаружения компанией Cisco снизилось до 41 часа. Коммерциализация хакерства и растущее использование вредоносного ПО сыграло важную роль в нашей способности сузить окно для обнаружения угроз. Как только угроза запускается в обращение, она распространяется, что упрощает ее обнаружение. Однако мы также считаем, что комбинация интеллектуальных средств информационной безопасности и тесная совместная работа квалифицированных специалистов по исследованию проблем играет еще более важную роль для значительного сокращения среднего значения TTD в течение 2015 года. График TTD на рис. 69 демонстрирует, что многие угрозы в июне были обнаружены в течение примерно 35,3 ч. К октябрю основной массив поступивших угроз был остановлен примерно за 17,5 ч. Опять же, частично мы объясняем сокращение среднего значения TTD более быстрой идентификацией распространенного вредоносного ПО, такого как Cryptowall 3.0, Upatre и Dyre. Интеграция новых технологий, например технологии ThreatGRID от Cisco, служит другим фактором. Однако даже с суженным окном для TTD есть угрозы, обнаружить которые труднее, чем другие. Загрузчики, которые нацелены на пользователей Microsoft Word, обнаруживаются обычно легче всего (<20 ч). Сложнее всего выявить рекламное ПО и внедрения в код браузера (<200 ч). Одна из причин этого состоит в том, что такие угрозы обычно получают от групп информационной безопасности низкий приоритет, поэтому на них часто не обращают внимания, уделяя все внимание поиску атак нулевого дня (см. «Заражения браузера: широко распространенный и основной источник утечки данных» на стр. 16). На рис. 70 представлен обзор типов угроз, которые обычно проявляются в течение 100 дней. Figure X. Tag Cloud for 100 Days Источник: Cisco Security Research CrossRider PennyBee ConvertAd Wajam NetFilterElex OptimizerPro StartPage Systweak Yotoon MyPCBackup BitCocktail AddLyrics SupTab Compete Downloader Esprot Generik GigaClicks Kranet MultiPlug Linkury MyWebSearch OpenCandy InstallCore Visicom Spigot SpeedingUpMyPC RuKometa Sharik Dagava Browse FoxРис. 69. Сравнение времени обнаружения: декабрь 2014 — октябрь 2015 Рис. 70. Облако тегов на 100 дней ПОДЕЛИТЬСЯ С тех пор среднее значение TTD быстро уменьшалось. К октябрю Cisco сократила среднее значение TTD примерно до 17 часов, что меньше одного дня. Это значительно опережает существующие оценки TTD в отрасли (от 100 до 200 дней). Такая скорость обусловлена добавлением дополнительных сведений о том, как устранять краткосрочные заражения. Figure X. Time to Detection Comparison, June vs September 2015 Источник: Cisco Security Research или 17.5часа Октябрь (медианное время) 35.3часа Июнь (медианное время)
62 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Шесть принципов встроенной защиты от угроз В отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, наши эксперты в области информационной безопасности утверждают, что на протяжении следующих пяти лет потребность в адаптивных интегрированных решениях приведет к значительным изменениям в отрасли информационной безопасности. Результатами станет консолидация в отрасли и унифицированный переход к масштабируемой, интегрированной архитектуре защиты от угроз. Такая архитектура предоставляет возможности для мониторинга, контроля и учета контекста во многих решениях. Архитектура «обнаружения и реагирования» будет гораздо быстрее откликаться на известные и новые угрозы. В основе этой архитектуры будет лежать платформа мониторинга, обеспечивающая полный учет контекста и непрерывно обновляемая для оценки угроз, корреляции локальных и глобальных данных, а также оптимизирующая средства защиты. Задача такой платформы — создание основы, на которой смогут работать все поставщики решений и в которую они смогут вносить свой вклад. Благодаря возможностям мониторинга появляется больше возможностей для контроля, что повысит уровень защиты от большего числа векторов атак. Ниже представлены шесть принципов интегрированной защиты от угроз, которые помогут организациям и поставщикам решений информационной безопасности лучше понять фактические и потенциальные преимущества этой архитектуры. 1. Более широкая сетевая инфраструктура и архитектура информационной безопасности для борьбы с растущим объемом все более сложных угроз. За последние 25 лет формула традиционной модели информационной безопасности звучала как «вижу проблему, покупаю коробку». Но такие решения, которые часто представляют собой набор технологий от различных поставщиков, не взаимодействуют друг с другом. Они формируют информацию и данные аналитики о событиях безопасности, которые интегрируются в платформу событий и затем анализируются сотрудниками отдела безопасности. Интегрированная архитектура защиты от угроз — это платформа обнаружения и реагирования, которая предлагает больше возможностей и быстрее реагирует на угрозы, эффективно и автоматически собирая больше данных из развернутой инфраструктуры. Эта платформа наблюдает за средой информационной безопасности более интеллектуальным методом. Она не только оповещает группы информационной безопасности о подозрительных событиях и нарушениях политики, но и формирует четкую картину о сети и событиях в ней, что помогает специалистам принять правильные решения. 2. Лучшие в своем классе технологии в одиночку не могут справиться с текущей и будущей средой угроз. Они только усложняют сетевую инфраструктуру. Организации инвестируют в «лучшие в своем классе» технологии обеспечения безопасности, но знают ли они, как эти решения работают на самом деле? Заголовки новостей о нарушениях безопасности за прошедший год подтверждают, что множество технологий обеспечения безопасности работают не так уж хорошо. И когда они не справляются, последствия могут быть катастрофичными. То, что число поставщиков, предлагающих лучшие в своем классе решения, растет, не улучшает среду информационной безопасности, если эти поставщики не предоставляют радикально отличающиеся решения. Но сегодня существенных различий между многими продуктами ведущих поставщиков в большинстве основных областей информационной безопасности просто нет. 3. Для зашифрованного трафика потребуется интегрированный механизм защиты от угроз, который может выявить зашифрованные данные о вредоносных действиях, перед которыми пасуют точечные продукты. Как указано в этом отчете, объем зашифрованного веб-трафика растет. Для шифрования, конечно, существуют серьезные причины, но оно также усложняет отслеживание угроз. Ответ на проблему «шифрования» состоит в получении более подробных сведений о том, что происходит на устройствах или в сетевых инфраструктурах. Платформы встроенной системы безопасности могут решить эту проблему. 4. Открытые API-интерфейсы крайне важны для интегрированной архитектуры защиты от угроз. Для сред с решениями разных поставщиков необходима общая платформа, которая предоставляет мониторинг, контекст и возможности управления. Создание интерфейсной платформы интеграции может улучшить поддержку автоматизации и повысить качество информации, предоставляемых продуктами для обеспечения информационной безопасности. 5. Для интегрированной архитектуры защиты от угроз требуется устанавливать и контролировать меньше оборудования и ПО. Поставщики решений информационной безопасности должны стремиться создавать максимально функциональные платформы и предоставлять как можно больше возможностей на одной платформе. Это поможет упростить и дефрагментировать среду информационной безопасности, которая оставляет слишком много возможностей для легкого доступа злоумышленников.
63 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год 6. Аспекты автоматизации и координации интегрированной архитектуры защиты от угроз позволяют сократить время обнаружения, сдерживания и восстановления. Снижение числа ложных срабатываний помогает службам информационной безопасности сосредоточиться на самом важном. Контекстуализация поддерживает приграничный анализ событий, помогает группам оценить, требуют ли эти события немедленной реакции, и могут в конечном счете создавать автоматизированные ответы и более детальные данные системы аналитики. Сила в числе: ценность внутриотраслевого сотрудничества Отраслевое сотрудничество важно не только для разработки будущей интегрированной архитектуры защиты от угроз, которая позволит быстрее реагировать на угрозы, но и для отслеживания все более активных, подготовленных и настойчивых киберпреступников. Злоумышленники становятся опытнее в развертывании своих трудно обнаруживаемых и очень прибыльных решений. Многие из них весьма успешно используют легитимные ресурсы в инфраструктуре для поддержки своих кампаний. Поэтому неудивительно, что участники нашего исследования возможностей систем информационной безопасности Cisco в 2015 г. менее уверены в своих возможностях защиты организации. Мы рекомендуем поставщикам решений безопасности учитывать влияние, которое активная совместная и непрерывная работа участников отрасли может оказывать на борьбу с киберпреступностью, пресекая возможности злоумышленников для получения доходов и снижая вероятность для будущих атак. Как подробнее обсуждалось выше в этом отчете (см. «Рекомендуемые истории» на стр. 10), совместная работа партнеров Cisco и нашей экосистемы коллективной аналитики безопасности (CSI), а также сотрудничество с поставщиками услуг были важными факторами, повлиявшими на возможности Cisco для обнаружения, проверки и согласования глобальных операций по борьбе с набором эксплойтов Angler и разрушения одной из крупнейших распределенных атак типа «отказ в обслуживании» в истории — SSHPsychos.
64 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год О компании Cisco
65 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угрозО компании Cisco Аналитики угроз из экосистемы коллективной информационной безопасности (CSI) объединяют наиболее полную в отрасли аналитику угроз, данные телеметрии от огромного количества устройств и сенсоров, информацию из общедоступных и частных веб-каналов по уязвимостям, а также от сообщества разработчиков открытого ПО, поддерживаемого Cisco. Ежедневный объем этой информации составляет миллиарды веб-запросов, миллионы сообщений электронной почты, образцов вредоносного ПО и данных о сетевых вторжениях. Эти данные обрабатываются в развитой инфраструктуре, которая позволяет аналитикам и самообучающимся системам отслеживать угрозы в различных сетях, центрах обработки данных, оконечных и мобильных устройствах, виртуальных системах, веб-сайтах, электронной почте и облачных системах с целью определения основных причин и масштабов распространения угроз. Итоговые данные анализа немедленно распространяются по всему миру среди заказчиков Cisco и используются для защиты наших продуктов и сервисов в режиме реального времени. Дополнительные сведения о подходе к безопасности, ориентированном на защиту от угроз до, во время и после сетевых атак, см. на веб-странице www.cisco.com/go/security. Авторы и источники годового отчета Cisco по информационной безопасности 2016 года ГРУППА TALOS ПО АНАЛИТИКЕ И ИССЛЕДОВАНИЯМ БЕЗОПАСНОСТИ Talos — организация Cisco, которая занимается аналитикой угроз, элитная группа экспертов, которые обеспечивают первоклассную информационную безопасность для заказчиков, продуктов и служб Cisco. Группа Talos состоит из ведущих аналитиков угроз, пользующихся поддержкой сложных систем для создания аналитических продуктов для Cisco, способных обнаруживать, анализировать и защищать данные от известных и вновь возникающих угроз. Talos придерживается официальных наборов правил Snort.org, ClamAV, SenderBase.org и SpamCop и является главной группой, вносящей вклад путем предоставления сведений об угрозах в экосистему Cisco CSI. УСЛУГИ ТЕХНИЧЕСКОГО КОНСАЛТИНГА И ТРАНСФОРМАЦИЯ ИТ, ГРУППА ОПТИМИЗАЦИИ Группа предоставляет рекомендации и оптимизирует сетевые инфраструктуры, центры обработки данных и облачные решения для крупнейших поставщиков услуг и предприятий по всему миру. Данная услуга позволяет улучшить доступность, производительность и информационную безопасность критически важных решений клиентов. Услугой по оптимизации пользуется более 75 % компаний из списка Fortune 500. О компании Cisco Cisco создает интеллектуальные системы кибербезопасности для реального мира. Предлагаемый ею комплекс решений является одним из наиболее полных в отрасли и защищает от широкого спектра угроз. Подход Cisco к информационной безопасности, ориентированный на нейтрализацию угроз и восстановление работоспособности, упрощает систему безопасности, делает ее более цельной, предоставляет возможности детального мониторинга, согласованного управления и усовершенствованной защиты от угроз до, во время и после атаки.
66 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год ГРУППА АКТИВНОЙ АНАЛИТИКИ УГРОЗ Группа активной аналитики угроз Cisco ATA помогает компаниям организовать защиту от известных способов вторжения, атак нулевого дня и сложных целенаправленных угроз, используя преимущества передовых технологий обработки больших данных. Эта полностью управляемая услуга предоставляется нашими экспертами по информационной безопасности и нашей глобальной сетью операционных центров безопасности. Она позволяет предоставить постоянный контроль и анализ угроз по требованию 24 часа в сутки, семь дней в неделю. ОРГАНИЗАЦИЯ ИНТЕЛЛЕКТУАЛЬНОГО ЛИДЕРСТВА CISCO Организация интеллектуального лидерства Cisco освещает глобальные возможности, изменения на рынке и ключевые решения, которые служат преобразованию организаций, отраслей и процессов. Организация предоставляет ценные прогнозные сведения о том, чего компании могут ожидать в быстро изменяющемся мире и как они могут получить конкурентные преимущества. Многие из инициатив группы направлены на то, чтобы помочь организациям перейти в цифровую плоскость, быстро и безопасно устранив разрывы между физическими и виртуальными средами, чтобы они могли быстрее внедрять инновации и достигать желаемых коммерческих результатов. КОГНИТИВНЫЙ АНАЛИЗ УГРОЗ Когнитивный анализ угроз Cisco представляет собой облачную службу, обнаруживающую нарушения безопасности, вредоносное ПО, работающее внутри защищенных сетей, и другие угрозы безопасности путем статистического анализа данных сетевого трафика. Оно борется с пробелами в защите периметра, определяя симптомы заражения вредоносным ПО или утечки данных путем поведенческого анализа и выявления аномалий. Когнитивный анализ угроз Cisco основывается на расширенных возможностях статистического моделирования и машинного обучения, которые помогают независимо находить новые угрозы, определять их источник и приспосабливаться к ним. ГЛОБАЛЬНЫЕ ОТНОШЕНИЯ С ПРАВИТЕЛЬСТВЕННЫМИ ОРГАНАМИ Cisco взаимодействует с правительственными органами на разных уровнях, помогая создавать политики и правила для технологического сектора и выполнять поставленные правительственными органами задачи. Группа глобальных отношений с правительственными органами разрабатывает общедоступные политики и нормы и участвует в их развитии. Работая совместно с участниками отрасли и партнерами, группа налаживает взаимоотношения с руководителями государственных учреждений, чтобы повлиять на политики, затрагивающие бизнес Cisco и общее внедрение ИКТ. Цель группы — сформировать решения о применении политик на глобальном, национальном и местном уровне. Отдел глобальных отношений с правительственными органами (Global Government Affairs) состоит из бывших официальных лиц, парламентариев, регуляторов, высших государственных чиновников США и специалистов по взаимоотношениям с правительственными органами, которые помогают Cisco продвигать и защищать использование технологий по всему миру. ГРУППА INTELLISHIELD Группа IntelliShield занимается исследованиями уязвимостей и угроз, анализом, интеграцией и организацией связей между данными и информацией от Исследовательской и рабочей группы Cisco и внешних источников, чтобы создать продукт службы информационной безопасности IntelliShield, поддерживающий множество продуктов и услуг Cisco. LANCOPE Lancope, компания группы Cisco, — это ведущий поставщик решений контроля состояния сетевой инфраструктуры и информационной безопасности, помогающих защитить предприятия от современных угроз. Анализируя NetFlow, IPFIX и другие типы доступных телеметрических данных, система Lancope StealthWatch® обеспечивает информационную безопасность с учетом контекста для быстрого обнаружения широкого спектра атак APT и распределенных атак типа «отказ в обслуживании» до атак нулевого дня и инсайдерских угроз. Объединяя непрерывный мониторинг в корпоративных сетевых инфраструктурах и отслеживание пользователей, устройств и приложений, Lancope ускоряет реагирование на инциденты, улучшает эффективность технической экспертизы и снижает риски для предприятия. OPENDNS OpenDNS, компания группы Cisco, — это крупнейшая в мире облачная платформа обеспечения (сетевой) безопасности, которая ежедневно обслуживает более 65 миллионов пользователей более чем в 160 странах. OpenDNS Labs — это исследовательская группа OpenDNS, которая поддерживает платформу обеспечения (сетевой) безопасности. Подробную информацию на см. на веб-сайте www.opendns.com или https://labs.opendns.com.
67 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год ОРГАНИЗАЦИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И ДОВЕРИЯ Организация информационной безопасности и доверия Cisco Security and Trust Organization подчеркивает стремление Cisco решить две наиболее критичные проблемы многих советов директоров и мировых лидеров. Основные цели организации — защита государственных и частных заказчиков Cisco, реализация и поддержка безопасного жизненного цикла разработки и надежных систем Cisco для всего портфеля продуктов и услуг Cisco, а также защита Cisco от постоянно меняющихся киберугроз. Cisco применяет всесторонний подход к комплексному обеспечению информационной безопасности и доверия, который объединяет людей, процессы, технологии и политики. Организация информационной безопасности и доверия стремится повысить производственную эффективность за счет воплощения принципов информационной безопасности, инжиниринга с учетом безопасности, защиты и конфиденциальности данных, безопасности облачной среды, прозрачности и тестирований, а также расширенных функций безопасности и управления. Дополнительная информация: http://trust.cisco.com. ИССЛЕДОВАНИЕ И ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ SR&O Группа SR&O отвечает за управление угрозами и уязвимостями всех продуктов и служб Cisco и включает в себя лучшую в отрасли группу реагирования на уязвимости технических решений (PSIRT). SR&O помогает заказчикам изучить меняющуюся среду угроз на таких мероприятиях, как Cisco Live и Black Hat, а также в процессе совместной работы с коллегами в Cisco и отрасли в целом. Кроме того, SR&O разрабатывает новые службы, например специальную службу анализа угроз (CTI) Cisco, позволяющую определить индикаторы компрометации, которые не были обнаружены или обработаны текущими инфраструктурами безопасности. Партнеры Cisco LEVEL 3 THREAT RESEARCH LABS Level 3 Communications — это ведущий мировой поставщик коммуникационных услуг с головным офисом в Брумфилде, штат Колорадо, который предоставляет услуги связи предприятиям, правительственным органам и операторам связи. Наша платформа глобальных услуг, которая поддерживается крупными волоконно-оптическими сетями на трех континентах, соединенными подводной кабельной инфраструктурой, предоставляет множество ресурсов более чем для 500 рынков в более чем 60 странах мира. Сетевая инфраструктура Level 3 дает расширенное представление о глобальной среде угроз. Level 3 Threat Research Labs — это группа информационной безопасности, которая активно анализирует глобальную среду угроз и сопоставляет информацию из внутренних и внешних источников для защиты заказчиков компании Level 3, ее сети и общедоступного Интернета. Группа регулярно сотрудничает с лидерами отрасли, такими как Cisco Talos, для поиска и устранения угроз.
68 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год Приложение
69 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Приложение Figure 71. Respondent Profiles Профили респондентов Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. 75% 76% 75% 73% 71% 57% 83% 81% 78% 79% 76% 66% Области, касающиеся систем информационной безопасности 2014 2015 Здравоохранение 6% 4% Производство, не связанное с компьютерами 14% 15% Коммунальные услуги и энергетика 7% Финансовые услуги: банковское дело, страхование 15% Горнодобыча 1% Государственный сектор 9% 12% Фармацевтика 3% Телекоммуникации 6% 8% Сельское и лесное хозяйство, рыболовство 2% 1% Химическая производство 7% Другие отрасли 21% 27% Транспорт 8% 54% Н/Д (недоступно) Крупное предприятие 46% Предприятие 49% 13%38% 46%56% 2014 55%45% 2015 20152014 14% 3%3% 3% 5% 5% Директора по безопасности и менеджеры по безопасности Размер организации Директора по безопасности Менеджеры по безопасности 2015 г.2014 г.(n=1738) (n=2432) Средний бизнес Определение общей концепции и стратегии Конечные рекомендации относительно выбора бренда решения Исследование и оценка решений Внедрение решений и управление ими Определение требований Утверждение бюджетов Рис. 71. Профили респондентов Сравнительное исследование возможностей систем информационной безопасности Cisco в 2015 г.: профиль и ресурсы респондентов
70 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Although only 9% have a security budget that’s separate from the IT budget, this has increased significantly since 2014 Входит ли бюджет на обеспечение информационной безопасности в состав ИТ-бюджета? (Сотрудники ИТ-подразделения) 2014 г. (n=1720) 2015 г.(n=2412) Полностью включен в ИТ-бюджет Частично включен в ИТ-бюджет Полностью отдельный Полностью включен в ИТ-бюджет Частично включен в ИТ-бюджет Полностью отдельный 61 %33 % 6 % 58 %33 % 9 % Рис. 72. Хотя только 9 % из них выделяют из ИТ-бюджета специальную часть на нужды информационной безопасности, этот показатель существенно увеличился с 2014 г. Рис. 73. Должности: респонденты и их руководители Figure X. Job Titles: Respondents and Their Managers Сотрудники ИТ-подразделения 98%97% или 20152014 Главный директор по информационной безопасности 22% Генеральный директор 34% Главный директор по технологиям 18% Президент/владелец 18% Директор/менеджер по ИТ 16% Главный директор по информационной безопасности 16% ИТ-директор 13% ИТ-директор 6% Директор по вопросам информационной безопасности 7% Главный директор по технологиям 6% Вице-президент по ИТ-безопасности 5% Директор/менеджер по ИТ 4% Директор по управлению рисками и соответствием нормативным требованиям 4% Вице-президент по ИТ-безопасности 4% Менеджер по вопросам информационной безопасности 4% Вице-президент ИТ 2% Архитектор решений информационной безопасности 4% Исполнительный орган 2% Вице-президент ИТ 3% Главный исполнительный директор 1% Главный исполнительный директор 3% Финансовый директор 1% Другая должность 2% Другая должность 0% Должность Должность менеджера Специальное подразделение или группа по вопросам информационной безопасности Сотрудники группы обеспечения информационной безопасности 2014 2015(n=1738) (n=2432) 2014 2015(n=1706) (n=2382) 98% 98% 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
71 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средства защиты от угроз безопасности, используемые организацией Управление системами безопасности с помощью облачных сервисов (участники опроса специалистов по безопасности, использующие системы защиты от угроз безопасности) 2014 (n=1738) 2014 (n=1646) 2015 (n=2268)2015 (n=2432) Безопасность сети, межсетевые экраны и предотвращение вторжений* 60 % N/A 35 % Ничего из вышеперечисленного 1 % 1 % 11 %13 % Информационная безопасность электронной почты/мгновенных сообщений 56 % 52 % 37 % 34 % Шифрование/конфиденциальность/защита данных 53 % 53 % Предотвращение утечки данных 55 % 56 % Аутентификация 52 % 53 % Межсетевой экран (МСЭ)* Н/Д (недоступно) 65 % 31 % Предотвращение вторжений* Н/Д (недоступно) 44 % 20 % Администрирование удостоверений или выделение ресурсов для пользователей 45 % 45 % Разграничение доступа/авторизация 53 % 48 % Защита оконечных устройств/нейтрализация вредоносного ПО 49 % 49 % 25 % 25 % Обеспечение безопасности веб-трафика 59 % 51 % 37 % 31 % Управление событиями и информацией об информационной безопасности 43 % 38 % Сеть VPN 48 % 40 % 26 % 21 % Поиск уязвимостей 48 % 41 % 25 % 21 % Защита беспроводной сети 50 % 41 % 26 % 19 % Информационная безопасность мобильных систем 51 % 44 % 28 % 24 % Техническая экспертиза оконечных устройств 31 % 26 % Техническая экспертиза сетевой инфраструктуры 42 % 31 % Установка исправлений и настройка 39 % 32 % Тестирование на проникновение 38 % 34 % 20 % 17 % Защита от распределенных атак типа «отказ в обслуживании» 36 % 37 % *Безопасность сети, межсетевые экраны и предотвращение вторжений.* *Межсетевые экраны (МСЭ) и предотвращение вторжений являлись единым подходом в 2014 г. Figure X. Firewalls and Data Loss Prevention Are Most Commonly Used Security Tools Рис. 74. Межсетевой экран — это самый распространенный инструмент защиты от угроз безопасности; число средств защиты, которые администрируются через облако, в 2015 г. уменьшилось по сравнению с 2014 годом.
72 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Аутсорсинг Figure X. Advice and consulting still top most security services outsourced Подготовка к процессу сертификации В процессе сертификации 63 % Химическая технология или производство 58 % Некомпьютерное производство 57 % Транспортировка 46 % Сельское и лесное хозяйство, рыболовство 44 % Фармацевтика 36 % Горнодобыча 70 % Финансовые услуги 70 % Телекоммуникации 67 % Здравоохранение 65 % Правительство 64 % Коммунальные услуги и энергетика 63 % Другие отрасли Сертификация пройдена 63 %31 % 7 % Значительный рост привлечения сторонних компаний для проведения проверок и реагирования на инциденты. Услуги сторонних поставщиков считаются более выгодными. Как и в прошлом году, половина компаний (52 %) пользуются стандартизированными политиками безопасности, такими как ISO 27001. Из них абсолютное большинство компаний либо прошли, либо уже проходят сертификацию. Использование стандартизированных политик безопасности Организация использует стандартизированную политику информационной безопасности (2015 г.; n=1265) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 75. Рекомендации и консультации по-прежнему являются самыми распространенными услугами обеспечения безопасности для аутсорсинга. Figure X. Company view of outsourcing: Large Enterprises are significantly more likely to outsource audits and advice and consulting 10 %40 %44 %56 %55 % 11 %42 %46 %54 % 14 %46 %45 %49 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Консалтинг Аудит Мониторинг Реагирование на инциденты Аналитика угроз Восстановление Нет/все внутри организации 44 % 42 % 41 % 42 % 36 % 36 % 37 % 36 % Какие услуги обеспечения безопасности выполняются сторонними организациями? Средний бизнес Предприятия Крупные предприятия (n=924) (n=319) (n=1189) Рис. 76. Точка зрения организации на аутсорсинг: крупные предприятия гораздо чаще применяют аутсорсинг для аудита, рекомендаций и консультаций.
73 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 77. Точка зрения страны на аутсорсинг: Япония значительно чаще применяет аутсорсинг для рекомендаций и консультаций. Figure 77. Country View of Outsourcing: Japan Is Significantly More Likely to Outsource Advice and Consulting Какие услуги обеспечения безопасности выполняются сторонними организациями? 52% 52% 50% 48% 46% 42% 34% 18% 47% 44% 42% 39% 36% 12% ВСЕГО Данные 51% 55% 49% 39% 40% 32% 9% 49% 38% 32% 32% 37% 38% 18% 51% 48% 39% 38% 46% 34% 13% 44% 50% 41% 43% 36% 31% 19% 54% 36% 52% 53% 16% 47% 4% 52% 33% 31% 34% 36% 37% 19% 54% 51% 51% 49% 48% 41% 12% 58% 63% 49% 45% 44% 21% 3% 41% 40% 37% 27% 42% 41% 16% 55% 59% 50% 54% 39% 41% 4% 64% 41% 51% 53% 47% 40% 10% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Консалтинг Аудит Мониторинг Реагирование на инциденты Источник аналитики угроз Восстановление Нет/все внутри организации Бразилия Германия Италия Великоб- ритания Австралия Китай Индия Мексика Россия ФранцияЯпония Рис. 78. Локальное размещение сетевых инфраструктур все еще наиболее популярно, однако доля сетей, размещенных у сторонних поставщиков, возросла с прошлого года Source: Cisco 2015 Security Capabilities Benchmark Study Figure X. On-premise hosting of the organization’s networks is still the most common; however, off-premise hosting has increased since last year Where Networks Are Hosted On–Premises Off–Premises 20152014 (n=1727) (n=2417) 50% With Private Cloud 51% 54% All On–Premises 48% 23% Third–Party Managed 24% 18% Private Cloud 20% 8% Public Cloud 10%
74 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Нарушение общественной безопасности В 2015 г. меньше организаций сообщили о расследовании нарушений общественной безопасности. Нарушения безопасности служат мощным стимулом для улучшений информационной безопасности. Figure X. Fewer organizations in 2015 report having had to manage public scrutiny of security breaches, compared to 2014 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности Рис. 79. В 2015 г. число организаций, сообщивших о расследовании нарушений общественной безопасности, снизилось. Директора по безопасности чаще упоминают улучшения после нарушения безопасности, чем рядовые сотрудники отдела безопасности. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Насколько нарушение повлияло на улучшение политик, процедур и технологий защиты от угроз безопасности? (n = 1134) 10%1% 42% 47% Has Your Organization Ever Had to Manage Public Scrutiny of a Security Breach? Совсем нет Незначительно В средней степени В значительной степени Figure 80. Public Breaches Can Improve Security
75 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Лидерство и развитие Figure X. 5-segment model tracks closely to Security Capability Maturity Model (CMM) Сегменты отражают шаблон, аналогичный прошлогоднему исследованию с точки зрения приоритета информационной безопасности и реализации процессов и процедур. 60 %или больше профилей соответствуют требованиям надежного уровня информационной безопасности. Это утверждение верно для большинства стран и отраслей. 2014 r. (n=1637) 2015 r. (n=2401) Низкий Выше среднего ВысокийНиже среднего Средний Размеры сегментов 28 %2 % 9 % 36 %25 % 26 %4 % 8 % 39 %23 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 81. 5-сегментная модель демонстрирует показатели наравне с моделью CMM. Figure X. As in 2014, nearly all agree or strongly agree that executive leadership considers security a high priority С утверждением «Руководители моей организации определили четкие показатели для оценки эффективности нашей программы информационной безопасности» полностью согласно значительно большее число респондентов из фармацевтической отрасли, нежели из других отраслей. Роли и обязанности внутри группы информационной безопасности разъяснены руководителям организации. Оценки рисков кибербезопасности регулярно проводятся в рамках общего процесса оценки рисков. Руководство моей организации определило четкие показатели для оценки эффективности нашей программы информационной безопасности. Высшее руководство моей организации считает, что вопросы информационной безопасности имеют высокий приоритет. 93 532 6 40 2014 n=1738 94 531 5 41 2015 n=2432 93 572 4 36 2014 n=1738 95 551 4 40 2015 n=2432 94 582 5 35 2014 n=1738 95 581 4 36 2015 n=2432 94 632 4 32 2014 n=1738 94 611 4 35 2015 n=2432 Политики безопасности Совершенно неверно Совершенно верноНеверно Верно Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше директоров по безопасности согласны со всеми утверждениями о вовлечении руководителей, чем сотрудники отдела безопасности. Рис. 82. Как и в 2014 г., почти все респонденты согласны или полностью согласны с тем, что руководители компаний отдают информационной безопасности высокий приоритет.
76 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Процессы Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Figure X. Lower Confidence in Ability to Build Security into Systems В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Рис. 83. Неоднозначные показатели уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы.
77 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 83. Неоднозначные показатели уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы (продолжение). Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 Figure X. Lower Confidence in Ability to Build Security into Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 492 8 41 2014 r. Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls Рис. 84. Предприятия уверены в эффективности своих средств управления информационной безопасностью.
78 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls Рис. 84. Предприятия уверены в эффективности своих средств управления информационной безопасностью (продолжение). Рис. 85. Помещение вредоносных приложений в карантин или их удаление, а также анализ основных причин по-прежнему являются основными используемыми процессами. Figure X. Quarantine/removal of malicious applications and root cause analysis continue to be the top processes used Процедуры устранения причины инцидентов 97 % 94 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше респондентов в США выбрали ответ «Ничего из вышеперечисленного» на вопрос о процессах для устранения причины инцидента информационной безопасности по сравнению с респондентами в большинстве других стран. 52% 48%Дополнительный мониторинг 58% 55% Помещение в карантин или удаление вредоносного приложения 53% 53% Блокирование коммуникаций вредоносного программного обеспечения 55% 55%Анализ основных причин 45% 41%Reimage System to Previous State 48% 47% Блокирование коммуникаций взломанного приложения 47% 40%Long-Term Fix Development 2% 1%Ничего из вышеперечисленного 20152014 (n=1738) (n=2432) 51% 47%Обновление политик США Инциденты информационной безопасности
79 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Figure X. Enterprises Lack Confidence in Ability to Contain Compromises У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПрактическое применение систем информационной безопасности However, Companies Continue to Lack Confidence in Their Abilities to Scope and Contain CompromisesРис. 86. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности.
80 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 86. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности (продолжение). Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Figure X. Enterprises Lack Confidence in Ability to Contain Compromises У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПрактическое применение систем информационной безопасности However, Companies Continue to Lack Confidence in Their Abilities to Scope and Contain Compromises Рис. 87. Анализ журналов межсетевого экрана и системы остается наиболее часто используемым процессом для анализа зараженных систем. Средний бизнес Figure X. Firewall logs and system log analysis continue to be the most commonly used processes to analyze compromised systems Анализ системного журнала 53% 57%Журнал межсетевого экрана Анализ сетевого потока 49% Анализ вредоносного ПО или сравнение файлов с исходным состоянием 48% Анализ реестра 47% Анализ с полным захватом пакетов 38% Анализ связанных событий или журналов 37% Техническая экспертиза жестких дисков 36% Техническая экспертиза памяти 34% Обнаружение IOC 35% Внешнее реагирование на инциденты и их анализ 33% Ничего из вышеперечисленного 1% 59% 61% 53% 55% 50% 47% 42% 40% 41% 38% 37% 2% Processes to Analyze Compromised Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Организации и крупные предприятия сообщают об использовании большего числа процессов для анализа взломанных систем, чем рынок решений для среднего бизнеса. 2014 2015(n=1738) (n=2432) Организации и крупные предприятия
81 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 88. Восстановление из резервной копии, созданной до возникновения инцидентов, является наиболее распространенной процедурой восстановления зараженных систем в 2015 г. Figure X. Restoring from a pre-incident backup is the most common process to restore affected systems in 2015 57 % 59 % 60 % 56 % 60 % 55 % 56 % 51 % 35 % 35 % 2 % 1 % Процессы восстановления затронутых систем 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Респонденты в Китае указали, что они исправляют и обновляют приложения, считающиеся уязвимыми, чаще, чем респонденты в других странах. Реагирование на инцидент путем внедрения дополнительных или новых средств обнаружения и контроля на основе обнаруженных уязвимостей Установка исправлений и обновлений для уязвимых приложений Дифференциальное восстановление (удалении изменений, вызванных инцидентом) Восстановление из резервной копии, созданной до инцидента Восстановление из мастер-образа Ничего из вышеперечисленного 2014 2015r. (n=1738) r. (n=2432) Китай Управление исправлениями Figure X. The CEO or president is most likely to be notified of security incidents, followed by operations and the finance department Operations 46% 40% 45%Генеральный директор Н/Д (недоступно) Н/Д (недоступно) Н/Д (недоступно) Финансовый отдел 40% Технологические партнеры 45% 34% Инжиниринг 38% 33% Управление кадрами 36% 33% Юриспруденция 36% 32% Промышленное производство 33% 28% Связь с общественностью 28% 24% Все сотрудники 35% 27% Деловые партнеры 32% 21% Внешние учреждения 22% 18% 15%Страховые компании Группы, уведомляемые в случае инцидента 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше респондентов из крупных предприятий упомянули об оповещении внешних органов в случае инцидента, чем респонденты из сегмента среднего и малого бизнеса. 2014 2015r. (n=1738) r. (n=2432) Крупное предприятие ! Рис. 89. Генеральный директор или президент в большинстве случаев будет уведомлен об угрозах безопасности, после чего оповещаются операционный и финансовый отдел.
82 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Обучение Figure X. Nearly all companies (97%) deliver security training at least once a year 83 % «Нет»96 % «Да», Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Проводится ли регулярное информирование и/или обучение сотрудников отделов информационной безопасности? (Респонденты, специалисты по информационной безопасности) Как часто проводится обучение по информационной безопасности? (Респонденты, в чьих отделах информационной безопасности проводится обучение) Число компаний, которые проводят обучение по информационной безопасности после нарушения (96 %), больше числа компаний, в которых нарушений обнаружено не было (83 %). 89 % Предприятие 93 % предприятие Крупное 88 % Средний бизнес Больше крупных предприятий сообщают, что регулярно проводят обучающие программы по информационной безопасности (93 %), чем средних компаний (88 %) и предприятий (89 %). 2014 (n=1726) 2015 (n=2402) 89 % Да 11 % Нет 90 % Да 10 % Нет 2015 (n=2147) Больше 2 раз в год (Нет данных за 2014 г.) ≥1 раз в год≤1 раз / 2 года<1 раз / 2 года Н/Д (недоступно) Н/Д (недоступно) 3 % 39 % 58 % 97 % 2014 (n=1560) 1 % 17 % 82 % Рис. 90. Практически все организации (97 %) проводят обучение информационной безопасности для своих сотрудников по крайней мере раз в год. В 2015 г. меньше организаций сообщили о расследовании нарушений общественной безопасности. Нарушения безопасности служат мощным стимулом для улучшений информационной безопасности. Figure X. Fewer organizations in 2015 report having had to manage public scrutiny of security breaches, compared to 2014 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности Рис. 91. Частота проведения обучения безопасности и охват формальных политик безопасности увеличились с 2014 г.
83 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 92. Как и в 2014, почти 9 из 10 опрошенных сообщили, что специалисты по информационной безопасности посещают специализированные тематические конференции или обучающие курсы. Figure X. As in 2014, nearly 9 in 10 say their security staff attend security-focused conferences or training Участвуют ли сотрудники отделов информационной безопасности в конференциях и/или проходят ли внешнее обучение с целью поддержки и совершенствования своих навыков? (Респонденты, специалисты по информационной безопасности) Являются ли специалисты по информационной безопасности членами отраслевых организаций или комиссий? (Респонденты, специалисты по информационной безопасности) 2014 2015(n=1738) (n=2432) 89 % Да 89 % Да 64 % Да 36 % 11 % 11 % 35 % 65 % Да 2014 2015(n=1738) (n=2432) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
84 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Исследование рисков безопасности и степени надежности Figure X. Background & Methodology Методика: количественный и качественный подход Research Background and Objectives Источник: исследование степени риска и надежности систем безопасности, Cisco Cisco заинтересована в более глубоком понимании того, как лица, ответственные за ИТ-решения на предприятиях и у поставщиков услуг, воспринимают риски и задачи безопасности, а также роль, которую благонадежность ИТ-поставщика играет при покупке ИТ-решений. Среди целей: Для анализа каждой из этих целей исследования использовались две методики: (все респонденты, участвующие в процессе принятия ИТ-решений) Исследование было проведено в США, Великобритании, Франции, Германии, и Канаде (только лица, ответственные за принятие ИТ-решений) Качественные углубленные собеседования среди (7 США, 3 Канада, 3 Великобритания, 4 Германия, 3 Франция) 20 поставщиков услуг Количественный веб-опрос среди (402 США, 282 Великобритания, 197 Германия, 169 Франция) 1050 корпоративных лиц, ответственных за ИТ-решения Сбор данных осуществляется с августа до сентября 2015 г. 45Минутные подробные собеседования 20Минутный веб-опрос оценка уровня риска от внешних и внутренних угроз и уязвимостей; понимание стратегий, политик и решений, которые реализуются для устранения рисков безопасности; определение процесса покупки ИТ-решений и роли благонадежности ИТ-поставщиков в этом процессе; оценка заинтересованности в получении сообщений о том, как проверить благонадежность ИТ-поставщиков; определение различий в анализе рисков безопасности или подходах к их устранению для разных отраслей и аудиторий. Рис. 93. Общие сведения и методология
85 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Figure X. Enterprise Respondent Profile Quantitive Источник: исследование степени риска и надежности систем безопасности, Cisco Отрасль (более 5 %) 11 % Финансы 11 % Здравоохра- нение 10 % Производство, не связанное с компьютерами 10 % Розничная торговля 8 % Государствен- ный сектор 7 % Страхование 6 % Энергетика, нефтегазовая отрасль 5 % Инжиниринг 5 % Телекомму- никации 29 % Другое Должность Страна Размер компании Классификация информационной безопасности 6 %Старший инженер/архитектор 25 % 26 % Уровень руководства (Директор по ИТ, директор по безопасности, технический директор и т. д.) США 30 %Директор 9 %Вице-президент 2 %Юриспруденция Управление 3 %Инженер Участие в процессе покупки Исследование/оценка решений 69 % 69 % Определение концепции/стратегии Утверждение крупных покупок 71 % 77 % 77 % 80 % Обеспечение соответствия нормативным требованиям 53 %Утверждение финансирования/бюджета Внедрение/контроль решений Предоставление входных данных или принятие окончательных решений по бренду 38 % Великобритания 27 % Франция 16 % Германия 19 % 1000-2499 Безопасность, не связанная с ИТ 2500-4999 10,000 или более сотрудников 22 % 32 % 53 %47 % 30 % 16 % 5000-9999 Информационная безопасность Рис. 94. Количественный профиль корпоративного респондента
86 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: исследование степени риска и надежности систем безопасности, Cisco Тип поставщика услуг Страна Размер компании Классификация информационной безопасности 4% 6% Мультимедийные сервисы 11% 11% Сервисы приложений США и Канада Мобильные телекоммуникации Технические услуги 3% Проводные телекоммуникации Должность Старший менеджер 7% Руководитель ИТ-отдела/технический директор/директор по безопасности 8%ИТ-директор 1% 1% 1% Вице-президент ИТ Управление 2% Старший инженер/архитектор Участие в процессе покупки Исследование/оценка решений Определение концепции/стратегии Утверждение крупных покупок Обеспечение соответствия нормативным требованиям Утверждение финансирования/бюджета Внедрение/контроль решений Принятие окончательных решений по бренду 10 Великобритания3 Франция3 4Германия 6 14 7 7 6 100-999 5000 или более сотрудников 1000-4900 Безопасность, не связанная с ИТ Информационная безопасность 80% 70% 95% 100% 75% 85% 60% Рис. 95. Профиль респондента поставщика услуг: качественный
Россия, 115054, Москва, бизнес-центр «Риверсайд Тауэрс», Космодамианская наб., д. 52, стр. 1, 4 этаж Телефон: +7 (495) 961 1410, факс: +7 (495) 961 1469 www.cisco.ru, www.cisco.com Россия, 197198, Санкт-Петербург, бизнес-центр «Арена Холл», пр. Добролюбова, д. 16, лит. А, корп. 2 Телефон: +7 (812) 313 6230, факс: +7 (812) 313 6280 www.cisco.ru, www.cisco.com Украина, 03038, Киев, бизнес-центр «Горизонт Парк», ул. Николая Гринченко, 4В Телефон: +38 (044) 391 3600, факс: +38 (044) 391 3601 www.cisco.ua, www.cisco.com Беларусь, 220034, Минск, бизнес-центр «Виктория Плаза», ул. Платонова, д. 1Б, 3 п., 2 этаж. Телефон: +375 (17) 269 1691, факс: +375 (17) 269 1699 www.cisco.ru Казахстан, 050059, Алматы, бизнес-центр «Самал Тауэрс», ул. О. Жолдасбекова, 97, блок А2, 14 этаж Телефон: +7 (727) 244 2101, факс: +7 (727) 244 2102 Азербайджан, AZ1010, Баку, ул. Низами, 90А, Лэндмарк здание III, 3-й этаж Телефон: +994-12-437-48-20, факс: +994-12-437 4821 Узбекистан, 100000, Ташкент, бизнес центр INCONEL, ул. Пушкина, 75, офис 605 Телефон: +998-71-140-4460, факс: +998-71-140 4465 Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL: www.cisco.com/go/trademarks. Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1110R) Americas Headquarters Cisco Systems, Inc. San Jose, CA Asia Pacific Headquarters Cisco Systems (USA) Pte. Ltd. Singapore Europe Headquarters Cisco Systems International BV Amsterdam, The Netherlands Cisco has more than 200 offices worldwide. Addresses, phone numbers, and fax numbers are listed on the Cisco Website at www.cisco.com/go/offices. Cisco и логотип Cisco являются товарными знаками или зарегистрированными товарными знаками корпорации Cisco и/или ее дочерних компаний в США и других странах. Чтобы просмотреть список товарных знаков Cisco, перейдите по ссылке: www.cisco.com/go/trademarks. Товарные знаки сторонних организаций, упомянутые в настоящем документе, являются собственностью соответствующих владельцев. Использование слова «партнер» не подразумевает наличия партнерских взаимоотношений между Cisco и любой другой компанией. (1110R) Россия, 115054, Москва, бизнес-центр «Риверсайд Тауэрс», Космодамианская наб., д. 52, стр. 1, 4 этаж Телефон: +7 (495) 961 1410, факс: +7 (495) 961 1469 www.cisco.ru, www.cisco.com Россия, 197198, Санкт-Петербург, бизнес-центр «Арена Холл», пр. Добролюбова, д. 16, лит. А, корп. 2 Телефон: +7 (812) 313 6230, факс: +7 (812) 313 6280 www.cisco.ru, www.cisco.com Украина, 03038, Киев, бизнес-центр «Горизонт Парк», ул. Николая Гринченко, 4В Телефон: +38 (044) 391 3600, факс: +38 (044) 391 3601 www.cisco.ua, www.cisco.com Беларусь, 220034, Минск, бизнес-центр «Виктория Плаза», ул. Платонова, д. 1Б, 3 п., 2 этаж. Телефон: +375 (17) 269 1691, факс: +375 (17) 269 1699 www.cisco.ru Казахстан, 050059, Алматы, бизнес-центр «Самал Тауэрс», ул. О. Жолдасбекова, 97, блок А2, 14 этаж Телефон: +7 (727) 244 2101, факс: +7 (727) 244 2102 Азербайджан, AZ1010, Баку, ул. Низами, 90А, Лэндмарк здание III, 3-й этаж Телефон: +994-12-437-48-20, факс: +994-12-437 4821 Узбекистан, 100000, Ташкент, бизнес центр INCONEL, ул. Пушкина, 75, офис 605 Телефон: +998-71-140-4460, факс: +998-71-140 4465 Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL: www.cisco.com/go/trademarks. Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1110R) Americas Headquarters Cisco Systems, Inc. San Jose, CA Asia Pacific Headquarters Cisco Systems (USA) Pte. Ltd. Singapore Europe Headquarters Cisco Systems International BV Amsterdam, The Netherlands Cisco has more than 200 offices worldwide. Addresses, phone numbers, and fax numbers are listed on the Cisco Website at www.cisco.com/go/offices. Cisco и логотип Cisco являются товарными знаками или зарегистрированными товарными знаками корпорации Cisco и/или ее дочерних компаний в США и других странах. Чтобы просмотреть список товарных знаков Cisco, перейдите по ссылке: www.cisco.com/go/trademarks. Товарные знаки сторонних организаций, упомянутые в настоящем документе, являются собственностью соответствующих владельцев. Использование слова «партнер» не подразумевает наличия партнерских взаимоотношений между Cisco и любой другой компанией. (1110R) Adobe Acrobat и Flash являются зарегистрированными товарными знаками или товарными знаками Adobe Systems в США и/или других странах. © Cisco и/или ее дочерние компании, 2016. Все права защищены. Опубликовано в январе 2016 г.

More Related Content

PDF
3 скакуна, несущих информационную безопасность вперед и стратегия Cisco по их...
Cisco Russia
 
PPTX
Побеждать или сойти с дистанции
Cisco Russia
 
PDF
Ежегодный отчет Cisco по информационной безопасности 2015
Cisco Russia
 
PDF
Ежегодный отчет Cisco по информационной безопасности 2015
Cisco Russia
 
PDF
Годовой отчет Cisco по безопасности за 2016 год - данные по региону
Cisco Russia
 
PDF
Ежегодный отчет по безопасности. Защитники и их тактика
Cisco Russia
 
PDF
Охват всего периода атаки: до, во время и после
Cisco Russia
 
PDF
Ежегодный отчет Cisco по ИБ. Состояние защиты
Cisco Russia
 
3 скакуна, несущих информационную безопасность вперед и стратегия Cisco по их...
Cisco Russia
 
Побеждать или сойти с дистанции
Cisco Russia
 
Ежегодный отчет Cisco по информационной безопасности 2015
Cisco Russia
 
Ежегодный отчет Cisco по информационной безопасности 2015
Cisco Russia
 
Годовой отчет Cisco по безопасности за 2016 год - данные по региону
Cisco Russia
 
Ежегодный отчет по безопасности. Защитники и их тактика
Cisco Russia
 
Охват всего периода атаки: до, во время и после
Cisco Russia
 
Ежегодный отчет Cisco по ИБ. Состояние защиты
Cisco Russia
 

What's hot (20)

PDF
Решения Cisco для создания защищенного ЦОД
Cisco Russia
 
PDF
Модель обеспечения ИБ «ДО – ВО ВРЕМЯ – ПОСЛЕ»
Cisco Russia
 
PDF
Как ИБ может повлиять на рост доходов, снижение издержек и рост лояльности кл...
Cisco Russia
 
PDF
Коммерческие преимущества широкого внедрения облачной среды
Cisco Russia
 
PDF
Архитектура безопасности Cisco SAFE
Cisco Russia
 
PDF
Корпоративная мобильность и безопасность
Cisco Russia
 
PDF
Построение центра мониторинга и управления безопасностью Cisco
Aleksey Lukatskiy
 
PDF
Системы предотвращения вторжений нового поколения
Cisco Russia
 
PDF
Болевые точки корпоративной сети: взгляд не со стороны службы ИБ
Aleksey Lukatskiy
 
PDF
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Aleksey Lukatskiy
 
PDF
Сертификация системы управления информационной безопасностью
КРОК
 
PPTX
Тенденции, влияющие на информационную безопасность
Aleksey Lukatskiy
 
PDF
Отчет Cisco по кибербезопасности за первое полугодие 2016 г.
Cisco Russia
 
PDF
Краткий справочник по кибербезопасности Cisco за 2016 год
Cisco Russia
 
PDF
Устранение веб-угроз с помощью комплексных средств безопасности
Cisco Russia
 
PDF
Решения Cisco для защиты электронной почты
Cisco Russia
 
PDF
Архитектура безопасности Cisco SAFE
Cisco Russia
 
PDF
Обеспечение защиты корпоративных ресурсов от DDoS-атак
КРОК
 
PDF
Информационная безопасность и фактор времени
Aleksey Lukatskiy
 
PDF
Кибербезопасность в России. Исследование
Cisco Russia
 
Решения Cisco для создания защищенного ЦОД
Cisco Russia
 
Модель обеспечения ИБ «ДО – ВО ВРЕМЯ – ПОСЛЕ»
Cisco Russia
 
Как ИБ может повлиять на рост доходов, снижение издержек и рост лояльности кл...
Cisco Russia
 
Коммерческие преимущества широкого внедрения облачной среды
Cisco Russia
 
Архитектура безопасности Cisco SAFE
Cisco Russia
 
Корпоративная мобильность и безопасность
Cisco Russia
 
Построение центра мониторинга и управления безопасностью Cisco
Aleksey Lukatskiy
 
Системы предотвращения вторжений нового поколения
Cisco Russia
 
Болевые точки корпоративной сети: взгляд не со стороны службы ИБ
Aleksey Lukatskiy
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Aleksey Lukatskiy
 
Сертификация системы управления информационной безопасностью
КРОК
 
Тенденции, влияющие на информационную безопасность
Aleksey Lukatskiy
 
Отчет Cisco по кибербезопасности за первое полугодие 2016 г.
Cisco Russia
 
Краткий справочник по кибербезопасности Cisco за 2016 год
Cisco Russia
 
Устранение веб-угроз с помощью комплексных средств безопасности
Cisco Russia
 
Решения Cisco для защиты электронной почты
Cisco Russia
 
Архитектура безопасности Cisco SAFE
Cisco Russia
 
Обеспечение защиты корпоративных ресурсов от DDoS-атак
КРОК
 
Информационная безопасность и фактор времени
Aleksey Lukatskiy
 
Кибербезопасность в России. Исследование
Cisco Russia
 
Ad

Viewers also liked (20)

PDF
Корпоративные сети WLAN Cisco: варианты решений и необходимые технические дан...
Cisco Russia
 
PPTX
Астерит: ИБ это не продукт, а процесс
Expolink
 
PDF
Полугодовой отчет по безопасности Cisco, 2015
Cisco Russia
 
PDF
Обзор решений Cisco для обеспечения безопасности интеллектуальных систем энер...
Cisco Russia
 
PPTX
What is Firewall?
NetProtocol Xpert
 
PDF
NGFW: MARKET GROWTH, DEPLOYMENTS, AND NSS TEST RESULTS
NSS Labs
 
PDF
Cisco Identity Service Engine (ISE)
Cisco Russia
 
PDF
Cisco MediaSense Запись разговоров UCCX 10
Cisco Russia
 
PDF
Миграция на CUCM 11 c предыдущих версий: особенности и рекомендации.
Cisco Russia
 
PDF
PT Docs on bpm'online English version
ООО "Программные Технологии"
 
PPTX
Network Security: Protecting SOHO Networks
Jim Gilsinn
 
PDF
Интеграция сервисов идентификации и контроля доступа. Решение Cisco Identity ...
Cisco Russia
 
PPTX
Ежегодный отчет Cisco по безопасности
Cisco Russia
 
PDF
I2c interfacing raspberry pi to arduino
Mike Ochtman
 
PDF
Решения Cisco для обеспечения кибербезопасности промышленных систем автоматиз...
Компания УЦСБ
 
PDF
Новое поколение ASA 5500x среднего класса
Cisco Russia
 
PPT
Размещение презентаций в Internet
anxesenpa
 
PDF
How to Solve Real-Time Data Problems
IBM Power Systems
 
PDF
Как архитектурные подходы Cisco влияют на бизнес
Cisco Russia
 
PDF
Mikrotik firewall filter
Achmad Mardiansyah
 
Корпоративные сети WLAN Cisco: варианты решений и необходимые технические дан...
Cisco Russia
 
Астерит: ИБ это не продукт, а процесс
Expolink
 
Полугодовой отчет по безопасности Cisco, 2015
Cisco Russia
 
Обзор решений Cisco для обеспечения безопасности интеллектуальных систем энер...
Cisco Russia
 
What is Firewall?
NetProtocol Xpert
 
NGFW: MARKET GROWTH, DEPLOYMENTS, AND NSS TEST RESULTS
NSS Labs
 
Cisco Identity Service Engine (ISE)
Cisco Russia
 
Cisco MediaSense Запись разговоров UCCX 10
Cisco Russia
 
Миграция на CUCM 11 c предыдущих версий: особенности и рекомендации.
Cisco Russia
 
PT Docs on bpm'online English version
ООО "Программные Технологии"
 
Network Security: Protecting SOHO Networks
Jim Gilsinn
 
Интеграция сервисов идентификации и контроля доступа. Решение Cisco Identity ...
Cisco Russia
 
Ежегодный отчет Cisco по безопасности
Cisco Russia
 
I2c interfacing raspberry pi to arduino
Mike Ochtman
 
Решения Cisco для обеспечения кибербезопасности промышленных систем автоматиз...
Компания УЦСБ
 
Новое поколение ASA 5500x среднего класса
Cisco Russia
 
Размещение презентаций в Internet
anxesenpa
 
How to Solve Real-Time Data Problems
IBM Power Systems
 
Как архитектурные подходы Cisco влияют на бизнес
Cisco Russia
 
Mikrotik firewall filter
Achmad Mardiansyah
 
Ad

Similar to Годовой отчет Cisco по информационной безопасности за 2016 год (20)

PDF
Годовой отчет Cisco по кибербезопасности за 2017 год
Cisco Russia
 
PDF
Отчет по информационной безопасности. Полугодовой отчет Cisco за 2014 год
Cisco Russia
 
PDF
Полугодовой отчет Cisco за 2014 год. Отчет по информационной безопасности
Cisco Russia
 
PDF
Полугодовой отчет Cisco по информационной безопасности за 2017 год
Cisco Russia
 
PDF
Cisco 2018
malvvv
 
PDF
Годовой отчет Cisco по безопасности за 2014 год
Cisco Russia
 
PDF
Годовой отчет Cisco по безопасности за 2014 год
Cisco Russia
 
PDF
Эволюция архитектуры безопасности для эры всеобъемлющего интернета
Cisco Russia
 
PDF
CISCO. Алексей Лукацкий: "Тенденции в области угроз безопасности"
Expolink
 
PDF
Практика исследования защищенности российских компаний.
Cisco Russia
 
PPTX
Практика исследований защищенности российксих компаний (CISCO CONNECT 2017)
Alexey Kachalin
 
PDF
Годовой отчет Cisco по безопасности за 2013 год
Cisco Russia
 
PDF
Защита информации 2030: о чем стоит думать уже сейчас?!
Aleksey Lukatskiy
 
PDF
e-conf2017_Долгинин_12102017.pdf
alex183408
 
PDF
Безопасность сети. От точечных решений к целостной стратегии
Cisco Russia
 
PDF
Тенденции российского рынка ИБ
Aleksey Lukatskiy
 
PDF
Ростелеком. Ольга Макарова. "Информацинная безопасность в современных реалиях...
Expolink
 
PDF
Полугодовой отчет Cisco по информационной безопасности 2015
Cisco Russia
 
PPTX
CISCO. Алексей Лукацкий: "Тенденции в области угроз безопасности"
Expolink
 
PDF
Значимость интегрированной безопасности
Cisco Russia
 
Годовой отчет Cisco по кибербезопасности за 2017 год
Cisco Russia
 
Отчет по информационной безопасности. Полугодовой отчет Cisco за 2014 год
Cisco Russia
 
Полугодовой отчет Cisco за 2014 год. Отчет по информационной безопасности
Cisco Russia
 
Полугодовой отчет Cisco по информационной безопасности за 2017 год
Cisco Russia
 
Cisco 2018
malvvv
 
Годовой отчет Cisco по безопасности за 2014 год
Cisco Russia
 
Годовой отчет Cisco по безопасности за 2014 год
Cisco Russia
 
Эволюция архитектуры безопасности для эры всеобъемлющего интернета
Cisco Russia
 
CISCO. Алексей Лукацкий: "Тенденции в области угроз безопасности"
Expolink
 
Практика исследования защищенности российских компаний.
Cisco Russia
 
Практика исследований защищенности российксих компаний (CISCO CONNECT 2017)
Alexey Kachalin
 
Годовой отчет Cisco по безопасности за 2013 год
Cisco Russia
 
Защита информации 2030: о чем стоит думать уже сейчас?!
Aleksey Lukatskiy
 
e-conf2017_Долгинин_12102017.pdf
alex183408
 
Безопасность сети. От точечных решений к целостной стратегии
Cisco Russia
 
Тенденции российского рынка ИБ
Aleksey Lukatskiy
 
Ростелеком. Ольга Макарова. "Информацинная безопасность в современных реалиях...
Expolink
 
Полугодовой отчет Cisco по информационной безопасности 2015
Cisco Russia
 
CISCO. Алексей Лукацкий: "Тенденции в области угроз безопасности"
Expolink
 
Значимость интегрированной безопасности
Cisco Russia
 

More from Cisco Russia (20)

PDF
Service portfolio 18
Cisco Russia
 
PDF
История одного взлома. Как решения Cisco могли бы предотвратить его?
Cisco Russia
 
PDF
Об оценке соответствия средств защиты информации
Cisco Russia
 
PDF
Обзор Сервисных Услуг Cisco в России и странах СНГ.
Cisco Russia
 
PDF
Клиентские контракты на техническую поддержку Cisco Smart Net Total Care
Cisco Russia
 
PDF
Cisco Catalyst 9000 series
Cisco Russia
 
PDF
Cisco Catalyst 9500
Cisco Russia
 
PDF
Cisco Catalyst 9400
Cisco Russia
 
PDF
Cisco Umbrella
Cisco Russia
 
PDF
Cisco Endpoint Security for MSSPs
Cisco Russia
 
PDF
Cisco FirePower
Cisco Russia
 
PDF
Профессиональные услуги Cisco для Software-Defined Access
Cisco Russia
 
PDF
Обнаружение известного вредоносного кода в зашифрованном с помощью TLS трафик...
Cisco Russia
 
PDF
Промышленный Интернет вещей: опыт и результаты применения в нефтегазовой отрасли
Cisco Russia
 
PDF
Безопасность для цифровой экономики. Развитие продуктов и решений Cisco
Cisco Russia
 
PDF
Cisco StealthWatch. Использование телеметрии для решения проблемы зашифрованн...
Cisco Russia
 
PDF
Обеспечение бесперебойной работы корпоративных приложений в больших гетероген...
Cisco Russia
 
PDF
Новое поколение серверов Сisco UCS. Гиперконвергентное решении Cisco HyperFle...
Cisco Russia
 
PDF
Новая эра корпоративных сетей с Cisco Catalyst 9000 и другие инновации для ма...
Cisco Russia
 
PDF
Как развернуть кампусную сеть Cisco за 10 минут? Новые технологии для автомат...
Cisco Russia
 
Service portfolio 18
Cisco Russia
 
История одного взлома. Как решения Cisco могли бы предотвратить его?
Cisco Russia
 
Об оценке соответствия средств защиты информации
Cisco Russia
 
Обзор Сервисных Услуг Cisco в России и странах СНГ.
Cisco Russia
 
Клиентские контракты на техническую поддержку Cisco Smart Net Total Care
Cisco Russia
 
Cisco Catalyst 9000 series
Cisco Russia
 
Cisco Catalyst 9500
Cisco Russia
 
Cisco Catalyst 9400
Cisco Russia
 
Cisco Umbrella
Cisco Russia
 
Cisco Endpoint Security for MSSPs
Cisco Russia
 
Cisco FirePower
Cisco Russia
 
Профессиональные услуги Cisco для Software-Defined Access
Cisco Russia
 
Обнаружение известного вредоносного кода в зашифрованном с помощью TLS трафик...
Cisco Russia
 
Промышленный Интернет вещей: опыт и результаты применения в нефтегазовой отрасли
Cisco Russia
 
Безопасность для цифровой экономики. Развитие продуктов и решений Cisco
Cisco Russia
 
Cisco StealthWatch. Использование телеметрии для решения проблемы зашифрованн...
Cisco Russia
 
Обеспечение бесперебойной работы корпоративных приложений в больших гетероген...
Cisco Russia
 
Новое поколение серверов Сisco UCS. Гиперконвергентное решении Cisco HyperFle...
Cisco Russia
 
Новая эра корпоративных сетей с Cisco Catalyst 9000 и другие инновации для ма...
Cisco Russia
 
Как развернуть кампусную сеть Cisco за 10 минут? Новые технологии для автомат...
Cisco Russia
 

Годовой отчет Cisco по информационной безопасности за 2016 год

  • 1. Годовой отчет Cisco по информационной безопасности за 2016 год
  • 2. 2 Основные положения И хакерские атаки, и противостоящие им системы безопасности становятся все более сложными и совершенными. «Плохие парни» создают мощные инфраструктуры для осуществления и поддержки своих вредоносных кампаний. Киберпреступники постоянно совершенствуют свои технологии и способы кражи личных данных и интеллектуальной собственности, а их сетевые атаки остаются незамеченными. Ежегодный отчет Cisco по безопасности за 2016 г., в котором представлены результаты исследований, аналитика и перспективы развития отрасли, подготовленные группой Cisco Security Research, подробно рассматривает задачи, которые сегодня стоят перед специалистами по безопасности в борьбе с хорошо подготовленными и обладающими всеми необходимыми ресурсами хакерами. Отчет также содержит дополнительные материалы о современных угрозах на основе изысканий сторонних специалистов, таких как исследовательская лаборатория Level 3 Threat Research Labs. Мы внимательно рассмотрим данные, собранные аналитиками Cisco, и продемонстрируем изменения во времени, подчеркнем значение определенных закономерностей и их смысл, а также объясним, как специалистам по безопасности следует реагировать на те или иные угрозы. Темы отчета: ИСТОЧНИК АНАЛИТИКИ УГРОЗ В этом разделе рассматриваются важнейшие тенденции кибербезопасности, установленные нашими аналитиками, а также содержатся последние сведения о векторах и методиках веб-атак и уязвимостях систем. Здесь также содержится подробный анализ таких растущих угроз, как программы-вымогатели. В основе анализа тенденций 2015 года, проведенного Cisco Security Research, лежат телеметрические данные со всего мира. ОТРАСЛЕВАЯ АНАЛИТИКА В этом разделе рассматриваются тенденции в обеспечении безопасности, которые затрагивают современные предприятия, в том числе применение шифрования и потенциальные риски безопасности, связанные с этим. Мы рассмотрим слабости схем защиты сетевых инфраструктур, применяемых средним и малым бизнесом (SMB). Мы также представим результаты исследования предприятий, которые полагаются на устаревшее, неподдерживаемое или завершившее свой жизненный цикл ПО для обеспечения работы ИТ-инфраструктуры. СРАВНИТЕЛЬНОЕ ИССЛЕДОВАНИЕ ВОЗМОЖНОСТЕЙ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В этом разделе приводятся результаты второго сравнительного исследования возможностей систем безопасности, проведенного Cisco. Основное внимание уделялось мнению специалистов по безопасности о состоянии обеспечения информационной безопасности в организациях. Сравнив результаты анализа за 2015 г. с результатами анализа за 2014 г., Cisco определила, что теперь директора и менеджеры по безопасности менее уверены в актуальности своих инфраструктур безопасности и в их готовности противодействовать сетевым атакам. Однако анализ также показал, что предприятия активизируют обучение персонала и другие процессы обеспечения информационной безопасности, стремясь усилить защиту своих сетевых инфраструктур. С результатами исследования можно ознакомиться только в годовом отчете по информационной безопасности Cisco за 2016 год. ДЕЙСТВУЯ НА ОПЕРЕЖЕНИЕ Этот раздел содержит обзор геополитической среды в контексте ее влияния на информационную безопасность. Обсуждаются результаты двух исследований Cisco: одно связано с озабоченностью руководителей относительно кибербезопасности, а другое рассматривает мнение лиц, принимающих решения в ИТ, относительно рисков безопасности и вопросов доверия. Мы также описываем свои успехи в деле сокращения времени обнаружения угроз (TTD) и подчеркиваем значимость перехода к интегрированной архитектуре противодействия угрозам как эффективному способу противостоять им. Основные положения Специалисты по безопасности должны пересмотреть свои стратегии защиты. Годовой отчет Cisco по информационной безопасности за 2016 год
  • 3. 3 Содержание Содержание Годовой отчет Cisco по информационной безопасности за 2016 год ОСНОВНЫЕ ПОЛОЖЕНИЯ............................................... 2 ОСНОВНЫЕ ИЗМЕНЕНИЯ И ОТКРЫТИЯ........................ 4 ВСЕ РАДИ ЦЕЛИ: ДЛЯ СОВРЕМЕННЫХ КИБЕРПРЕСТУПНИКОВ ДЕНЬГИ ВАЖНЕЕ ВСЕГО................................................................................ 7 АНАЛИТИКА УГРОЗ......................................................... 9 Материалы по теме....................................................... 10 Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей............................................... 10 Скоординированные усилия лидеров отрасли позволили обнаружить и «накрыть» одну из крупнейших в мире бот-сетей для DDoS-атак.............. 14 Заражение веб-браузеров: широко распространенный и главный источник утечки данных................................ 16 Управление бот-сетями. Глобальный обзор ................ 17 «Слепое пятно» DNS: атаки с использованием DNS для перехвата управления..................................... 19 Аналитика угроз........................................................................20 Векторы веб-атак.......................................................................20 Методы веб-атак........................................................................21 Изменения характера угроз.......................................................23 Вертикальный риск борьбы с вредоносным ПО........................25 Блокирование веб-угроз. Географический обзор.....................27 ОТРАСЛЕВАЯ АНАЛИТИКА......................................29 Шифрование: популярная тенденция и сложная задача для специалистов по безопасности...........................................30 Киберпреступники начали активнее использовать серверы на WordPress...............................................................................33 Устаревающая инфраструктура: проблема, которой уже 10 лет..........................................................................................35 Предприятия малого и среднего бизнеса — слабое звено информационной безопасности крупных предприятий?..........37 СРАВНИТЕЛЬНОЕ ИССЛЕДОВАНИЕ ВОЗМОЖНОСТЕЙ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ CISCO...........................................41 Понимание, что принятых мер недостаточно..........................42 ДЕЙСТВУЯ НА ОПЕРЕЖЕНИЕ...................................55 Геополитическая перспектива: неопределенность в среде управления Интернетом............................................................56 Проблемы кибербезопасности пугают руководителей............57 Изучение доверия: риски и трудности для предприятий.........58 Время обнаружения: гонка за сокращением............................60 Шесть принципов встроенной защиты от угроз.......................62 Сила в числе: ценность внутриотраслевого сотрудничества..........................................................................63 О КОМПАНИИ CISCO................................................64 Авторы и источники годового отчета Cisco по информационной безопасности 2016 года .............................65 Партнеры Cisco..........................................................................67 ПРИЛОЖЕНИЕ...........................................................68
  • 4. 4 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Основные изменения и открытия
  • 5. 5 Основные изменения и открытия •• Компания Cisco в сотрудничестве с Level 3 Threat Research Labs и хостинг-провайдером Limestone Networks смогла выявить и нейтрализовать крупнейшую кампанию с использованием комплекта эксплойтов Angler в США. Кампания была направлена против свыше 90 000 компьютеров и обеспечивала ежегодные доходы в десятки миллионов долларов организаторам атак. •• SSHPsychos (Group 93) — одна из крупнейших бот-сетей для DDoS-атак из когда-либо встречавшихся аналитикам Cisco — была значительно ослаблена благодаря совместным усилиям Cisco и Level 3 Threat Research Labs. Как и в случае с Angler, такой результат достигнут благодаря отраслевому сотрудничеству, направленному против злоумышленников. •• Вредоносные расширения браузеров могут стать существенным источником утечки коммерческих данных; эта проблема широко распространена. По нашим оценкам, у более чем 85 % рассмотренных в исследовании организаций были установлены вредоносные расширения браузеров. •• Хорошо известные бот-сети, такие как Bedep, Gamarue и Miuref, составляли основную часть деятельности бот-сетей и затронули интересы ряда организаций, анализ которых мы проводили в июле 2015 г. •• Проведенный Cisco анализ вредоносного ПО, опасность которого подтверждена, показал, что подавляющее большинство такого вредоносного ПО (91,3 %) использует для атаки системы доменных имен (DNS). Посредством ретроспективного исследования запросов системы доменных имен (DNS) Cisco выявила «жульнические» службы сопоставления системы доменных имен (DNS), работавшие в сети заказчиков. Заказчики не знали, что их сервера сопоставления имен использовались собственными сотрудниками в рамках имевшейся инфраструктуры системы доменных имен (DNS). •• Уязвимости в Adobe Flash до сих пор пользуются популярностью у киберпреступников. Тем не менее поставщики ПО делают все возможное для уменьшения риска, которому подвержены пользователи в связи с вредоносным ПО для Flash. •• Отслеживая тенденции за 2015 год, наши аналитики предположили, что шифрованный трафик по протоколу HTTPS достиг переломного момента: скоро этот протокол станет основным для интернет-трафика. Хотя шифрование помогает защитить потребителей, оно также может снизить эффективность работы средств обеспечения информационной безопасности. В результате этого сообществу разработчиков таких средств будет сложнее отслеживать угрозы. Дополнительно проблема усугубляется тем, что некоторые виды вредоносного ПО могут обмениваться зашифрованными данными по ряду самых разных портов. •• Злоумышленники используют для своих преступных действий зараженные веб-сайты, созданные с помощью популярной платформы веб-разработки WordPress. Таким образом они могут распоряжаться ресурсами сервера без обнаружения. •• Доля устаревающей инфраструктуры растет. Из-за этого организации все больше склоняются к потенциально опасным компромиссам. Мы проанализировали 115 000 устройств Cisco® в Интернете и обнаружили, что на 92 % устройств из нашей выборки работало программное обеспечение, для которого существуют известные уязвимости. Кроме того, 31 % из работающих устройств Cisco, которые были предметом исследования, достигли фазы «прекращения продаж», а 8 % находились на этапе «конца жизненного цикла». Основные изменения и открытия Киберпреступники усовершенствовали свои инфраструктуры, чтобы повысить эффективность и прибыльность своих сетевых атак. Годовой отчет Cisco по информационной безопасности за 2016 год
  • 6. 6 •• В 2015 году руководители по информационной безопасности в компаниях выражали меньшую уверенность в своих инструментах и процессах обеспечения информационной безопасности, чем в 2014 году. Это показало сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год. Например, в 2015 году 59 % организаций утверждали, что их инфраструктура безопасности была «очень современной». В 2014 году об этом говорили 64 % респондентов. Однако в то же время обеспокоенность относительно информационной безопасности растет и мотивирует организации совершенствовать свои системы защиты. •• Сравнительное исследование показало, что в среднем и малом бизнесе используется меньше систем защиты, чем на крупных предприятиях. Например, 48 % предприятий среднего и малого бизнеса (SMB) сообщили в 2015 году, что они применяют системы веб-защиты — по сравнению с 59 % в 2014 году. Кроме того, в 2015 г. 29 % сообщили, что они используют средства установки исправлений и конфигурирования — по сравнению с 39 % в 2014 г. Столь слабое положение вещей подвергает предприятия среднего и малого бизнеса (SMB) существенному риску. Ведь злоумышленникам легче проникать в сети таких организаций. •• С мая 2015 г. компания Cisco сократила среднее время до обнаружения известных угроз (TTD) в сетях, использующих наше оборудование, до 17 часов — то есть меньше одних суток. Эта цифра намного превосходит текущие средние оценочные показатели TTD в отрасли, которые составляют от 100 до 200 дней. Годовой отчет Cisco по информационной безопасности за 2016 год Основные изменения и открытия
  • 7. 7 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Все ради цели: для современных киберпреступников деньги важнее всего
  • 8. 8 Все ради цели В прошлом в «дебрях» Интернета скрывались многочисленные сетевые мошенники. Они старались не обнаруживать себя и лишь кратковременно вторгались в корпоративные сети с целью использования уязвимостей. Сегодня киберпреступники осмелели и все активнее внедряются в веб-ресурсы. Они потребляют мощности серверов, крадут данные и вымогают деньги у своих жертв в Интернете. Такие атаки усиливают эскалацию между злоумышленниками и теми, кто ведет с ними борьбу. Если злоумышленники смогут находить все больше площадок в сети для своей вредоносной деятельности, то наносимый ими ущерб будет расти по экспоненте. В этом отчете аналитики безопасности Cisco описывают тактические приемы, с помощью которых хакеры создают для себя масштабные инфраструктуры, чтобы сделать свои атаки еще эффективнее и результативнее. Злоумышленники продолжают осваивать все более эффективные методы получения незаконного дохода и все чаще обращаются к серверным ресурсам. Основным примером этого является взрывной рост численности программ-вымогателей (см. стр. 10). Программы-вымогатели представляют для преступников простой способ отбирать больше денег непосредственно у пользователей. Когда злоумышленники с минимальными усилиями организуют автоматические кампании, компрометирующие десятки тысяч пользователей в день, получаемая прибыль может быть поистине впечатляющей. Помимо разработки лучших способов монетизации своих атак, злоумышленники также посягают и на пользующиеся доверием ресурсы для использования их в качестве плацдармов для атак. Создатели программ-вымогателей и разработчики других эксплойтов переносят трафик на взломанные веб-сайты на платформе WordPress, чтобы воспользоваться серверным пространством и затруднить обнаружение своей активности (см. стр. 33). А организаторы SSHPsychos, одной из крупнейших бот-сетей, которые когда-либо встречались аналитикам Cisco, почти беспрепятственно работали в обычных сетях, пока Cisco и Level 3 Threat Research Labs совместными усилиями не убедили интернет-провайдеров заблокировать трафик этой бот-сети. Все ради цели: для современных киберпреступников деньги важнее всего Годовой отчет Cisco по информационной безопасности за 2016 год
  • 10. 10 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Набор эксплойтов Angler — это один из самых обширных и эффективных комплектов эксплойтов использования уязвимостей. Его связывают с несколькими нашумевшими кампаниями незаконной рекламы и применения программ- вымогателей. Кроме того, он стал значимой составляющей общего взрывного роста активности программ-вымогателей, которую наши аналитики угроз внимательно отслеживают в течение последних нескольких лет. Злоумышленники используют программы-вымогатели для шифрования файлов пользователей, которым передаются ключи для расшифровки лишь после уплаты «выкупа» — обычно порядка 300–500 долларов. Как указывалось в полугодовом отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, криптовалюты, например Bitcoin, и сети анонимного доступа, такие как Tor, дают возможность злоумышленникам легко выходить на рынок вредоносного ПО и быстро получать доход. Рост популярности программ-вымогателей можно связать с двумя основными их преимуществами: во-первых, они требуют немного усилий от злоумышленников, а во-вторых — они предоставляют возможность быстро получать прибыль, поскольку шантажируемые пользователи непосредственно выплачивают «выкуп» злоумышленникам в криптовалютах. Благодаря исследованиям тенденций, связанных с Angler и подобными программами-вымогателями, компания Cisco определила, что некоторые из операторов эксплойтов задействовали для Angler необычно высокий процент прокси- серверов по всему миру на системах под управлением Limestone Networks. Такое использование серверов может служить показательным примером еще одной тенденции, в последнее время наблюдаемой нашими аналитиками в теневой экономике: для осуществления своих атак злоумышленники маскируют вредоносные ресурсы под проверенные. В данном случае IP-инфраструктура, поддерживавшая работу Angler, была небольшой. Как правило, число активных в отдельно взятый день систем было от 8 до 12. При этом, большинство из них оставались активными в течение всего одного дня. На рис. 1 показано число уникальных IP-адресов, с которых осуществлялись атаки, наблюдавшихся компанией Cisco в течение июля 2015 г. Cisco определила, что операторы Angler последовательно переходили между IP-адресами, чтобы замаскировать угрозы и предотвратить любые помехи для их заработка. Материалы по теме Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей Аналитика угроз Компания Cisco собрала и проанализировала глобальный набор данных телеметрии для этого отчета. Мы постоянно изучаем и анализируем выявленные угрозы, в частности вредоносный трафик. Это помогает нам прогнозировать возможные стратегии преступников и облегчает обнаружение угроз. Источник: Cisco Security Research Figure X. Angler IP Addresses by Date, July 2015 Июль 2015 г. 16 Количество IP-адресов В диапазоне 8-12 12 8 4 311 15 2010 Рис. 1. Число IP-адресов Angler по датам, июль 2015 г. ПОДЕЛИТЬСЯ
  • 11. 11 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Как показано на рис. 2, Angler начал действовать с определенного IP-адреса (здесь — 74.63.217.218). По мере того как система компрометирует пользователей и порождает «шум», на который обращают внимания службы безопасности систем, злоумышленники переходят на соседний IP-адрес (74.63.217.219). Такая деятельность проходит по непрерывным блокам IP-адресов, принадлежащим одному поставщику услуг хостинга. Cisco исследовала данные об IP-адресах и определила номера автономных систем (ASN), связанные с IP-адресами, а также провайдеров, которым они принадлежат. Мы определили, что большинство связанного с Angler трафика поступало от серверов, эксплуатируемых двумя вполне заслуживающими доверия хостинг-провайдерами: Limestone Networks и Hetzner (рис. 3). Они отвечали более чем за 75 процентов всего объема такого трафика за июль. Cisco сначала связалась с Limestone Networks, на системах которой, похоже, размещалась самая большая часть инсталляций Angler в мире. Limestone активно откликнулась на возможность сотрудничества. Компании приходилось ежемесячно иметь дело с большим числом отмен платежей по кредитным картам, так как злоумышленники пользовались незаконно полученными именами и данными кредитных карт для аренды произвольных групп серверов на тысячи долларов. 74.63.217.218 IP-адреса Limestone Network Июль 2015 г. Figure X. Low IP Infrastructure Supporting Angler 74.63.217.219 74.63.217.220 74.63.217.221 74.63.217.222 74.63.237.178 74.63.237.181 74.63.237.179 74.63.237.180 74.63.237.182 2 8 Источник: Cisco Security Research 3 4 5 6 7 Рис. 2. Инфраструктура IP-адресов, поддерживающих Angler Рис. 3. HTTP-запросы Angler по провайдерам, июль 2015 г. Источник: Cisco Security Research Figure X. Angler HTTP Requests by Провайдер, July 2015 Провайдер A Провайдер B Провайдер C Провайдер D Провайдер E Провайдер F Провайдер G Провайдер H Провайдер I Провайдер J Провайдер K Провайдер L 10 0006000Количество запросов (Limestone Networks) (Hetzner) 75 % всего измеряемого трафика ПОДЕЛИТЬСЯ
  • 12. 12 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Подход злоумышленников к оплате серверов усложнял сопоставление злонамеренных действий с отдельным субъектом. Например, злоумышленник мог арендовать в один день три или четыре сервера, а в другой оплатить еще три или четыре сервера уже с использованием другого имени или другой кредитной карты. Таким образом, можно было пошагово переходить с одного IP-адреса на другой по мере выявления скомпрометированных серверов и их отключения службой безопасности. Для расследования этой деятельности Cisco запросила помощь у исследовательской лаборатории Level 3 Threat Research Labs, а также у OpenDNS — компании, входящей в группу Cisco. Усилия Level 3 Threat Research Labs помогли составить более точную картину глобального распространения угрозы: компания Cisco смогла подробнее определить масштабы угрозы и максимальную степень ее распространения на пике активности. В то же время OpenDNS представила уникальный анализ активности доменов, связанных с угрозой, и помогла Cisco лучше понять, как злоумышленники использовали методики наподобие сокрытия доменов (domain shadowing). Аналитики угроз в Cisco затем отдельно выяснили, как именно пользователи сталкивались с Angler и как к ним впоследствии поступали компоненты вредоносного кода. Они выяснили, что популярные веб-сайты перенаправляют пользователей на Angler через вредоносную рекламу. Фальшивые рекламные объявления размещались на сотнях крупных популярных новостных сайтов, сайтов с объявлениями по недвижимости или материалами о культуре. Такие сайты обычно называются в сообществе информационной безопасности «заведомо добропорядочными» (known good). Кроме того, аналитики угроз Cisco обнаружили множество небольших, казалось бы произвольно отобранных веб-сайтов. Они осуществляли переадресацию того же рода, использовался даже некролог в небольшой сельской газете в США. Последняя стратегия, скорее всего, была рассчитана на атаку против пожилых людей. Такие пользователи с большей вероятностью используют веб-браузеры по умолчанию, такие как Microsoft Internet Explorer, но реже учитывают необходимость регулярно исправлять уязвимости Adobe Flash. Другой важный аспект этой операции Angler — объем уникальных ссылок (referers) и низкая частота использования каждой из них (рис. 4). Мы обнаружили более 15 000 уникальных сайтов, направляющих пользователей на Angler, причем 99,8 % этих сайтов использовались менее 10 раз. Большинство источников ссылок таким образом были активны лишь в течение короткого времени и удалялись после атаки на нескольких пользователей. В нашем анализе за июль 2015 г. мы отметили, что пики активности совпадали с выходом описаний различных уязвимостей нулевого дня от Hacking Team (CVE-2015-5119, CVE-2015-5122).1 Cisco определила, что около 60 % загрузок Angler, применяемых в данной конкретной операции, устанавливали тот или иной вариант программы-вымогателя, в большинстве случаев — Cryptowall 3.0. Другие типы загрузок включали Bedep — загрузчик вредоносного ПО, который широко применяется для установки вредоносного ПО мошеннической рекламы для переходов. (См. «Заражение браузеров: широко распространенный и существенный источник утечки данных» на стр. 16). Оба вида вредоносного ПО помогают злоумышленникам очень быстро получать значительный доход от скомпрометированных пользователей, причем практически без дополнительных усилий. Рис. 4. Уникальные ссылки (referers) по дням, июль 2015 г. Июль 2015 г. 311 15 Источник: Cisco Security Research Figure X. Unique Referers by Day, July 2015 Количествоуникальныхсайтов,направляющих трафикнасервер,подвергающийсяатаке Пиковая активность совпала с работой эксплойтов «нулевого дня», пользующихся уязвимостями, от которых еще нет защиты 2K 0 ¹ “Adobe Patches Hacking Team’s Flash Player Zero-Day,” by Eduard Kovacs, SecurityWeek, 8 июля 2015 г.: http://www.securityweek.com/adobe-patches-hacking-teams-flash-player-zero-day.
  • 13. 13 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Согласно результатам исследования Cisco, главная группа хакеров, ответственная приблизительно за половину активности эксплойтов Angler в данной кампании, атаковала до 90 000 жертв в день. По нашей оценке, эта кампания приносила злоумышленникам более 30 млн долл. дохода ежегодно. Сеть, действовавшая из систем Hetzner, предположительно имела сравнимые показатели. Это означает, что группа хакеров, осуществившая операцию, которая затронула серверы Limestone Networks и Hetzner, отвечает за половину активности Angler во всем мире на момент проведения анализа Cisco. По оценкам аналитиков Cisco, эта операция могла обеспечить валовый доход около 60 млн долл. США в год. Доходы от Angler X 90Kцелей на сервер в день 10% обслуженных запросов от эксплойтов 62% доставленных программ- вымогателей 2,9% уплаченных выкупов $ 300 Выкуп платят 9515 пользователей в месяц средняя сумма выкупа 147серверов в месяц, перенаправляющих трафик $ 34Mгодовой валовой доход от программ-вымогателей на кампанию 40% скомпрометировано = ПОДЕЛИТЬСЯ Figure X. Angler Revenue Источник: Cisco Security Research targets per day 90K of Angler infections delivered ransomware 62% unique IP addresses were served exploits in a single day 9K of users being served exploits were compromised 40% 147 average ransom $ 300 gross yearly income for ransomware per campaign $ 34Mof ransoms paid per day redirection servers 2.9% X X =
  • 14. 14 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Cisco также обнаружила, что на серверах, к которым подключались пользователи, фактически не проводилось каких-либо вредоносных операций Angler. Они служили для перенаправления. Пользователь попадал в цепочку переадресации и выдавал запрос GET для целевой страницы, которая перенаправляла на прокси-сервер. Затем прокси- сервер переводил трафик на сервер с уязвимостью в другой стране, размещенный у другого провайдера. В ходе исследования выяснилось, что один сервер с уязвимостью связывался со многими прокси-серверами. (См. рис. 5) Cisco также обнаружила сервер статуса, который обрабатывал такие задачи, как мониторинг работоспособности. У каждого прокси-сервера, отслеживаемого сервером статуса, имелось два уникальных URL-адреса. При запросах по определенному пути сервер статуса возвращал сообщение с кодом состояния HTTP 204. Таким образом, злоумышленники могли уникально идентифицировать каждый из прокси-серверов и убедиться не только в том, что он работает, но и в том, что противоположная сторона не принимала никаких мер по отношению к нему. Используя второй URL-адрес, злоумышленники могли загружать журналы с прокси-сервера и определять, насколько эффективно работает их сетевая инфраструктура. Отраслевое сотрудничество было абсолютно необходимой составляющей, без которой компания Cisco не смогла бы расследовать деятельность комплекта эксплойтов Angler. В конечном счете это помогло прекратить перенаправление на прокси-серверы Angler на серверах провайдеров в США, а также расследовать сложную деятельность киберпреступников, жертвами которой каждый день становились тысячи пользователей. Cisco тесно сотрудничала с Limestone Networks, выявляла новые серверы злоумышленников по мере их активации и тщательно следила за ними, чтобы нейтрализовать их вредоносную активность. Через некоторое время злоумышленники ушли с Limestone Networks. И сразу же снизилась глобальная активность Angler. Скоординированные усилия лидеров отрасли позволили обнаружить и «накрыть» одну из крупнейших в мире бот-сетей для DDoS-атак Интегрированные технологии защиты от угроз могут остановить крупную атаку до того, как она затронет корпоративную сеть. Однако в ряде случаев для остановки потенциально масштабной атаки нужны не только технологические средства защиты, но и сотрудничество между поставщиками услуг, разработчиками средств информационной безопасности и отраслевыми группами. По мере того как преступники начинают все серьезнее относиться к монетизации своей деятельности, предприятиям в технологической отрасли также требуется эффективнее сотрудничать между собой для предотвращения успешных атак преступников. SSHPsychos (также называемая Group 93), одна из крупнейших бот-сетей распределенных атак типа «отказ в обслуживании», когда-либо встречавшихся аналитикам безопасности в Cisco, была значительно ослаблена в результате сотрудничества Cisco с Level 3 Threat Research Labs. Рис. 5. Базовая инфраструктура Angler Пользователь Сервер статусаПрокси-сервер Эксплойт-сервер Страница запросов Привязка к прокси- серверу Прокси-сервер получает данные с сервера эксплойтов (порт 81). Сервер эксплойтов отправляет HTTP-запросы на сервер состояния. Сводка данных журнала направляется на главный сервер Сервер статуса отслеживает HTTP-запросы/состояние Figure X. Angler: Back–End Infrastructure Источник: Cisco Security Research Главный сервер ПОДЕЛИТЬСЯ Чтобы узнать больше о том, как компания Cisco прервала международный поток выручки от эксплойтов Angler, прочите запись в блоге Cisco Security: «Threat Spotlight: Cisco Talos блокирует масштабный международный набор эксплойтов, который приносил более 60 млн долл. США в год за счет одних лишь программ-вымогателей».
  • 15. 15 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз УНИКАЛЬНАЯ УГРОЗА Сеть DDoS-атак SSHPsychos представляет уникальную угрозу по нескольким причинам. Поскольку она включает десятки тысяч машин, распределенных по всему Интернету, ее мощности достаточно для инициирования такой распределенной DDoS-атаки, которой нельзя будет противодействовать путем последовательного отключения отдельных устройств. В данном случае бот-сеть создавалась с применением атаки с перебором паролей по трафику SSH (рис. 6). Протокол SSH используется для обеспечения защищенного обмена данными и широко применяется для удаленного администрирования систем. В отдельные моменты времени на SSHPsychos приходилось свыше 35 % всего мирового трафика SSH в Интернете (рис. 7), как показывают результаты анализа Cisco и Level 3. SSHPsychos действует в двух странах: Китае и США. Попытки входа в систему посредством перебора 300 000 паролей производились с серверов поставщика хостинга в Китае. Когда злоумышленникам удавалось выполнить вход, подобрав корневой пароль пользователя root, атаки методом перебора прекращались. Через 24 часа после этого злоумышленники производили вход с IP-адреса, расположенного в США, и устанавливали руткит для осуществления DDoS-атак на скомпрометированную машину. Эта тактика явно была направлена на отвод подозрений сетевых администраторов. Цели бот-сети могли различаться, но в ряде случаев это были крупные интернет-провайдеры. Сканировщики, успешно выполняющие вход Узел вредоносного ПО Попытки последовательного перебора комбинаций SSH (300 000 уникальных паролей) Целевая сеть Источник: Cisco Security Research Рис. 6. SSHPsychos использует атаки методом перебора Рис. 7. На пике распространения на SSHPsychos приходилось 35 % всемирного трафика в Интернете. 50 000 100 000 150 000 Попытки последовательного перебора комбинаций Февраль Март Апрель SSHPsychos 103.41.125.0/23 SSHPsychos 43.255.190.0/23SSHPsychos 103.41.124.0/23 Figure X. At Peak, SSHPsychos Accounted for 35% of Internet SSH Traffic Источник: Cisco Security Research ПОДЕЛИТЬСЯ
  • 16. 16 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз СОТРУДНИЧЕСТВО С ЭКСПЕРТАМИ В ОБЛАСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Из-за масштабов сети DDoS-атак наши эксперты считали, что производимый ею ущерб будет сложно нейтрализовать. Необходимо было действовать в паре с организацией, которая могла бы эффективно изолировать группу, производящую атаки методом перебора паролей, от Интернета. В то же время магистральные провайдеры неохотно соглашаются фильтровать передаваемые своими клиентами данные. Cisco обратилась в Level 3 Threat Research Labs. Специалисты Level 3 проанализировали трафик в блоке сети, или диапазоне IP-адресов, где, как предполагалось, размещалась SSHPsychos (103.41.124.0/23). Подтвердилось, что с этих адресов и на них не поступало никакого легального трафика. Тогда они направили трафик по нулевому маршруту. Затем они связались с провайдерами соответствующих доменов и попросили их убрать трафик этой сети. Результаты принятых мер проявились немедленно (рис. 8). Исходная сеть не проявила практически никакой новой активности. В большой объем трафика атак перебором пароля по протоколу SSH начало поступать из новой сети в сетевом блоке 43.255.190.0/23. Характеристики этого трафика совпадали со свойственными SSHPsychos. После такого внезапного возобновления трафика, похожего на SSHPsychos, Cisco и Level 3 решили принять меры против 103.41.124.0/23, а также против нового сетевого блока 43.255.190.0/23. Отключение сетевых блоков, используемых SSHPsychos, не полностью нейтрализовало эту сеть DDoS-атак. Тем не менее оно определенно ограничило возможности создателей сети в их преступной деятельности, а также остановило распространение SSHPsychos на другие машины (по крайней мере временно). В ситуации, когда киберпреступники продолжают выстраивать все более крупные сети для атак, отрасль информационной безопасности нуждается в поиске новых вариантов сотрудничества, которые необходимы для успешного противодействия угрозам типа SSHPsychos. Провайдерам доменов верхнего уровня, Интернет-провайдерам, хостинг- провайдерам, DNS-преобразователям и поставщикам решений информационной безопасности уже нельзя пассивно наблюдать со стороны, как киберпреступники осуществляют свои планы в сетях, предназначенных только для передачи легального трафика. Другими словами, когда преступники передают вредоносный трафик, более или менее очевидный для невооруженного глаза, отрасль обязана перекрыть пути, позволяющие использовать эти легальные сети в целях злоумышленников. Заражение веб-браузеров: широко распространенный и главный источник утечки данных Группы обеспечения информационной безопасности часто рассматривают расширения веб-браузеров как малозначительную угрозу. Однако им следовало бы присвоить мониторингу таких расширений повышенный приоритет, чтобы можно было быстро выявлять и устранять заражения данного рода. Причина такой срочности состоит в том, что, согласно данным наших исследований, заражения браузеров происходят куда чаще, чем считают специалисты многих организаций. С января по октябрь 2015 г. мы исследовали 26 семейств вредоносных расширений для браузеров (рис. 9). Судя по тенденциям заражений браузеров за эти месяцы, кажется, что общее число заражений уменьшается. 0 180 000 Попытки последовательного перебора комбинаций Компания Cisco сотрудничает с Level 3 120 000 60 000 Июнь Июль Figure X. SSHPsychos Traffic Drops Dramatically After Intervention Источник: Cisco Security Research Рис. 8. Трафик SSHPsychos значительно падает после вмешательства. Рис. 9. Заражения браузеров, с января по октябрь 2015 г. Чтобы узнать больше о мерах, принятых Cisco и Level 3 Threat Research Labs, в отношении SSHPsychos, прочтите запись в блоге Cisco Security «Threat Spotlight: SSHPsychos». Январь 0,5 % Процентное соотношение 0,3 % 0 Обнаружение инфицирования браузеров ИюльАпрель 2015 г. Октябрь Источник: Cisco Security Research Figure X. Increased Encryption Makes IOC Detection More Difficult 40 %
  • 17. 17 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Однако это впечатление обманчиво. Рост объема трафика HTTPS, отмеченный в этот период, усложнил процедуру выявления признаков компрометации, связанных с 26 отслеживаемыми нами семействами, так как шифрование сделало информацию в URL-адресах недоступной. (Дополнительную информацию о шифровании и о сложностях, которые оно создает для специалистов по безопасности, см. в разделе «Шифрование: набирающая обороты тенденция — и проблема для специалистов по безопасности» на стр. 30). Вредоносные расширения браузеров могут похищать информацию и представлять главный источник утечки данных. Каждый раз, когда пользователь открывает новую веб-страницу с помощью скомпрометированного браузера, вредоносные расширения браузера собирают данные. Они не просто извлекают базовые данные о каждой веб-странице во внутренней сети предприятия или в Интернете, посещаемой пользователем. Они также собирают конфиденциальную информацию, встроенную в URL-адреса. Такая информация может включать учетные данные пользователей, данные заказчиков, а также сведения о внутренних API-интерфейсах и инфраструктуре организации. Многоцелевые вредоносные расширения браузеров устанавливаются в составе программных пакетов или вместе с рекламным ПО. Они могут навредить пользователям рядом различных способов. В зараженном браузере они могут провоцировать пользователей щелкнуть по злонамеренной рекламе, типа полноэкранных рекламных объявлений или всплывающих окон. Они также могут распространять вредоносное ПО, провоцируя пользователя щелкнуть по вредоносной ссылке или загрузить зараженный файл, на который указывает вредоносная реклама. Кроме того, они могут перехватывать запросы браузера пользователя и вставлять вредоносные веб-страницы в страницы результатов поисковых систем. На примере 45 компаний из нашей выборки мы определили, что в течение каждого отдельного месяца более чем в 85 % организаций присутствовали вредоносные расширения браузеров — результат, свидетельствующий о широком масштабе их распространения. Поскольку зараженные браузеры часто считаются относительно малой угрозой, они могут оставаться необнаруженными или невычищенными в течение нескольких дней и даже дольше, что дает злоумышленникам дополнительное время и возможности для проведения своих кампаний (см. «Время обнаружения: гонка за сокращением» на стр. 60). Поэтому мы утверждаем, что дополнительное время и ресурсы групп обеспечения информационной безопасности, затраченные на мониторинг данного вида угроз, окупят себя, и рекомендуем расширить использование автоматизации, чтобы упростить сортировку угроз по приоритетам. Управление бот-сетями. Глобальный обзор Бот-сети — это сети компьютеров, зараженных вредоносным ПО. Злоумышленники могут управлять ими как единой группой и давать команды на выполнение определенной задачи, например рассылки спама или запуск распределенной DDoS-атаки. За последние годы увеличивались как их численность, так и размеры. Чтобы лучше понять текущую обстановку по угрозам в глобальном масштабе, с апреля по октябрь 2015 года мы исследовали сети 121 компании на предмет наличия признаков хотя бы одной из восьми широко распространенных бот-сетей. Полученные данные были нормализованы для получения общего обзора активности бот-сетей (рис. 10). За этот период мы выяснили, что Gamarue — модульный, многоцелевой инструмент для кражи информации, известный уже не первый год — был самой распространенной угрозой внешнего контроля. Объемактивностибот-сетей 400 0 Апрель Май Июнь Июль Август Сентябрь Октябрь 2015 г. Miuref Другое Gamarue Vawtrak Bedep Cryptowall Figure X. Growth of Individual Threats (Ratio of Infected Users) Источник: Cisco Security Research Рис. 10. Рост числа отдельных угроз (коэффициент зараженных пользователей)
  • 18. 18 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз В июле был обнаружен резкий рост числа заражений, связанных с программой-вымогателем Cryptowall 3.0. Эта активность в значительной мере приписывается комплекту эксплойтов Angler, который, как известно, способен размещать на зараженных компьютерах загрузку Cryptowall. Как указано в полугодовом отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, авторы Angler и других наборов эксплойтов оперативно воспользовались «окнами без исправлений» в Adobe Flash — временным интервалом между выпуском обновления компанией Adobe и моментом, когда пользователи фактически устанавливают обновление². Исследователи угроз в Cisco связывают пик активности в июле 2015 г. с эксплойтом Flash нулевого дня CVE-2015-5119, информация о котором была раскрыта в составе общедоступных публикаций группы Hacking Team³. Комплект эксплойтов Angler также устанавливает троянскую программу Bedep, которая используется для так называемого «скликивания» рекламных объявлений с оплатой за клик. В июле также отмечалось небольшое увеличение распространенности и этого рода угроз (рис. 11). Bedep, Gamarue и Miuref (еще одна троянская программа и средство перехвата управления над браузером, которое может «скликивать» рекламу) суммарно составляли более 65 % деятельности бот-сетей в проанализированной нами пользовательской базе. Процент заражений Bedep на протяжении проанализированного нами отрезка времени оставался сравнительно стабильным. Однако за это время наблюдалось кажущееся уменьшение числа заражений Miuref. Мы считаем, что это объясняется ростом доли трафика HTTPS, который помог скрыть признаки заражения Miuref. На рис. 12 показаны типы бот-сетей, ответственные за большинство заражений в течение исследованного нами отрезка времени. Возглавляли список многоцелевые бот-сети, такие как Gamarue и Sality; далее за ними шли бот-сети для «скликивания». Троянские программы, перехватывающие банковскую информацию, занимали третье место: угрозы этого рода хоть и не новы, однако все еще распространены довольно широко. Сравнение числа инфицирований бот-сетями 200 0 100 Всплеск из-за использования эксплойта «нулевого дня», защиты от которого еще не существует Figure X. Monthly Threat Coverage, Based on Number of Infected Users Апрель Май Июнь Июль Август Сентябрь Октябрь 2015 г. MiurefGamarue Vawtrak Bedep Cryptowall Источник: Cisco Security Research Рис. 11. Ежемесячное покрытие угроз, по числу зараженных пользователей Figure X. Monthly Threat Coverage, Based on Threat Categories Апрель Май Июнь 0 100 Июль Август Сентябрь Октябрь 2015 г. Бот-сети для скликивания Программы-вымогатели Многоцелевые бот-сети Банковские трояны Источник: Cisco Security Research %типовбот-сетей Рис. 12. Ежемесячное покрытие угроз, по категориям угроз ² Полугодовой отчет Cisco, посвященный вопросам безопасности за первую половину 2015 года: http://www.cisco.com/web/offers/lp/2015-midyear-security-report/index.html. ³ “Adobe Patches Hacking Team’s Flash Player Zero-Day,” Эдуард Ковач, SecurityWeek, 8 июля 2015 г.: http://www.securityweek.com/adobe-patches-hacking-teams-flash-player-zero-day. ПОДЕЛИТЬСЯ
  • 19. 19 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Проведенный Cisco анализ вредоносного ПО, опасность которого была подтверждена, показал, что преимущественная часть этого вредоносного ПО (91,3 %) использует службу доменных имен (DNS) одним из трех следующих способов: •• перехват управления системой; •• извлечение данных; •• перенаправление трафика. Чтобы получить эти процентные значения, мы исследовали все образцы поведений в различных принадлежащих нам системах- «песочницах». Вредоносное ПО, которое принципиально не использовало DNS каким-либо образом или задействовало DNS только для проверки работоспособности подключения к Интернету, исключалось из списков. Оставшееся в них вредоносное ПО использовало DNS для подключения к сайтам, которые заведомо являлись опасными или же считались подозрительными. Несмотря на зависимость злоумышленников от DNS при осуществлении кампаний с использованием вредоносного ПО, лишь немногие компании отслеживают DNS, в том числе и в целях информационной безопасности. Такое отсутствие надзора делает DNS идеальным инструментом для киберпреступников. Согласно недавно проведенному нами обзору (см. рис. 13), 68 % специалистов по безопасности сообщают, что в их организациях не отслеживаются угрозы от рекурсивных запросов DNS. (Рекурсивные серверы доменных имен DNS выдают IP-адреса согласно запрошенным доменным именам узлам, которые направили запрос.) Почему DNS является «слепым пятном» для столь многих организаций? Основная причина заключается в том, что группы обеспечения информационной безопасности и специалисты по DNS обычно работают в разных ИТ-подразделениях компании и редко общаются между собой. Хотя им следовало бы это делать. Мониторинг DNS необходим для выявления и нейтрализации заражения вредоносным ПО, которое уже использует DNS для одной из трех названных выше целей. Это также важный первый шаг на пути к выявлению других компонентов, которые могли бы использоваться при дальнейшем расследовании атаки: от определения типа инфраструктуры, на которой основана атака, и до выхода на ее источник. В то же время мониторинг DNS требует большего, чем просто сотрудничество между группами информационной безопасности и специалистами по DNS. Он требует сочетания правильных технологий и опыта для проведения корреляционного анализа. (Дополнительную информацию см. в разделе «Отраслевое сотрудничество помогает Cisco нейтрализовать крайне эффективную и прибыльную кампанию по распространению комплекта эксплойтов и программ-вымогателей» на стр. 10, где рассказано, как компания OpenDNS помогла Cisco наглядно проанализировать домены и IP-адреса, которые использовались набором эксплойтов Angler.) РЕТРОСПЕКТИВНЫЙ АНАЛИЗ DNS Проведенное в Cisco ретроспективное расследование запросов DNS и следовавшего за ними трафика TCP и UDP выявило ряд источников вредоносного ПО. Они включают серверы перехвата управления, веб-сайты и точки распространения. Ретроспективное расследование также обнаруживает контент высокой степени опасности, используя аналитику из списков угроз, отчетов об угрозах в сообществах, наблюдаемых тенденций компрометации компьютерных систем и знания об уникальных уязвимостях, свойственных отрасли клиента. Наши ретроспективные отчеты помогают выявлять попытки медленной и малозаметной утечки данных, обычно связываемой со сложными целенаправленными атаками (APT), которые во многих случаях не регистрируются традиционными технологиями обнаружения. Цель анализа состоит в выявлении аномалий среди огромного объема исходящего трафика обмена данными. Такой «вывернутый наизнанку» подход может выявлять возможную компрометацию данных и опасные для сетевой инфраструктуры операции, которые в противном случае остались бы незамеченными. Figure X. Monitoring Threats via Recursive DNS Источник: Cisco Security Research организаций не отслеживают рекурсивные запросы DNS вредоносного ПО при атаках задействует DNS 68 %91,3 % Рис. 13. Мониторинг угроз от рекурсивных запросов DNS «Слепое пятно» DNS: атаки с использованием DNS для перехвата управления
  • 20. 20 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Таким образом мы выявили неавторизованные преобразователи DNS, действующие в сетевых инфраструктурах наших заказчиков. Заказчики не знали, что преобразователи использовались собственными сотрудниками в рамках имевшейся инфраструктуры DNS. Если не обеспечить активное управление DNS и их отслеживание, становятся возможными такие вредоносные действия, как «отравление» кэша DNS и переадресация DNS. Помимо обнаружения и идентификации неавторизованных DNS, ретроспективное расследование также выявило следующие проблемы в сетях заказчиков. •• Адресное пространство заказчика входит в блок-списки третьих сторон по спаму и вредоносному ПО. •• Адресное пространство заказчика маркировано для известных серверов внешнего управления Zeus и Palevo. •• Активные кампании вредоносного ПО, в том числе CTB-Locker, Angler и DarkHotel. •• Подозрительные действия, включая использование сети Tor, автоматическое перенаправление электронной почты и онлайн-преобразование документов. •• Повсеместное туннелирование DNS на домены, зарегистрированные в Китае. •• «Тайпсквоттинг» DNS⁴. •• Внутренние клиенты, обходящие доверенную инфраструктуру DNS клиента. Рассмотрев выбранную группу заказчиков Cisco Custom Threat Intelligence по многим вертикальным направлениям, мы также обнаружили следующие виды вредоносного ПО (указан процент распространенности среди общего числа проанализированных клиентов): Аналитика угроз Векторы веб-атак ADOBE FLASH ИСПОЛЬЗУЕТСЯ ВСЕ РЕЖЕ Хотя общий объем использования за последний год Flash уменьшился (см. следующий раздел, «Тенденции по содержимому Flash и PDF»), он все же остается любимым объектом разработчиков эксплойтов. В сущности, для вредоносного ПО на Flash не наблюдается заметной тенденции ни к росту, ни к сокращению в 2015 г. ( рис. 14). Связанное с Flash вредоносное ПО, вероятно, останется основным вектором проникновения в течение некоторого времени (следует отметить, что авторы эксплойтов Angler активно использовали уязвимости Flash). Отраслевое давление с целью исключить Adobe Flash из процесса использования браузеров приводит к сокращению объема Flash-содержимого в Интернете (см. следующий раздел, «Тенденции по содержимому Adobe Flash и PDF»). Это явление аналогично тому, что происходило с содержимым Java в последние годы и привело к стабильной тенденции снижения объемов вредоносного ПО для Java (собственно, авторы Angler даже не стали включать в набор эксплойты для Java). В то же время объемы вредоносного ПО для PDF оставались довольно стабильными. Microsoft Silverlight также стал менее приоритетным вектором атаки, поскольку многие разработчики прекратили поддержку API-интерфейса, используемого для интеграции Silverlight в браузеры. Многие компании прекращают использование Silverlight, переходя к основанным на HTML5 технологиям. Корпорация Microsoft сообщила, что в планах разработки нет новой версии Silverlight; в настоящее время она выпускает только обновления, связанные с информационной безопасностью. Figure X. Types of Malware Number of Total Customers Источник: Cisco Security Research 4/5 3/5 Комплект эксплойтов Angler Cпамовая бот-сеть Cutwail Dyre Комплекты эксплойтов (общие) Троян Bedep Программы-вымогатели Трафик с «луковой» маршрутизацией, использующей кодирование, с сервисом Onion.city (поисковая система для анонимного Интернета) Figure X. Types of Malware Number of Total Customers Источник: Cisco Security Research 4/5 3/5 Комплект эксплойтов Angler Cпамовая бот-сеть Cutwail Dyre Комплекты эксплойтов (общие) Троян Bedep Программы-вымогатели Трафик с «луковой» маршрутизацией, использующей кодирование, с сервисом Onion.city (поисковая система для анонимного Интернета) 30 500 20 000 Объемы журналов Сен. 2013 г. Сен. 2015 г. Flash Java PDF Figure X. Share of Attack Vectors, Two–Year Comparison Источник: Cisco Security Research Рис. 14. Доля векторов атак, сравнение за 2 года ⁴ «Тайпсквоттинг» — это регистрация доменных имен, похожих на существующие доменные имена; такая стратегия часто используется злоумышленниками для атак на пользователей, которые нечаянно допускают опечатку во вводимом доменном имени.
  • 21. 21 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз ТЕНДЕНЦИИ ПО СОДЕРЖИМОМУ ADOBE FLASH И PDF Аналитики Cisco отслеживали общий спад количества содержимого Adobe Flash в сети (рис. 15). Недавние действия Amazon, Google и других крупных игроков в сети Интернет стали причиной снижения объемов Flash-содержимого. Эти компании либо уже не принимают веб-рекламу, в которой используется Flash, либо блокируют ее. В то же время доля содержимого PDF была сравнительно стабильной в течение последнего года и, скорее всего, такой и останется. Однако формат PDF в последнее время уже не является приоритетным вектором атак. Сокращение объемов содержимого Flash, скорее всего, продолжится и даже, вероятно, ускорится в ближайшее время, так как компания Adobe объявила о своем намерении прекратить поддержку Flash.⁵ Тем не менее до полного прекращения использования Flash наверняка пройдет некоторое время. Flash встроен в такие браузеры, как Google Chrome, Microsoft Internet Explorer и Microsoft Edge и все еще широко используется в веб-содержимом, включая игровой и видеоконтент. И все же в предстоящие годы, по мере внедрения новых технологий (таких как HTML5 и мобильные платформы), долгосрочные тенденции для векторов веб-атак, наподобие Java, Flash и Silverlight, все более однозначны. В дальнейшем они станут менее распространенными. Поэтому они станут намного менее привлекательными для ориентированных на прибыль киберпреступников, которых интересуют векторы, позволяющие легко скомпрометировать большую популяцию пользователей и быстро получить доход. Методы веб-атак На рис. 16 и рис. 17 показаны различные типы вредоносного ПО, используемого злоумышленниками для получения доступа к корпоративным сетям. На рис. 16 показано чаще всего встречающееся вредоносное ПО: рекламное, шпионское, программы нежелательного перенаправления, эксплойты, использующие iFrame, и программы фишинга. Рис. 15. Процент общего трафика, приходящийся на Flash и PDF Январь % общего интернет-трафика 60 % 14 % Ноябрь Источник: Cisco Security Research Figure X. Percentage of Total Traffic for Flash and PDF Flash PDF Рис. 16. Наблюдаемое чаще всего вредоносное ПО ⁵ “Adobe News: Flash, HTML5 and Open Web Standards,” Adobe, 30 ноября 2015 г.: http://blogs.adobe.com/conversations/2015/11/flash-html5-and-open-web-standards.html. Источник: Cisco Security Research Figure 16. Most Commonly Observed Malware Двоичные файлы Windows5070 Троян-загрузчик JavaScript5858 iFrame-загрузчик JavaScript8958 Мошенничество с Facebook36 681 JavaScript31 627 Троян-загрузчик Windows4911 Фишинг3798 iFrame3726 Обфускация (запутывание кода) JavaScript3552 Перенаправление6472 3261 Троян-загрузчик Android 3228 Троян Windows Сумма (sample_count) x 1000
  • 22. 22 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Рис. 16 можно рассматривать как коллекцию видов вредоносного ПО, используемого киберпреступниками для получения начального доступа. Это испытанные и наиболее экономичные способы, позволяющие с легкостью скомпрометировать большие популяции пользователей. Эксплойты JavaScript и мошенничество на Facebook (социальный инжиниринг) оказались чаще всего используемыми методами атаки, как показало наше исследование. На рис. 17 показано менее популярное вредоносное ПО. Обратите внимание, что «менее популярное» в данном случае не означает «менее эффективное». Согласно исследованию Cisco Security, редко встречающееся вредоносное ПО может представлять растущую угрозу или использоваться для целенаправленных кампаний. Многие из этих более сложных методик направлены на извлечение максимально возможного дохода от скомпрометированных пользователей. Они крадут ценные данные или удерживают под контролем цифровые активы пользователей ради выкупа. Поэтому при отслеживании вредоносного ПО из Интернета недостаточно просто сосредоточиться на чаще всего наблюдаемых типах угроз. Необходимо рассматривать полный спектр атак. Источник: Cisco Security Research Figure 17. Sample of Observed Lower-Volume Malware Сумма (sample_count) < 40 Загрузчик «Upatre» для Windows2 Лазейки Windows2 Ложные вызовы Windows2 Загрузчик троянов3 Подозрительные PDF-файлы7 «Лазейка системы управления работой приложений (ACE)» для Windows 5 JavaScript "Blackhole"10 Троян Windows9 Вредоносное ПО Gampass для Windows15 Вредоносное ПО Krap-K для Windows35 Вредоносное ПО Sality для Windows44 Интернет-червь Windows1 Троян «Upatre» для Windows1 Троян-загрузчик Windows1 iFrame2 Троян-загрузчик JavaScript1 Рис. 17. Пример наблюдаемого менее популярного вредоносного ПО
  • 23. Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Рис. 18. Общее количество CVE по поставщику Источник: Cisco Security Research, национальная база уязвимостей Figure X. Total Number of CVEs by Vendor O racle M icrosoft Cisco Adobe Apple IBM Google M ozillaW ordPress Ubuntu (Canonical) Debian HP EM C Linux Red Hat SAP Apache Siem ensFedora ProjectW ireshark Novell КоличествоCVE 200 0 400 600 Источник: Cisco Security Research, Metasploit, база эксплойтов 5 0 10 15 20 Adobe Microsoft Apple Cisco Novell Joomla VMware Имеющиесяобщедоступныеэксплойты Figure X. Number of Public Exploits Available by Vendor Vulernability Рис. 19. Число общедоступных эксплойтов по уязвимостям поставщиков На приведенной выше диаграмме показано общее количество CVE, опубликованных поставщиками за 2015 год. Обратите внимание, что здесь Adobe занимает не такое высокое положение, как на диаграмме справа, на которой показаны уязвимости с имеющимися для них эксплойтами. Кроме того, WordPress показывает всего 12 уязвимостей для собственного продукта за 2015 год. Дополнительные 240 уязвимостей происходят от подключаемых модулей и скриптов, созданных сторонними разработчиками. Как показано на рис. 20, списки уязвимостей и связанных с ними эксплойтов могут оказаться полезными для специалистов по безопасности. Специалисты могут использовать списки для контроля и приоритизации наиболее опасных и самых распространенных уязвимостей, исправляя их ранее, чем представляющие меньший риск уязвимости. См. веб-сайт подробных данных CVE (https://www.cvedetails.com/top-50- products.php), где содержится дополнительная информация о CVE по поставщикам. 23 Изменения характера угроз ADOBE FLASH ЗАНИМАЕТ ПЕРВОЕ МЕСТО В СПИСКЕ УЯЗВИМОСТЕЙ. Платформа Adobe Flash на протяжении нескольких лет была особенно популярным вектором угроз для преступников. Уязвимости Flash все еще часто встречаются в списках высокоприоритетных предупреждений. В 2015 году хорошей новостью стало то, что разработчики продуктов, где эти уязвимости часто встречаются (например, веб-браузеров) признали существование этого недостатка и теперь принимают меры по сокращению доступных киберпреступникам возможностей. В 2016 году злоумышленники, скорее всего, сконцентрируются на пользователях Adobe Flash. Для некоторых из таких уязвимостей Flash имеются эксплойты, доступные открыто в Интернете или продаваемые в составе наборов эксплойтов. (Как отмечалось на стр. 21, объем связанного с Flash содержимого уменьшился, но Flash остается приоритетным вектором атак уязвимостей). Повторяя тактику, которая использовалась для уменьшения опасности Java — еще одного распространенного вектора угроз, — многие веб-браузеры блокируют Flash или запускают его в «песочнице», чтобы защитить пользователей. Хотя это можно назвать положительной тенденцией, важно не забывать, что в течение некоторого времени злоумышленники все же будут успешно применять соответствующие эксплойты. Пользователи могут пропускать своевременное обновление браузеров, а преступники продолжат использовать эксплойты, направленные на предыдущие версии браузерного ПО. Однако аналитики Cisco считают, что средства защиты, недавно встроенные в некоторые широко распространенные веб-браузеры и операционные системы, снизят популярность Flash среди киберпреступников. Поскольку киберпреступники ориентированы на достижение максимальных результатов (например, максимального дохода) самым эффективным образом, они не будут тратить много усилий на атаки, окупаемость которых низка. ПОДЕЛИТЬСЯ
  • 24. 24 Flash EK Hanjuan NullHole Sweet Orange Fiesta Nuclear Rig Neutrino Nuclear Pack Magnitude Angler CVE-2015 - 7645556024191671 51225119311331043090035903360311 03130310 Figure X. Common Vulnerabilities Источник: Cisco Security Research Общедоступные эксплойты 3105 Уязвимости Flash Другие уязвимости Рис. 20. Распространенные уязвимости На рис. 20 показаны уязвимости, представляющие значительный риск; также указывается, входит ли уязвимость в комплект эксплойтов, который продается (см. строку «Flash EK»), или же для нее существуют общедоступные эксплойты (см. строку «Общедоступные эксплойты»). Уязвимости, для которых имеются работающие эксплойты, наиболее приоритетны при установке исправлений. Этот список может помочь специалистам по безопасности определить приоритеты при установке исправлений и противодействии угрозам. Наличие эксплойта для конкретного продукта — будь то открытого или в составе комплекта эксплойтов — еще не означает, что атаки с его использованием обязательно происходят. Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз
  • 25. 25 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Вертикальный риск борьбы с вредоносным ПО Для отслеживания особо опасных вертикалей контакта с вредоносным ПО в Интернете мы исследовали сравнительные объемы трафика атак («интенсивности блокирования») и «нормального», или ожидаемого, трафика. На рис. 21 показаны 28 основных отраслей и сравнительная интенсивность блокировок в них в соотношении с нормальным сетевым трафиком. Коэффициент 1,0 означает, что число блокировок пропорционально объему наблюдаемого трафика. Любые значения выше 1,0 указывают на интенсивность блокировок выше ожидаемой, а значения ниже 1,0 представляют интенсивность блокировок, которая ниже ожидаемой. Source: Cisco Security Research 1 6 8 4 2 1 6 8 4 2 1 6 8 4 2 1 6 8 4 2 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Nov. 2014 Sept. 2015 Food and Beverage Transportation and Shipping Entertainment Heating, Plumbing, and A/C Engineering and Construction Industrial Healthcare Professional Services ElectronicsGovernment Utilities Insurance Education IT Telecom. Accounting Media and Publishing Aviation Travel and Leisure Charities and NGO Real Estate and Land Mgmt. Pharmaceutical and Chemical Automotive Legal Retail and Wholesale Banking and Finance Energy, Oil, and Gas Manufacturing Agriculture and Mining 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 4 2 1 2 1 2 1 2 1 2 1 2 1 2 1 2 1 2 4 Рис. 21. Ежемесячная интенсивность по вертикальным блокам, ноябрь 2014 г. — сентябрь 2015 г.
  • 26. 26 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз ПОДЕЛИТЬСЯ На рис. 22 показано, насколько мимолетным может быть фокус хакеров на определенных вертикалях. (Ноль представляет отсутствие чистого изменения.) С января по март 2015 г. государственные учреждения были вертикалью с наибольшей интенсивностью блокировок. С марта по май такой вертикалью стала электронная промышленность. В середине лета большинство блокировок происходило в отрасли профессиональных услуг. А осенью 2015 г. первое место среди вертикалей по числу блокировок заняло здравоохранение. Согласно результатам нашего исследования, все четыре вертикали с наибольшей активностью блокировок в 2015 г. подвергались атакам, связанным с троянскими программами. В «государственной» вертикали также встречалось большое количество атак с инъекцией кода PHP, в то время как на вертикаль профессиональных услуг было направлено большое количество атак IFrame. Рис. 22. Относительные показатели блокировки в различных отраслях, помесячное сравнение Источник: Cisco Security Research Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Ноябрь 2014 г. Сентябрь 2015 г. Еда и напитки Транспорт и перевозки Развлечения Отопление, канализация и кондиционир- ование Инженерное дело и строительство Промышленность Жилищно- коммунальное хозяйство Страхование Образование ИТ для телекомму- никаций Бухгалтерский учет СМИ и издательская деятельность Авиация Путешествия и отдых Благотворител- ьные учреждения и неправитель- ственные организации Недвижимость и землепольз- ование Фармацевтика и химическая промышленность Автомобилест- роение Юриспруденция Розничная и оптовая торговля Банковское дело и финансы Энергетика, нефтегазовая отрасль Промышленное производство Сельское хозяйство и горнодобыча -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -2 2 0 -8 4 8 0 -2 -8 4 8 0 -2 -8 4 8 0 -2 -8 4 8 0 -2 Здравоохра- нение Профессио- нальные услуги Электроника Государственный сектор
  • 27. 27 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Польша 1,5 Figure X. Web Blocks by Country or Region Россия 1Дания 1 Япония 1 Канада 1,5 Китай 4Франция 2 Блокирование = вредоносный трафик/ожидаемый трафик США 1 Источник: Cisco Security Research Гонконг 9 Германия 1,5 Рис. 23. Блокировка веб-угроз по странам или регионам Блокирование веб-угроз. Географический обзор Мы также исследовали происхождение операций блокирования вредоносного ПО по странам и регионам, как показано на рис. 23. Страны для изучения выбирались по интенсивности их интернет-трафика. Коэффициент блокирования 1,0 означает, что число наблюдавшихся блокировок пропорционально размеру сети. В сетях стран и регионов, в которых интенсивность блокирования была выше средней, вероятно, имеется больше веб-серверов и хостов с уязвимостями, для которых не установлены механизмы исправления. Злоумышленники не обращают внимания на государственные границы и размещают вредоносное ПО там, где это будет максимально эффективным.
  • 28. 28 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Присутствие в крупных, коммерчески активных сетях, где обрабатывается большой объем Интернет-трафика, было еще одной причиной высокой активности блокировок — в том числе поэтому Гонконг возглавил наш список. На рис. 24, содержащем помесячное сравнение числа веб-блокировок по странам и регионам с ноября 2014 г. по октябрь 2015 г., приведена дополнительная контекстная информация для этих позиций в списке. Обратите внимание, что в Гонконге более интенсивная по сравнению с обычной активность веб-блокировок началась весной 2015 г., как и во Франции. С того времени и там, и там произошло значительное снижение числа веб-блокировок. Однако, поскольку более высокие показатели интенсивности ранее в этом году несколько отклонялись от базового показателя, то даже после недавнего снижения Гонконг все же остается ощутимо выше в списке на конец года, чем в его начале. После пика блокировок во Франции к середине лета произошел возврат к нормальным уровням. Figure X. Realative Web Block Activity by Country or Region, Month to Month, November 2014 г.–October 2015 г. Источник: Cisco Security Research Ноябрь 2014 г. Гонконг Германия Февраль Апрель Июнь Август ОктябрьНоябрь 2014 г. 0 1 3 5 7 9 11 13 15 0 1 3 5 0 1 3 5 7 9 0 1 3 5 7 9 0 1 3 5 0 1 3 5 7 9 11 13 15 1717 1919 2121 Франция Австралия Италия Февраль Апрель Июнь Август Октябрь Китай 2015 г. 2015 г. Рис. 24. Блокировка веб-угроз по странам и регионам, помесячно, ноябрь 2014 г. — октябрь 2015 г.
  • 29. 29 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угроз Отраслевая аналитика
  • 30. 3030 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Шифрование играет важную роль. Компании должны защищать свою интеллектуальную собственность и другие конфиденциальные данные. Рекламодателям необходимо сохранять целостность контента и внутренних аналитических данных. Кроме того, в сфере бизнеса возрастает потребность в защите конфиденциальности клиентов. Однако шифрование может не только решать проблемы информационной безопасности, но и быть их источником, например создавать ложное чувство защищенности. Организации достигли определенных успехов в шифровании информации при передаче между узлами, но хранимые данные нередко остаются незащищенными. В большинстве значимых нарушений безопасности за последние несколько лет злоумышленники воспользовались незашифрованными данными, хранящимися в центре обработки данных и других внутренних системах. Под таким прикрытием хакеры добираются до ценных сведений без особых проблем. Для организаций также важно понять, что сквозное шифрование может снизить эффективность некоторых решений для обеспечения информационной безопасности. Шифрование скрывает показатели взлома, позволяющие выявлять и отслеживать вредоносную активность. Но оставлять конфиденциальные данные незашифрованными ни в коем случае нельзя. Средства обеспечения информационной безопасности, а также специалисты, которые ими оперируют, должны адаптироваться к современным условиям. Для этого требуется собирать верхние колонтитулы и другие незашифрованные элементы потока данных и прочих источников контекстной информации для анализа зашифрованного трафика. Инструменты, основанные на контроле полезной нагрузки, например полном захвате пакетов, теряют эффективность. Лучшие результаты показывают средства анализа на основе метаданных, в частности Cisco NetFlow. Изучив тенденции 2015 года, наши аналитики пришли к выводу, что зашифрованный трафик (HTTPS) достиг переломной точки. Пока он не покрывает большинство транзакций, но вскоре станет основной формой трафика в Интернете. Исследования показывают, что зашифрованный трафик уже регулярно составляет более половины передаваемого объема данных в байтах (рис. 25) за счет издержек HTTPS и более крупного размера контента, передаваемого через HTTPS, например при передаче данных на сайты для хранения данных. При любой веб-транзакции отправляется (исходящий трафик) и принимается (входящий трафик) определенное число байтов. Транзакции HTTPS отличаются более крупным объемом исходящих запросов по сравнению с HTTP — примерно на 2000 байтов. В свою очередь, входящие запросы HTTPS также влекут издержки, но при росте объема ответов это становится менее значительным. Отраслевая аналитика Корпорация Cisco занимается исследованием и аналитикой тенденций и методов в области информационной безопасности. Как ни странно, некоторые из них усложняют задачу отслеживания угроз, повышая риск взлома или атаки для организаций или отдельных пользователей. 46 % 57 % Figure X.SSL Percentages % HTTPS-запросов 2015 г. % общего числа байтов Январь Октябрь 60 Процент трафика 20 40 24 % 33,56 % Источник: Cisco Security Research Рис. 25. Процент SSL Шифрование: популярная тенденция и сложная задача для специалистов по безопасности ПОДЕЛИТЬСЯ
  • 31. 3131 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год За счет совмещения входящих и исходящих байтов мы можем определить суммарный процент байтов, зашифрованных по протоколу HTTPS, в каждой веб-транзакции. В связи с ростом объема трафика HTTPS и дополнительными издержками было выявлено, что байты HTTPS составляют 57 % всего веб-трафика в октябре 2015 года (рис. 25), а в январе этот показатель равнялся всего 46 %. С помощью анализа веб-трафика мы также определили, что с января 2015 года объем запросов HTTPS рос постепенно, но значительными темпами. На рис. 25 видно, что в 24 % запросов в январе использовался протокол HTTPS, а в остальных — протокол HTTP. В октябре протокол HTTPS использовался в 33,56 % отслеживаемых запросов. Кроме того, был обнаружен рост процентного соотношения входящих байтов HTTPS. Эта тенденция сохранялась в течение всего года. По мере роста объема трафика с использованием протокола HTTPS требуется увеличение пропускной способности. На каждую транзакцию требуется дополнительно 5 Кбит/с. Мы объясняем общий рост объема зашифрованного веб-трафика такими факторами, как: •• увеличение объема мобильного трафика в приложениях со встроенным шифрованием данных; •• рост числа пользовательских запросов на загрузку зашифрованных видеофайлов; •• рост числа запросов на серверы для хранения и резервного копирования данных, на которых хранятся конфиденциальные данные, представляющие ценность для злоумышленников; На рис. 26 показано, что с начала 2015 года число запросов HTTPS к веб-ресурсам для хранения и резервного копирования данных возросло на 50 %. Объем услуг передачи данных также значительно возрос за тот же период — на 36 %. В итоге объем зашифрованного трафика растет за счет роста числа транзакций, а также байтов в каждой из них. Каждая транзакция несет определенную выгоду и потенциальный риск, определяя необходимость во встроенной системе защиты от угроз для повышения уровня контроля. % дельты2015 г. Хранение и резервное копирование данных в режиме онлайн 50 % Службы передачи файлов 36 % Перевод веб-страницы 32 % Поиск фото/изображений 27 % Азартные игры 26 % Порнография 25 % Интернет-телефония 19 % Потоковое видео 17 % Поисковые системы и порталы 14 % Персональные сайты 14 % Ссылки 13 % Незаконные загрузки 13 % Интернет-сообщества 12 % Запрещенные медпрепараты 11 % Госуправление и закон 10 % Белье и купальники 10 % Веб-почта 10 % Контент для взрослых 8 % Рекламные объявления 8 % Мобильные телефоны 8 % Figure X. HTTPS Request- Biggest Changes from January to September 2015 Источник: Cisco Security Research Рис. 26. Запросы HTTPS: важные изменения с января по сентябрь 2015 года ПОДЕЛИТЬСЯ
  • 32. 3232 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Если рассмотреть ведущие домены по запросам (рис. 27), становится понятно, что многие основные страницы Google и Facebook с контентом зашифрованы. Как правило, шифруется лишь 10 % их рекламного трафика. Какими бы трудными ни были задачи, шифрование данных  необходимо в условиях современных угроз. Злоумышленники весьма искусны в преодолении систем разграничения доступа, поэтому пользователям нельзя оставлять важнейшие сведения незашифрованными на любом этапе хранения или передачи данных. В этой связи специалистам по информационной безопасности необходимо отслеживать маршруты веб-трафика, чтобы исключить поступление HTTPS-запросов из подозрительных источников или их утечку по таким направлениям. Небольшое предупреждение: не стоит искать зашифрованный трафик по заранее определенному набору портов. Как описано в следующем разделе, наши исследования показывают, что вредоносное ПО наверняка будет отправлять зашифрованные данные по различным портам. ФАКТОР ЭНТРОПИИ Высокая энтропия — отличный показатель передачи зашифрованных или сжатых файлов, а также обмена такими данными⁶. Преимущество для специалистов по информационной безопасности состоит в том, что энтропию несложно отслеживать, поскольку для этого не требуется криптографических протоколов. В течение трех месяцев начиная с 1 июня 2015 года аналитики Cisco по вопросам безопасности отслеживали 7 480 178 потоков из 598 138 предоставленных образцов вредоносного ПО с показателем угрозы 100. За этот период зарегистрирован 958 851 поток с высокой энтропией, что составляет 12,82 %. Мы также выявили 917 052 потока по протоколу TLS (12,26 %). Кроме того, 8419 потоков по протоколу TLS проходили через порты, отличные от порта 443, который является портом по умолчанию для защищенного HTTP. Среди портов, которыми вредоносное ПО пользовалось для передачи данных, оказались порты 21, 53, 80 и 500. По мере роста объема зашифрованного интернет-трафика организациям становится все важнее сформировать интегрированную архитектуру для защиты от угроз (см. раздел «Шесть принципов интегрированной защиты от угроз» на стр. 62). Специализированные решения не приспособлены для выявления потенциальных угроз в зашифрованном трафике. Встроенные системы безопасности предоставляют специалистам по безопасности дополнительный контроль за происходящим на устройствах или в сетях, упрощая выявление подозрительных маршрутов активности. ⁶ Энтропия: в области вычислений энтропия (недостаток порядка или предсказуемости) — это степень случайности, набранная операционной системой или приложением, для использования в криптографии или других областях, требующих случайных данных. Рис. 27. Основные узлы шифрования трафика HTTPS 0-25 % 26-50 % 51-75 % 76-100 %% зашифрованного трафика Figure X. Top 100 Hosts Источник: Cisco Security Research www.google-analytics.com crl.microsoft.com pagead2.googlesyndication.com ad4.liverail.com b.scorecardresearch.com ads.adaptv.advertising.com ping.chartbeat.net v4.moatads.com au.download.windowsupdate.com ib.adnxs.com c2s-openrtb.liverail.com http.00.s.sophosxl.net platform.twitter.com pixel.adsafeprotected.com ads.yahoo.com Образцы узлов 76-100 % Образцы узлов 51-75 % Образцы узлов 26-50 % Образцы узлов 0-25 % maps.googleapis.com www.google.com googleads.g.doubleclick.net ad.doubleclick.net 0.2mdn.net outlook.office365.com hangouts.google.com www.facebook.com mail.google.com Шифрование 0-25 % 44 узла Шифрование 51-75 % 12 узлов Шифрование 26–50 % 12 узлов Шифрование 76-100 % 32 узла
  • 33. 3333 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Как говорилось во вводной части этого отчета, киберпреступники постоянно ищут методы повышения эффективности и сокращения затрат их деятельности, а также новые способы обхода систем обнаружения. Все чаще они задействуют веб-сайты, созданные на основе популярной платформы WordPress. На сайтах WordPress злоумышленники могут завладеть стабильным потоком взломанных серверов для создания инфраструктуры, поддерживающей программы-вымогатели, средства банковского мошенничества или фишинговые атаки. Интернет полон заброшенных сайтов, созданных с помощью WordPress, за информационной безопасностью которых никто не следит. Такие сайты нередко взламывают и используют для осуществления атак. Проанализировав системы, использованные для поддержки программ-вымогателей и другого вредоносного ПО, аналитики Cisco по вопросам безопасности обнаружили, что многие киберпреступники переносят свою деятельность на серверы WordPress. С февраля по октябрь 2015 года число доменов WordPress, используемых преступниками, выросло на 221 % (см. рис. 28). Аналитики Cisco уверены, что это обусловлено несколькими причинами. Если программы-вымогатели используют другие средства для передачи ключей шифрования или иной информации для управления и контроля, такие потоки можно обнаружить или заблокировать, тем самым прерывая процесс шифрования. Однако потоки передачи ключей шифрования через взломанные серверы WordPress могут не вызывать подозрений. Это повышает вероятность успешного завершения шифрования файлов. Иными словами, сайты WordPress выполняют роль агентов ретрансляции. Рис. 28. Число доменов WordPress, используемых разработчиками вредоносного ПО Figure X. WordPress Domains Used by Malware Creators Источник: Cisco Security Research Февраль 73 Апрель 82 Июнь 114 Август 171 Сентябрь 212 Март 83 Май 123 Июль 181 Январь 128 235 Октябрь Lancope, дочерняя компания Cisco, изучила степень шифрования внутреннего и интернет-трафика в трех секторах бизнеса (два университета, больница и поставщик интернет-услуг — все расположены в США). В одном из университетов специалисты Lancope выявили, что почти весь внутренний трафик был зашифрован (82 %). Кроме того, 53 % интернет-трафика учебного заведения также было зашифровано. Эти показатели соответствуют результатам исследований, проведенных Lancope в других отраслях. Лишь 36 % внутренних данных больницы были зашифрованы. Однако в случае с интернет-трафиком зашифрованными оказались более половины данных (52 %). При исследовании ведущего поставщика интернет-услуг оказалось, что внутренний трафик был зашифрован на 70 %, а интернет-трафик — на 50 %. Исследование Lancope свидетельствует о широком внедрении шифрования передаваемых данных в различных сегментах. Специалисты Cisco считают, что схожую стратегию следует применить к шифрованию хранящихся данных, чтобы ограничить влияние организационных нарушений безопасности. На шаг ближе к шифрованию: реальные данные Киберпреступники начали активнее использовать серверы на WordPress Figure X. The Move Toward Encryption Case Data Веб-данныеВнутренние данные Источник: Lancope Threat Research Labs Больница 36 % 52 % Университет 2 82 % 53 % Университет 1 14 % 37 % 70 % 50 % Интернет- провайдер
  • 34. 3434 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Чтобы обойти недостатки других технологий, преступники стали использовать WordPress для размещения данных вредоносного ПО и серверов для управления и контроля. Сайты WordPress обладают рядом преимуществ. Например, множество заброшенных сайтов предоставляют преступникам дополнительные возможности для взлома документов со слабой системой информационной безопасности. Существует риск использования таких систем для выполнения вредоносного ПО. В случае обнаружения атаки один из взломанных серверов может быть отключен. Если это произойдет в ходе атаки, вредоносная программа-загрузчик может не получить полезной нагрузки. Или вредоносное ПО потеряет связь с серверами для управления и контроля. Аналитики Cisco выяснили, что злоумышленники преодолели этот недостаток путем использования нескольких серверов WordPress. Специалистам Cisco также удалось обнаружить списки подобных серверов, хранящиеся на сайтах для предоставления общего доступа к данным, таких как Pastebin. Вредоносное ПО использовало эти списки для поиска рабочих серверов для управления и контроля, что позволяло ему работать даже при отказе взломанного сервера. Исследователи также определили загрузчиков вредоносного ПО, содержавших список сайтов WordPress, на которых хранятся полезные нагрузки. При отказе одного из сайтов загрузки вредоносное ПО переходило к следующему и загружало информационное наполнение с работающего сервера WordPress. Взломанные сайты WordPress часто работали не на последней версии WordPress, отличались слабыми паролями администратора и использовали подключаемые модули без исправлений информационной безопасности. Эти уязвимости позволяли злоумышленникам присваивать серверы WordPress и использовать их в качестве вредоносной инфраструктуры (см. рис. 29). Аналитики Cisco определили некоторые типы программного обеспечения и файлов, чаще всего размещаемые на взломанных сайтах WordPress: •• исполняемые файлы, представляющие собой информационное наполнение для атак с использованием комплекта эксплойтов; •• файлы конфигурации для вредоносного ПО, например Dridex и Dyre; •• прокси-код, передающий данные для сокрытия инфраструктуры управления и контроля; •• фишинговые веб-страницы для сбора имен пользователей и паролей; •• сценарии HTML, перенаправляющие трафик на серверы комплекта эксплойтов. Кроме того, аналитики Cisco определили множество семейств вредоносного ПО, использующих взломанные сайты WordPress для создания инфраструктуры: •• ПО для кражи информации Dridex; •• ПО для кражи паролей Pony; •• программы-вымогатели TeslaCrypt; •• программы-вымогатели Cryptowall 3.0; •• программы-вымогатели TorrentLocker; •• ботнет для рассылки спама Andromeda; •• троянские дропперы Bartallex; •• ПО для кражи информации Necurs; •• фальшивые страницы входа. Рис. 29. Модель взлома сайтов WordPressFigure X. How Cryptowall Ransomware uses hacked WordPress servers for Command and Control Сервер управления Cryptowall Пользователь просматривает веб-страницу с баннерной рекламой Двоичный файл Cryptowall, загруженный с сервера WordPress Cryptowall извлекает требование выкупа и предоставляет ссылку на сайт платежа. Cryptowall подключается к серверу управления для получения ключа шифрования Cryptowall шифрует документы ! ! ! Источник: Cisco Security Research 3 4 5 6 1 Эксплойт Flash2 ПОДЕЛИТЬСЯ
  • 35. 3535 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Для устранения подобных угроз специалистам по безопасности следует применять технологию безопасности веб-трафика, контролирующую контент, который поступает с сайтов на базе WordPress. Такой трафик можно считать нестандартным, если сеть загружает с сайтов WordPress программы, а не просто веб-страницы и изображения (хотя на сайтах WordPress можно также размещать законное ПО). Устаревающая инфраструктура: проблема, которой уже 10 лет Все современные организации в большей или меньшей степени относятся к числу ИТ-компаний, поскольку используют инфраструктуру информационных и операционных технологий для связи, цифровых операций и получения прибыли. По этой причине им необходимо позаботиться об ИТ-безопасности. Однако многие предприятия полагаются на сетевые инфраструктуры, основанные на устаревших компонентах под управлением уязвимых операционных систем с низкой степенью защиты от кибератак. Недавно мы проанализировали 115 000 устройств Cisco в Интернете и средах заказчиков, чтобы привлечь внимание к рискам безопасности, обусловленным устаревающей инфраструктурой и невниманием к уязвимостям. Мы определили эти 115 000 устройств в нашем однодневном примере, изучив Интернет и рассмотрев устройства «наизнанку» (от представления в Интернете к предприятию). С помощью изучения и анализа мы обнаружили, что программное обеспечение 106 000 из 115 000 устройств содержит известные уязвимости. Это означает, что 92 % проанализированных устройств Cisco в Интернете подвержены известным уязвимостям. Специалисты Cisco также выявили, что версия программного обеспечения на тех устройствах содержала в среднем 26 уязвимостей. Кроме того, мы узнали, что многие организации использовали в своей сетевой инфраструктуре устаревшее ПО (рис. 30). Мы обнаружили, что некоторые заказчики в области финансовых услуг, здравоохранения и розничной торговли используют версии нашего программного обеспечения, выпущенные более 6 лет назад. Мы также выяснили, что для многих инфраструктурных устройств настал последний день поддержки (LDoS), то есть для них недоступны обновления и повышение безопасности (рис. 31). Для этих устройств даже не предоставляются исправления известных уязвимостей, поэтому они не получают сведений о новых угрозах. Заказчиков уведомили об этой проблеме. 0 1 2 3 4 5 6 Кол-во лет Figure X. Average Software Age in Years Аэропорт С вязь Производство лекарств Крупный бизнес Ф инансовые услугиЗдравоох- ранение С трахование Интернет- провайдеры Розничная торговля Телекомму- никации Источник: Cisco Security Research Рис. 30. Средний возраст программного обеспечения в годах 2 Страхование 1 Крупный бизнес 0.6 Розничная торговля 10 Интернет- провайдеры 16.3 Здравоох- ранение 15.7 Телекомму- никации 15 Финансовые услуги 19.9 Figure X. Percentage of LDoS for Infrastructure Devices Источник: Cisco Security Research Производство лекарств 4.8 Аэропорт 5 Связь Рис. 31. Процент инфраструктурных устройств, достигших последнего дня поддержки (LDoS) Подробнее об этом можно узнать в статьях на блоге Cisco Security: «ИТ-безопасность: переоцененная зрелость» «Эволюция атак на устройства Cisco IOS» «SYNful Knock: обнаружение и нейтрализация атак на Cisco IOS»
  • 36. 3636 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Использование устаревающей инфраструктуры распахивает двери киберпреступникам. Однако общий рост числа оповещений, включая уязвимости проприетарного программного обеспечения и ПО с открытым исходным кодом, — верный признак того, что компании в технологическом сегменте делают все возможное, чтобы устранить лазейки для злоумышленников. С 2014 по 2015 год совокупные показатели оповещений возросли на 21 %. С июля по сентябрь 2015 года их число выросло особо значительно. Немалую часть этого роста можно объяснить крупными программными обновлениями от таких поставщиков, как Майкрософт и Apple, поскольку обновления продуктов увеличивают количество оповещений об уязвимостях ПО. Основные поставщики программного обеспечения стали чаще выпускать исправления и обновления, а также сделали сам процесс обновления более прозрачным. Растущий объем — основной стимул для организаций, автоматизирующих управление уязвимостями за счет использования средств обеспечения аналитики информационной безопасности и платформ управления, которые помогают управлять крупными объемами системных и программных ресурсов, уязвимостями и сведениями об угрозах. Эти системы и прикладные программные API-интерфейсы обеспечивают более рациональное, своевременное и эффективное управление безопасностью в организациях любого размера. Совокупные показатели оповещений свидетельствуют о растущем интересе к управлению уязвимостями Рис. 32. Совокупные показатели оповещений Кроме того, 8 % из 115 000 проанализированных устройств достигли завершающего этапа своего жизненного цикла, а еще 31 % достигнет этого этапа в пределах от одного до четырех лет. Устаревающая и устаревшая ИТ-инфраструктура полна уязвимостей для организаций. По мере перехода на Интернет вещей (IoT) и Всеобъемлющий Интернет (IoE) компаниям становится все важнее использовать безопасную сетевую инфраструктуру, которая обеспечивает целостность данных и потоков информации, передаваемых по сети. Это крайне важно для успешного распространения развивающейся концепции Всеобъемлющего Интернета (IoE). Многие заказчики Cisco создали свои сетевые инфраструктуры около десяти лет назад. Тогда многие компании просто не учитывали того факта, что они будут полностью зависеть от своей инфраструктуры. Также организации не ожидали, что она станет основной целью злоумышленников. Компании стараются не обновлять инфраструктуру, поскольку это дорогостоящий процесс, требующий простоя сети. В некоторых случаях простого обновления недостаточно. Отдельные продукты настолько устарели, что их нельзя обновить для внедрения новейших решений по обеспечению информационной безопасности, необходимых для защиты бизнеса. Эти факты свидетельствуют о том, насколько важно обслуживать инфраструктуру. Организациям следует планировать регулярные обновления и признать ценность заблаговременного контроля критически важной инфраструктуры, прежде чем на нее будет совершена атака. ПОДЕЛИТЬСЯ Январь Декабрь Источник: Cisco Security Research 0 8K Всего предупреждений Figure X. Cumulative Annual Alert Totals 21% c 2014 г. по 2015 г. 2013 г. 2014 г. Октябрь
  • 37. 3737 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 33. Число уязвимостей в распространенных категориях По результатам исследования стандартных категорий уязвимостей, с 2014 по 2015 год категория межсайтового скриптинга (XSS) сократилась на 47 % (рис. 33). Это снижение может быть обусловлено более тщательными проверками на наличие уязвимостей. Поставщики стали эффективнее определять уязвимости этого типа и устранять их до выхода продуктов на рынок. В 2015 году категории информационных утечек или раскрытия информации сократились на 15 %. Эти уязвимости включают непреднамеренное раскрытие информации лицам, у которых нет явного доступа к ней. Поставщики стали внимательнее относиться к средствам управления доступом к данным, сократив число случаев проявления этого распространенного типа уязвимостей. Категории угроз: сокращение буферных ошибок, информационных утечек и случаев непреднамеренного раскрытия информации Предприятия малого и среднего бизнеса (SMB) играют важнейшую роль в экономической жизни государств. Они также несут ответственность за сохранность конфиденциальных данных заказчиков. Однако, как подробно описано в сравнительном исследовании возможностей систем информационной безопасности Cisco за 2015 год (см. стр. 41), предприятия малого и среднего бизнеса (SMB) демонстрируют, что их системы защиты от злоумышленников гораздо слабее, чем требуется. В свою очередь, эти уязвимости могут подвергать опасности корпоративных заказчиков предприятий. Злоумышленники, способные взломать сеть такой компании, могут также найти путь к сети крупного предприятия. Судя по результатам сравнительного исследования возможностей систем информационной безопасности Cisco за 2014 год, предприятия малого и среднего бизнеса (SMB) сократили число используемых процессов для анализа взломов и средств защиты от угроз по сравнению с предыдущим годом. Например, в 2015 году 48 % таких организаций сообщили, что используют средства обеспечения безопасности интернет-трафика. В 2014 году об этом заявили 59 %. В 2015 году только 29 % опрошенных компаний заявили об использовании инструментов исправления и конфигурирования. В 2014 этот показатель составлял 39 %. Более того, из всех опрошенных предприятий малого и среднего бизнеса (SMB), в которых нет исполнительного лица, ответственного за информационную безопасность, около четверти уверены, что их бизнес не представляет особой ценности для киберпреступников. Это мнение указывает на чрезмерную уверенность компаний в своей способности противостоять современным сложным атакам или же (что более вероятно) в том, что они не заинтересуют злоумышленников. Предприятия малого и среднего бизнеса — слабое звено информационной безопасности крупных предприятий? ПОДЕЛИТЬСЯ Источник: Cisco Security Research Figure X. Common Vulnerabliity Categories 2014 г. 2015 г. CWE-119: ошибки буферизации 861 681 CWE-22: пересечение путей 42 22 CWE-94: внедрение кода 76 37 CWE-264: разрешения, привилегии и разграничение доступа 270 220 CWE-89: внедрение SQL-кода 35 20 CWE-287: проблемы аутентификации 50 27 CWE-200: утечка/раскрытие информации 269 191 CWE-352: подделка межсайтовых запросов (CSRF) 36 45 CWE-59: переход по ссылкам 12 4 (рост) CWE-79: межсайтовый скриптинг (XSS) 201 120 CWE-16: конфигурация 4 10 CWE-78: внедрение команд ОС 42 26 (Increase)
  • 38. 3838 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год ПРЕДПРИЯТИЯ МАЛОГО И СРЕДНЕГО БИЗНЕСА (SMB) С МЕНЬШЕЙ ВЕРОЯТНОСТЬЮ СОЗДАЮТ ГРУППЫ РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ Предприятия малого и среднего бизнеса (SMB) реже создают группы реагирования на инциденты и аналитики угроз, нежели крупные компании. Это может быть обусловлено бюджетными ограничениями: респонденты указывали финансовые трудности как одно из основных препятствий при внедрении расширенных процессов и технологий для обеспечения безопасности. 72 % крупных предприятий (со штатом более 1 000 сотрудников) используют обе группы, в то время как среди компаний со штатом менее 500 сотрудников этот показатель составил 67 %. Предприятия малого и среднего бизнеса (SMB) также используют меньше процессов для анализа взломов, устранения причин инцидента и восстановления систем к состоянию до взлома (рис. 35). Например, 53 % предприятий со штатом более 10 000 сотрудников используют средства анализа сетевых потоков для анализа взломанных систем. Среди компаний со штатом менее 500 сотрудников это делают лишь 43 %. 60 % компаний со штатом более 10 000 сотрудников исправляют и обновляют приложения с потенциальными уязвимостями. Среди предприятий со штатом менее 500 сотрудников этот показатель составляет 51 %. По-видимому, предприятия малого и среднего бизнеса все реже используют определенные средства защиты от угроз. Например, в 2014 году 52 % предприятий малого и среднего бизнеса пользовались решениями безопасности мобильного доступа, а в 2015 году этот показатель сократился до 42 %. Кроме того, в 2014 году 48 % предприятий малого и среднего бизнеса (SMB) использовали средства обнаружения уязвимостей, и лишь 40 % — в 2015 году (см. рис. 36). Рис. 35. Предприятия малого и среднего бизнеса (SMB) используют меньшее число процессов информационной безопасности, нежели крупные компании Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMBs Use Fewer Security Processes than Large Enterprises Какие из приведенных здесь процессов использует ваша организация для анализа скомпрометированных систем? Техническая экспертиза памяти Анализ сетевого потока Анализ системных журналов Внешние (сторонние) группы реагирования на инциденты и их анализ Анализ корреляции событий с записями в журналах Анализ реестра Обнаружение IOC Внедрение дополнительных или новых средств обнаружения и контроля Размер компании Какие процессы использует ваша организация для восстановления систем до состояния, предшествовавшего инциденту? Исправление и обновление приложений, считающихся уязвимыми 30% 43% 47% 30% 34% 43% 31% 49% 250-499 51% 34% 47% 51% 32% 34% 43% 34% 55% 500-999 53% 34% 52% 55% 34% 40% 49% 37% 57% 1000-9999 57% 37 % 53 % 59 % 39 % 42 % 52 % 36 % 61 % 10,000+ 60 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMB Biggest Obstacles Что из ниже перечисленного вы считаете основными препятствиями для внедрения современных процессов и технологий безопасности? Размер компании 250-499 500-999 1000-9999 Бюджетные ограничения 40% 39% 39% 41% Проблемы совместимости с существующими системами 32% 30% 32% 34% Другие приоритеты 25% 25% 24% 24% 10,000+ Рис. 34. Основные препятствия на пути предприятий малого и среднего бизнеса (SMB) Рис. 36. Ослабление систем защиты предприятий малого и среднего бизнеса (SMB) в 2015 году Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. SMB Defenses Decrease in 2015 Используются ли в вашей организации какие-либо из приведенных здесь видов защиты от угроз безопасности? 2014 г. 2015 г. Информационная безопасность мобильного доступа 52 % 42 % 51 %Защита беспроводного доступа 41 % Поиск уязвимостей 48 % 40 % VPN 46 % 36 % Управление информацией и событиями в системе информационной безопасности (SIEM) 42 % 35 % Техническая экспертиза сетевой инфраструктуры 41 % 29 % Установка исправлений и настройка 39 % 29 % Техническая экспертиза оконечных устройств 31 % 23 % Тестирование на проникновение 38 % 32 %
  • 39. 3939 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Почему так важен тот факт, что предприятия малого и среднего бизнеса (SMB) начинают использовать меньше средств защиты, нежели более крупные компании? Ситуация в области информационной безопасности такова, что злоумышленники разрабатывают все более изощренные методы взлома сетевых инфраструктур и сокрытия своих действий. В таких условиях ни одна компания не может позволить себе оставить свои сети без защиты или откладывать использование процессов, позволяющих узнать о характере взлома, чтобы не допустить подобного в будущем. Кроме того, предприятия малого и среднего бизнеса (SMB) могут не осознавать, что их собственная уязвимость ведет к рискам для их более крупных, корпоративных заказчиков и их сетевых инфраструктур. Современные киберпреступники нередко проникают в одну сетевую инфраструктуру, чтобы найти точку входа в другую, более ценную. Именно предприятия малого и среднего бизнеса (SMB) могут стать начальной точкой для такой атаки. НИЖЕ ВЕРОЯТНОСТЬ СТАТЬ ЖЕРТВОЙ НАРУШЕНИЯ БЕЗОПАСНОСТИ ОБЩЕДОСТУПНЫХ БАЗ ДАННЫХ Предприятия малого и среднего бизнеса (SMB) с меньшей вероятностью становились жертвами нарушения безопасности общедоступных баз данных. Скорее всего, это связано с их меньшей зоной присутствия в сети. Среди предприятий со штатом более 10 000 сотрудников 52 % сталкивались с нарушением безопасности общедоступных баз данных, в то время как среди компаний со штатом менее 500 сотрудников в подобной ситуации оказывались лишь 39 %. Вполне очевидно, что нарушение информационной безопасности общедоступных баз данных наносит немалый ущерб деятельности компании, однако у них есть одно преимущество: часто подобные ситуации заставляют организации с большим вниманием отнестись к своим системам безопасности и усилить защиту. Результаты опроса, проведенного компанией Cisco (см. стр. 74), показывают, что в случае нарушения безопасности общедоступных баз данных крупные предприятия значительно улучшают свои технологии обеспечения безопасности и внедряют более эффективные процессы. Отношение предприятий малого и среднего бизнеса к возможности стать целью киберпреступников свидетельствует о пробелах в их восприятии современных угроз. Как показано на рис. 38, 22 % компаний со штатом менее 500 сотрудников сообщили, что в них отсутствует исполнительное лицо, напрямую отвечающее за информационную безопасность, поскольку они не считают себя ценными целями для злоумышленников. Компани (Объясн лица, от и отчетн Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value T Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 2 78 % НетДа Да 250-4 11 % 7 % 8 % 8 % Рис. 38. Предприятия малого и среднего бизнеса (SMB) не считают себя особо ценными целями Крупные компании (более 10 000) Скольким компаниям пришлось иметь дело с нарушением безопасности? 39 % 52 % Предприятия среднего и малого бизнеса (250–499) Figure X. SMBs Report Fewer Public Breaches; Less Likely than Enterprises to Initiate Changes in Response Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 37. Предприятия малого и среднего бизнеса (SMB) реже подвергаются нарушениям безопасности общедоступных баз данных Компани (Объясн лица, от и отчетн Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value T Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 2 78 % НетДа Да 250-4 11 % 7 % 8 % 8 % Компания не является значимой целью для злоумышленников. (Объяснение причин, по которым в компании нет должностного лица, ответственного за информационную безопасность и отчетность в этой области.) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X.SMBs Do Not Perceive Themselves as High-Value Targets Есть ли в вашей организации должностное лицо, непосредственно ответственное за информационную безопасность и отчетность в этой области? 250-499 Размер компании Размер компании 89 % 500-999 93 % 1000-9999 92 % 10,000+ 92 % 22 % 17 %13 %26 % 74 %78 % 87 % 83 % НетДа НетДа 250-499 500-999 1000-9999 10,000+ 11 % 7 % 8 % 8 % ПОДЕЛИТЬСЯ
  • 40. 4040 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Опрос показал, что в целом все большее число предприятий малого и среднего бизнеса (SMB) привлекают сторонние компании для выполнения некоторых функций информационной безопасности, однако они реже передают на аутсорсинг консультации и консалтинг, нежели крупные игроки рынка. Например, 55 % крупных компаний пользуются сторонними поставщиками услуг консалтинга, а среди предприятий со штатом менее 500 сотрудников этот показатель составляет 46 %. 56 % крупных компаний привлекают сторонних подрядчиков для выполнения проверок систем информационной безопасности, в то время как среди предприятий со штатом менее 500 сотрудников этим занимаются 42 % (см. рис. 39). Однако в 2015 году возросло число предприятий малого и среднего бизнеса (SMB), пользующихся некоторыми услугами обеспечения безопасности сторонних поставщиков. В 2014 году 24 % предприятий малого и среднего бизнеса (SMB) со штатом менее 499 сотрудников заявили, что не пользуются какими-либо услугами сторонних поставщиков. В 2015 году об этом сообщили только 18 % предприятий малого и среднего бизнеса (SMB). Тот факт, что все больше предприятий малого и среднего бизнеса (SMB) поручают управление системами информационной безопасности сторонним компаниям, не может не радовать. Это свидетельствует о том, что предприятиям малого и среднего бизнеса (SMB) требуются универсальные средства защиты сетей, которые не перегружают их персонал или бюджет. Однако такие предприятия могут быть ошибочно убеждены, что поручение процессов обеспечения информационной безопасности сторонним поставщикам значительно сократит вероятность взлома сети. Они также могут возлагать бремя ответственности за информационную безопасность на другие компании. Такая точка зрения выдает желаемое за действительное, поскольку лишь действительно интегрированная система защиты от угроз, анализирующая, устраняющая и предотвращающая атаки, может обеспечить информационную безопасность корпоративного уровня. ПРЕДПРИЯТИЯ МАЛОГО И СРЕДНЕГО БИЗНЕСА (SMB) ЧАЩЕ ПОРУЧАЛИ ВЫПОЛНЕНИЕ ФУНКЦИЙ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СТОРОННИМ КОМПАНИЯМ В 2015 ГОДУ Источник: сравнительное исследование возможностей систем информационной безопасности корпорации Cisco, 2015 г. Figure X. More SMBs Outsource in 2015 Размер компании Рекомендации и консультирование Мониторинг Аналитика угроз Реагирование на инциденты Аудит Восстановление 250-499 46% 45% 42% 39% 35% 33% 51% 46% 46% 44% 37% 38% 54% 42% 46% 44% 42% 36% 55% 44% 56% 40% 41% 36% Отсутствуют 18% 12% 11% 10% Какие причины побудили вашу организацию среднего или малого бизнеса (250–499 сотрудников) покупать эти услуги у сторонних организаций? Отсутствие собственного опыта 31% Дешевле 51% Нехватка внутренних ресурсов (ПО, кадры) 30% Объективность 45% Более быстрое реагирование на инциденты 45% 1000-9999500-999 10,000+ Когда речь идет об информационной безопасности, какие из ниже перечисленных типов услуг предоставляются вам полностью или частично сторонними организациями? Рис. 39. В 2015 году услугами обеспечения информационной безопасности сторонних поставщиков пользовалось большее число предприятий малого и среднего бизнеса (SMB). ПОДЕЛИТЬСЯ
  • 41. 4141 Отраслевая аналитикаГодовой отчет Cisco по информационной безопасности за 2016 год Сравнительное исследование возможностей систем информационной безопасности Cisco
  • 42. 42 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год С учетом возросшей сложности угроз исследование Cisco указывает на снижение уверенности специалистов по безопасности. При этом растущие опасения меняют подход профессионалов к обеспечению информационной безопасности сетевых инфраструктур. Например, сотрудники все чаще проходят обучение по вопросам информационной безопасности, разрабатывается больше официальных политик, а также растет объем задач, передаваемых сторонним поставщикам, таких как проверки систем информационной безопасности, консалтинг и реагирование на инциденты. Иными словами, вполне очевидно, что специалисты по безопасности всеми силами борются с угрозами, нависшими над сетевыми инфраструктурами. Инициативы, связанные с обучением и привлечением сторонних компаний, свидетельствуют о положительных тенденциях развития, но отрасль информационной безопасности не может ограничиваться лишь этим. Необходимо расширять использование инструментов и процессов, повышающих эффективность обнаружения и удержания угроз, а также восстановления после них. С учетом ограничений бюджета и неполной совместимости решений компаниям также необходимо искать эффективные методы, предоставляющие интегрированную защиту от угроз. Компаниям также следует плотнее сотрудничать с другими организациями при нарушении безопасности общедоступных баз данных (как в случае с бот-сетью SSHPsychos; см. стр. 14), поскольку обмен опытом может помочь предотвратить атаки в дальнейшем. Чтобы численно оценить мнение специалистов по безопасности, Cisco опросила руководителей (CSO) и менеджеров (SecOp) по безопасности из разных стран и организаций об их ресурсах и процедурах обеспечения информационной безопасности. Сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год предоставляет аналитические сведения о развитости современных операций и методов обеспечения информационной безопасности, а также позволяет сравнить эти результаты с итогами первоначального исследования, проведенного в 2014 году. Сравнительное исследование возможностей систем информационной безопасности Cisco Понимание, что принятых мер недостаточно
  • 43. 43 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год По мере того как специалисты по безопасности узнают об угрозах подробнее, они могут начать искать пути укрепления систем защиты. Один из вариантов — привлечение сторонних компаний для выполнения задач по обеспечению информационной безопасности, для управления которыми больше подходят консультанты или поставщики. В 2015 году 47 % опрошенных нами компаний поручали проверку систем информационной безопасности сторонним поставщикам. В 2014 году этот показатель составлял 41 %. Кроме того, в 2015 году 42 % компаний привлекали сторонних поставщиков для выполнения процессов реагирования на инциденты, в то время как в 2014 году этим занимались 35 % организаций (рис. 40). Все больше специалистов по безопасности поручают сторонним компаниям по крайней мере некоторые функции обеспечения информационной безопасности. В 2014 году 21 % участников опроса сообщили, что не привлекали сторонних поставщиков для предоставления каких-либо услуг обеспечения безопасности. В 2015 году их число значительно сократилось и составило 12 %. 53 % респондентов сообщили, что пользуются услугами сторонних компаний, поскольку это выгоднее, а 49 % делают это для получения объективных аналитических сведений. С целью повышения уровня защиты сетевых инфраструктур и данных специалисты по безопасности рассматривают возможность размещения сетей у сторонних поставщиков. Хотя компании все еще предпочитают локальное размещение, число профессионалов, пользующихся размещением у поставщиков, возросло. В 2015 году 20 % компаний использовали частные облачные решения с размещением у поставщика, что на 2 % больше показателя 2014 года (рис. 41). Рис. 41. Рост популярности размещения у сторонних поставщиков Рис. 40. Обзор услуг, предоставляемых сторонними поставщиками РЕСУРСЫ: ОРГАНИЗАЦИИ ЧАЩЕ ПРИВЛЕКАЮТ СТОРОННИЕ КОМПАНИИ Консалтинг Аудит Мониторинг Реагирование на инциденты Аналитика угроз Восстановление Нет/внутри организации 51 % 41 % 42 % 35 % 34 % 21 % Н/Д (недоступно) 52 % 47 % 44 % 42 % 36 % 12 % 39 % Дешевле Объективность Более быстрое реагирование на инциденты Отсутствие собственного опыта Недостаток опытных специалистов в штате 53 % 49 % 46 % 31 % 31 % Почему предоставление этих услуг поручается сторонним компаниям? 2015 r. (n=1129) Какие услуги обеспечения безопасности предоставляются сторонними организациями? 2014 г. (n=1738) 2015 r. (n=2432) Figure X. Outsourced Services Seen as Cost Effective Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. † Число респондентов, пользующихся услугами обеспечения безопасности сторонних поставщиков (2015 г.; n=2129) Локальное размещение сетевых инфраструктур организации все еще наиболее популярно, однако доля сетей, размещенных у сторонних поставщиков, возросла с прошлого года Figure X. Off-Premise Hosting on the Rise 2014 г. (n-2417) 2015 г. (n=2417) Локальное размещение в составе частного облака 50 % 51 % Общедоступное облако с размещением у поставщика 8 % 10 % Частное облако с размещением у поставщика 18 % 20 % Локальное размещение с управлением от стороннего поставщика 23 % 24 % Локальное размещение 54 % 48 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
  • 44. 44 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Группы по информационной безопасности, опрошенные компанией Cisco, стремятся обеспечить максимальную защиту своих сетевых инфраструктур, но доступные им ресурсы могут быть ограниченны. Специалисты по безопасности указывают, что бюджетные ограничения (39 %) — основной фактор выбора тех или иных услуг и инструментов обеспечения безопасности. На втором месте стоят проблемы совместимости технологий (32 %; см. рис. 42). Бюджетные ограничения становятся серьезной проблемой для предприятий на начальной или близкой к начальной стадии развития (см. рис. 43). 39 % специалистов по безопасности указывают бюджетные ограничения как помеху внедрению расширенных процессов безопасности. Из компаний с подобными ограничениями 43 % находятся на раннем этапе развития, а 48 % — на близком к начальному. Один из признаков того, что некоторые организации стали внимательнее относиться к своим ресурсам информационной безопасности, состоит в их подходе к распределению бюджета. Опрос указывает на небольшой рост числа организаций, отделяющих бюджет на обеспечение информационной безопасности от общего ИТ-бюджета. В 2014 году 6 % специалистов сообщили, что они полностью разделили бюджет на средства информационной безопасности и ИТ-бюджет. В 2015 году их доля возросла до 9 % (см. рис. 44). Figure X. Budget Constraints Are the Major Barrier to Security Upgrades 2015 г. (n=2432)Основные препятствия на пути внедрения расширенных функций безопасности Отсутствие поддержки со стороны старшего руководства 20 % Опасение приобретать решения, эффективность которых не подтверждена собственным опытом 22 % Нехватка обученного персонала 22 % Корпоративная культура/отношение 23 % Недостаток знаний 23 % Слишком высокая текущая нагрузка 24 % Другие приоритеты 24 % Требования сертификации 25 % Проблемы совместимости 32 % Бюджетные ограничения 39 %$ Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 42. Бюджетные ограничения — основная помеха обновлениям систем информационной безопасности FIgure X. Budget Constraints as Biggest Obstacles to Adopting Advanced Security Processes and Technology ВысокийВыше среднегоСреднийНиже среднего 38 %38 %39 % 48 % 43 % Низкий Процент респондентов, считающих бюджетные ограничения главной помехой в своей деятельности (n=2432) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 43. Бюджетные ограничения более актуальны для компаний на ранних стадиях развития Основная причина получения работы Полностью включен в ИТ-бюджет Частично Входит в ИТ- бюджет 6 % 9 % 33 % 33 % 61 % 58 % $ $ A Minority of Organizations Still Have Security Budgets that Are Completely Separate From it, but Incidence Has Increased. Входит ли бюджет на обеспечение информационной безопасности в состав ИТ-бюджета? Figure X. Slight Increases in Organizations with Separate Security Budgets 2014 r. (n=1720) 2015 r. (n=2417) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Отдельно Рис. 44. Небольшой рост числа организаций с отдельным бюджетом на обеспечение информационной безопасности ПОДЕЛИТЬСЯ
  • 45. 45 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Принимая политики информационной безопасности в качестве стандарта или проходя сертификацию, организации показывают свое стремление к улучшению информационной безопасности. Почти 2/3 специалистов по безопасности сообщили, что их компании прошли или проходят сертификацию по стандартизированным политикам или методам информационной безопасности (рис. 45). Это еще один верный признак того, что предприятия осознают ценность знаний в области обеспечения информационной безопасности и реагирования на инциденты. Figure X. Majority of Organizations Are Certified or Seeking Certification Подготовка к процессу сертификации В процессе сертификации Организация использует стандартизированную политику информационной безопасности (2015 г. n=1265) 63 % Химическая технология или производство 58 % Некомпьютерное производство 57 % Транспортировка 46 % Сельское и лесное хозяйство, рыболовство 44 % Фармацевтика 36 % Горнодобыча 70 % Финансовые услуги 70 % Телекоммуникации 67 % Здравоохранение 65 % Правительство 64 % Коммунальные услуги и энергетика 63 % Другие отрасли Сертификация пройдена 63 %31 % 7 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 45. Большинство организаций прошли или проходят сертификацию Рис. 46. Межсетевые экраны (МСЭ) и средства предотвращения утечки данных — самые распространенные инструменты обеспечения информационной безопасности Проведя исследование тенденций использования средств обеспечения информационной безопасности, мы выяснили, что чаще всего для этой цели применяются межсетевые экраны (65 %). За ними следуют средства предотвращения утечки данных (56 %) и аутентификации (53 %; см. рис. 46). В 2015 году компании в меньшей степени полагались на облачные средства. Хотя специалисты по безопасности проявили желание пользоваться услугами обеспечения безопасности сторонних поставщиков (см. стр. 43), их больше привлекает локальное развертывание инструментов (см. стр. 71, чтобы ознакомиться с полным списком). Средства защиты от угроз безопасности, используемые организацией Управление системами безопасности с помощью облачных сервисов (участники опроса специалистов по безопасности, использующие системы защиты от угроз безопасности) 2014 г. (n=1738) 2014 г. (n=1646) 2015 r. (n=2268)2015 r. (n=2432) Безопасность сети, межсетевые экраны и предотвращение вторжений* 60 % Н/Д (недоступно) 35 % Информационная безопасность электронной почты/мгновенных сообщений 56 % 52 % 37 % 34 % Шифрование/конфиденциальность/защита данных 53 % 53 % Предотвращение утечки данных 55 % 56 % Аутентификация 52 % 53 % Межсетевой экран (МСЭ)* Н/Д (недоступно) 65 % 31 % Обеспечение безопасности веб-трафика 59 % 51 % 37 % 31 % *Межсетевые экраны и предотвращение вторжений являлись единым подходом в 2014 году: «Безопасность сети, межсетевые экраны и предотвращение вторжений». Figure X. Firewalls and Data Loss Prevention Are Most Commonly Used Security Tools Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
  • 46. 46 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год ВОЗМОЖНОСТИ: СПАД УВЕРЕННОСТИ В 2015 году специалисты по безопасности стали менее уверенными в том, что их инфраструктура безопасности отвечает современным требованиям, нежели в 2014 году. Такой спад уверенности, несомненно, обусловлен непрерывным потоком мощных атак на крупные предприятия, последующей кражей конфиденциальных данных и публичными извинениями компаний, чьи сетевые инфраструктуры были взломаны. Однако снижение уверенности сопровождается растущим интересом к разработке более эффективных политик. Как видно на рис. 47, в 2015 году больше компаний (66 %) внедрили официальную стратегию обеспечения безопасности, нежели в 2014 году (59 %). Рис. 48. Спад уверенности в 2015 году Показателем спада уверенности является также и тот факт, что специалисты по безопасности сомневаются в своих технологиях. В 2014 году 64 % респондентов были уверены, что их инфраструктура безопасности отвечает современным требованиям и постоянно обновляется. В 2015 году доля таких компаний сократилась до 59 % (рис. 48). Кроме того, в 2014 году 33 % специалистов признали, что их организации не оснащены новейшими средствами обеспечения информационной безопасности. В 2015 году этот показатель возрос до 37 %. Степень уверенности несколько выше среди руководителей по безопасности (CSO), которые отличаются большим оптимизмом, нежели менеджеры. 65 % руководителей считают, что их инфраструктура безопасности соответствует современным требованиям, тот же показатель среди менеджеров составил 54 %. Уверенность последних может быть ниже из-за необходимости реагировать на ежедневные инциденты, что приводит к менее оптимистичному взгляду на эффективность систем информационной безопасности. ПОДЕЛИТЬСЯ Рис. 47. Все больше организаций разрабатывают официальные политики безопасности Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Off-Premise Hosting on the Rise 2014 г. (n=1738) Стандарты информационной безопасности 2015 г. (n=2432) Официальная общекорпоративная стратегия обеспечения безопасности, регулярно обновляемая и предоставляемая в письменной форме 66 % Ничего из вышеперечисленного 1 % 1 % Использование стандартизированной политики информационной безопасности, такой как Международная организация по стандартизации (ISO) 27001 59 % 52 % 52 % 54 % 38 % Официальное определение критически важных бизнес-ресурсов, которые требуют особого внимания при управлении рисками и являются важными для бизнеса или нуждаются в повышенной защите согласно нормативным требованиям Figure X. Confidence is Lower in 2015 2014 г. (n=1738) 2015 г. (n=2432) In 2015, Companies are Less Confident that Their Security Infrastructure is Up-to-Date; Budget is the Top Barrier to Upgrades. Наша инфраструктура безопасности актуальна и постоянно обновляется с применением самых совершенных технологий. Мы регулярно осуществляем замену или обновление наших технологий обеспечения безопасности, но обходимся при этом не самыми новыми и совершенными инструментами. Мы меняем или обновляем наши технологии обеспечения безопасности только тогда, когда прежние уже не работают или устарели, либо в случае возникновения совершенно новых потребностей. 64 % 59 % 33 % 37 % 3 % 5 % Как бы вы описали состояние вашей инфраструктуры безопасности? Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
  • 47. 47 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Специалисты по безопасности также неоднозначно относятся к готовности своих систем для отклонения атак злоумышленников. 51 % специалистов твердо убеждены в своей способности обнаруживать уязвимости до того, как они станут полномасштабными инцидентами. Лишь 45 % уверены, что могут определить масштаб взлома сети и устранить нанесенный ущерб (см. рис. 49). Специалисты по безопасности также менее уверены в способности защитить свои сетевые инфраструктуры от атак. Например, в 2015 году меньше профессионалов уверены в эффективности систем информационной безопасности, внедренных в процедуры приобретения, разработки и обслуживания систем (54 % в 2015 году и 58 % в 2014 году; см. рис. 50). (см. страницу 76, чтобы ознакомиться с полным списком). Рис. 49. Разная степень уверенности относительно эффективности обнаружения взломов ПОДЕЛИТЬСЯ Figure X. Mixed Confidence in Ability to Detect Compromises Процент организаций, способных обнаружить уязвимость в системе информационной безопасности до того, как она разовьется до полномасштабного инцидента Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Процент организаций, способных без труда определить масштаб взлома и устранить его последствия 451 8 46 (2015 г.; n=2432) Наша инфраструктура безопасности актуальна и постоянно обновляется с применением самых совершенных технологий. 511 4 45 Совершенно неверно Совершенно верноНеверно Верно Как бы вы описали состояние вашей инфраструктуры безопасности? 59 % Рис. 50. Снижение уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы Figure X. Lower Confidence in Ability to Build Security into Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях (%) 93 582 5 35 96 541 4 42 2015 г. n=2432 2014 г. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности
  • 48. 48 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год В некоторых отраслях уверенность специалистов в возможностях систем информационной безопасности не так высока. Например, в 2015 году лишь 54 % респондентов были уверены в эффективности своей системы при проверке действительности инцидентов информационной безопасности (см. рис. 51). (см. страницу 77, чтобы ознакомиться с полным списком). Респонденты также сомневаются, что их системы могут определить масштаб таких взломов и обеспечить их удержание. 56 % респондентов сообщили, что регулярно и официально пересматривают и улучшают свои методы обеспечения безопасности со стратегической точки зрения. 52 % уверены, что их технологии обеспечения безопасности тесно интегрированы и эффективно работают вместе (см. рис. 52). (см. страницу 79, чтобы ознакомиться с полным списком). Рис. 51. Предприятия уверены в эффективности своих средств управления информационной безопасностью Security Controls Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средства управления информационной безопасностью 92 541 6 38 95 541 5 41 2015 г. n=2432 2014 г. n=1738 Совершенно неверно Совершенно верноНеверно Верно На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. Совершенно неверно Совершенно верноНеверно Верно 94 561 4 38 96 561 4 40 2015 г. n=2432 2014 г. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 г. n=2432 2014 г. n=1738 Определение масштаба вторжения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 г. n=2432 2014 г. n=1738 Практическое применение систем информационной безопасности Figure X. Enterprises Lack Confidence in Ability to Contain Compromises Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 52. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности ПОДЕЛИТЬСЯ
  • 49. 49 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Как и в 2014 году, в 2015 году более 1/4 специалистов по информационной безопасности признали, что считают свои средства обеспечения информационной безопасности эффективными лишь отчасти (рис. 53). Figure X. One-Fourth of Enterprises Believe Security Tools Are Only Somewhat Effective Крайне низкая МаксимальнаяНизкая Средняя ВысокаяЭффективность инструментов информационной безопасности Блокирование известных угроз безопасности 73 230 3 24 50 75 240 2 5123 2015 г. n=2432 2014 г. n=1738 Обнаружение аномалий в сетевой инфраструктуре и динамическая защита от модификаций адаптивных угроз 70 210 4 27 49 70 210 2 4928 2015 г. n=2432 2014 г. n=1738 Применение политик безопасности 71 201 3 27 51 70 200 2 5028 2015 г. n=2432 2014 г. n=1738 Оценка потенциальных рисков безопасности 70 221 4 26 48 69 190 2 5029 2015 г. n=2432 2014 г. n=1738 Определение масштабов взлома. Сдерживание атаки и восстановление после дальнейших вторжений 67 190 3 30 48 68 190 2 4930 2015 г. n=2432 2014 г. n=1738 Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 53. Четверть предприятий считают свои средства обеспечения информационной безопасности эффективными лишь отчасти
  • 50. 50 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Нарушения безопасности общедоступных баз данных часто становятся определяющим моментом для организаций. Как только они происходят, компании яснее осознают необходимость предотвращения нарушений безопасности в дальнейшем. Однако в 2015 году меньше профессионалов по безопасности сообщили о том, что их организации становились жертвами нарушений безопасности общедоступных баз данных: в 2014 году их доля составила 53 %, а в 2015 году — 48 % (рис. 54). Специалисты признают, что взломы напоминают о важности усовершенствования процессов обеспечения безопасности: 47 % специалистов, чьи организации стали жертвами взлома общедоступных баз данных, сообщили, что в результате атак были улучшены политики и процедуры. Например, 43 % респондентов сообщили, что после взлома общедоступных баз данных они ввели дополнительное обучение по вопросам информационной безопасности, а 42 % увеличили бюджет на приобретение необходимых технологий. Хорошая новость в том, что организации, ставшие жертвами взлома общедоступных баз данных, с большей вероятностью усовершенствуют свои процессы обеспечения информационной безопасности. В 2015 году 97 % специалистов по безопасности сообщили, что они организуют обучение по вопросам информационной безопасности не менее одного раза в год, в то время как в 2014 году этот показатель составлял 82 % (см. рис. 90 на стр. 82). Рис. 54. Взломы общедоступных баз данных помогают повысить информационную безопасность Приходилось ли вашей организации расследовать инциденты нарушения безопасности? (n-1701) (n=1347) Figure X. Public Breaches Can Improve Security 48 %Да 53 %Да или 2015 г.2014 г. Повлиял ли факт нарушения бзопасности на изменение политики защиты вашей компании от угроз безопасности и, если да, в какой степени? Процедуры или технологии? (n=1134) Не повлиял Оказал сильное влияние Оказал среднее влияние Оказал слабое влияние 10 %1 % 42 % 47 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. ПОДЕЛИТЬСЯ Рис. 55. Все больше организаций организуют обучение информационной безопасности Figure X. More Organizations Conduct Security Training 43 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности.
  • 51. 51 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год УРОВЕНЬ РАЗВИТИЯ: БЮДЖЕТНЫЕ ОГРАНИЧЕНИЯ АКТУАЛЬНЫ ДЛЯ ОРГАНИЗАЦИЙ ЛЮБОГО УРОВНЯ По мере того как организации развертывают более совершенные методы и политики, их оценка эффективности систем информационной безопасности может меняться. Сравнительное исследование возможностей систем информационной безопасности Cisco за 2015 год разбило участников опроса и их организации на пять категорий зрелости в зависимости от ответов на вопросы, касающиеся процессов обеспечения безопасности (рис. 56). В рамках исследования анализируется влияние различных факторов (возможности, отраслевая принадлежность, особенности стран) на степень развития. Интересен тот факт, что организации на разных этапах развития порой встречают схожие препятствия на пути внедрения более совершенных процессов и инструментов обеспечения информационной безопасности. Хотя точные процентные соотношения могут различаться, бюджетные ограничения занимают первое место среди помех на всех этапах развития (рис. 57). Рис. 57. Препятствия на пути повышения информационной безопасности не зависят от степени развития Рис. 56. Модель зрелости распределяет организации по особенностям процессов обеспечения информационной безопасности Figure X. Maturity Model Ranks Organizations Based on Secuirty Processes Cisco изучила несколько вариантов сегментации выборки, прежде чем остановиться на 5-сегментном отображении, составленном на основе серии вопросов о состоянии процедур информационной безопасности. Это 5-сегментное решение довольно близко соответствует набору моделей CMMI. Низкий Выше среднего Ниже среднего Высокий Средний Пятисегментное решение Оптимизация Количествен- ное управление Определено Регулярное использование Исходное значение Акцент на усовершенствовании процессов Процессы оцениваются и контролируются по количественным показателям Определены процессы для организации; преобладание профилактических процессов Процессы определены для проектов; преобладание реактивных процессов Процессы сложно прогнозировать, поэтому работа с ними ведется по ситуации 1 2 3 4 5 Уровень Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Obstacles to Adopting Better Secuirty not Affected by Maturity Level Какие из следующих проблем вы считаете основными препятствиями на пути внедрения расширенных функций и технологий обеспечения безопасности? Уровень сложности Низкий Выше среднего ВысокийНиже среднего Средний Бюджетные ограничения Конкурентные приоритеты 39 %43 % 48 % 38 %38 % Отсутствие поддержки со стороны старшего руководства 20 %14 % 20 % 19 %22 % Нехватка обученного персонала 26 %19 % 27 % 22 %26 % Требования сертификации 26 %14 % 17 % 25 %27 % 22 %21 % 27 % 23 %19 % Недостаток знаний об угрозах Процессы и технологии инфор- мационной безопасности 25 %31 % 20 % 22 %23 % Нежелание приобретать решения, не прове- ренные в рыночных условиях Текущая нагрузка слишком велика, и брать на себя дополнительную ответственность довольно проблематично 24 %12 % 25 % 19 %25 % Особенности корпора- тивной культуры в отношении инфор- мационной безопасности 23 %31 % 23 % 21 %22 % 36 % 23 % 22 %25 %25 % Проблемы совмести- мости с устаревшими системами 29 %21 % 28 % 33 %34 %
  • 52. 52 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год На схеме справа качество инфраструктуры информационной безопасности в различных отраслях сопоставляется со степенями развития. Она основана на мнении респондентов о своих процессах обеспечения информационной безопасности. Отрасли, расположенные в верхней правой четверти, отличаются высочайшей степенью зрелости и качеством инфраструктуры. На схеме ниже показано распределение степеней развития Cisco в зависимости от отрасли. В 2015 году почти половина опрошенных компаний в области транспортировки и фармацевтики находится в сегменте высокой степени зрелости. Телекоммуникационные и коммунальные компании реже оказываются в этом сегменте в 2015 году, чем в 2014 году. Результаты основаны на мнении респондентов о своих процессах обеспечения информационной безопасности. Рис. 58. Эффективность систем информационной безопасности по инфраструктуре и отраслям ПОДЕЛИТЬСЯ Рис. 59. Уровни развития в зависимости от отрасли Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Maturity Levels by Industry Распределение сегментов по отрасли Уровень сложности Низкий Выше среднего ВысокийНиже среднего Средний Химическая производство 1 % 6 % 39 %21 % 33 % Финансовые услуги 1 % 10 % 38 %26 % 26 % Государственный сектор 3 % 10 % 34 %28 % 25 % Здравоохранение 1 % 10 % 37 %30 % 22 % Производство, не связанное с компьютерами 1 % 10 % 32 %34 % 22 % Фармацевтика 2 % 3 % 44 %30 % 21 % Транспорт 1 % 5 % 46 %28 % 20 % Коммунальные услуги и энергетика 1 % 15 % 23 %28 % 32 % Телекоммуникации 2 % 11 % 33 %26 % 28 % Figure X. Gauging Security Maturity by Infrastructure and Industry Коммунальные услуги и энергетика Производство, не связанное с компьютерами Телекоммуникации Фармацевтика Другое Горнодобыча Транспорт Здравоохранение Химическая производство Государственный сектор Финансовые услуги: банковское дело, страхование Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средний Выше среднего Высокий Постоянноеобновление, новейшиетехнологии Обычнаячастота обновлений
  • 53. 53 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Maturity Levels by Country Распределение сегментов по странам 2014 г. (n=1637) 2015 г. (n=2401) Уровень сложности Низкий2014 Выше среднего ВысокийНиже среднего Средний США 22 %2 % 4 % 45 %27 % Бразилия 1 % 9 % 40 %26 % Германия 1 % 12 % 39 %24 % Италия 4 % 3 % 34 %23 % Великобритания 0 % 14 % 32 %22 % Австралия 1 % 5 % 29 %36 % Китай 0 % 6 % 32 %25 % Индия 24 % 36 % 32 % 29 % 37 % 21 % 34 % 1 % 4 % 40 %34 % Япония 2 % 16 % 32 %16 % 27 %3 % 10 % 44 %16 % 2 % 5 % 34 %35 % 1 % 4 % 43 %25 % 1 % 23 % 38 %25 % 8 % 8 % 41 %18 % 9 % 7 % 30 %35 % 0 % 3 % 36 %29 % 27 % 24 % 24 % 13 % 25 % 19 % 32 % 20 % 14 % 7 % 3 % 16 % 7 % 15 % 24 %40 % 20 %Мексика 6 % 8 % 50 %16 % 27 %Россия 1 % 14 % 32 %26 % 35 %Франция 1 % 15 % 29 %20 % 54 % На схеме ниже показано распределение степеней развития Cisco в зависимости от страны. Результаты основаны на мнении респондентов о своих процессах обеспечения информационной безопасности. На схеме справа качество инфраструктуры безопасности в различных странах сопоставляется со уровнями развития. Страны, расположенные в верхней правой четверти, отличаются высочайшим уровнем зрелости и качеством инфраструктуры. Важно отметить, что эти результаты основаны на мнении специалистов по информационной безопасности о готовности своих систем безопасности. Figure X. Gauging Security Maturity by Infrastructure and Country Япония Франция Россия Германия Мексика Италия Китай Бразилия Индия Данные Великобритания Австралия Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средний Выше среднего ВысокийПостоянноеобновление, новейшиетехнологии Обычнаячастота обновлений Рис. 60. Эффективность систем информационной безопасности по инфраструктуре и странам Рис. 61. Уровни развития в зависимости от страны ПОДЕЛИТЬСЯ
  • 54. 54 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год РЕКОМЕНДАЦИИ: ПРОВЕРКА РЕАГИРОВАНИЯ В РЕАЛЬНЫХ УСЛОВИЯХ По результатам нашего сравнительного исследования возможностей систем безопасности, реальность для специалистов по безопасности оказалась довольно суровой. Они все меньше уверены в своей готовности противостоять кибератакам. Однако проверка в реальных условиях через мощные взломы оказала положительное влияние на отрасль, о чем свидетельствует рост обучения по вопросам информационной безопасности и разработка официальных политик. Кроме того, все большее привлечение сторонних компаний для проведения проверок и реагирования на инциденты указывает на то, что организациям требуется помощь экспертов. Предприятиям следует еще больше изучать свою готовность к отражению атак, а специалистам по безопасности необходимо сдерживать растущие затраты для поддержки технологий и персонала. Более того, уверенность возрастет по мере развертывания инструментов, позволяющих не только обнаруживать угрозы, но и нейтрализовать последствия их влияния, а также получать сведения, необходимые для предотвращения атак в будущем.
  • 55. 55 Сравнительное исследование возможностей систем информационной безопасности Годовой отчет Cisco по информационной безопасности за 2016 год Действуя на опережение
  • 56. 56 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год После Эдварда Сноудена геополитическая среда управления Интернетом изменилась до неузнаваемости. Теперь свободный поток информации, пересекающий границы, окружает постоянная неопределенность. Прецедентный иск австрийского активиста Макса Шремса к социальному гиганту Facebook вызвал, пожалуй, наибольший общественный резонанс, который и побудил Судебную палату Европейского союза 6 октября 2015 г. отменить положение о «безопасной гавани» (Safe Harbor) США⁷. Теперь при передаче данных из Европейского союза (ЕС) в США компаниям приходится полагаться на другие механизмы и юридические средства защиты, что, в свою очередь, стало поводом к расследованию. Компании, работающие с данными, по-прежнему пытаются оценить негативные последствия этого дела. Хотя Европейский союз (ЕС) и власти США на протяжении двух последних лет и работали над заменой «безопасной гавани», многие по-прежнему выражают ряд сомнений относительно предполагаемого нового механизма. Возможно, он и не появится к заявленному сроку в январе 2016 г. или, что более вероятно, не сможет восстановить доверие рынка, если он не полностью решит проблемы, определенные Судебной палатой ЕС и в результате опять будет аннулирован⁸. Эксперты по безопасности данных ожидают, что «безопасная гавань» 2.0 будет не менее противоречивой, чем предыдущая версия. Она даже может пройти тот же путь — кто-то будет оспаривать ее в суде, вплоть до отмены⁹. Комплексное шифрование, а именно его ценность для потребителей и организаций, а также трудности, которые оно вызывает у правоохранительных органов при расследовании преступлений и террористических операций, также будет темой множества переговоров между правительствами и лидерами отрасли в предстоящем году. Из-за террористических атак в Париже в ноябре 2015 г. некоторые политики стали еще активнее лоббировать идею о предоставлении правоохранительным органам доступа к содержимому зашифрованных сообщений¹⁰. Это может стать дополнительным фактором в пользу разработки «безопасной гавани 2.0» (Safe Harbor 2.0), так как гражданские свободы уступят место мерам по обеспечению безопасности. Геополитическая перспектива: неопределенность в среде управления Интернетом Действуя на опережение Геополитические эксперты Cisco представляют обзор изменений в сфере управления Интернетом, в том числе в законодательстве о передаче данных и дискуссиях об использования шифрования. Также в данном разделе представлены некоторые результаты двух исследований Cisco. Одно из них посвящено изучению сомнений, возникающих у руководителей организаций в вопросах кибербезопасности. Другое раскрывает то, как лица, ответственные за принятие ИТ-решений, воспринимают риски, связанные с вопросами безопасности, а также уровень их доверия к системе защиты своих организаций. Мы также коротко расскажем о том, в чем состоит ценность интегрированной архитектуры защиты от угроз, а также о прогрессе Cisco в сокращении времени обнаружения (TTD). ⁷ «Судебная комиссия объявляет о недействительности решения Комиссии о "безопасной гавани"», CJEU, 6 октября 2015 г.: http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150117en.pdf. ⁸ «Платформа "безопасной гавани" 2.0 вызывает все больше вопросов по мере приближения крайнего срока в январе», Глин Муди, Ars Technica, 16 ноября 2015 г.: http://arstechnica.com/tech-policy/2015/11/safe-harbour-2-0-framework-begins-to-capsize-as-january-deadline-nears/. 9 «Платформа "безопасной гавани" 2.0 вызывает все больше вопросов по мере приближения крайнего срока в январе», Глин Муди, Ars Technica, 16 ноября 2015 г.: http://arstechnica.com/tech-policy/2015/11/safe-harbour-2-0-framework-begins-to-capsize-as-january-deadline-nears/. ¹⁰ «Террористические атаки в Париже вызывают дебаты о шифровании», Дэнни Ядрон, Алистер Барр и Дайсуке Вакабаяши, The Wall Street Journal, 19 ноября 2015 г.: http://www.wsj.com/articles/paris-attacks-fan-encryption-debate-1447987407.
  • 57. 57 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Что следует организациям просить у поставщиков данных в таких неопределенных условиях, чтобы их бизнес соответствовал нормативным требованиям передачи данных? В краткосрочной перспективе им определенно необходимо получить от поставщиков гарантии того, что они используют типовые положения контракта Европейского союза (ЕС) или обязательные к применению корпоративные правила (а не только «безопасную гавань») при передаче данных за пределы Европейского союза (ЕС). Другая важная геополитическая проблема, которую организации должны отслеживать, связана с уязвимостями и эксплойтами. Некоторые правительства выражают озабоченность ростом рынка неисправленных уязвимостей — так называемого «ПО как оружия». Такие инструменты жизненно важны для сообщества исследователей в области информационной безопасности, так как они позволяют искать способы защиты сетевых инфраструктур по всему миру. Но попав «не в те руки», а особенно в руки репрессивных режимов, эта технология, созданная для благих целей, может использоваться для финансовых преступлений, кражи национальных и коммерческих тайн, подавления инакомыслия и разрушения критически важной инфраструктуры. Как ограничить доступ к неисправленным уязвимостям, не связывая руки тех, кто проводит важные исследования? Решением этой задачи правительства будут заниматься в ближайшие месяцы и годы. По мере того как правительства пытаются найти выход из этой острой ситуации, им потребуется тщательно оценить то, как их решения повлияют на информационную безопасность. Например, неопределенность законов, которые контролируют передачу информации о неопубликованных уязвимостях, может препятствовать исследованиям угроз безопасности или стимулировать опубликование уязвимостей перед тем, как поставщики смогут их исправить. Любой подход к решению этой проблемы должен быть приемлемым для всего мирового сообщества. Проблемы кибербезопасности пугают руководителей Очевидно, что надежная система информационной безопасности помогает предприятиям избежать опасных нарушений безопасности и атак. Но велика ли вероятность того, что она сможет способствовать росту успеха компании? Согласно опросу глав финансовых директоров и руководителей компаний, проведенному Cisco в октябре 2015 г. и посвященному роли кибербезопасности в бизнесе и цифровой стратегии, руководители предприятий понимают, что защита организации от угроз может быть решающим фактором успешности компании. Организации все активнее внедряют в свою структуру цифровые технологии, поэтому их развитие будет зависеть от их возможности защитить свою цифровую платформу. Как показал опрос, кибербезопасность — это актуальная проблема для руководителей: 48 % опрошенных сказали, что их чрезвычайно беспокоят нарушения кибербезопасности, 39 % заявили, что они беспокоят их умеренно. Эта проблема не стоит на месте: 41 % опрошенных заявили, что нарушения безопасности заботят их гораздо больше, чем три года назад, а 42 % респондентов сказали, что их обеспокоенность несколько больше, чем раньше. Руководители компаний также предполагают, что инвесторы и регуляторы будут задавать более трудные вопросы о процессах безопасности, как и о других бизнес-функциях. 92 % участников опроса согласились, что регуляторы и инвесторы ожидают, что компании будут предоставлять больше  сведений о рисках кибербезопасности в будущем. Кажется, что предприятия также четко понимают трудности обеспечения кибербезопасности, с которыми они сталкиваются. Чаще всего упоминалась неспособность политик кибербезопасности успевать за бизнес-изменениями. Следующей по частоте проблемой стало отсутствие показателей для определения эффективности информационной безопасности (рис. 62). Рис. 62. Предприятия сталкиваются со сложными проблемами кибербезопасности Источник: Cisco Security Research Figure X. Enterprises Face Tough Cybersecurity Challenges 32 % 24 % 21 % Незнание основных уязвимостей систем кибербезопасности Неэффективный контроль соблюдения политик кибербезопасности 26 % Недостаточные вложения в системы кибербезопасности 27 % Недостаток нужных показателей для определения эффективности систем кибербезопасности Неспособность политики кибербезопасности соответствовать темпам изменения бизнеса
  • 58. 58 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Около трети руководителей также тревожат возможности защиты критически важных данных. Опрошенных попросили назвать типы данных, которые сложнее всего защитить. 32 % выбрали категорию «конфиденциальная финансовая информация». Среди самых трудных типов данных для защиты респонденты также назвали «данные клиентов» и «конфиденциальность коммерческой информации» (см. рис. 63). Изучение доверия: риски и трудности для предприятий Неуклонный рост числа нарушений информационной безопасности еще раз говорит о необходимости для предприятий гарантированно защитить системы, данные, деловых партнеров, заказчиков и граждан. Мы видим, что доверие становится основным фактором для компаний, выбирающих ИТ- и сетевую инфраструктуру. К слову, многим из них требуется интегрировать функции информационной безопасности и проверки достоверности в весь жизненный цикл продукта решений, из которых состоит инфраструктура. В ходе исследования, проведенного Cisco в октябре 2015 г., было выявлено, как ИТ-руководители воспринимают риски и проблемы безопасности, а также была определена роль благонадежности поставщиков ИТ-услуг в их ИТ-инвестициях. Мы опросили как лиц, ответственных за информационную безопасность, так и сотрудников из других подразделений в организациях в нескольких странах. (Дополнительные сведения об исследовании рисков безопасности и благонадежности, в том числе о нашей методологии, см. в приложении.) НИЖЕ ПРЕДСТАВЛЕНЫ ОСНОВНЫЕ РЕЗУЛЬТАТЫ НАШЕГО ИССЛЕДОВАНИЯ. Мы выяснили, что 65 % респондентов считают, что их организация сталкивается со значительными рисками несанкционированного вторжения в их информационное пространство, исходящими, в том числе, от мобильных устройств, средств ИТ-безопасности и облачных решений на предприятии (рис. 64). Рис. 63. Руководителей тревожит проблема защиты критически важных данных Источник: Cisco Security Research Информация о заказчиках (транзакционные данные) Конфиденциальная финансовая информация Конфиденциальная коммерческая информация (операционные данные) 32 % 31 % 30 % Figure X. Executives Concerned About Securing Critical Data Рис. 64. Восприятие рисков безопасности Предприятия считают, что наиболее высокому риску нарушения безопасности подвержены следующие области их инфраструктуры: 50 % Мобильность Облачные платформы 42 % респондентов считают, что их организации находятся под угрозой 65 % ИТ-безопасность 43 % Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Perceptions of Security Risk ПОДЕЛИТЬСЯ
  • 59. 59 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год 68 % участников опроса назвали вредоносное ПО в качестве основной внешней проблемы информационной безопасности организации. Фишинг и сложные целенаправленные угрозы заняли второе и третье место — 54 % и 43 % соответственно (см. рис. 65). Что касается внутренних проблем информационной безопасности (см. рис. 66), то более половины (54 %) респондентов как основную угрозу указали загрузки вредоносного ПО, а также внутренние нарушения сотрудниками (47 %) и уязвимости аппаратного обеспечения и ПО (46 %). Мы также выяснили, что большинство предприятий (92 %) используют специальную группу информационной безопасности. 88 % участников опроса сообщили, что их организация в целом пользуется официальной стратегией обеспечения безопасности, которая регулярно обновляется. Однако только 59 % используют стандартизированные политики и процедуры для проверки благонадежности поставщиков ИТ-услуг (см. рис. 67). Кроме того, около половины (49 %) крупных предприятий модернизируют свою инфраструктуру безопасности с помощью современных технологий, а другие регулярно обновляют свою инфраструктуру. Очень немногие предприятия ждут, пока технология устареет, и только после этого обновляются. Рис. 65. Внешние проблемы безопасности (всего респондентов) Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. External Challenges Faced (Total Respondents) Не считаю что-либо из указанного проблемой для своей организации Сложные целенаправленные угрозы 43 % Атаки типа «отказ в обслуживании» 38 % Атаки методом грубой силы 35 % Атаки нулевого дня 35 % 3 % Фишинг 54 % Вредоносное ПО 68 % Рис. 66. Внутренние проблемы информационной безопасности (всего респондентов) Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Internal Challenges Faced (Total Respondents) 54 %Загрузка вредоносного программного обеспечения Нарушения внутренней безопасности сотрудниками 47 % 46 % Уязвимости аппаратного или программного обеспечения Использование сотрудниками собственных устройств, программного обеспечения или облачных приложений для рабочих целей 43 % Недостаток осведомленности сотрудников 39 % Недостаточная обученность персонала, ответственного за ИТ-безопасность 26 % Не считаю что-либо из указанного проблемой для своей организации 5 % Рис. 67. В большинстве крупных предприятий есть специальная служба информационной безопасности 92 % Выделенная группа по вопросам информационной безопасности Стандартизированные политики и процедуры проверки 59 % Общеорганизационная стратегия обеспечения безопасности 88 % Источник: исследование степени риска и надежности систем безопасности, корпорация Cisco Figure X. Most Large Enterprises Have a Dedicated Security Team In-House ПОДЕЛИТЬСЯ
  • 60. 60 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год В современной среде, ориентированной на угрозы, уверенность в процессах, политиках, технологиях и сотрудниках поставщика (и возможность их проверки) играют важную роль для создания длительных доверительных отношений между поставщиками и предприятиями. Поставщики технологий демонстрируют благонадежность следующими способами: •• интегрируя средства информационной безопасности в свои решения и цепочку создания стоимости с самого начала; •• используя политики и процессы, которые снижают риски; •• формируя культуру осведомленности об информационной безопасности; •• быстро и прозрачно реагируя на нарушения безопасности; •• быстро устраняя инциденты и обеспечивая постоянный контроль после этого. Как поставщики могут продемонстрировать благонадежность Обновление инфраструктуры — это, конечно, наиболее рекомендуемый подход. Компаниям любого размера необходимо развернуть надежную инфраструктуру, в которой средства обеспечения информационной безопасности встроены во все аспекты сетевой инфраструктуры. Однако можно уменьшить поверхность атаки и просто с помощью открытой культуры, учитывающей требования информационной безопасности. Для формирования такой культуры организациям необходимо внедрить согласованные политики и процессы для всего предприятия, которые гарантируют применение механизмов информационной безопасности в каждом бизнес-аспекте. Затем нужно донести такое видение до всех своих партнеров и поставщиков, а также постоянно работать над демонстрацией прозрачности и ответственности перед заказчиками, партнерами и другими заинтересованными лицами. Время обнаружения: гонка за сокращением Мы определяем «время обнаружения» как отрезок времени между моментом выявления неизвестного файла и проявлением его как угрозы. Мы определяем длину этого отрезка, используя добровольную телеметрию информационной безопасности, собранную решениями безопасности Cisco, развернутыми во всем мире. Категория «ретроспективные данные» на рисунке 68 отображает количество файлов, первоначально отнесенных Cisco к категории «неизвестные», которые затем были отнесены к категории «известная угроза». По данным отчета Cisco, посвященного вопросам безопасности за первую половину 2015 года, среднее время обнаружения угрозы составило около 2 дней (50 часов). Рис. 68. Время обнаружения: декабрь 2014 — октябрь 2015 г. Источник: Cisco Security Research Декабрь 2014 г. Октябрь 2015 г. Figure X. Time to Detection, December 2014 – November 2015 112766 112664 96106 197158 286457 379366 205601 192975 150480 154353 20.4 17.5 50.3 46.4 44.5 44.4 49.3 41.4 34.3 32.8 27.0 Медианное время обнаружения 20 40 60 Часа Ретроспективы 185539
  • 61. 61 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год С января по март среднее время обнаружения не менялось и составляло от 44 до 46 часов, при этом незначительно снижаясь. В апреле оно повысилось до 49 часов. Однако к концу мая время обнаружения компанией Cisco снизилось до 41 часа. Коммерциализация хакерства и растущее использование вредоносного ПО сыграло важную роль в нашей способности сузить окно для обнаружения угроз. Как только угроза запускается в обращение, она распространяется, что упрощает ее обнаружение. Однако мы также считаем, что комбинация интеллектуальных средств информационной безопасности и тесная совместная работа квалифицированных специалистов по исследованию проблем играет еще более важную роль для значительного сокращения среднего значения TTD в течение 2015 года. График TTD на рис. 69 демонстрирует, что многие угрозы в июне были обнаружены в течение примерно 35,3 ч. К октябрю основной массив поступивших угроз был остановлен примерно за 17,5 ч. Опять же, частично мы объясняем сокращение среднего значения TTD более быстрой идентификацией распространенного вредоносного ПО, такого как Cryptowall 3.0, Upatre и Dyre. Интеграция новых технологий, например технологии ThreatGRID от Cisco, служит другим фактором. Однако даже с суженным окном для TTD есть угрозы, обнаружить которые труднее, чем другие. Загрузчики, которые нацелены на пользователей Microsoft Word, обнаруживаются обычно легче всего (<20 ч). Сложнее всего выявить рекламное ПО и внедрения в код браузера (<200 ч). Одна из причин этого состоит в том, что такие угрозы обычно получают от групп информационной безопасности низкий приоритет, поэтому на них часто не обращают внимания, уделяя все внимание поиску атак нулевого дня (см. «Заражения браузера: широко распространенный и основной источник утечки данных» на стр. 16). На рис. 70 представлен обзор типов угроз, которые обычно проявляются в течение 100 дней. Figure X. Tag Cloud for 100 Days Источник: Cisco Security Research CrossRider PennyBee ConvertAd Wajam NetFilterElex OptimizerPro StartPage Systweak Yotoon MyPCBackup BitCocktail AddLyrics SupTab Compete Downloader Esprot Generik GigaClicks Kranet MultiPlug Linkury MyWebSearch OpenCandy InstallCore Visicom Spigot SpeedingUpMyPC RuKometa Sharik Dagava Browse FoxРис. 69. Сравнение времени обнаружения: декабрь 2014 — октябрь 2015 Рис. 70. Облако тегов на 100 дней ПОДЕЛИТЬСЯ С тех пор среднее значение TTD быстро уменьшалось. К октябрю Cisco сократила среднее значение TTD примерно до 17 часов, что меньше одного дня. Это значительно опережает существующие оценки TTD в отрасли (от 100 до 200 дней). Такая скорость обусловлена добавлением дополнительных сведений о том, как устранять краткосрочные заражения. Figure X. Time to Detection Comparison, June vs September 2015 Источник: Cisco Security Research или 17.5часа Октябрь (медианное время) 35.3часа Июнь (медианное время)
  • 62. 62 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год Шесть принципов встроенной защиты от угроз В отчете Cisco, посвященном вопросам безопасности за первую половину 2015 года, наши эксперты в области информационной безопасности утверждают, что на протяжении следующих пяти лет потребность в адаптивных интегрированных решениях приведет к значительным изменениям в отрасли информационной безопасности. Результатами станет консолидация в отрасли и унифицированный переход к масштабируемой, интегрированной архитектуре защиты от угроз. Такая архитектура предоставляет возможности для мониторинга, контроля и учета контекста во многих решениях. Архитектура «обнаружения и реагирования» будет гораздо быстрее откликаться на известные и новые угрозы. В основе этой архитектуры будет лежать платформа мониторинга, обеспечивающая полный учет контекста и непрерывно обновляемая для оценки угроз, корреляции локальных и глобальных данных, а также оптимизирующая средства защиты. Задача такой платформы — создание основы, на которой смогут работать все поставщики решений и в которую они смогут вносить свой вклад. Благодаря возможностям мониторинга появляется больше возможностей для контроля, что повысит уровень защиты от большего числа векторов атак. Ниже представлены шесть принципов интегрированной защиты от угроз, которые помогут организациям и поставщикам решений информационной безопасности лучше понять фактические и потенциальные преимущества этой архитектуры. 1. Более широкая сетевая инфраструктура и архитектура информационной безопасности для борьбы с растущим объемом все более сложных угроз. За последние 25 лет формула традиционной модели информационной безопасности звучала как «вижу проблему, покупаю коробку». Но такие решения, которые часто представляют собой набор технологий от различных поставщиков, не взаимодействуют друг с другом. Они формируют информацию и данные аналитики о событиях безопасности, которые интегрируются в платформу событий и затем анализируются сотрудниками отдела безопасности. Интегрированная архитектура защиты от угроз — это платформа обнаружения и реагирования, которая предлагает больше возможностей и быстрее реагирует на угрозы, эффективно и автоматически собирая больше данных из развернутой инфраструктуры. Эта платформа наблюдает за средой информационной безопасности более интеллектуальным методом. Она не только оповещает группы информационной безопасности о подозрительных событиях и нарушениях политики, но и формирует четкую картину о сети и событиях в ней, что помогает специалистам принять правильные решения. 2. Лучшие в своем классе технологии в одиночку не могут справиться с текущей и будущей средой угроз. Они только усложняют сетевую инфраструктуру. Организации инвестируют в «лучшие в своем классе» технологии обеспечения безопасности, но знают ли они, как эти решения работают на самом деле? Заголовки новостей о нарушениях безопасности за прошедший год подтверждают, что множество технологий обеспечения безопасности работают не так уж хорошо. И когда они не справляются, последствия могут быть катастрофичными. То, что число поставщиков, предлагающих лучшие в своем классе решения, растет, не улучшает среду информационной безопасности, если эти поставщики не предоставляют радикально отличающиеся решения. Но сегодня существенных различий между многими продуктами ведущих поставщиков в большинстве основных областей информационной безопасности просто нет. 3. Для зашифрованного трафика потребуется интегрированный механизм защиты от угроз, который может выявить зашифрованные данные о вредоносных действиях, перед которыми пасуют точечные продукты. Как указано в этом отчете, объем зашифрованного веб-трафика растет. Для шифрования, конечно, существуют серьезные причины, но оно также усложняет отслеживание угроз. Ответ на проблему «шифрования» состоит в получении более подробных сведений о том, что происходит на устройствах или в сетевых инфраструктурах. Платформы встроенной системы безопасности могут решить эту проблему. 4. Открытые API-интерфейсы крайне важны для интегрированной архитектуры защиты от угроз. Для сред с решениями разных поставщиков необходима общая платформа, которая предоставляет мониторинг, контекст и возможности управления. Создание интерфейсной платформы интеграции может улучшить поддержку автоматизации и повысить качество информации, предоставляемых продуктами для обеспечения информационной безопасности. 5. Для интегрированной архитектуры защиты от угроз требуется устанавливать и контролировать меньше оборудования и ПО. Поставщики решений информационной безопасности должны стремиться создавать максимально функциональные платформы и предоставлять как можно больше возможностей на одной платформе. Это поможет упростить и дефрагментировать среду информационной безопасности, которая оставляет слишком много возможностей для легкого доступа злоумышленников.
  • 63. 63 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год 6. Аспекты автоматизации и координации интегрированной архитектуры защиты от угроз позволяют сократить время обнаружения, сдерживания и восстановления. Снижение числа ложных срабатываний помогает службам информационной безопасности сосредоточиться на самом важном. Контекстуализация поддерживает приграничный анализ событий, помогает группам оценить, требуют ли эти события немедленной реакции, и могут в конечном счете создавать автоматизированные ответы и более детальные данные системы аналитики. Сила в числе: ценность внутриотраслевого сотрудничества Отраслевое сотрудничество важно не только для разработки будущей интегрированной архитектуры защиты от угроз, которая позволит быстрее реагировать на угрозы, но и для отслеживания все более активных, подготовленных и настойчивых киберпреступников. Злоумышленники становятся опытнее в развертывании своих трудно обнаруживаемых и очень прибыльных решений. Многие из них весьма успешно используют легитимные ресурсы в инфраструктуре для поддержки своих кампаний. Поэтому неудивительно, что участники нашего исследования возможностей систем информационной безопасности Cisco в 2015 г. менее уверены в своих возможностях защиты организации. Мы рекомендуем поставщикам решений безопасности учитывать влияние, которое активная совместная и непрерывная работа участников отрасли может оказывать на борьбу с киберпреступностью, пресекая возможности злоумышленников для получения доходов и снижая вероятность для будущих атак. Как подробнее обсуждалось выше в этом отчете (см. «Рекомендуемые истории» на стр. 10), совместная работа партнеров Cisco и нашей экосистемы коллективной аналитики безопасности (CSI), а также сотрудничество с поставщиками услуг были важными факторами, повлиявшими на возможности Cisco для обнаружения, проверки и согласования глобальных операций по борьбе с набором эксплойтов Angler и разрушения одной из крупнейших распределенных атак типа «отказ в обслуживании» в истории — SSHPsychos.
  • 64. 64 Действуя на опережениеГодовой отчет Cisco по информационной безопасности за 2016 год О компании Cisco
  • 65. 65 Годовой отчет Cisco по информационной безопасности за 2016 год Аналитика угрозО компании Cisco Аналитики угроз из экосистемы коллективной информационной безопасности (CSI) объединяют наиболее полную в отрасли аналитику угроз, данные телеметрии от огромного количества устройств и сенсоров, информацию из общедоступных и частных веб-каналов по уязвимостям, а также от сообщества разработчиков открытого ПО, поддерживаемого Cisco. Ежедневный объем этой информации составляет миллиарды веб-запросов, миллионы сообщений электронной почты, образцов вредоносного ПО и данных о сетевых вторжениях. Эти данные обрабатываются в развитой инфраструктуре, которая позволяет аналитикам и самообучающимся системам отслеживать угрозы в различных сетях, центрах обработки данных, оконечных и мобильных устройствах, виртуальных системах, веб-сайтах, электронной почте и облачных системах с целью определения основных причин и масштабов распространения угроз. Итоговые данные анализа немедленно распространяются по всему миру среди заказчиков Cisco и используются для защиты наших продуктов и сервисов в режиме реального времени. Дополнительные сведения о подходе к безопасности, ориентированном на защиту от угроз до, во время и после сетевых атак, см. на веб-странице www.cisco.com/go/security. Авторы и источники годового отчета Cisco по информационной безопасности 2016 года ГРУППА TALOS ПО АНАЛИТИКЕ И ИССЛЕДОВАНИЯМ БЕЗОПАСНОСТИ Talos — организация Cisco, которая занимается аналитикой угроз, элитная группа экспертов, которые обеспечивают первоклассную информационную безопасность для заказчиков, продуктов и служб Cisco. Группа Talos состоит из ведущих аналитиков угроз, пользующихся поддержкой сложных систем для создания аналитических продуктов для Cisco, способных обнаруживать, анализировать и защищать данные от известных и вновь возникающих угроз. Talos придерживается официальных наборов правил Snort.org, ClamAV, SenderBase.org и SpamCop и является главной группой, вносящей вклад путем предоставления сведений об угрозах в экосистему Cisco CSI. УСЛУГИ ТЕХНИЧЕСКОГО КОНСАЛТИНГА И ТРАНСФОРМАЦИЯ ИТ, ГРУППА ОПТИМИЗАЦИИ Группа предоставляет рекомендации и оптимизирует сетевые инфраструктуры, центры обработки данных и облачные решения для крупнейших поставщиков услуг и предприятий по всему миру. Данная услуга позволяет улучшить доступность, производительность и информационную безопасность критически важных решений клиентов. Услугой по оптимизации пользуется более 75 % компаний из списка Fortune 500. О компании Cisco Cisco создает интеллектуальные системы кибербезопасности для реального мира. Предлагаемый ею комплекс решений является одним из наиболее полных в отрасли и защищает от широкого спектра угроз. Подход Cisco к информационной безопасности, ориентированный на нейтрализацию угроз и восстановление работоспособности, упрощает систему безопасности, делает ее более цельной, предоставляет возможности детального мониторинга, согласованного управления и усовершенствованной защиты от угроз до, во время и после атаки.
  • 66. 66 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год ГРУППА АКТИВНОЙ АНАЛИТИКИ УГРОЗ Группа активной аналитики угроз Cisco ATA помогает компаниям организовать защиту от известных способов вторжения, атак нулевого дня и сложных целенаправленных угроз, используя преимущества передовых технологий обработки больших данных. Эта полностью управляемая услуга предоставляется нашими экспертами по информационной безопасности и нашей глобальной сетью операционных центров безопасности. Она позволяет предоставить постоянный контроль и анализ угроз по требованию 24 часа в сутки, семь дней в неделю. ОРГАНИЗАЦИЯ ИНТЕЛЛЕКТУАЛЬНОГО ЛИДЕРСТВА CISCO Организация интеллектуального лидерства Cisco освещает глобальные возможности, изменения на рынке и ключевые решения, которые служат преобразованию организаций, отраслей и процессов. Организация предоставляет ценные прогнозные сведения о том, чего компании могут ожидать в быстро изменяющемся мире и как они могут получить конкурентные преимущества. Многие из инициатив группы направлены на то, чтобы помочь организациям перейти в цифровую плоскость, быстро и безопасно устранив разрывы между физическими и виртуальными средами, чтобы они могли быстрее внедрять инновации и достигать желаемых коммерческих результатов. КОГНИТИВНЫЙ АНАЛИЗ УГРОЗ Когнитивный анализ угроз Cisco представляет собой облачную службу, обнаруживающую нарушения безопасности, вредоносное ПО, работающее внутри защищенных сетей, и другие угрозы безопасности путем статистического анализа данных сетевого трафика. Оно борется с пробелами в защите периметра, определяя симптомы заражения вредоносным ПО или утечки данных путем поведенческого анализа и выявления аномалий. Когнитивный анализ угроз Cisco основывается на расширенных возможностях статистического моделирования и машинного обучения, которые помогают независимо находить новые угрозы, определять их источник и приспосабливаться к ним. ГЛОБАЛЬНЫЕ ОТНОШЕНИЯ С ПРАВИТЕЛЬСТВЕННЫМИ ОРГАНАМИ Cisco взаимодействует с правительственными органами на разных уровнях, помогая создавать политики и правила для технологического сектора и выполнять поставленные правительственными органами задачи. Группа глобальных отношений с правительственными органами разрабатывает общедоступные политики и нормы и участвует в их развитии. Работая совместно с участниками отрасли и партнерами, группа налаживает взаимоотношения с руководителями государственных учреждений, чтобы повлиять на политики, затрагивающие бизнес Cisco и общее внедрение ИКТ. Цель группы — сформировать решения о применении политик на глобальном, национальном и местном уровне. Отдел глобальных отношений с правительственными органами (Global Government Affairs) состоит из бывших официальных лиц, парламентариев, регуляторов, высших государственных чиновников США и специалистов по взаимоотношениям с правительственными органами, которые помогают Cisco продвигать и защищать использование технологий по всему миру. ГРУППА INTELLISHIELD Группа IntelliShield занимается исследованиями уязвимостей и угроз, анализом, интеграцией и организацией связей между данными и информацией от Исследовательской и рабочей группы Cisco и внешних источников, чтобы создать продукт службы информационной безопасности IntelliShield, поддерживающий множество продуктов и услуг Cisco. LANCOPE Lancope, компания группы Cisco, — это ведущий поставщик решений контроля состояния сетевой инфраструктуры и информационной безопасности, помогающих защитить предприятия от современных угроз. Анализируя NetFlow, IPFIX и другие типы доступных телеметрических данных, система Lancope StealthWatch® обеспечивает информационную безопасность с учетом контекста для быстрого обнаружения широкого спектра атак APT и распределенных атак типа «отказ в обслуживании» до атак нулевого дня и инсайдерских угроз. Объединяя непрерывный мониторинг в корпоративных сетевых инфраструктурах и отслеживание пользователей, устройств и приложений, Lancope ускоряет реагирование на инциденты, улучшает эффективность технической экспертизы и снижает риски для предприятия. OPENDNS OpenDNS, компания группы Cisco, — это крупнейшая в мире облачная платформа обеспечения (сетевой) безопасности, которая ежедневно обслуживает более 65 миллионов пользователей более чем в 160 странах. OpenDNS Labs — это исследовательская группа OpenDNS, которая поддерживает платформу обеспечения (сетевой) безопасности. Подробную информацию на см. на веб-сайте www.opendns.com или https://labs.opendns.com.
  • 67. 67 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год ОРГАНИЗАЦИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И ДОВЕРИЯ Организация информационной безопасности и доверия Cisco Security and Trust Organization подчеркивает стремление Cisco решить две наиболее критичные проблемы многих советов директоров и мировых лидеров. Основные цели организации — защита государственных и частных заказчиков Cisco, реализация и поддержка безопасного жизненного цикла разработки и надежных систем Cisco для всего портфеля продуктов и услуг Cisco, а также защита Cisco от постоянно меняющихся киберугроз. Cisco применяет всесторонний подход к комплексному обеспечению информационной безопасности и доверия, который объединяет людей, процессы, технологии и политики. Организация информационной безопасности и доверия стремится повысить производственную эффективность за счет воплощения принципов информационной безопасности, инжиниринга с учетом безопасности, защиты и конфиденциальности данных, безопасности облачной среды, прозрачности и тестирований, а также расширенных функций безопасности и управления. Дополнительная информация: http://trust.cisco.com. ИССЛЕДОВАНИЕ И ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ SR&O Группа SR&O отвечает за управление угрозами и уязвимостями всех продуктов и служб Cisco и включает в себя лучшую в отрасли группу реагирования на уязвимости технических решений (PSIRT). SR&O помогает заказчикам изучить меняющуюся среду угроз на таких мероприятиях, как Cisco Live и Black Hat, а также в процессе совместной работы с коллегами в Cisco и отрасли в целом. Кроме того, SR&O разрабатывает новые службы, например специальную службу анализа угроз (CTI) Cisco, позволяющую определить индикаторы компрометации, которые не были обнаружены или обработаны текущими инфраструктурами безопасности. Партнеры Cisco LEVEL 3 THREAT RESEARCH LABS Level 3 Communications — это ведущий мировой поставщик коммуникационных услуг с головным офисом в Брумфилде, штат Колорадо, который предоставляет услуги связи предприятиям, правительственным органам и операторам связи. Наша платформа глобальных услуг, которая поддерживается крупными волоконно-оптическими сетями на трех континентах, соединенными подводной кабельной инфраструктурой, предоставляет множество ресурсов более чем для 500 рынков в более чем 60 странах мира. Сетевая инфраструктура Level 3 дает расширенное представление о глобальной среде угроз. Level 3 Threat Research Labs — это группа информационной безопасности, которая активно анализирует глобальную среду угроз и сопоставляет информацию из внутренних и внешних источников для защиты заказчиков компании Level 3, ее сети и общедоступного Интернета. Группа регулярно сотрудничает с лидерами отрасли, такими как Cisco Talos, для поиска и устранения угроз.
  • 68. 68 О компании CiscoГодовой отчет Cisco по информационной безопасности за 2016 год Приложение
  • 69. 69 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Приложение Figure 71. Respondent Profiles Профили респондентов Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. 75% 76% 75% 73% 71% 57% 83% 81% 78% 79% 76% 66% Области, касающиеся систем информационной безопасности 2014 2015 Здравоохранение 6% 4% Производство, не связанное с компьютерами 14% 15% Коммунальные услуги и энергетика 7% Финансовые услуги: банковское дело, страхование 15% Горнодобыча 1% Государственный сектор 9% 12% Фармацевтика 3% Телекоммуникации 6% 8% Сельское и лесное хозяйство, рыболовство 2% 1% Химическая производство 7% Другие отрасли 21% 27% Транспорт 8% 54% Н/Д (недоступно) Крупное предприятие 46% Предприятие 49% 13%38% 46%56% 2014 55%45% 2015 20152014 14% 3%3% 3% 5% 5% Директора по безопасности и менеджеры по безопасности Размер организации Директора по безопасности Менеджеры по безопасности 2015 г.2014 г.(n=1738) (n=2432) Средний бизнес Определение общей концепции и стратегии Конечные рекомендации относительно выбора бренда решения Исследование и оценка решений Внедрение решений и управление ими Определение требований Утверждение бюджетов Рис. 71. Профили респондентов Сравнительное исследование возможностей систем информационной безопасности Cisco в 2015 г.: профиль и ресурсы респондентов
  • 70. 70 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Figure X. Although only 9% have a security budget that’s separate from the IT budget, this has increased significantly since 2014 Входит ли бюджет на обеспечение информационной безопасности в состав ИТ-бюджета? (Сотрудники ИТ-подразделения) 2014 г. (n=1720) 2015 г.(n=2412) Полностью включен в ИТ-бюджет Частично включен в ИТ-бюджет Полностью отдельный Полностью включен в ИТ-бюджет Частично включен в ИТ-бюджет Полностью отдельный 61 %33 % 6 % 58 %33 % 9 % Рис. 72. Хотя только 9 % из них выделяют из ИТ-бюджета специальную часть на нужды информационной безопасности, этот показатель существенно увеличился с 2014 г. Рис. 73. Должности: респонденты и их руководители Figure X. Job Titles: Respondents and Their Managers Сотрудники ИТ-подразделения 98%97% или 20152014 Главный директор по информационной безопасности 22% Генеральный директор 34% Главный директор по технологиям 18% Президент/владелец 18% Директор/менеджер по ИТ 16% Главный директор по информационной безопасности 16% ИТ-директор 13% ИТ-директор 6% Директор по вопросам информационной безопасности 7% Главный директор по технологиям 6% Вице-президент по ИТ-безопасности 5% Директор/менеджер по ИТ 4% Директор по управлению рисками и соответствием нормативным требованиям 4% Вице-президент по ИТ-безопасности 4% Менеджер по вопросам информационной безопасности 4% Вице-президент ИТ 2% Архитектор решений информационной безопасности 4% Исполнительный орган 2% Вице-президент ИТ 3% Главный исполнительный директор 1% Главный исполнительный директор 3% Финансовый директор 1% Другая должность 2% Другая должность 0% Должность Должность менеджера Специальное подразделение или группа по вопросам информационной безопасности Сотрудники группы обеспечения информационной безопасности 2014 2015(n=1738) (n=2432) 2014 2015(n=1706) (n=2382) 98% 98% 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
  • 71. 71 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Средства защиты от угроз безопасности, используемые организацией Управление системами безопасности с помощью облачных сервисов (участники опроса специалистов по безопасности, использующие системы защиты от угроз безопасности) 2014 (n=1738) 2014 (n=1646) 2015 (n=2268)2015 (n=2432) Безопасность сети, межсетевые экраны и предотвращение вторжений* 60 % N/A 35 % Ничего из вышеперечисленного 1 % 1 % 11 %13 % Информационная безопасность электронной почты/мгновенных сообщений 56 % 52 % 37 % 34 % Шифрование/конфиденциальность/защита данных 53 % 53 % Предотвращение утечки данных 55 % 56 % Аутентификация 52 % 53 % Межсетевой экран (МСЭ)* Н/Д (недоступно) 65 % 31 % Предотвращение вторжений* Н/Д (недоступно) 44 % 20 % Администрирование удостоверений или выделение ресурсов для пользователей 45 % 45 % Разграничение доступа/авторизация 53 % 48 % Защита оконечных устройств/нейтрализация вредоносного ПО 49 % 49 % 25 % 25 % Обеспечение безопасности веб-трафика 59 % 51 % 37 % 31 % Управление событиями и информацией об информационной безопасности 43 % 38 % Сеть VPN 48 % 40 % 26 % 21 % Поиск уязвимостей 48 % 41 % 25 % 21 % Защита беспроводной сети 50 % 41 % 26 % 19 % Информационная безопасность мобильных систем 51 % 44 % 28 % 24 % Техническая экспертиза оконечных устройств 31 % 26 % Техническая экспертиза сетевой инфраструктуры 42 % 31 % Установка исправлений и настройка 39 % 32 % Тестирование на проникновение 38 % 34 % 20 % 17 % Защита от распределенных атак типа «отказ в обслуживании» 36 % 37 % *Безопасность сети, межсетевые экраны и предотвращение вторжений.* *Межсетевые экраны (МСЭ) и предотвращение вторжений являлись единым подходом в 2014 г. Figure X. Firewalls and Data Loss Prevention Are Most Commonly Used Security Tools Рис. 74. Межсетевой экран — это самый распространенный инструмент защиты от угроз безопасности; число средств защиты, которые администрируются через облако, в 2015 г. уменьшилось по сравнению с 2014 годом.
  • 72. 72 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Аутсорсинг Figure X. Advice and consulting still top most security services outsourced Подготовка к процессу сертификации В процессе сертификации 63 % Химическая технология или производство 58 % Некомпьютерное производство 57 % Транспортировка 46 % Сельское и лесное хозяйство, рыболовство 44 % Фармацевтика 36 % Горнодобыча 70 % Финансовые услуги 70 % Телекоммуникации 67 % Здравоохранение 65 % Правительство 64 % Коммунальные услуги и энергетика 63 % Другие отрасли Сертификация пройдена 63 %31 % 7 % Значительный рост привлечения сторонних компаний для проведения проверок и реагирования на инциденты. Услуги сторонних поставщиков считаются более выгодными. Как и в прошлом году, половина компаний (52 %) пользуются стандартизированными политиками безопасности, такими как ISO 27001. Из них абсолютное большинство компаний либо прошли, либо уже проходят сертификацию. Использование стандартизированных политик безопасности Организация использует стандартизированную политику информационной безопасности (2015 г.; n=1265) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 75. Рекомендации и консультации по-прежнему являются самыми распространенными услугами обеспечения безопасности для аутсорсинга. Figure X. Company view of outsourcing: Large Enterprises are significantly more likely to outsource audits and advice and consulting 10 %40 %44 %56 %55 % 11 %42 %46 %54 % 14 %46 %45 %49 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Консалтинг Аудит Мониторинг Реагирование на инциденты Аналитика угроз Восстановление Нет/все внутри организации 44 % 42 % 41 % 42 % 36 % 36 % 37 % 36 % Какие услуги обеспечения безопасности выполняются сторонними организациями? Средний бизнес Предприятия Крупные предприятия (n=924) (n=319) (n=1189) Рис. 76. Точка зрения организации на аутсорсинг: крупные предприятия гораздо чаще применяют аутсорсинг для аудита, рекомендаций и консультаций.
  • 73. 73 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 77. Точка зрения страны на аутсорсинг: Япония значительно чаще применяет аутсорсинг для рекомендаций и консультаций. Figure 77. Country View of Outsourcing: Japan Is Significantly More Likely to Outsource Advice and Consulting Какие услуги обеспечения безопасности выполняются сторонними организациями? 52% 52% 50% 48% 46% 42% 34% 18% 47% 44% 42% 39% 36% 12% ВСЕГО Данные 51% 55% 49% 39% 40% 32% 9% 49% 38% 32% 32% 37% 38% 18% 51% 48% 39% 38% 46% 34% 13% 44% 50% 41% 43% 36% 31% 19% 54% 36% 52% 53% 16% 47% 4% 52% 33% 31% 34% 36% 37% 19% 54% 51% 51% 49% 48% 41% 12% 58% 63% 49% 45% 44% 21% 3% 41% 40% 37% 27% 42% 41% 16% 55% 59% 50% 54% 39% 41% 4% 64% 41% 51% 53% 47% 40% 10% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Консалтинг Аудит Мониторинг Реагирование на инциденты Источник аналитики угроз Восстановление Нет/все внутри организации Бразилия Германия Италия Великоб- ритания Австралия Китай Индия Мексика Россия ФранцияЯпония Рис. 78. Локальное размещение сетевых инфраструктур все еще наиболее популярно, однако доля сетей, размещенных у сторонних поставщиков, возросла с прошлого года Source: Cisco 2015 Security Capabilities Benchmark Study Figure X. On-premise hosting of the organization’s networks is still the most common; however, off-premise hosting has increased since last year Where Networks Are Hosted On–Premises Off–Premises 20152014 (n=1727) (n=2417) 50% With Private Cloud 51% 54% All On–Premises 48% 23% Third–Party Managed 24% 18% Private Cloud 20% 8% Public Cloud 10%
  • 74. 74 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Нарушение общественной безопасности В 2015 г. меньше организаций сообщили о расследовании нарушений общественной безопасности. Нарушения безопасности служат мощным стимулом для улучшений информационной безопасности. Figure X. Fewer organizations in 2015 report having had to manage public scrutiny of security breaches, compared to 2014 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности Рис. 79. В 2015 г. число организаций, сообщивших о расследовании нарушений общественной безопасности, снизилось. Директора по безопасности чаще упоминают улучшения после нарушения безопасности, чем рядовые сотрудники отдела безопасности. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Насколько нарушение повлияло на улучшение политик, процедур и технологий защиты от угроз безопасности? (n = 1134) 10%1% 42% 47% Has Your Organization Ever Had to Manage Public Scrutiny of a Security Breach? Совсем нет Незначительно В средней степени В значительной степени Figure 80. Public Breaches Can Improve Security
  • 75. 75 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Лидерство и развитие Figure X. 5-segment model tracks closely to Security Capability Maturity Model (CMM) Сегменты отражают шаблон, аналогичный прошлогоднему исследованию с точки зрения приоритета информационной безопасности и реализации процессов и процедур. 60 %или больше профилей соответствуют требованиям надежного уровня информационной безопасности. Это утверждение верно для большинства стран и отраслей. 2014 r. (n=1637) 2015 r. (n=2401) Низкий Выше среднего ВысокийНиже среднего Средний Размеры сегментов 28 %2 % 9 % 36 %25 % 26 %4 % 8 % 39 %23 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Рис. 81. 5-сегментная модель демонстрирует показатели наравне с моделью CMM. Figure X. As in 2014, nearly all agree or strongly agree that executive leadership considers security a high priority С утверждением «Руководители моей организации определили четкие показатели для оценки эффективности нашей программы информационной безопасности» полностью согласно значительно большее число респондентов из фармацевтической отрасли, нежели из других отраслей. Роли и обязанности внутри группы информационной безопасности разъяснены руководителям организации. Оценки рисков кибербезопасности регулярно проводятся в рамках общего процесса оценки рисков. Руководство моей организации определило четкие показатели для оценки эффективности нашей программы информационной безопасности. Высшее руководство моей организации считает, что вопросы информационной безопасности имеют высокий приоритет. 93 532 6 40 2014 n=1738 94 531 5 41 2015 n=2432 93 572 4 36 2014 n=1738 95 551 4 40 2015 n=2432 94 582 5 35 2014 n=1738 95 581 4 36 2015 n=2432 94 632 4 32 2014 n=1738 94 611 4 35 2015 n=2432 Политики безопасности Совершенно неверно Совершенно верноНеверно Верно Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше директоров по безопасности согласны со всеми утверждениями о вовлечении руководителей, чем сотрудники отдела безопасности. Рис. 82. Как и в 2014 г., почти все респонденты согласны или полностью согласны с тем, что руководители компаний отдают информационной безопасности высокий приоритет.
  • 76. 76 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Процессы Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Figure X. Lower Confidence in Ability to Build Security into Systems В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Рис. 83. Неоднозначные показатели уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы.
  • 77. 77 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 83. Неоднозначные показатели уверенности относительно эффективности внедрения средств обеспечения информационной безопасности в системы (продолжение). Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 Figure X. Lower Confidence in Ability to Build Security into Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. В организации проведена инвентаризация и классификация информационных активов. 93 542 6 39 95 531 5 42 2015 n=2432 2014 n=1738 Мы отлично управляем информационной безопасностью кадровых подразделений. 93 532 5 40 95 511 5 44 2015 n=2432 2014 n=1738 Проведена работа по внедрению элементов защиты в процедуры приобретения, разработки и сопровождения систем. 94 562 4 38 97 561 2 41 2015 n=2432 2014 n=1738 В организации ведется работа по созданию встроенных механизмов информационной безопасности в системах и приложениях. 93 582 5 35 96 541 4 42 2015 n=2432 2014 n=1738 В организации налажено эффективное управление техническими инструментами информационной безопасности систем и сетевых инфраструктур. 95 602 3 35 95 570 4 38 2015 n=2432 2014 n=1738 Компьютерное оборудование моей организации надежно защищено. 93 572 4 36 96 561 4 40 2015 n=2432 2014 n=1738 Мы проводим регулярные проверки методов и инструментов защиты, чтобы обеспечить их актуальность и эффективность. 94 592 5 35 97 601 3 37 2015 n=2432 2014 n=1738 Права доступа к сетевым ифраструктурам, системам, приложениям, функциям и данным контролируются должным образом. 94 612 4 33 97 591 3 38 2015 n=2432 2014 n=1738 Совершенно неверно Совершенно верноНеверно ВерноПолитики безопасности Fewer in 2015 Strongly Agree that They Do a Good Job Building Security Into Systems and Applications Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 492 8 41 2014 r. Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls Рис. 84. Предприятия уверены в эффективности своих средств управления информационной безопасностью.
  • 78. 78 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 За исключением утверждения «Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области», директора по информационной безопасности более позитивно относятся к новым атрибутам средств обеспечения информационной безопасности, чем менеджеры отдела информационной безопасности. Респонденты, представляющие отрасль финансовых услуг, чаще всего полностью согласны с утверждением «Наша система позволяет классифицировать информацию об инцидентах», чем профессионалы в других отраслях. Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. Figure X. Enterprises Believe They Have Good Security Controls Мы ведем подробную документацию по процедурам отслеживания инцидентов и реагирования на них. Совершенно неверно Совершенно верноНеверно Верно 93 562 5 37 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Наши системы позволяют убедиться в том, что нарушение системы информационной безопасности действительно произошло. 92 541 6 38 95 541 5 41 2015 r. n=2432 2014 r. n=1738 Мы уведомляем акционеров об инцидентах и сотрудничаем с ними в этой области. 94 512 5 43 95 531 4 42 2015 r. n=2432 2014 r. n=1738 Наша система позволяет классифицировать информацию об инцидентах. 94 542 5 40 96 531 4 43 2015 r. n=2432 2014 r. n=1738 Мы используем эффективные процедуры интерпретации и определения приоритетов для поступающих отчетов по инцидентам и получения выводов на их основе. 93 512 5 42 95 521 5 43 2015 r. n=2432 2014 r. n=1738 Мы применяем стандартные методики реагирования на инциденты, например RFC2350, ISO/IEC 27035:2011 или методы, сертифицированные в США. 90 492 8 41 93 491 6 44 2015 r. n=2432 2014 r. n=1738 Средства управления информационной безопасностью Most Say They are Comfortable With Their Security Controls Рис. 84. Предприятия уверены в эффективности своих средств управления информационной безопасностью (продолжение). Рис. 85. Помещение вредоносных приложений в карантин или их удаление, а также анализ основных причин по-прежнему являются основными используемыми процессами. Figure X. Quarantine/removal of malicious applications and root cause analysis continue to be the top processes used Процедуры устранения причины инцидентов 97 % 94 % Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше респондентов в США выбрали ответ «Ничего из вышеперечисленного» на вопрос о процессах для устранения причины инцидента информационной безопасности по сравнению с респондентами в большинстве других стран. 52% 48%Дополнительный мониторинг 58% 55% Помещение в карантин или удаление вредоносного приложения 53% 53% Блокирование коммуникаций вредоносного программного обеспечения 55% 55%Анализ основных причин 45% 41%Reimage System to Previous State 48% 47% Блокирование коммуникаций взломанного приложения 47% 40%Long-Term Fix Development 2% 1%Ничего из вышеперечисленного 20152014 (n=1738) (n=2432) 51% 47%Обновление политик США Инциденты информационной безопасности
  • 79. 79 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Figure X. Enterprises Lack Confidence in Ability to Contain Compromises У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПрактическое применение систем информационной безопасности However, Companies Continue to Lack Confidence in Their Abilities to Scope and Contain CompromisesРис. 86. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности.
  • 80. 80 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 86. Предприятия по-разному оценивают свою эффективность в борьбе с нарушениями безопасности (продолжение). Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 r. У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Figure X. Enterprises Lack Confidence in Ability to Contain Compromises У нас есть инструменты для проверки и предоставления отзывов о возможностях наших методов информационной безопасности. 93 531 5 40 96 521 4 44 2015 r. n=2432 2014 r. n=1738 Уровень интеграции наших технологий обеспечения безопасности позволяет им осуществлять эффективную совместную работу. 94 562 5 38 95 521 4 43 2015 r. n=2432 2014 r. n=1738 Определение масштаба нарушения, его ограничение и устранение не вызывает трудностей. 89 462 9 43 91 451 8 46 2015 r. n=2432 2014 r. n=1738 Наши возможности обнаружения и блокирования угроз поддерживаются в актуальном состоянии. 94 571 5 37 96 561 3 40 2015 r. n=2432 2014 r. n=1738 Технологии информационной безопасности согласуются с задачами и возможностями нашей организации. 94 582 5 36 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Мы регулярно и систематически анализируем инциденты. 93 552 5 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 В случае необходимости мы можем усилить контроль информационной безопасности ценных активов. 94 541 5 40 97 561 3 41 2015 r. n=2432 2014 r. n=1738 Мы регулярно проверяем активность подключений к сети, контролируя надлежащую работу механизмов информационной безопасности. 94 582 4 36 96 571 3 39 2015 r. n=2432 2014 r. n=1738 На протяжении долгого времени мы регулярно проверяем и совершенствуем методы информационной безопасности, соблюдая все формальные правила. 94 561 4 38 96 561 4 40 2015 r. n=2432 2014 r. n=1738 Совершенно неверно Совершенно верноНеверно ВерноПрактическое применение систем информационной безопасности However, Companies Continue to Lack Confidence in Their Abilities to Scope and Contain Compromises Рис. 87. Анализ журналов межсетевого экрана и системы остается наиболее часто используемым процессом для анализа зараженных систем. Средний бизнес Figure X. Firewall logs and system log analysis continue to be the most commonly used processes to analyze compromised systems Анализ системного журнала 53% 57%Журнал межсетевого экрана Анализ сетевого потока 49% Анализ вредоносного ПО или сравнение файлов с исходным состоянием 48% Анализ реестра 47% Анализ с полным захватом пакетов 38% Анализ связанных событий или журналов 37% Техническая экспертиза жестких дисков 36% Техническая экспертиза памяти 34% Обнаружение IOC 35% Внешнее реагирование на инциденты и их анализ 33% Ничего из вышеперечисленного 1% 59% 61% 53% 55% 50% 47% 42% 40% 41% 38% 37% 2% Processes to Analyze Compromised Systems Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Организации и крупные предприятия сообщают об использовании большего числа процессов для анализа взломанных систем, чем рынок решений для среднего бизнеса. 2014 2015(n=1738) (n=2432) Организации и крупные предприятия
  • 81. 81 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 88. Восстановление из резервной копии, созданной до возникновения инцидентов, является наиболее распространенной процедурой восстановления зараженных систем в 2015 г. Figure X. Restoring from a pre-incident backup is the most common process to restore affected systems in 2015 57 % 59 % 60 % 56 % 60 % 55 % 56 % 51 % 35 % 35 % 2 % 1 % Процессы восстановления затронутых систем 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Респонденты в Китае указали, что они исправляют и обновляют приложения, считающиеся уязвимыми, чаще, чем респонденты в других странах. Реагирование на инцидент путем внедрения дополнительных или новых средств обнаружения и контроля на основе обнаруженных уязвимостей Установка исправлений и обновлений для уязвимых приложений Дифференциальное восстановление (удалении изменений, вызванных инцидентом) Восстановление из резервной копии, созданной до инцидента Восстановление из мастер-образа Ничего из вышеперечисленного 2014 2015r. (n=1738) r. (n=2432) Китай Управление исправлениями Figure X. The CEO or president is most likely to be notified of security incidents, followed by operations and the finance department Operations 46% 40% 45%Генеральный директор Н/Д (недоступно) Н/Д (недоступно) Н/Д (недоступно) Финансовый отдел 40% Технологические партнеры 45% 34% Инжиниринг 38% 33% Управление кадрами 36% 33% Юриспруденция 36% 32% Промышленное производство 33% 28% Связь с общественностью 28% 24% Все сотрудники 35% 27% Деловые партнеры 32% 21% Внешние учреждения 22% 18% 15%Страховые компании Группы, уведомляемые в случае инцидента 97% 94% Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Значительно больше респондентов из крупных предприятий упомянули об оповещении внешних органов в случае инцидента, чем респонденты из сегмента среднего и малого бизнеса. 2014 2015r. (n=1738) r. (n=2432) Крупное предприятие ! Рис. 89. Генеральный директор или президент в большинстве случаев будет уведомлен об угрозах безопасности, после чего оповещаются операционный и финансовый отдел.
  • 82. 82 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Обучение Figure X. Nearly all companies (97%) deliver security training at least once a year 83 % «Нет»96 % «Да», Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Проводится ли регулярное информирование и/или обучение сотрудников отделов информационной безопасности? (Респонденты, специалисты по информационной безопасности) Как часто проводится обучение по информационной безопасности? (Респонденты, в чьих отделах информационной безопасности проводится обучение) Число компаний, которые проводят обучение по информационной безопасности после нарушения (96 %), больше числа компаний, в которых нарушений обнаружено не было (83 %). 89 % Предприятие 93 % предприятие Крупное 88 % Средний бизнес Больше крупных предприятий сообщают, что регулярно проводят обучающие программы по информационной безопасности (93 %), чем средних компаний (88 %) и предприятий (89 %). 2014 (n=1726) 2015 (n=2402) 89 % Да 11 % Нет 90 % Да 10 % Нет 2015 (n=2147) Больше 2 раз в год (Нет данных за 2014 г.) ≥1 раз в год≤1 раз / 2 года<1 раз / 2 года Н/Д (недоступно) Н/Д (недоступно) 3 % 39 % 58 % 97 % 2014 (n=1560) 1 % 17 % 82 % Рис. 90. Практически все организации (97 %) проводят обучение информационной безопасности для своих сотрудников по крайней мере раз в год. В 2015 г. меньше организаций сообщили о расследовании нарушений общественной безопасности. Нарушения безопасности служат мощным стимулом для улучшений информационной безопасности. Figure X. Fewer organizations in 2015 report having had to manage public scrutiny of security breaches, compared to 2014 43% Увеличение инвестиций в технологии и решения информационной безопасности Расширение обучения по информационной безопасности для сотрудников 42% Создание официального набора политик и процедур безопасности 41% Улучшение применения законов и правил безопасности данных 40% 40% (5 наиболее частых упоминаний) Респонденты, которые наблюдали нарушение безопасности (2015, n = 1109) В 2015 г. 41 % респондентов заявили, что создали официальный набор политик и процедур информационной безопасности. 41% 43% В 2015 году 43 процента респондентов сообщили, что после нарушения безопасности общедоступных баз данных они ввели дополнительное обучение своих сотрудников информационной безопасности. 48%53% или 2015 —2014 — Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г. Усиление обучения по информационной безопасности для сотрудников Увеличение инвестиций в обучение сотрудников в сфере информационной безопасности Рис. 91. Частота проведения обучения безопасности и охват формальных политик безопасности увеличились с 2014 г.
  • 83. 83 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Рис. 92. Как и в 2014, почти 9 из 10 опрошенных сообщили, что специалисты по информационной безопасности посещают специализированные тематические конференции или обучающие курсы. Figure X. As in 2014, nearly 9 in 10 say their security staff attend security-focused conferences or training Участвуют ли сотрудники отделов информационной безопасности в конференциях и/или проходят ли внешнее обучение с целью поддержки и совершенствования своих навыков? (Респонденты, специалисты по информационной безопасности) Являются ли специалисты по информационной безопасности членами отраслевых организаций или комиссий? (Респонденты, специалисты по информационной безопасности) 2014 2015(n=1738) (n=2432) 89 % Да 89 % Да 64 % Да 36 % 11 % 11 % 35 % 65 % Да 2014 2015(n=1738) (n=2432) Источник: сравнительное исследование возможностей систем информационной безопасности Cisco, 2015 г.
  • 84. 84 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Исследование рисков безопасности и степени надежности Figure X. Background & Methodology Методика: количественный и качественный подход Research Background and Objectives Источник: исследование степени риска и надежности систем безопасности, Cisco Cisco заинтересована в более глубоком понимании того, как лица, ответственные за ИТ-решения на предприятиях и у поставщиков услуг, воспринимают риски и задачи безопасности, а также роль, которую благонадежность ИТ-поставщика играет при покупке ИТ-решений. Среди целей: Для анализа каждой из этих целей исследования использовались две методики: (все респонденты, участвующие в процессе принятия ИТ-решений) Исследование было проведено в США, Великобритании, Франции, Германии, и Канаде (только лица, ответственные за принятие ИТ-решений) Качественные углубленные собеседования среди (7 США, 3 Канада, 3 Великобритания, 4 Германия, 3 Франция) 20 поставщиков услуг Количественный веб-опрос среди (402 США, 282 Великобритания, 197 Германия, 169 Франция) 1050 корпоративных лиц, ответственных за ИТ-решения Сбор данных осуществляется с августа до сентября 2015 г. 45Минутные подробные собеседования 20Минутный веб-опрос оценка уровня риска от внешних и внутренних угроз и уязвимостей; понимание стратегий, политик и решений, которые реализуются для устранения рисков безопасности; определение процесса покупки ИТ-решений и роли благонадежности ИТ-поставщиков в этом процессе; оценка заинтересованности в получении сообщений о том, как проверить благонадежность ИТ-поставщиков; определение различий в анализе рисков безопасности или подходах к их устранению для разных отраслей и аудиторий. Рис. 93. Общие сведения и методология
  • 85. 85 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Figure X. Enterprise Respondent Profile Quantitive Источник: исследование степени риска и надежности систем безопасности, Cisco Отрасль (более 5 %) 11 % Финансы 11 % Здравоохра- нение 10 % Производство, не связанное с компьютерами 10 % Розничная торговля 8 % Государствен- ный сектор 7 % Страхование 6 % Энергетика, нефтегазовая отрасль 5 % Инжиниринг 5 % Телекомму- никации 29 % Другое Должность Страна Размер компании Классификация информационной безопасности 6 %Старший инженер/архитектор 25 % 26 % Уровень руководства (Директор по ИТ, директор по безопасности, технический директор и т. д.) США 30 %Директор 9 %Вице-президент 2 %Юриспруденция Управление 3 %Инженер Участие в процессе покупки Исследование/оценка решений 69 % 69 % Определение концепции/стратегии Утверждение крупных покупок 71 % 77 % 77 % 80 % Обеспечение соответствия нормативным требованиям 53 %Утверждение финансирования/бюджета Внедрение/контроль решений Предоставление входных данных или принятие окончательных решений по бренду 38 % Великобритания 27 % Франция 16 % Германия 19 % 1000-2499 Безопасность, не связанная с ИТ 2500-4999 10,000 или более сотрудников 22 % 32 % 53 %47 % 30 % 16 % 5000-9999 Информационная безопасность Рис. 94. Количественный профиль корпоративного респондента
  • 86. 86 ПриложениеГодовой отчет Cisco по информационной безопасности за 2016 год Источник: исследование степени риска и надежности систем безопасности, Cisco Тип поставщика услуг Страна Размер компании Классификация информационной безопасности 4% 6% Мультимедийные сервисы 11% 11% Сервисы приложений США и Канада Мобильные телекоммуникации Технические услуги 3% Проводные телекоммуникации Должность Старший менеджер 7% Руководитель ИТ-отдела/технический директор/директор по безопасности 8%ИТ-директор 1% 1% 1% Вице-президент ИТ Управление 2% Старший инженер/архитектор Участие в процессе покупки Исследование/оценка решений Определение концепции/стратегии Утверждение крупных покупок Обеспечение соответствия нормативным требованиям Утверждение финансирования/бюджета Внедрение/контроль решений Принятие окончательных решений по бренду 10 Великобритания3 Франция3 4Германия 6 14 7 7 6 100-999 5000 или более сотрудников 1000-4900 Безопасность, не связанная с ИТ Информационная безопасность 80% 70% 95% 100% 75% 85% 60% Рис. 95. Профиль респондента поставщика услуг: качественный
  • 87. Россия, 115054, Москва, бизнес-центр «Риверсайд Тауэрс», Космодамианская наб., д. 52, стр. 1, 4 этаж Телефон: +7 (495) 961 1410, факс: +7 (495) 961 1469 www.cisco.ru, www.cisco.com Россия, 197198, Санкт-Петербург, бизнес-центр «Арена Холл», пр. Добролюбова, д. 16, лит. А, корп. 2 Телефон: +7 (812) 313 6230, факс: +7 (812) 313 6280 www.cisco.ru, www.cisco.com Украина, 03038, Киев, бизнес-центр «Горизонт Парк», ул. Николая Гринченко, 4В Телефон: +38 (044) 391 3600, факс: +38 (044) 391 3601 www.cisco.ua, www.cisco.com Беларусь, 220034, Минск, бизнес-центр «Виктория Плаза», ул. Платонова, д. 1Б, 3 п., 2 этаж. Телефон: +375 (17) 269 1691, факс: +375 (17) 269 1699 www.cisco.ru Казахстан, 050059, Алматы, бизнес-центр «Самал Тауэрс», ул. О. Жолдасбекова, 97, блок А2, 14 этаж Телефон: +7 (727) 244 2101, факс: +7 (727) 244 2102 Азербайджан, AZ1010, Баку, ул. Низами, 90А, Лэндмарк здание III, 3-й этаж Телефон: +994-12-437-48-20, факс: +994-12-437 4821 Узбекистан, 100000, Ташкент, бизнес центр INCONEL, ул. Пушкина, 75, офис 605 Телефон: +998-71-140-4460, факс: +998-71-140 4465 Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL: www.cisco.com/go/trademarks. Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1110R) Americas Headquarters Cisco Systems, Inc. San Jose, CA Asia Pacific Headquarters Cisco Systems (USA) Pte. Ltd. Singapore Europe Headquarters Cisco Systems International BV Amsterdam, The Netherlands Cisco has more than 200 offices worldwide. Addresses, phone numbers, and fax numbers are listed on the Cisco Website at www.cisco.com/go/offices. Cisco и логотип Cisco являются товарными знаками или зарегистрированными товарными знаками корпорации Cisco и/или ее дочерних компаний в США и других странах. Чтобы просмотреть список товарных знаков Cisco, перейдите по ссылке: www.cisco.com/go/trademarks. Товарные знаки сторонних организаций, упомянутые в настоящем документе, являются собственностью соответствующих владельцев. Использование слова «партнер» не подразумевает наличия партнерских взаимоотношений между Cisco и любой другой компанией. (1110R) Россия, 115054, Москва, бизнес-центр «Риверсайд Тауэрс», Космодамианская наб., д. 52, стр. 1, 4 этаж Телефон: +7 (495) 961 1410, факс: +7 (495) 961 1469 www.cisco.ru, www.cisco.com Россия, 197198, Санкт-Петербург, бизнес-центр «Арена Холл», пр. Добролюбова, д. 16, лит. А, корп. 2 Телефон: +7 (812) 313 6230, факс: +7 (812) 313 6280 www.cisco.ru, www.cisco.com Украина, 03038, Киев, бизнес-центр «Горизонт Парк», ул. Николая Гринченко, 4В Телефон: +38 (044) 391 3600, факс: +38 (044) 391 3601 www.cisco.ua, www.cisco.com Беларусь, 220034, Минск, бизнес-центр «Виктория Плаза», ул. Платонова, д. 1Б, 3 п., 2 этаж. Телефон: +375 (17) 269 1691, факс: +375 (17) 269 1699 www.cisco.ru Казахстан, 050059, Алматы, бизнес-центр «Самал Тауэрс», ул. О. Жолдасбекова, 97, блок А2, 14 этаж Телефон: +7 (727) 244 2101, факс: +7 (727) 244 2102 Азербайджан, AZ1010, Баку, ул. Низами, 90А, Лэндмарк здание III, 3-й этаж Телефон: +994-12-437-48-20, факс: +994-12-437 4821 Узбекистан, 100000, Ташкент, бизнес центр INCONEL, ул. Пушкина, 75, офис 605 Телефон: +998-71-140-4460, факс: +998-71-140 4465 Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL: www.cisco.com/go/trademarks. Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1110R) Americas Headquarters Cisco Systems, Inc. San Jose, CA Asia Pacific Headquarters Cisco Systems (USA) Pte. Ltd. Singapore Europe Headquarters Cisco Systems International BV Amsterdam, The Netherlands Cisco has more than 200 offices worldwide. Addresses, phone numbers, and fax numbers are listed on the Cisco Website at www.cisco.com/go/offices. Cisco и логотип Cisco являются товарными знаками или зарегистрированными товарными знаками корпорации Cisco и/или ее дочерних компаний в США и других странах. Чтобы просмотреть список товарных знаков Cisco, перейдите по ссылке: www.cisco.com/go/trademarks. Товарные знаки сторонних организаций, упомянутые в настоящем документе, являются собственностью соответствующих владельцев. Использование слова «партнер» не подразумевает наличия партнерских взаимоотношений между Cisco и любой другой компанией. (1110R) Adobe Acrobat и Flash являются зарегистрированными товарными знаками или товарными знаками Adobe Systems в США и/или других странах. © Cisco и/или ее дочерние компании, 2016. Все права защищены. Опубликовано в январе 2016 г.