Расширение области атак позволяет злоумышленникам использовать известные уязвимости <мишеней> с низким уровнем риска, а также устаревших приложений и инфраструктур, которым специалисты в области ИБ уделяют мало внимания
Полугодовой отчет Cisco по информационной безопасности за 2014 год, обнародованный в США на конференции Black Hat, содержит анализ <слабых звеньев> информационных систем. Такие <слабые звенья> (ими могут быть устаревшее ПО, плохо написанный код, ошибки пользователей или оставленные без внимания информационные активы) облегчают злоумышленникам использование уязвимостей, например, с помощью запросов DNS, наборов эксплойтов, усиленных атак, компрометации POS-систем, вредоносной рекламы, программ-вымогателей, протоколов шифрования, социальной инженерии и спама, адаптированного к реальным событиям.
В отчете показано, что организации, уделяющие внимание только наиболее популярным уязвимостям в ущерб высококритичным, привычным и скрытым угрозам, подвергают себя большему риску. Злоумышленники, раз за разом атакующие оставленные без внимания устаревшие приложения и инфраструктуры с известными уязвимостями, могут так и не быть обнаружены, поскольку специалисты в области ИБ заняты более заметными уязвимостями, такими как Heartbleed.
По словам Джона Н. Стюарта (John N. Stewart), старшего вице-президента и директора компании Cisco по информационной безопасности, <многие компании в своем развитии полагаются на Интернет. Чтобы преуспеть в этой стремительно меняющейся среде, исполнительное руководство должно учитывать и брать, в организационном смысле, под контроль сопутствующие киберриски. Анализ и понимание уязвимостей системы информационной безопасности в значительной мере основаны на способности отдельных организаций и всей отрасли добиться осведомленности о киберрисках на самых высоких уровнях, в том числе в советах директоров, и сделать кибербезопасность не просто технологией, а частью деятельности организации. Сегодня, чтобы уметь противостоять атаке в течение всего ее жизненного цикла, организации должны использовать решения для информационной безопасности, способные действовать везде, где угрозы могут обнаружиться>.
Составители отчета внимательно изучили корпоративные сети 16-ти крупных международных организаций. По состоянию на 2013 год, в совокупности они контролировали активы на 4 трлн долларов, а их выручка превысила 300 млрд долларов. В результате анализа были обнаружены три потенциальных источника вредоносного трафика в корпоративных сетях:
∙атаки типа <человек в браузере>. При наблюдении за сетями клиентов в 2014 году почти в 94% сетей был зафиксирован трафик на веб-сайты, содержащие вредоносный код. В частности, от сетей отправлялись DNS-запросы с именами хостов, которые преобразовывались в IP-адреса машин, известных тем, что они были связаны с распространением вредоносного ПО из семейств Palevo, SpyEye и Zeus, включающими в себя функциональные возможности для атак типа <человек в браузере>.
∙Ботнет, играющий в прятки. Было установлено, что почти 70 процентов сетей отправляют DNS-запросы к динамическим доменам DNS. Это указывает на то, что сети эксплуатируются или скомпрометированы ботнетами, постоянно меняющими свои IP-адреса с помощью динамического DNS во избежание обнаружения или попадания в черный список. Санкционированные исходящие соединения из корпоративной сети редко обращаются к динамическим доменам DNS. Чаще динамический DNS используется в обратных запросах на сервер, управляющий ботнетом, чтобы замаскировать расположение ботнета.
∙Шифрование украденных данных. Примерно в 44% сетей, за которыми осуществлялось наблюдение в текущем году, зафиксированы исходящие DNS-запросы к сайтам и доменам с устройствами, предоставляющими услуги шифрования каналов, которыми пользуются для заметания следов злоумышленники, передавая украденные данные по зашифрованным каналам (таким, как VPN, SSH, SFTP, FTP и FTPS).
По заключению исследователей Cisco в области ИБ, после того, как в прошлом году был арестован предполагаемый создатель широко известного набора эксплойтов Blackhole, количество наборов эксплойтов снизилось на 87%. Несколько наборов эксплойтов, попавших под наблюдение в первой половине текущего года, попытались занять место Blackhole, но явный лидер в этой области пока не определился.
Java удерживает печально известную славу языка с наибольшим количеством уязвимостей, эксплуатируемых злоумышленниками. Исследователи Cisco в области ИБ обнаружили, что если в ноябре 2013 года эксплойты Java составляли 91% всех индикаторов компрометации (и тогда это казалось рекордным показателем), то к маю 2014 года этот показатель достиг 93%. (Этот факт отражен в выпущенном в январе с.г. ежегодном отчете Cisco по информационной безопасности .
Необычные всплески атак на вертикальные отрасли. По итогам первой половины 2014 года, такие высокорентабельные отрасли, как фармацевтическая и химическая промышленность, вновь оказалась в тройке вертикальных рынков, сильнее всего подверженных веб-атакам с использованием вредоносного кода. Далее следуют СМИ и издательское дело -- у них случаи столкновения с вредоносным веб-кодом превысили глобальное медианное значение практически вчетверо. На третьем месте - авиация с превышением глобального медианного значения более чем вдвое.
Распределение по регионам вертикальных рынков, наиболее часто подвергаемых атакам, выглядит так:
∙в Северной и Южной Америках на первом месте -- СМИ и издательское дело;
∙в регионе EMEAR (Африка, Европа, Ближний Восток и страны СНГ) - рынок продуктов питания и напитков;
∙в регионе APJC (Азиатско-Тихоокеанский регион, Китай, Япония и Индия) - рынок страхования.
В вышеупомянутом отчете Cisco по информационной безопасности рассматриваются тенденции первой половины 2014 года в области анализа угроз и кибербезопасности. Отчет подготовлен исследователями в области ИБ - участниками интеллектуальной экосистемы Cisco коллективной информационной безопасности (Cisco CSI). Cisco CSI объединяет множество различных решений в области ИБ и предлагает ведущие отраслевые защитные меры и ресурсы. Помимо исследователей угроз, в Cisco CSI задействованы интеллектуальная инфраструктура, телеметрические механизмы получения информации о продуктах и услугах, публичные и частные информационные ленты, а также сообщество разработчиков открытого ПО.
Экосистема Cisco CSI включает в себя вновь созданное подразделение Talos по исследованию и анализу угроз (Talos Threat Intelligence and Research Group), в состав которого вошли:
- отделы Cisco по исследованию и информированию об угрозах (Threat Research and Communications, TRAC),
- отделы Sourcefire по исследованию уязвимостей (Vulnerability Research Team, VRT),
- отделы Cisco по безопасности приложений (SecApps).
В компетенцию подразделения Talos входит разработка ПО, реверс-инжиниринг, классификация уязвимостей, исследование вредоносного кода и сбор аналитических данных, а само это подразделение поддерживает официальные наборы правил Snort.org, ClamAV, SenderBase.org и SpamCop.
