Cover_01 5 9/6/19 5:35 PM Page Cov1

www.itsec.ru№ 4, август 2019Издание компании

Спецраздел

БИОМЕТРИЯ

ВзАимодЕйстВиЕс ГоссоПКА:ВоПросы и отВЕты
ПроблЕмы биомЕтричЕсКой
идЕнтифиКАции В отКрытых
систЕмАхКАК улучшить рЕАГироВАниЕнА инцидЕнтыВ рАсПрЕдЕлЕнной сЕтиПросто о сложном –КАК ПроВЕсти Аудит

Евгений АкимовО КИИ, КИбербезОпаснОстИИ ИмпОртОзамещенИИ в ИбОпыт "КОнцерна "КалашнИКОв"TB_Forum 9/5/19 3:00 PM Page cov2

2020Реклама

11–13

Preview 9/6/19 3:52 PM Page 1

PREVIEW

www.itsec.ruЗащита КИИ: управленческая и инженерная практика

Андрей Мирошкин,Защита КИИ является приоритетной задачей для большинства крупных компаний. Мы в компании
"Гротек" получили большое количество запросов на организацию мероприятий по практическим
вопросам и обмену опытом, без утомительных докладов и рекламных презентаций.
К этому моменту, когда вы держите в руках свежий номер журнала, первое мероприятие из серииуже прошло в Москве.
Инициативу проведения выдвинули и поддержали представители компаний "Норникель", "РУСАЛ",НЛМК, "Татнефть", "Газпромбанк", НТЦ "Заря", Научно-технического центра по ядерной и радиационной
безопасности. К ним присоединились представители ведущих компаний-поставщиков.
Мероприятие было поддержано ФСТЭК России и прошло в формате дискуссий, обсуждения практических задач и способов их решения.
А впереди вас и нас ждет еще ряд мероприятий на тему защиты КИИ.

генеральный
директор
компании “Гротек”Что вы сможете обсудить и узнать?

l Реальные вопросы и требования, применяемые регуляторами к субъектам КИИ.
l Реальные кейсы субъектов КИИ. Методы и конкретные решения по реализации именно этих кейсов.
l Эффективные решения, предлагаемые производителями для субъектов КИИ, которые направленына решение их задач и одобрены регуляторами рынка.

Что вы получите по итогам?

l Обсуждение ваших практических вопросов.
l Обмен опытом с коллегами.
l Консультации с поставщиками.
l Комментарии регуляторов.

Формат мероприятияl Разбор конкретных кейсов субъектов КИИ.
l Разбор решений производителей для субъектов КИИ.
В компании "Гротек" за три года отработан уникальный формат мозговых штурмов и дискуссионных
сессий, созданный специально для встреч с крупными корпоративными потребителями. Это делает
встречи максимально близкими к повестке дня корпоративных заказчиков, обеспечивая высокую
интенсивность и открытость общения, готовность к диалогу, активную вовлеченность участников
самого высокого уровня.
Чтобы принять участие в мероприятиях на тему защиты КИИ, зайдите на www.itsec.ru/summit-kii
и оформите участие.
И, конечно же, приглашаю вас к продолжению обмена мнениями и опытом на форуме сайта
www.itsec.ru и в журнале Information Security.

Внедряйте системы защиты информации, повышайте культуру кибербезопасности
своих сотрудников, и ваш бизнес будет неприступной крепостью для хакеров.

• 1

Contents 9/6/19 3:52 PM Page 2СОДЕРЖАНИЕВ ФОКУСЕ
Константин Саматов
Проблемные вопросы взаимодействия с ГосСОПКА . . . . . . . . . . . .4
стр.

Бизнес в ответе за киберугрозы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7

8ПЕРСОНЫ
Евгений Акимов
Дырку в безопасности "не заклеишь" пачкой денег . . . . . . . . . . . .8

Ксения Трохимец
Уникальная система антифрода. Опыт hh.ru . . . . . . . . . . . . . . . . . .12

стр.

4

ЦИФРОВАЯ ТРАНСФОРМАЦИЯ
Евгений КолесниковКак технологии искусственного интеллекта
трансформируют бизнес . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .16

УПРАВЛЕНИЕ
стр.

Александр Луганцев

12Просто о сложном, или Как провести аудит . . . . . . . . . . . . . . . . . . .18

ТЕХНОЛОГИИ
Сергей КуцЗащита организации с распределенной сетьюне признает мелочей и километров . . . . . . . . . . . . . . . . . . . . . . . . . .22

стр.

Илья Сафронов
Дыра в SOP: баг или фича? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .25
2 •30

Contents 9/6/19 3:52 PM Page 3СОДЕРЖАНИЕ
ЗАЩИТА СЕТЕЙ
Михаил КондрашинКак серверы ElasticSearchиспользуют для организации DDoS-атак . . . . . . . . . . . . . . . . . . . . . .26

Журнал "Information
Security/Информационная
безопасность" № 4, 2019Издание зарегистрированов Минпечати России
Свидетельство о регистрации
ПИ № 77-17607 от 9 марта 2004 г.
Учредитель и издатель
компания "Гротек"Генеральный директор ООО "Гротек"Андрей Мирошкин
Издатель
Владимир Вараксин

КОНТРОЛЬ ДОСТУПА
Алексей Лукацкий
Успех внедрения биометрии зависит от того,как выстроен процесс повышения осведомленности . . . . . . . . . .30

Ответственная за выпуск
Екатерина Данилина
Корректор
Галина Воронина
Дизайнер-верстальщик
Ольга Пирадова
Группа управления заказами
Татьяна Мягкова

Валерий Конявский

Юрисконсульт
Кирилл Сухов,lawyer@groteck.ruУдаленная идентификация/аутентификацияс использованием биометрии . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .32

Департамент продажи рекламы
Зинаида Горелова, Ольга Терехова
Фото на обложку
Ольга Лаврик

КРИПТОГРАФИЯ
Евгений Жуков, Александра Маркелова
Dual EC – криптографический стандарт с лазейкой . . . . . . . . . . . .36

Рекламная служба
Тел.: (495) 647-0442,
gorelova@groteck.ruОтпечатано в типографииИП Морозов, Москва, ул. Зорге, 15Тираж 10 000. Цена свободная
Оформление подписки
Тел.: (495) 647-0442, www.itsec.ruДЕТИ В КИБЕРПРОСТРАНСТВЕ
Оксана Селендеева
Киберсоветы для безопасности детей в Интернете . . . . . . . . . . . .44

Департамент по распространению
Тел.: (495) 647-0442,
Для почты 123007, Москва, а/я 82
E-mail groteck@groteck.ru
Web www.groteck.ru, www.itsec.ruПерепечатка допускается только посогласованию с редакциейи со ссылкой на издание

НОВЫЕ ПРОДУКТЫ И НЬЮСМЕЙКЕРЫ
Колонка эксперта . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21, 24
Новые продукты и услуги . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .47
Ньюсмейкеры . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .48

За достоверность рекламных публикацийи объявлений редакция ответственностине несет
Мнения авторов не всегда отражают
точку зрения редакции
© "Гротек", 2019• 3

samatov 9/6/19 3:52 PM Page 4

В ФОКУСЕ

Проблемные вопросы
взаимодействия с ГосСОПКА
Константин Саматов, руководитель направления в Аналитическом центре
Уральского центра систем безопасности, член Ассоциации руководителей служб
информационной безопасности, преподаватель дисциплин информационной
безопасности в УрГЭУ и УРТК им. А.С. Попова.

Врамках исполнения Федерального закона от 26.07.2017№ 187-ФЗ “О безопасности критической информационной
инфраструктуры Российской Федерации” субъектам
критической информационной инфраструктуры (далеепо тексту – КИИ) необходимо обеспечить взаимодействиес Государственной системой обнаружения, предупрежденияи ликвидации последствий компьютерных атак наинформационные ресурсы Российской Федерации (далее –ГосСОПКА). В рамках данной статьи автор рассказываето наиболее часто встречающихся в его практике проблемных
вопросах указанного взаимодействия и дает ответы на них.

Несколько слово ГосСОПКА

ГосСОПКА – единый
централизованный, территориально распределенный
комплекс, включающий
силы и средства обнаружения, предупреждения и ликвидации последствий компьютерных атак.
Силы обнаружения – подразделения и специально
выделенные сотрудники,а также Национальный
координационный центр покомпьютерным инцидентам,осуществляющий координацию сил обнаружения.
Средства – технологии,технические, программные,правовые и организационных средства субъектов
ГосСОПКА.

ГосСОПКА – единый централизованный, территориально
распределенный
комплекс,включающий силы и средства
обнаружения, предупрежденияи ликвидации последствий компьютерных атак.
Силы обнаружения – подразделения и специально выделенные сотрудники, а также
Национальный координационный центр по компьютерным
инцидентам (далее – НКЦКИ),осуществляющий координациюсил обнаружения.
Средства – технологии, технические, программные, правовые и организационных средства субъектов ГосСОПКА.
Субъекты ГосСОПКА1:l ФСБ России;l ФСТЭК России;l владельцы информационных
ресурсов Российской Федерации;l операторы связи;l иные организации, осуществляющие лицензируемую деятельность в области защиты
информации.
По сути, ГосСОПКА представляет собой совокупность
взаимосвязанных специализированных центров мониторингаи реагирования на инциденты
информационной безопасности,известных в международной
практике как CERT (Computer
Emergency Response Team) или
CSIRT (Computer Security Incident Response Team), либоSecurity Operation Center (SOC).
Данные центры организованыпо ведомственному и территориальному принципам и подразделяются на главный центр
ГосСОПКА,региональные
центры, территориальные центры, центры органов государственной власти и органов государственной власти субъектов
Российской Федерации (ведомственные центры), а также корпоративные центры (центры
владельцев информационных
ресурсов, операторов связии иных организации).
Основным назначением ГосСОПКА является обеспечение
защищенности информационных ресурсов Российской
Федерации от компьютерных
атак и штатного функционирования данных ресурсовв условиях возникновения
компьютерных инцидентов,вызванных компьютерными
атаками.
Взаимодействие субъектаКИИ с ГосСОПКА возможнов двух вариантах:l путем самостоятельного подключения к инфраструктуре
НКЦКИ;l через ведомственный (корпоративный) центр (сегмент)ГосСОПКА.
В рамках указанного взаимодействия, на практике, у субъектов КИИ могут возникать различные проблемные вопросы,рассмотрим их более подробно.

Проблемные вопросы
взаимодействияс ГосСОПКА
Обязательно ли подключениек технической инфраструктуре
НКЦКИ для обмена
информацией с ГосСОПКА?
Одним из первых проблемных
вопросов, стоящих перед субъектом КИИ, является вопрос обобязательности подключения ктехнической инфраструктуре
НКЦКИ для обмена информацией с ГосСОПКА. В явном
виде действующее законодательство не предусматривает
обязанности по подключению
субъекта КИИ к технической
инфраструктуре НКЦКИ.
Ч. 2 ст. 9 Федерального
закона от 26.07.2017 № 187-ФЗ"О безопасности критической
информационной инфраструктуры Российской Федерации"предусматривает лишь обязанность
субъекта
КИИинформировать о компьютерных инцидентах ФСБ России

1Концепция государственной системы обнаружения, предупреждения и ликвидации последствий
компьютерных атак на информационные ресурсы Российской Федерации (утв. президентом Российской
Федерации 12.02.2014 г. № К 1274).

4 •samatov 9/6/19 3:52 PM Page 5

www.itsec.ruВ ФОКУСЕ(по сути – НКЦКИ) и/или Центральный банк Российской
Федерации (в случае, еслисубъект КИИ осуществляет
деятельность в банковской
сфере и в иных сферах финансового рынка) в установленном ими порядке.
Порядок информирования
определен приказом ФСБ России от 19.06.2019 № 282 "Обутверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятиямер по ликвидации последствий компьютерных атак,проведенных в отношении
значимых объектов критической информационной инфраструктуры Российской Федерации" (далее – приказ ФСБРоссии № 282).
Согласно приказу ФСБ России № 282 информирование
осуществляется путем направления информации в НКЦКИв соответствии с определенными форматами представления
информации о компьютерных
инцидентах
вГосСОПКАс использованием технической
инфраструктуры НКЦКИ, предназначенной для отправки,получения, обработки и хранения уведомлений и запросовв рамках информационного
взаимодействия с субъектами
КИИ, а также с иными, неявляющимися субъектами КИИ,органами и организациями,в том числе иностраннымии международными.
В случае отсутствия подключения к данной технической
инфраструктуре информация
передается субъектом КИИпосредством почтовой, факсимильной или электронной связина адреса (телефонные номера)НКЦКИ, указанные на официальном сайте в информационно-телекоммуникационной сети"Интернет"поадресу:http://cert.gov.ru.
Таким образом, приказ ФСБРоссии № 282 делает акцентна необходимости использования технической инфраструктуры НКЦКИ при информировании и допускает в качестве "запасного варианта" альтернативные способы предоставления информации в ГосСОПКА.
Кроме того, для значимых
объектов КИИ субъекту необходимо создать и обеспечить
функционирование системы
2безопасности, одной из задач
которой является непрерывное
взаимодействие с ГосСОПКА
(п. 4 ч. 2 ст. 10 Федерального
закона от 26.07.2017 № 187-ФЗ"О безопасности критической
информационной инфраструктуры Российской Федерации").
Помимо нормативных требований, следует учитывать, чтообнаруживать и предотвращать компьютерные атаки,а также хранить, накапливать,защищать информацию обинцидентах и передавать еев ГосСОПКА целесообразнеес использованием технических
средств. Следует также отметить, что ГосСОПКА не только
собирает информацию, нои предоставляет актуальную
информацию об атаках наресурсы субъекта и другую
необходимую для обеспечения
безопасности объектов КИИинформацию, которую лучше
получать оперативно.

Все или только значимые?
Поскольку взаимодействие
субъекта КИИ с ГосСОПКА осуществляется в том числе вцелях исполнения обязанностипо информированию о компьютерных инцидентах, произошедших на объектах КИИ, то возникает вопрос: все объектыКИИ попадают под данное требование или только значимые?
Приказ ФСБ России № 282устанавливает срок, в который
субъект КИИ должен передать
информацию в ГосСОПКА (проинформировать НКЦКИ):l не позднее 3 часов с момента
обнаружения инцидента длясубъектов КИИ, владеющих
значимыми объектами;l не позднее 24 часов с момента обнаружения инцидента длясубъектов КИИ, владеющих
незначимыми объектами.
Таким образом, обязанностьпо передаче информации в ГосСОПКА распространяется навсех субъектов КИИ, независимо от вида принадлежащих имобъектов.

Как подключиться?
Если принято решение о передаче информации в ГосСОПКАс использованием технической
инфраструктуры НКЦКИ, то возникает вопрос о том, как подключиться.
Защищенное подключение
может быть осуществлено однимиз способов2, указанных ниже.

1. Субъект КИИ имеет и установил лицензионное программное обеспечение ViPNetClientсети 10976 с классом защиты
КС3. При выполнении этого
условия в НКЦКИ направляется
запрос с необходимой информацией для получения файлас настройками.
2. Субъект КИИ имеет лицензию на программное обеспечение или программно-аппаратный комплекс ViPNetCoordinatorс классом защиты КС3 ViPNetсети с номером 10976. После
установки ViPNetCoordinatorв НКЦКИ направляется запросс необходимой информациейдля получения файла с настройками.
3. Если у субъекта КИИ развернута своя ViPNet-сеть, оннаправляет запрос в НКЦКИна получение файла для установления межсетевого взаимодействия собственной ViPNetсети с ViPNet-сетью 10976(НКЦКИ).
При этом следует отметить,что субъекты КИИ, функционирующие в банковской сфереили иных сферах финансовых
рынков, имеют возможность
передавать информацию о компьютерных инцидентах через
техническую инфраструктуру
Банка России (FinCERT).
Технически взаимодействие
с FinCERT строится следующим
образом:l заключается соглашение овзаимодействии (оно типовое);l для взаимодействия организуется защищенное соединениес использованием сертифицированных средств криптографической защиты информации.
Предлагается три программных

Основным назначением
ГосСОПКА является обеспечение защищенности
информационных ресурсов
Российской Федерации откомпьютерных атак и штатного функционирования
данных ресурсов в условиях
возникновения компьютерных инцидентов, вызванных
компьютерными атаками.

Согласно приказу ФСБРоссии № 282 информирование осуществляется путем
направления информациив НКЦКИ в соответствиис определенными форматами представления информации о компьютерных инцидентах в ГосСОПКАс использованием технической инфраструктуры
НКЦКИ, предназначеннойдля отправки, получения,обработки и хранения уведомлений и запросов в рамках информационного взаимодействия с субъектами
КИИ, а также с иными, неявляющимися субъектами
КИИ, органами и организациями, в том числе иностранными и международными.

http://мис.екатеринбург.рф/file/0b8dc3db090dfe6509f1a25a07fd48e5• 5samatov 9/6/19 3:52 PM Page 6В ФОКУСЕВ соответствии с приказом ФСБ России № 282субъекты КИИ, функционирующие в банковской сфереи иных сферах финансового
рынка, обязаны информировать о компьютерных инцидентах на принадлежащихим объектах КИИ Центральный банк РФ и НКЦКИ. Приэтом, как было отмечено,FinCERTпредоставляет техническую возможность дляпередачи информациив ГосСОПКА.

продукта: Континент TLS, ViPNet
CSP, КриптоПРО CSP;l после заключения соглашения участнику настраивается
учетная запись – выдается
логин и пароль;l по логину и паролю участник
получает доступ в личный кабинет. Через этот же кабинет
можно осуществлять информирование FinCERTа, направлять
в FinCERT запросы, взаимодействовать с другими участниками, подключенными к FinCERT, передавать информациюв ГосСОПКА.
Передача информации вГосСОПКА
осуществляетсяс использованием форматов
передачи данных, утвержденных ФСБ России.
При этом следует учесть, чтов соответствии с приказом ФСБРоссии № 282 субъекты КИИ,функционирующие в банковской сфере и иных сферах
финансового рынка, обязаны
информировать о компьютерных инцидентах на принадлежащих им объектах КИИ Центральный банк РФ и НКЦКИ.
При этом, как было отмечено,FinCERTпредоставляет техническую возможность для передачи информации в ГосСОПКА.

Обязательная ли лицензияв области защиты информации
Следующим вопросом, который встает перед субъектом
КИИ, является обязательность
лицензий в области защиты
информации.
Для взаимодействия сГосСОПКА лицензии не требуются,оно осуществляется в рамках
исполнения
обязанностей,возложенных на субъекта КИИ
ст. 9 Федерального закона

6 •от 26.07.2017 № 187-ФЗ "О безопасности критической информационной инфраструктуры
Российской Федерации".
Если субъект КИИ намерен
создать корпоративный (ведомственный) центр ГосСОПКА длясобственных нужд (тольков рамках своего юридическоголица), никаких лицензий такжене требуются.
В рамках работы в холдинговых структурах или для предоставления коммерческих услуг
необходимы лицензии:l ФСТЭК России на оказание
услуг по мониторингу информационной
безопасности
средств и систем информатизации (является обязательной);l на право осуществления
работ, связанных с созданием
средств защиты информации,содержащей сведения, составляющие государственную тайну;l на осуществление деятельности по разработке, производству, распространению шифровальных (криптографических)средств,информационных
систем и телекоммуникационных систем, защищенныхс использованием шифровальных
(криптографических)средств, на выполнение работ,оказание услуг в области шифрования информации, техническое обслуживание шифровальных
(криптографических)средств,информационных
систем и телекоммуникационных систем, защищенныхс использованием шифровальных
(криптографических)средств;l лицензия ФСБ России наработу с государственной тайной, если нужен доступ к методическим документам ФСБ России по обнаружению, предотвращению и ликвидации
последствий
компьютерных
атак.

Обязательно ли для субъектаКИИ создавать корпоративный
центр ГосСОПКА?
Логично вытекающий из предыдущего ответа вопрос:а обязательно ли для субъектаКИИ создавать корпоративный
(ведомственный) центр ГосСОПКА? Законодательно такая
необходимость не определена.
Более того, на практике ужедостаточное количество субъектов КИИ осуществляют своевзаимодействие с ГосСОПКА
через коммерческие центры
мониторинга и реагирования наинциденты.

Преимущества аутсорсинга
услуг корпоративных (ведомственных) центров ГосСОПКА.
1. Снижение издержек:l стоимость услуг коммерческих центров мониторингаи реагирования на инцидентыИБ в десятки раз меньше, чемиздержки на создание собственного;l отсутствие затрат на разработку правил корреляции событий информационной безопасности;l отсутствие затрат на персонал.
2. Небольшой промежуток
времени, необходимый наорганизацию процесса мониторинга и реагирования наинциденты информационной
безопасности с высоким уровнем зрелости.
3. Возможность использования разностороннего опытаи компетенций, который имеется у коммерческих центров
мониторинга и реагированийна инциденты ввиду разностороннести решаемых ими задач
(проектов) и взаимодействияс отечественными и зарубежными CERT/CSIRT/SOC.
Однако, помимо преимуществ, аутсорсинг услуг центра
мониторинга и реагированияна инциденты имеет и недостатки. Основной недостатокв том, что ответственность
перед государством несет субъект КИИ, а не подрядчик, и этонеобходимо понимать. Другой
недостаток – это утрата компетенций в случае отказа отподрядчика, однако данный
недостаток не столь существенен, т.к. рынок данных услуг
высококонкурентен и выбор
имеется.
В заключение следует отметить, что в указанной статье
рассмотрены лишь наиболее
распространенные, исходя изпрактики автора, проблемные
вопросы, возникающие у субъектов КИИ в рамках организации
взаимодействия с ГосСОПКА.
Бесспорно, количество проблемных моментов, наблюдаемых в настоящее время ввиду
"свежести" нормативно-правовых актов, регулирующих данную сферу общественных отношений, гораздо больше, чемможет быть рассмотрено в рамках данной статьи в силуограниченности ее объема. lВаше мнение и вопросы
присылайте по адресу

is@groteck.ru

kaspersky 9/5/19 2:59 PM Page 7

www.itsec.ruВ ФОКУСЕ

Бизнес в ответе за киберугрозыВ прошлом году вступил в силу закон,который призван защитить от кибератак
важнейшие предприятия страны, –ФЗ-187 "О безопасности критической
информационной инфраструктуры (КИИ)Российской Федерации". Компании
должны определить, относится ли ихобъект КИИ к одной из трех категорийв зависимости от значимости, а потом
подключить его к государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атакГосСОПКА, созданной ФСБ.
Законопроект обсуждался еще с
2013 г. и вызвал горячие споры в профессиональном сообществе, особенно
активно обсуждались вопросы его практического применения. Сейчас уже разработан ряд подзаконных актов, которые
конкретизируют требования к организациям и порядок работы, но многие предприятия до сих пор либо не осознают,что подпадают под определение субъекта КИИ, либо не понимают, как соответствовать новому закону.

КИИ или не КИИРазобраться в новых нормах действительно непросто. Согласно тексту закона,объекты КИИ – это информационные
системы, информационно-телекоммуникационные сети, автоматизированные
системы управления технологическими
процессами субъектов КИИ. К субъектамКИИ отнесены, по сути, те учреждения ипредприятия, атака на которые может
парализовать работу целого района илигорода, а также навредить населению
страны или угрожать жизни людей. Список таких предприятий обширный. Этогосучреждения и госорганы, а также
компании, работающие в сфере здравоохранения, науки, транспорта, связи,энергетики, в банковской и финансовой
сфере, в ТЭК, в области атомной энергии, оборонной, ракетно-космической,горнодобывающей, металлургическойи химической промышленности.
При этом под определения субъектаКИИ может попасть как госкорпорация,так и индивидуальный предприниматель.
Специалисты советуют любому бизнесу,работающему в перечисленных сферах,изучить содержание закона. Главный
вопрос, на который предприниматели
должны для себя ответить, – "Кто может
пострадать, если ИТ-системы его предприятия перестанут функционироватьв штатном режиме? Может ли это принести вред населению, безопасности
страны, экономике или экологии?". Вре-зованно, а не опираться только на свойопыт. Это позволяет значительно экономить ресурсы – не содержать целый
штат кибербезопасников.

Как защищаться

Статья 274.1 УК РФ. Неправомерное
воздействие на критическую
информационную инфраструктуру
Российской Федерации
Нарушение правил эксплуатации
средств хранения, обработки илипередачи охраняемой компьютерной
информации наказывается
принудительными работами на срокдо пяти лет с лишением права
занимать определенные должностиили заниматься определенной
деятельностью на срок до трех летили без такового либо лишением
свободы на срок до шести летс лишением права занимать
определенные должности.

Вопрос кибербезопасности должен
волновать компанию не только с точки
зрения формального исполнения закона.
Защита от киберугроз важна в первую
очередь для самой компании. К 2022 г.,по прогнозу Всемирного экономического
форума, потери мировой экономики откибератак могут вырасти до $8 трлн.
Однако дело не только в деньгах кактаковых, но и, например, в физической
безопасности населения. Так, в мартев Венесуэле произошел масштабный
блэкаут: без света осталась почти всястрана, причина ЧП – хакерская атакана ГЭС "Гури". Для России, где инфраструктура более сложная (наличие АЭС,металлургии, систем трубопроводов),вопрос кибербезопасности стоит намного
острее.
Например, во втором полугодии 2018 г.
защитными решениями "Лаборатории
Касперского" на системах промышленной автоматизации было детектировано
более 19,1 тыс. модификаций вредоносного ПО из 2,7 тыс. различных семейств.
По данным специалистов, пока попытки
заражения носят случайный характер,а не происходят в ходе целевой атаки,однако ключевое слово – "пока".
Для построения системы защиты
любой организации лучше обратить внимание на решения компаний, давно
работающих на рынке. Это позволит
упростить процесс внедрения благодаря
большому количеству продуктов, а такжеих совместимости с другим оборудованием. Требованиям к функциям центров
ГосСОПКА отвечают, например, продуктыи сервисы "Лаборатории Касперского".
Кроме технического соответствия ониобеспечивают защиту нового поколения,которая базируется на сочетании машинного обучения, передовых технологийи экспертного опыта в области изученияи анализа угроз. Компания работает намировом рынке уже более двадцати лет,а ее опыт и компетенции востребованыво всем мире. lмени ответить на эти вопросы осталось
немного – до конца 2019 г. Согласно
закону, каждая компания обязана провести категоризацию самостоятельно.
Пока ответственности за несоблюдение
норм нет, если, конечно, бездействиене привело к серьезным последствиям
(см. ст. 274.1 УК РФ).
После проведения категоризациии согласования ее результатов с ФСТЭК
наступает следующий этап – построение системы безопасности значимых
объектов КИИ. И после этого владельцы
объектов КИИ должны подключитьсяк ГосСОПКА. Предполагается, что компании будут передавать информациюо киберинцидентах в Национальный
координационный центрпо компьютерным инциNMдентам (НКЦКИ). Таким
АДРЕСА И ТЕЛЕФОНЫ
образом, субъекты КИИЛАБОРАТОРИИ КАСПЕРСКОГО
смогут
противостоять
см. стр. 48
киберугрозам централи-• 7Реклама

Вопросы обязательной кибербезопасности выходят на государственный уровень.
“Лаборатория Касперского” готова защитить любую информационную инфраструктуруот атак.

akimov 9/5/19 3:01 PM Page 8В ФОКУСЕ

Дырку в безопасности"не заклеишь" пачкой денег
Евгений Акимов, директор по кибербезопасности, АО “Концерн “Калашников”ГАО "Концерн "Калашников", входящее в группу
компаний "Калашников", –системообразующая структура стрелкового сектораОПК России, является
головной организацией холдинговой компании в области перспективных образцов
оружейных специализиро-де требует доработки нормативная база по КИИ, какие
последствия повлечет сегодня переход только на отечественные продукты ИБ и почему будущее за стартапами, редакции
журнала InformationSecurity рассказал Евгений Акимов, директорпо кибербезопасности АО “Концерн “Калашников”.

– Евгений, вы долгое время работалив компаниях, занимающихся
разработкой и интеграцией систем безопасности. Каково бытьс другой стороны?
– Общего больше, чем можно
было ожидать. Это и большой
объем внутренних коммуникаций, и все, что относится
к People Management, и, конечно, постоянное использованиеи актуализация экспертизыв кибербезопасности. Самое
существенное отличие – один,пусть и внутренний, заказчик,а значит и существенно больше
ответственность. Еще одиннюанс – результаты воспринимаются намного менее формально.

ванных комплексов военного назначения. По отраслевой принадлежностив системе ОПК России
АО "Концерн "Калашников"относится к "Промышленности обычных вооружений"(ПОВ).

8 •– Расскажите о ваших
обязанностях в "Концерне
"Калашников". Что сейчасв вашем ведении?
– Дирекция кибербезопасности обеспечивает защиту
нескольких площадок концерна, расположенных в Ижевске,Москве и других городах. Распределение
функционалаи ролей у сотрудников не одинаковое на всех площадках.
Мы концентрируем компетенции и экспертизу по архитектурным вопросам в Ижевске,по реагированию на инциденты, осведомленности и управлению проектами – в Москве,а на остальных площадкаху нас своеобразные "универсальные солдаты", приземляющие соответствующие активности и процессы в зоне своей
ответственности. Современные средства коммуникаций
позволяют создать единое
информационное поле, обеспечить командность и опера-тивно перекидывать ресурсыдля решения приоритетных
задач и интересов каждой площадки.

– В какой степени выкак директор по кибербезопасности вовлеченыв процесс принятия бизнес-решений, связанныхс цифровизацией концерна?
– Наша дирекция отслеживает проекты по цифровизацииеще на уровне идеи: на максимально начальных этапах мыидентифицируем новые рискии предлагаем решения по ихобработке. В большинстве случаев это снижение за счет внедрения соответствующих механизмов защиты. Но иногда мыи принимаем риски, хотя бы напервых этапах, чтобы не задерживать развитие бизнеса,откладывая внедрение решенийпо безопасности. Случаев,когда мы не договаривалисьи инициировали блокировку
каких-то идей, пока не было(полномочия на это есть).
– В чем заключается
стратегия кибербезопасности "Концерна "Калашников"?
– У нас есть дорожная картапо внедрению защитных механизмов, синхронизированная посрокам с планами цифровизации площадок. Она "не отлитав бетоне", в нее вносятся изменения, связанные как с детализацией внедряемых ИТ-архитектур, так и с реинжинирингом
бизнес-процессов, ну и, конечно, с изменениями в ландшафте
угроз.
– "Калашников" прежде
всего занимается выпуском продукции оборонного

назначения. Сказалось лиэто на требованиях к службе безопасности и как?
– Информация, относящаяся к гостайне, убрана из корпоративного сегмента сети,за безопасность которого
отвечает наша дирекция. Обособенностях ее защиты мыпредпочитаем не распространяться.
С выходом закона 187-ФЗ,который актуален для нас какдля предприятия ОПК, мы обязаны при оценке рисков учитывать и показатели значимости
объектов критической информационной инфраструктуры(КИИ), определенные в соответствующем постановлении
правительства. Интересно, чтозрелые механизмы безопасности, учтенные в дорожной картепо кибербезопасности концерна, в результате этого не претерпели значимых изменений.
Уверен, что для многих других
предприятий это может бытьсовсем не так и им необходимо
будет реализовывать для обеспечения безопасности своих
объектов КИИ дополнительные
решения.
– У "Концерна "Калашников" сейчас много проектов по цифровизации,об этом говорило руководство концерна на рабочей
сессии "Разработка робототехнических и беспилотных технологий дляАрктики" в 2018 году.
В чем, на ваш взгляд, особенность цифровой трансформации у предприятийОПК?
– Приведу слова Евгения Касперского: "Те компании, которые не цифровизируются, –разорятся, так как они проиграют рынок. Те компании,akimov 9/5/19 3:01 PM Page 9

www.itsec.ruПЕРСОНЫ

которые цифровизируются…
получат "цифровую торпеду"…
и тоже разорятся". Мы не можем
допустить ни одного из подобных сценариев. Для этого мыочень тщательно, но максимально оперативно прорабатываем решения по цифровизациис точки зрения кибербезопасности.
– Как вы видите своюроль в процессе цифровой
трансформации?
– Кроме уже упомянутого
управления рисками, есть и другое – часть реализуемых намирешений, таких как IdM или
EMM. Они лишь до известной
степени решают задачи кибербезопасности. Второй, иногда
больший эффект от них – оптимизация бизнес-процессов, ихускорение, повышение эффективности в целом. Получается,что даже при выборе и пилотировании решений по цифровой
трансформации бывают ситуации, когда инициатива оказывается на нашей стороне. Обычно это происходит, когда механизмы
безопасности
ужевстроены в решения и такое
смещение акцентов более
оправданно.
– Несмотря на то что курсна импортозамещение взятуже давно, очень маленький процент компаний
может похвастаться хотькакими-то успехами в данном направлении. Многоли зарубежного оборудования и решений используется сейчас в вашей компании? Насколько этоосложняет задачу обеспечения информационной
безопасности концерна?
– Не мы отказываемся отпродуктов зарубежных производителей, это они отказываютсяот поставок нам, следуя политике Госдепа США. Во-первых,не все зарубежные производители этому следуют. Есть страны, которые не поддержали
санкции, например очень сильный в технологиях кибербезопасности Израиль.
Во-вторых, наша страна иранее обладала очень сильными производителями средств
информационной безопасности.
Например, рынок DLP-систем
давно делят отечественные производители, а зарубежным изквадранта Гартнера достаетсяв совокупности доля меньше,чем у каждого из тройки лиде-Снег холодный, вода мокрая, а мы под санкциями –стоит ли расстраиваться по такому поводу?
Мы воспринимаем это как некий нюанс.

ров. Есть сильные антивирусные решения, которые уверенно
себя чувствуют на зарубежных
рынках, и лишь включение
административного ресурса
слегка пошатнуло их позицииза рубежом, да и то не повсеместно. Очень мощные и отечественные сканеры защищенности.
Мы и ранее использовали
решения и одних, и других, а сейчас при выборе часто сознательно устанавливаем именно
наши. Однако есть сегменты
рынка, в которых зарубежные
решения выглядят предпочтительнее с точки зрения функционала. Отрадно, что ситуация
меняется и российские решения
класса SIEM, IdM и другие начинают теснить импортные.
Если быть откровенным, тоэто, конечно, "добавляет перца"в нашу работу. Снег холодный,вода мокрая, а мы под санкциями – стоит ли расстраиваться по такому поводу? Мы воспринимаем это как некий нюанс.
– Как вы считаете, сможет ли концерн в ближайшее время совсем отказаться от зарубежных
продуктов в сфере ИБ?
– Если это сегодня произойдет, то мы будем вынуждены
повысить уровень приемлемости рисков. Тут два фактора.
Во-первых, отечественные про-дукты с максимально близким
функционалом будут дороже
(иначе мы бы сразу их выбрали). Во-вторых, из-за заменына более слабые решения пришлось бы потратиться на компенсирующие это меры.
Поскольку нет смысла тратить значительно больше денегдля достижения прежнего уровня безопасности, то, скорее
всего, будет некий компромисси мы потеряем и там, и там(и денег больше потратим,и уровень безопасности снизим). Причем иногда достичь
прежнего уровня безопасности
невозможно: сколько денег нитрать, все равно того же функционала не получишь. Дыркув безопасности "не заклеишь"пачкой денег.
Перераспределение бюджетов отечественных компанийв пользу российского производителя позволяет выйти нарынок амбициозным стартапам, а уже состоявшимся производителям – открыть новые
продуктовые линейки. Причем
есть яркие примеры, когда
такие, казалось, малочисленные команды создавали очень
конкурентоспособные решения.
Это происходит и на мировом
рынке. Большие компании крайне редко путем собственного
R&D делают прорывные продукты. Чаще это скупка перспективных стартапов, часто

Группа компаний "Калашников" – крупнейший российский производитель боевого автоматическогои снайперского оружия,управляемых артиллерийских снарядов и широкого
спектра высокоточного оружия. Предприятия группы
компаний "Калашников"также выпускают специализированные комплексы
военного и гражданского
назначения.

• 9

akimov 9/5/19 3:01 PM Page 10В ФОКУСЕ
ровать все глубже. В процессе
анализа наши представления отом, что мы ждем от решения,чаще всего модифицируются.
В результате мы получаем техническое задание, которое
ложится в основу конкурса.
Туда могут прийти изначальные
10 участников и даже не рассмотренный нами вариант
(такое гипотетически возможно,но ни разу не случилось), нореальный шанс будет у двухтрех. На окончательной выбор
большое влияние оказывает
стоимость.

К отечественным разработчикам, которым можно
было довериться и раньше, относятся такие
сегменты, как DLP, антивирусы, сканеры
безопасности. Хорошо себя проявляют IdM- и SIEMрешения, которые до импортозамещения были явнослабее. Другие сегменты подтягиваются, наблюдатьза этим весьма интересно.

В продуктовые бренды
группы компаний "Калашников" входят АК, Baikal,
IZHMASH. Новыми направлениями деятельности группы компаний "Калашников"являются дистанционно
управляемые боевые модули, беспилотные летательные аппараты, многофункциональные катера специального назначения, космические аппараты, ракеты.

10 •и с предварительным OEM ихпродуктов. Поэтому даже есликакой-то западный забюрократизированный гигант имеет
тысячи соответствующих специалистов и тратит на разработку многие миллиарды, тоэто вовсе не означает, чторезультат будет лучше, чему сплоченной команды энтузиастов в несколько десятков человек и с весьма скромным
финансированием. Скорее даженаоборот.
Российских производителей
можно условно поделить на тригруппы. Первые – лидеры в своих
сегментах, которые не потеряли
боевой бизнес- и технологический задор и активно инвестируют (речь идет не только и нестолько о деньгах) в новые
направления. И именно они, какправило, добиваются самого
значимого результата. Вторые –стартапы, готовые бросить вызов
лидерам или, наоборот, стремящиеся обойти их в каком-тоновом сегменте. Результат тожеможет впечатлить, но, к сожалению, даже не в 50% случаев.
Есть и третьи – осторожные,очень часто имеющие надежную
клиентскую базу и консервативное руководство, если и пробующие новые для себя темы,то очень сдержанно. Результатая что-то не припомню.
В целом же можно ждать
положительного
изменения
ситуации в течение двух-трехлет.
– Как в концерне происходит отбор средств дляобеспечения ИБ? Какие
основные критерии выпредъявляете к поставщикам, продуктам и решениям?
– Рынок технологий очень зрелый. Два-три сильных конкурентав одном сегменте скорее исключение, чем правило. Обычно ихпять-десять. Конечно, мы дажеи не стремимся перепробовать
столько продуктов. Это было бынеэффективно, хотя, наверное,и познавательно.
Наши шаги просты: кабинетные исследования, общение сдругими компаниями, ужеиспробовавшими (в идеале
использующими) рассматриваемые продукты, затем пилотирование у нас. Пилот очень
полезен, особенно когда речьидет о решении, работа которого сильно зависит от особенностей конкретной ИТ-инфраструктуры, или же о бурно развивающемся продукте, в презентациях которого может бытьзаявлено как уже имеющийся
функционал то, что реально
пока находится в разработке.
Мы иногда пропускали этот шаг,но это скорее исключение.
На каждом этапе сокращается число рассматриваемых продуктов, и мы можем анализи-– Можете ли вы отметить, в каких сегментахИБ можно довериться российским разработчикам?
– Ситуация меняется, число
таких сегментов растет. Очень
легко кого-то упустить и темсамым исказить картину, темболее что и сама картина
быстро устаревает.
По названным выше сегментам – DLP, антивирусы, сканеры –сомнений не было и раньше,нет их и сейчас. Хорошо себяпроявляют IdM- и SIEM-решения,которые до импортозамещения
были явно слабее. Другие сегменты подтягиваются, наблюдать за этим весьма интересно.
– На производстве могут
стоять
какиеугодно
современные системы иоборудование, но есть такназываемое слабое звенов любой компании – человек. Как вы повышаете
осведомленность сотрудников в части ИБ?
– В этом плане мы похожи намногие ритейл-компании – придерживаемся идеологии omnichannel. Только наш товар –информация, которую мыдоставляем до сотрудников концерна по множеству каналов:очные семинары, новости напортале,е-mail-рассылка,статьи в корпоративной газете,wiki... Форматы разные, каждый
имеет свои особенности, мыменяем подачу материала, глубину, подробность изложения.
Неизменно мы следим за тем,чтобы контент по кибербезопасности было интересно воспринимать. Конечно, определенная романтичность темыочень помогает.
В планах – создание обучающих материалов с контролемих усвоения и применения напрактике с использованием концепции геймификации.

akimov 9/5/19 3:01 PM Page 11

www.itsec.ruПЕРСОНЫ

– Еще одними актуальными рисками остаются
атаки на АСУ ТП. Какие
угрозы несут в себе наибольшую опасность?
– Спектр угроз для технологического сегмента в целом аналогичен тому, что актуально длякорпоративных сетей. Например, канатная дорога на Воробьевых горах в Москве остановилась из-за вируса-шифровальщика, с чем сталкивались двагода назад МВД, "Роснефть"и другие организации в корпоративном сегменте. Одним изнемногих нюансов является то,что в технологическом сегменте
чаще всего нет конфиденциальной информации. В практическом плане это означает, чтосредства класса DLP в АСУ ТП,скорее всего, не актуальны.
Есть вещи, связанные нес ландшафтом угроз, а с особенностями самого защищаемого объекта. Так, при выборе
средств для реализации механизмов защиты надо учитыватьих минимальное влияние натехнологические
процессы.
Если средства защиты их прервут, то, в отличие от бизнеспроцессов, это может привестине только к простою, нои к порче оборудования, и дажетехногенной катастрофе.
– Как 187-ФЗ "О безопасности критической
информационной инфраструктуры
Российской
Федерации" повлиял наработу "Концерна "Калашников"?
– Как и многие компании изсписка отраслей, отнесенныхк субъектам КИИ, мы проводим
категорирование своих объектов
критической информационной
инфраструктуры. Промежуточные результаты показали, чтов целом уже используемыхи внедряемых механизмов
защиты достаточно. Поэтомумы не ждем значимых изменений. Сам процесс категорирования позволяет формализовать
многие важные моменты, такиекак ответственность за безопасность ОКИИ, вовлечь многие
подразделения, повысить значимость той работы, которую мыведем. Уже это большой плюс.
– На ваш взгляд, нормативные акты по КИИсодержат исчерпывающий список мер для полной гарантии безопасности объектов?

– Любая нормативная базануждается в апробировании.
Сейчас и мы, и другие субъекты КИИ в основном занимаемся категорированием. Малокто продвинулся дальше.
Поэтому точки для улучшения,по крайней мере, этого этапа
стали понятны, и кое-что дажеуже успели внести в новые
версии документов. Это касается сроков категорирования
и т.п.
Для того чтобы понять, чтоулучшить в списке мер, недостаточно его просто прочесть,его надо попробовать применить. Причем многими организациями, обменяться мнениямии только потом браться за улучшения. Документы разрабатывались профессионалами, ихкачество очень хорошее, и только практика использования дастадекватную картину.
– Что вы предложили быдоработать в нормативном
регулировании?
– На мой взгляд, не хватает
оценки репутационных рисков,сейчас их просто не рассматривают. При том, что потеря репутации вполне может стать причиной, например, срыва подписания международных договоров (показатель значимости 7)или падения прибыльности компаний как с государственным
участием (показатель значимости 8), так и коммерческих, чтоможет привести к сокращению
отчислений в бюджет (показатель значимости 9).
– С какими основными
проблемами вы столкнулись в процессе категорирования?
– Долго обсуждали, делать
самостоятельно или привлечь
консультанта. На мой взгляд,помощь компаний, уже несколько раз отработавших в других
субъектах, оказалась для насочень полезной для прохождения категорирования сравнительно гладко и быстро.
– Какой подход выиспользовали при составлении перечня объектов
КИИ, подлежащих категорированию?
– Мы шли от процессов, этопомогло сразу откинуть те ИТсистемы, которые не являются
ОКИИ, а их у нас довольно
много. Такой подход сократили затраченные ресурсы, в томчисле временные.

– Каким образом вы планируете
обеспечивать
непрерывное взаимодействие с ГосСОПКА?
– Мы напрямую взаимодействуем с ГосСОПКА, недавно
подписав с ними соответствующий регламент.
Сама идея национального
центра, консолидирующего данные по компьютерным инцидентам и информирующего о нихвсе присоединившееся киберкомьюнити, очень хороша.
В плане повышения осведомленности сотрудниковв части ИБ мы похожи на многие ритейл-компании –придерживаемся идеологии omni-channel. Тольконаш товар – информация, которую мы доставляем досотрудников концерна по множеству каналов.

Только начав информационный обмен, мы уже получили
важные сведения о существовавших у нас проблемах (сейчасони уже решены). Причем чембольше будет участников, темболее качественную информацию мы сможем получать. В течение пары лет следует ждать
эффекта снежного кома за счетмассового присоединения к ГосСОПКА других организаций.

Сегодня группа компаний
внедряет стратегию развития до 2020 года, главными
приоритетами которой
являются выпуск широкого
ассортимента конкурентоспособной на мировом

–Многие
компании
жалуются на нехватку квалифицированных кадров вобласти ИБ. Столкнулисьли вы с этой проблемой?
Как вы ее решаете?
– У концерна сравнительно
небольшой штат дирекции
кибербезопасности.
Работа
строится командная, задачи
интересные – это очень важнодля молодых ребят. Многое
зависит и от HR-функции, у насэто очень мощное и профессиональное подразделение.

рынке продукции, повышение уровня эффективности
производственных процессов, построение эффективной структуры менеджментаи создание комфортных
условий труда для всехсотрудников предприятия.

Те компании, которые не цифровизируются, –разорятся, так как они проиграют рынок.
Те компании, которые цифровизируются… получат
"цифровую торпеду"… и тоже разорятся.
(Евгений Касперский)С учетом того, что практически во всех городах нашего
присутствия концерн – один изсамых желаемых работодателей, мы не столь остро ощущаем эту проблему, характернуюдля рынка труда в области
кибербезопасности. lСпасибо за беседу!
Ваше мнение и вопросы
присылайте по адресу

is@groteck.ru• 11trihometz 9/6/19 3:52 PM Page 12В ФОКУСЕ

Уникальная система антифрода.
Опыт компании hh.ruКсения Трохимец, заместитель директора департамента специальных проектов, hh.ruКак правило, в случаес нелегальным доступомк любым данным одновременно страдают как создатель и правообладатель
информации, в нашем случаеэто соискатель, так и пользователь-работодатель,через учетные данные которого может совершаться
компрометация.

– Несмотря на точтодевушки
винформационной
безопасности ужедавно не новость,все же это воспринимается, скорее,как исключение изправил. Ксения, расскажите о вашем
опыте, как вы пришли в информационную безопасность?
– Для меня информационная безопасность
напрямую связана с именем компании, в которой я работаю на данный момент. В первую очередь потому, что мнепосчастливилось совместнос коллегами стоять у истоков
зарождения этого направлениякак самостоятельной единицы
в hh.ru.
Во-вторых – неподдельный
интерес к этой сфере, который
породил желание расти и развиваться дальше, трансформируя свой опыт управленца подте задачи и специфику, которые
присущи информационной безопасности. Конечно же, не обошлось без дополнительного
обучения, начиная с краткосрочных программ и заканчивая
вторым высшим по специальности "Информационная безопасность".
И если уж затрагивать гендерную тематику: я придерживаюсь ценностей работы в смешанных или сбалансированных
командах, где каждый цененв первую очередь своим багажом
знаний и навыков и является
неотъемлемой частью процесса
реализации проектов. И еслидаже у кого-то не так сильны
какие-либо компетенции или знания, это легко нивелируетсяв рамках проектной команды.
– Что сейчас входит вваши обязанности?
– На текущий момент передо
мной стоят задачи эффективного управления командами
подразделения, от инженернотехнической защиты и разработки до группы аналитиков,12 •исходя из стратегических целей
подразделения.
– Какие интересные проекты по информационной
безопасности в компании
hh.ru вы можете выделить?
– Что удивительно, я не могувыделить какой-то один проекткак интересный. Перед намизачастую стоят крайне нетривиальные задачи, в них необходимо разобраться и предложить
решение, которого иногда нетна рынке либо очень малоподобных кейсов. Его просто
нужно создать самим.
Так когда-то я основала
направление антифрода и аналитики в компании, создав
систему мониторинга и реагирования, которой нет на рынкев готовом виде как некоего программного решения. Изначально многое приходилось делать
руками для того, чтобы оценить
масштабы и понять основные
алгоритмы и поведенческие
характеристики. Но эта работа
позволила нам реализовать насегодняшний день комплексную
автоматизированную систему,которая работает с минимальным включением со стороны
специалистов.
В связке с этим направлением
нами была открыта деятельность по защите бренда компании, так как весомую долю публикаций предложений о нелегальном доступе к учетным
записям составляли онлайнисточники, где размещались
разного рода объявления,сайты, группы по предоставлению услуг парсинга.

– Что такое фрод для
hh.ru – проблема, угрозаили факт, сопутствующий
бизнесу компании?
– Очевидно, что фрод длялюбой компании – это риск, тоесть событие неопределенноекак с точки зрения вероятности
реализации, так и с точки зрения последствий.
Источник рисков фрода –человек. А значит, никакая угро-за не сравнится с фрод-рискамипо разнообразию, изобретательности и быстроте адаптациик любым предпринимаемым
контрмерам.
Однако для нас это не значит,что мошенничество нельзя прогнозировать и им невозможно
управлять. Мы научились с этимработать, понимая и принимая,что отгораживаться можно
сколь угодно много и долго.
Реальность же такова, чтозащититься от всего просто
невозможно. Поэтому вкупес митигацией рисков для насважнаскорость
реакциии устранения последствий в случае наступления риска, поскольку здесь заложены серьезные
репутационные потери.
– Приведите, пожалуйста, несколько примеров
мошеннических кейсов,которые были в hh.
– Основным объектом мошеннических кейсов являются данные, собранные компанией напортале, которые представляют
ценность не только для добросовестных пользователей, но и дляразличного рода предприимчивых граждан, которые в лучшем
случае не видят ничего зазорногов перепродаже, скачивании ираспространении информации,не предназначенной для этихцелей. В худшем – это целенаправленная деятельность с широким инструментарием, инструкциями для пользователей нелегальной схемы, системой оповещений и собственной CRM-системой для ведения "клиентов".
– Кто становится самой
частой жертвой мошенничества?
– Как правило, в случае
снелегальным
доступомк любым данным одновременно
страдают как создатель и правообладатель
информации,в нашем случае это соискатель,так и пользователь-работодатель, через учетные данные
которого может совершаться
компрометация. Поэтому нелишним
будетнапомнить

trihometz 9/6/19 3:52 PM Page 13

www.itsec.ruПЕРСОНЫо банальных мерах цифровой
гигиены, начиная с отказа отпаролей на стикерах и заканчивая созданием более сложных паролей, чем 123qwerty.
– Вы уже рассказалио рисках мошенничества
для
вашей
компании.
Можно ли отнести какието угрозы к уникальным,присущим только рекрутинговым компаниям?
– Пожалуй, это тот факт, чтов нашем кейсе ценность составляют не деньги на счету, какв случае с банковским фродом,а персональные данные. А такв остальном всё как у всех: оттехнических угроз защититься
проще, нежели от антропогенных или социальной инженерии,ибо пресловутый человеческий
фактор неиссякаем.
– По каким признакамвы понимаете, что имеет
местомошенничество,если не считать обращений пользователей?
– Как правило, мы работаемна опережение, не допуская
ситуации, когда пользователь
пострадал и пишет жалобу.
Для этой задачи мы создали
целую систему мониторинга ипредиктивного реагирования,где задействована и поведенческая аналитика, и Machine
Learning на весомо больших
объемах данных, что позволяетнам оперативно выявлять и принимать меры по недопущению
мошеннических активностей насайте. Если проводить аналогию, то это что-то вроде SIEMсистемы для фрода с блоком
предиктивной аналитики.
– Какие уникальные разработки в сфере антифрода использует компания
hh.ru?
– В целом вся система антифрода в компании уникальна,так как в основе своей является
авторской. В этом есть огромныйряд преимуществ: мы не кастомизировали чье-то универсальное решение под наши задачи.
Мы создали свои, необходимые нам инструменты для мониторинга, аналитики и реагирования с учетом наших особенностей, структуры и типологии
фрода. Безусловно, пришлось
попотеть в самом начале, когдамы обошли практически весьрынок антифрод-систем и ненашли решения наших задач.
Но поверьте, это того стоило.

Сейчас это сложный комплекс, имеющий в ядре алгоритмы на основе машинного
обучения, который позволяетнам уже на этапе входа на сайтопределять
потенциальные
угрозы мошенничества и недопускать подобные активностина сайте.
Безусловно, мы не ограничиваемся только собственными
разработками: в случае, еслинаходим решения, которые
можем адаптировать под нашипроцессы, внедряем, сопоставляя стоимость, ожидаемый
результат и время интеграции.
Например, в случае с технологией цифровых отпечатков мыне осуществляли разработку
самостоятельно, но провели
большой объем работ, связанныхс адаптацией под наши нужды.
– Позволяют ли антифрод-мероприятия значительно снизить финансовые потери компании?
И как подсчитать ихэффективность?
– Не берусь говорить за другие
бизнесы, в нашем случае да.
Иначе проведение антифродкампаний не имело бы никакого
смысла. Изначально мы ставили
себе цель создать систему неради системы, поэтому крайне
интересно было разработать критерии оценки эффективности.
Методология
аналогична
системе оценки рисков, включает в себя ряд параметров,связанных с прямыми и косвенными убытками компании, упущенной прибылью, простраивая
конверсии от действий тех илииных алгоритмов, поскольку осо-бенность наших антифрод-мероприятий – это не только предотвращать убытки, но и приносить прямой доход компании.
– Как изменилась динамика
мошенничества,направленного на hh.ru,за последнюю пару лет?
У вас есть конкретные
цифры?
– Конечно же, мы оцениваем
объемы и динамику происходящего, дабы понимать и владеть
оперативной обстановкой на"теневом рынке". Только запоследний год нам удалось
замедлить данный тренд болеечем в два раза.

Как правило, мы работаем на опережение, не допуская ситуации, когда пользователь пострадал и пишет
жалобу. Для этой задачи мыв hh.ru создали целую систе-– Насколько функция
противодействия мошенничеству значима для бизнеса? Какое место оназанимает в структуре
вашей компании?
– На самом деле, данная
функция имеет достаточно большой вес в компании, посколькуне только не допускает фродинцидентов, но и позволяет приносить прибыль. И дело нев пресловутой экономии.
Магия заключается в том, чтовоздействие наших алгоритмов
позволяет перевести пользователей с темной стороны на светлую и делает экономически
невыгодной покупку данныхв неофициальных источниках.
Как следствие, клиенты начинают покупать наши услуги официально, а тем, кто пытался наэтом сделать свой маленький
стартап, хоть и нелегальный,мы создаем максимально невыгодные условия его ведения.

му мониторинга и предиктивного реагирования, гдезадействована и поведенческая аналитика, и Machine
Learning на весомо больших
объемах данных, что позволяет нам оперативно
выявлять и принимать мерыпо недопущению мошеннических активностей насайте.

• 13

trihometz 9/6/19 3:52 PM Page 14В ФОКУСЕ
– Что больше влияет науспех фрода: использование мошенниками методов
социальной инженерии,новых "технических разработок" или криминальные
действия
самихсотрудников?
– Я бы сказала так: изобретательности людей нет границ.
В случае, если они ставят перед
собой цель обойти системы иполучить доступ нелегально,все средства хороши. Они будут
искать любой инструментарий,который позволит им добиться
результата.
Поэтому я не могу утверждать, что тот или иной метод
является лучшим. Как правило,используется комбинация вариантов проникновения.

Цифровой отпечаток, илицифровой след, – это уникальное сочетание различных характеристик пользователя, он позволяет намрешать ряд задач, таких
как: мошенничество с учетными записями и недопущение до регистрации пользователей, цель которых –нелегальное использование
сервисов компании; выявление вредоносных ботов,скомпрометированных
аккаунтов; защита личной
информации пользователей.

14 •– Цифровой отпечаток, илицифровой след, – это уникальное сочетание различных характеристик пользователя, он позволяет нам решать ряд задач,таких как: мошенничествос учетными записями и недопущение до регистрации пользователей, цель которых – нелегальное использование сервисов компании; выявление вредоносных ботов, скомпрометированных аккаунтов; защита
личной информации пользователей.

– Большинство компаний
обычно отрицают фактвнутреннего мошенничества. Как часто вы сталкивались с внутренними
угрозами? И, если ониимеют место, то кудачаще всего "пролезают"сотрудники?
– Безусловно, сотрудников
любой компании можно расценивать как субъектов внутренних угроз, тем более если этотсотрудник имеет привилегированные права доступа к различного рода конфиденциальной информации.
Для нас стандартом качества
работы является недопущение
такого рода кейсов и превентивное
реагирование на подобные ситуации. Мы подходим к этому вопросу
системно: это выявление сотрудников, склонных к мошенничеству;организация работы таким образом, чтобы любые попытки нарушений были "на виду" и пресекались превентивно; устранение
факторов, провоцирующих совершение противозаконных действий;создание финансовых условий длясотрудников, при которых фродстановится
бессмысленным,и тому подобное.
Другими словами, если мыне можем контролировать то,что происходит внутри, то грошцена нам как ответственным забезопасность компании.

– Еще один ваш проект –защита бренда. Это довольно любопытный кейс. Ведьлюбая компания подвержена многочисленным факторам влияния внешней
среды, от мнения работников до слухов и сплетен,которые расползаются поИнтернету с огромной скоростью. Но, помимо этого,есть еще и более трудоемкие методы, например создание
сайта-двойника.
С чем столкнулась компания hh.ru?
– У нас были разные кейсы,когда люди пытались использовать бренд компании в своих
целях, от постов в социальных
сетях до названий доменов идо рекламных сообщений. Еслисгруппировать цели такой деятельности, то это в основном
увод трафика и перехват аудитории с целью предложения
нелегального доступа/рекламы
своих услуг, а также использование популярного бренда компании для прикрытия или статусности.
Выстраивание системы защиты бренда нам позволило взятьпод контроль данные активности и минимизировать репутационные риски. Как следствие,мы пересмотрели внутреннюю
схему работы и взаимодействияс департаментом маркетингаи сейчас в случае появление
нетривиальных ситуаций в этойобласти отрабатываем совместно, что позволяет нам эффективно помогать компаниии цивилизованно закрывать
подобные инциденты.

– Выше вы упомянулипро довольно интересный
проект – цифровые отпечатки. Расскажите о немболее подробно, пожалуйста. Какие задачи вашей
компании и пользователейэто решает?

–Сейчас
однаизпопулярных тем – повышение ИБ-осведомленности
сотрудников
компаний.
Многие компании проводят
собственные
семинарыили рассылают сотрудникам письма с подозритель-ными ссылками, а потом
объясняют, почему кликатьна все подряд, что вам пришло на почту, неправильно.
Вендоры разработали различные тренинги онлайни оффлайн. Как в компании
hh обстоит дело с повышением
осведомленности
сотрудников в вопросах
информационной безопасности?
– На мой взгляд, повышение
ИБ-осведомленности сотрудников является одной из важных задач информационной
безопасности любой организации, поскольку применение
различных
технических
средств защиты не убережет
компанию от ошибки, допущенной по причине человеческого фактора. Иногда сотрудники компании, особенно подразделений, не связанных
напрямую с ИТ, не всегда адекватно оценивают опасностьи возможные риски от необдуманных, неосторожных действий: открыть накопитель,который случайно валяется настоле, или ссылку, хоть и непонятную, но от коллеги же.
В связи с ростом доступности
различных хакерских инструментов, бурным развитием
социальной инженерии простая
неосведомленность сотрудникаоб актуальных угрозах на сегодняшний день весомо увеличивает риски компании в части
применения в отношении нееразличных сценариев атак.
Поэтому у нас в компании
существует комплексная программа, которая включает в себяи информационные дайджесты,в которых мы делимся свежими
новостями из мира ИБ, и циклсеминаров по цифровой гигиене,и, конечно же, не обошлось безучений, которые мы проводим
регулярно, поскольку, исходя изнашей практики, опыт – лучший
учитель.
Так, в период, когда бушевали WannaCry, Petya, NotPetyaи прочие "товарищи", мы провели соответствующую подготовку и не допустили ни одного
инцидента в связи с этим.

– Еще одной, не менее
важной, является теманехватки квалифицированных кадров по информационной безопасности.
Очень интересно, столкнулась ли онлайн-платформа hh.ru с подобной
проблемой?

trihometz 9/6/19 3:52 PM Page 15

www.itsec.ruПЕРСОНЫ

– Поскольку наша компания
является лидирующей на рынке
интернет-рекрутмента,мыпостоянно держим руку на пульсе происходящих измененийи тенденций. И что я могу сказать по этому поводу: пронехватку квалифицированных
кадров говорят представители
любой сферы бизнеса вне зависимости от профобласти.
"Война за таланты" имеет
место быть:l молодые соискатели очень
амбициозны в своих зарплатных
аппетитах, многие не хотят
работать "за опыт", хотя багаж
знаний несоразмерен с их требованиями;l для того чтобы "вырастить"сотрудника, не у всех работодателей хватает ресурсов, времени и мудрости, потому чтоденьги нужно делать сейчас,а не через пару лет;l действительно "звезды"соискательского рынка, как правило, хорошо и сытно накормлены текущим работодателем,со всеми причитающимися преференциями в виде плавающего графика, расширенного соцпакета и прочих бонусов, которые заставят на какое-то время
забыть о выходе на открытый
рынок труда;l кандидаты "серебряного" возраста сейчас получают новую
возможность для развитияи переквалификации, в случае
если готовы гибко подходитьк вопросу обучения сотрудником, который на годы младше.
По совокупности этих факторов работодателям действительно приходится непросто, насвоем опыте могу сказать, чтовесомо сокращает время поиска
четкое представление о портрете кандидата, начиная от профессиональных компетенций изаканчивая личными качествами, с учетом тех факторов, накоторые вы готовы закрыть
глаза, если кандидат по ключевым компетенциям вас явноустраивает. А не просто инженер-сетевик. Чтобы задача непревращалась в "найди то, незнаю, что".
– Как решали данную
проблему?
– Во-первых, по каждой изпозиций у нас составлен четкий
список требований к кандидатудля того, чтобы было максимально просто выбирать ифильтровать соискателей в случае несоответствия базовым
критериям.

Во-вторых, все собеседования в нашу команду мы проводим самостоятельно, поскольку
имеется соответствующий опыти компетенции для осуществления отбора сотрудников,а также четкое видение,встроится ли человек в команду,так как мы оцениваем вкупе
и Hard, и Soft Skills.
В-третьих, мы оцениваем
потенциал сотрудника и желание
заниматься той или иной деятельностью, поскольку можно
обладать огромным пулом компетенций, но при этом бытьнеэффективным из-за банального нежелания заниматься
определенными задачами.
В-четвертых, мы еженедельно
проводим обучение внутри
команды для того, чтобы устранять пробелы в знаниях, развивать компетенции и обмениваться опытом.
– Что можете посоветовать другим компаниям,которые
столкнулисьс этой проблемой?
– На мой взгляд, важна готовность гибко подходить к вопросу
формирования кадрового состава, понимать, на что вы готовы
закрыть глаза, если перед ваминеограненный бриллиант.
Так, мы взяли в команду двуханалитиков со студенческой скамьи, сейчас они показывают
стремительный рост и потрясающие результаты, хотя на этапе
отбора не обладали всем необходимым набором компетенций.
При этом нужно не бояться
расставаться с неэффективными сотрудниками, прикрываясь
страхом "а вдруг не найду замену", поскольку именно они тянутвас на дно, являясь тем самым
блокером.

Для ключевых сотрудников,которые приносят результат,стараться создавать условия,которые позволят удержать ихв вашей компании. К слову, нетак давно мы проводили опрос
среди соискателей на тему того,что им важно для комфортной
работы помимо достойной зарплаты, выплачиваемой вовремя, и получили такие результаты: саморазвитие как в горизонтальной, так и вертикальной
плоскости, возможность гибко
планировать рабочее время
(это, кстати, отличная опция,когда ваш сотрудник показывает результат: какая разница,по большому счету, где в этовремя он находится физически),а также внимание и соответствующая оценка, в случае еслиработник выходит на работу
сверхурочно. И, пожалуй, самое
главное: сами не теряйте желание заниматься своей командой, уделяя внимание каждому.
Ведь если за садом ухаживать,он обязательно даст плоды.
В завершение нашей беседы
хочу обратиться к девушкам,которые рассматривают информационную безопасность какжелаемую сферу деятельности:несмотря на то что в силу различных обстоятельств и традиций ИБ является миром мужчин,не стоит этого бояться. Будьте
собой, не пытаясь кому-то чтото доказывать, делайте своюработу качественно, обучайтесь,и рост авторитета в глазах коллег на заставит себя долго
ждать. lВ связи с ростом доступности различных хакерских
инструментов, бурным развитием социальной инженерии простая неосведомленность сотрудника об актуальных угрозах на сегодняшний день весомо увеличивает риски компаниив части применения в отношении нее различных сценариев атак. Поэтому у нас,в компании hh.ru, существует комплексная программа,которая включает в себяи информационные дайджесты, и цикл семинаров поцифровой гигиене, и, конечно же, не обошлось без учений, которые мы проводим
регулярно, поскольку опыт –лучший учитель.

Спасибо за беседу.
Ваше мнение и вопросы
присылайте по адресу

is@groteck.ru• 15kolesnikov 9/5/19 3:01 PM Page 16ЦИФРОВАЯ ТРАНСФОРМАЦИЯКак технологии искусственного интеллекта
трансформируют бизнес
Евгений Колесников, директор центра машинного обучения “Инфосистемы Джет”ДИменно такой набор даеточень широкие возможности
повышения эффективности
бизнеса, и к началу XXI в.
программисты и аналитики
данных уже активно егоиспользуют. Первый исамый яркий пример
использования технологийна базе машинного обучения – это поисковые систе-ля начала надо определиться с терминологией. В среде датасайентистов есть шутка: “Как отличить искусственный интеллектот машинного обучения? Если написано на Python, то этомашинное обучение, а если в Power Point, то искусственный
интеллект". На сегодняшний день ИИ превратилсяв маркетинговый термин, объединяющий слишком много понятий,затрагивающих как программные продукты, так и биоинженериюи робототехнику. Однако в своих производственных процессах мыв первую очередь работаем с машинным обучением и определяемего как набор методов из линейной алгебры и математической
статистики, которые позволяют нам анализироватьи прогнозировать закономерности в объемных данных.

Уже сейчас все сервисы,напрямую соприкасающиеся склиентом, в своей работе
используют те или иные MLалгоритмы. Будь то интернетмагазины, медиаплатформы,приложения по вызову такси,социальные сети – все ониинтегрируют технологии на баземашинного обучения и уже сейчас позволяют нам как потребителям получать наиболее
полезные услуги по оптимальной стоимости, а бизнесу – экономить на издержках.

мы Яндекс, Google, Yahoo,словом, все те сервисы,через которые мы ориентируемся в Интернете.
Второй пример – это реклама. Наверняка люди,близкие к индустрии, слышали про programmatic-платформы, через которые происходит автоматизированная закупка показов онлайнрекламы в сети на базесобираемых данных о целевых аудиториях. Задача
искусственного интеллекта
– сделать показываемую
потребителю рекламу наиболее релевантной.

16 •Зачем ИИ крупному
бизнесуЭто все иллюстрации болееменее близких к ИТ-отрасли
компаний. Глобальная причина,из-за которой крупный бизнес
стал смотреть в сторону ИИ,заключается в изменившейся
экономической реальности, вкоторой уже невозможно масштабироваться только за счетразвертывания новых мощностей. Любой крупный завод
больше не может поставить
рядом еще один крупный заводдля того, чтобы удвоить своювыручку. Решение – оптимизация существующего производства, которая возможна только
после тщательного аудита всехбизнес-процессов. А как я сказал ранее, самый лучший способ обработки большого количества данных – использовать
машинное обучение. Анализируя все этапы создания продукта, ML-алгоритмы находяттак называемые зоны роста,улучшая которые, можно оптимизировать каждый процесс на

3–5%. Однако в итоге эти единицы дают и более серьезный
экономический эффект.
Однако не все предприятия
готовы к внедрению, некоторые
были построены десятилетия
назад, с использованием устаревших технологий. Поэтому
они, может быть, и выполняют
свою функцию, но емкость ихоптимизации очень ограничена.
А там, где нет возможности
банально оцифровать производство, собрать данные с датчиков, консолидировать информацию в единой системе, нетвозможности улучшить процесс
целиком.
Кстати, после первой волны
автоматизации на предприятиях
стало понятно, что реальная
перспектива применения ИИ –не замена человека (распространенное заблуждение), аоптимизация его труда. Например, благодаря системе трекинга деятельности сотрудниковна площадках можно проводить
справедливую оценку объема икачества выполняемой работы,следить за их безопасностью,корректировать технологические процессы. Кстати, именно
этот тезис я привожу, отвечаяна тревожные вопросы: нелишит ли искусственный интеллект работы большинство
людей? Нет, не лишит, а улучшит условия их работы.

Инвестиции в ИИза рубежом и в РоссииЗа рубежом в силу экономическим причин действительно
больше инвестируют в машинное обучение. Начнем с того,что именно там находятся компании – драйверы этой технологии: Google, Facebook, Amazon. За рубежом также исторически очень технологичная нефтехимическая промышленность:Schlumberger, BP – все онииспользуют передовой опытприменения алгоритмов на базеискусственного
интеллекта.
Например, чтобы перейтик новым методам работы, компания Schlumberger разработала новую когнитивную средудля разведки и разработки
месторождений под названиемDELFI. В ней используются
AI/ML-технологии, высокопроизводительные
вычисленияи Интернет вещей – все этоработает в комплексе для максимального увеличения эксплуатационной эффективностии оптимизации производства.
China Petroleum and Chemical(Sinopec Group) работает надсозданием десяти новых перерабатывающих заводов, которые почти полностью управляются ИИ. Несколько лет назад
компания объединила усилия
с Huawei в создании интеллектуального центра управления
данными. Его цель – снизить
эксплуатационные и производственные затраты примерно на
20%. А компания ExxonMobilтратит миллионы на разработку
управляемых искусственным
интеллектом роботов для работна морском дне и при поисках
труднодоступной нефти.
Но когда речь заходит протяжелую и легкую промышленность, добычу полезных
ископаемых, ритейл, финан-kolesnikov 9/5/19 3:01 PM Page 17

www.itsec.ruЦИФРОВАЯ ТРАНСФОРМАЦИЯ

совый сектор, то объективно
Россия тут далеко не в отстающих. Наши проекты зачастую
оказываются более инновационными благодаря сильной
математической школе, хорошей научной базе и желанию
наших предприятий вкладывать деньги в перспективные
технологии.

Финансовый сектор
Банки с помощью алгоритмов
предиктивной аналитики набазе искусственного интеллекта
решают проблемы скоринга,анализа рисков и финансового
контроля. В прошлом году,например, Сбербанк создал
сервис для оценки недвижимости, где процедуру оценки коммерческой недвижимости, которая зачастую фигурирует в различных сделках в качестве
залога, проводит нейронная
сеть. Вся процедура будет занимать несколько минут (против
нескольких дней в старой модели оценки).
"Бинбанк" одним из первыхна рынке внедрил технологии
машинного обучения в работус просроченной задолженностью в розничном бизнесе.
В ходе проекта специалисты
"Бинбанка" использовали принципиально новый подход –построение Uplift-моделей, которые основываются на прогнозе
реакции каждого клиента наконкретные действия в рамках
взыскания. Первые результаты
проекта показали существенный прирост качества в сравнении с используемыми ранее
моделями на основе логистической регрессии: произошел
прирост коэффициента Gini с 65
до 88%.
Страховые компании используют технологии на базе искусственного интеллекта для работы с рисками и мошенниками.
Благодаря компьютерному зрению анализируются фотографии с ДТП, а работа с большими данными позволяет прогнозировать убытки и в соответствии с этим регулировать стоимость страховых полисов.
Например, "Ренессанс Страхование" с помощью ИИ снижает
убыточность по КАСКО. Технология позволяет выявить "рисковых" клиентов и может отказать им в заключении договораили же корректно оценить стоимость ОСАГО и более точно
1сформировать резервы. А вот
Allianz в России внедрил
машинное обучение в процесс
медицинской экспертизы иандеррайтинг крупных корпоративных клиентов по ДМС.
Алгоритм позволяет автоматически проверять каждый счет,поступающий из медицинского
учреждения, отбирая страховые
случаи, которые могут содержать потенциально мошеннические действия или имеют
признаки отклонений от общепринятых норм ведения пациентов.

Ритейл
Ритейл благодаря машинному
обучению прогнозирует спросна те или иные товары, решает
задачи маркетинга, логистики.
Например, в прошлом годунаша команда разработала
систему предсказания поведения покупателей для сети “РивГош”. С помощью методов
машинного обучения удалось
добиться 33% точности персональных товарных рекомендаций по конкретным артикулам.
Более того, анализируя поведение покупателей, удалось
определить “золотой сегмент”держателей карт лояльности исделать по ним точечную маркетинговую рассылку с рекомендуемыми для покупки товарами. За время тестирования
проекта именно эта группа покупателей принесла компании
порядка 7% дохода, составляя
всего 1% от общей клиентской
базы.

Промышленность
"Вишенка на торте" – этотяжелая промышленность, аименно добывающий и перерабатывающий сектор. Кейсов
использования ML-технологийтут очень много. Например, ещев 2016 г. Yandex Data Factoryразработала рекомендательный
сервис для Магнитогорского
металлургического комбинатадля оптимизации расхода ферросплавов и добавочных материалов при производстве стали.
По оценке самого комбината,экономия от внедрения составила более 275 млн руб. в год.
Компания
"Северсталь"вокруг себя собрала1 большую
группу дата-сайентистов, которые ищут наилучшие решенияпо оптимизации основных процессов: работы с материалами,https://www.severstal.com/leadership/?utm_source=telegram&utm_medium=mediaparterstva&utm_campaign=youjobсокращение потребления электроэнергии, прогнозирования
поломок, анализ видеопотока
работы конвейерной ленты.
А в конце 2018 г. компания
"Евразхолдинг" рассказала, какс помощью киберфизических
систем на базе ИИ и машинного
обучения ей удалось оптимизировать работы доменной печии снизить итоговую себестоимость стали.

Сумма технологий
Если говорить про технологический стек, то он делится натри большие части:1. Проприетарные платформы, такие как IBM Watson,
General Electric Predix, Microsoft
Azure, SAP Leonardo, платформа Oracle AI и т.д. (рынок очень
насыщен).
2. Приложения с открытым
исходным кодом, которых бесчисленное множество, но с ярковыраженными
лидерами:Hadoop и Cloudera Hortonworks.
3. Нишевые игроки, решающие конкретные задачи: российский разработчик систем
компьютерного зрения VisionLabs, "Центр речевых технологий", занимающийся распознаванием и преобразованием
голоса, и т.д.
В своих проектах датасайентисты чаще всего объединяют несколько продуктов,как платформы от крупных
вендоров, так и Open Sourceрешения.
Современная трансформация бизнеса уже началась исвязана с внедрением технологий на базе машинного
обучения, робототехники. Этостало возможным благодаря
постоянному росту вычислительных мощностей и возможности хранить и обрабатывать
колоссальные объемы данных.
Именно это – ключевое отличие "сегодня" от "вчера".
Извлекать ценность из данных
– крайне тяжелый и сложный
процесс, но те компании, которые начинают сегодня, завтра
выиграют в конкурентной борьбе, ведь современные технологии – это в первую очередьпро изменения процессов итолько потом – про сами технологии. А изменять процессыво все времена было делом
долгим и затратным, всегдаоб этом помните! lПосле первой волны
автоматизации на предприятиях стало понятно, чтореальная перспектива применения ИИ – не замена
человека (распространенное
заблуждение), а оптимизация его труда.

Когда речь заходит протяжелую и легкую промышленность, добычу полезных
ископаемых, ритейл, финансовый сектор, то объективно
Россия тут далеко не вотстающих. Наши проекты
зачастую оказываются
более инновационными благодаря сильной математической школе, хорошей
научной базе и желанию
наших предприятий вкладывать деньги в перспективные технологии.

Ваше мнение и вопросы
присылайте по адресу

is@groteck.ru• 17lugantsev 9/5/19 3:01 PM Page 18

УПРАВЛЕНИЕ

Просто о сложном,или Как провести аудит
Александр Луганцев, начальник отдела информационной безопасности, ПАО “Микрон"НВ ходе интервью со специалистами организацииили в крайнем случаев форме запросов установить:l сферу деятельности,в которой функционирует
организация;l основные принципы
построения и функционирования организации;l порядок взаимодействияс другими организациями;l имеющиеся организа-ционно-распорядительные
документальные материалы,регламентирующие деятельность организации;l перечень основных

астал тот долгожданный день и час, когда ваши усилия быливознаграждены. Вы получили заветную должность,как правило руководителя и специалиста по информационной
безопасности в одном лице. В тот же час приступилик созданию системы, которая в скором обозримом будущемв полной мере обеспечит безопасность объекта защиты.

Тот факт, что выназначены на должность
специалиста по информационной безопасности, несомненно, имеет
положительное значение и означает, что руководство организации
озаботилось вопросами обеспечения ИБ. Причин тому может
быть несколько. Вот самые
характерные:l это модно;l предприятию в скором времени предстоит посещение
представителями регулирующих органов;l предприятие посетили представители регулирующих органов;l руководство предприятия
пожинает плоды реализовавшейся угрозы информационной
безопасности.
Вне зависимости от причин
вы, заручившись поддержкой
руководства, засучив рукава,бросаетесь в бой.

и вспомогательных бизнеспроцессов организации,подразделений, которые
обеспечивают их функционирование, а также их руководителей и заместителей.

С чего начать?
Первый вопрос: с чегоначать? И здесь на помощь
приходит до боли знакомое
слово – аудит. Остается разобраться в том, что именно
необходимо аудировать.

Рис. 1. Первый этап аудита

18 •Так как в настоящее время
практически ни один бизнеспроцесс в организации не обходится без использования всвоей основе информационных
технологий (локальные вычислительные сети, автоматизированные системы управления,информационные системы, сетии т.д.), то необходимо провестиих полную и всестороннюю
оценку.
Аудит общего состояния ИБявляется одним из важнейших
этапов, качество выполнения
которого в значительной степени будет влиять на построение системы обеспечения
информационной безопасности
объекта в целом.
Он проводится с целью определения актуальных угроз ипрогнозирования последствийпри их реализации. По окончании аудита у вас должен бытьсформирован перечень организационных мероприятий попостроению системы обеспечения ИБ, которые позволят избежать или минимизировать риски
реализации угроз.
Проведение аудита общего
состояния ИБ я намеренно непривязываю к какому-либостандарту. Если вы перешлив новую для себя сферу экономической деятельности (какпример, из ритейла в промышленность), то вам необходимо
составить для себя полное понимание функционирования реализованных в организации производственных процессов, какосновных, так и вспомогательных, которые обеспечивают еговид деятельности.
В моей практике создавать
системы обеспечения ИБ восновном приходилось на предприятиях промышленности, иданная статья будет основываться именно на этом практическом опыте. Однако будет
неверно говорить, что рассматриваемые мероприятия нельзя
применять и в других отраслях
экономики.
Правильно используя полученные выходные данные, дальнейшее построение системы
информационной безопасности
можно будет обосновывать не"страшилками", а реальными
расчетами и показаниями, которые оказывают значительное
влияние на основные виды деятельности организации, чтонеоднократно подтверждалось
опытным путем.
Следует также отметить, чтоуровень зрелости ИТ и ИБ большинства организаций, в которых проводился аудит по указанной схеме, можно оценить
на 2 по пятибалльной шкале.

Первый этап аудита
Цель: собрать наиболее полную информацию об организации, ее структуре, назначениии реализованных бизнес-процессах (основных и вспомогательных).
В ходе интервью со специалистами организации илив крайнем случае в форме
запросов установить:l сферу деятельности, в которой функционирует организация;l основные принципы построения и функционирования организации (организационно-штатная структура, порядок управления и принятия решений);l порядок взаимодействияс другими организациями
(вышестоящими по иерархии,дочерними и зависимыми обществами и т.д.);lugantsev 9/5/19 3:01 PM Page 19

www.itsec.ruУПРАВЛЕНИЕl имеющиеся организационнораспорядительные документальные материалы, регламентирующие деятельность организации;l перечень основных и вспомогательных бизнес-процессов
организации, подразделений,которые обеспечивают их функционирование, а также их руководителей и заместителей.
Итогом первого этапа является наличие полной обобщенной
информации об объекте защиты
(рис. 1).
Данную информацию целесообразно закрепить в какомлибо документе (справка, отчет
и т.д.).

Второй этапЦель: установить полный
перечень и состав информационно-телекоммуникационных
систем (далее – ИТКС), которые
обеспечивают (или не обеспечивают) бесперебойное функционирование бизнес-процессов
организации.
Задачи, которые должны
быть решены на втором
этапе, – это получение информации о:l топологии локальной вычислительной сети (далее ЛВС)организации;l схеме ЛВС организации (L1,
L2, L3);l таблицах маршрутизации;l составе сетевого оборудования
ЛВС (активное, пассивное сетевое оборудование, рабочие станции сети, серверы, системы хранения данных, коммутация сети);l расположении серверных(ЦОД), организации бесперебойного питания и порядка допускав указанные помещения;l каналах связи, посредством
которых осуществляется взаимодействие ДЗО с главным
офисом, наличии мобильных
пользователей, подключающихся через удаленный доступ;l доменной структуре сети(Unix, Windows Server и т.д);l используемых операционных
системах, установленных насерверах и рабочих станциях;l порядке и способах выхода вглобальную информационную
сеть Интернет;l почтовых, Web-, VPN-, терминальных серверах, используемых в организации;l используемых в организации
модемах, съемных накопителях
информации или флэш-картах;l наличии внешних Интернетсервисов (Web-сайтах);l используемых базах данных.

Рис. 2. Второй этап аудитаКак правило, вся интересующая нас информация по второму этапу должна быть сосредоточена в подразделении
информационных технологий.
Вместе с тем на практике этовстречается крайне редко.
Таким образом, настраивайтесь на совместную кропотливую работу со специалистами
ИТ.
Итог второго этапа: наличие
полной информации об объекте защиты, о локальной
вычислительной сети организации (рис. 2).

Третий этапЦель: получить полный перечень информационных системи прикладного программного
обеспечения, обеспечивающего
функционирование бизнес-процессов в организации, и данныхоб эффективности его использования.
Задача третьего этапа – получение ответов на вопросы.
1. Какие ИС обеспечивают
основные
бизнес-процессы
организации, их назначение исостав (ИС, обеспечивающие
непосредственно управление
производством, такие как MES,
CAD, CAM-системы, АСУ производственными и технологическими процессами и т.д.)? Набазе какого ПО функционируют? Кто является администратором ИС, а кто их эксплуатирует?
2. Какие ИС обеспечивают
вспомогательные бизнес-процессы организации, их назначение и состав (ИС, обеспечивающие автоматизацию кадровых, планово-экономических,бухгалтерских и т.д. подразделений)? На базе какого ПОфункционируют? Кто являетсяих администратором, а кто эксплуатирует ИС?

3. Есть ли необходимая организационно-распорядительная
документация, регламентирующая функционирование ИС(техническое задание, результаты опытной эксплуатации,ввод в эксплуатацию, порядок
проведения
регламентных
работ на ИС и т.д.)?
4. Какое прикладное ПОиспользуется в организации,его состав и назначение, порядок установки и учета?
На данном этапе считаю
необходимым более детально
изучить
функционирующиев организации автоматизированные системы управления производством и автоматизированные системы управления производственными процессами.
Основные усилия следует сосредоточить на получении и изучении информации в отношении:l состава аппаратного оборудования,обеспечивающего
работоспособность АСУ ППи АСУ ТП (сетевые устройства,серверное оборудование, станки, установки, программное
обеспечение и т.д.);l перечня программного обеспечения, используемого в АСУПП и АСУ ТП;l должностных лиц, ответственных за администрированиеи эксплуатацию АСУ;l регламента поддержки АСУ(локально или удаленно);l схему сетевого взаимодействие между "производственными" и "офисными" сетями.
Данный этап является наиболее объемным и трудоемким, таккак информация, которую необходимо собрать, обобщить и проанализировать, сосредоточена вразных подразделениях – от технологов/разработчиков/наладчиков (станки с ЧПУ, различные
производственные установки) докадровых и бухгалтерских.

Задача третьего этапа –получение ответов на вопросы.
1. Какие ИС обеспечивают основные бизнес-процессы организации,их назначение и состав?
На базе какого ПО функционируют? Кто является администратором ИС, а кто ихэксплуатирует?
2. Какие ИС обеспечивают вспомогательные бизнес-процессы организации,их назначение и состав?
На базе какого ПО функционируют? Кто является ихадминистратором, а кто эксплуатирует ИС?
3. Есть ли необходимая
организационно-распорядительная документация, регламентирующая функционирование ИС?
4. Какое прикладное ПОиспользуется в организации,его состав и назначение,порядок установки и учета?

• 19

lugantsev 9/5/19 3:01 PM Page 20УПРАВЛЕНИЕно информационных ресурсов
организации (рис. 4).

Пятый этапРис. 3. Третий этап аудита

Рис. 4. Четвертый этап аудита
Результаты второго и третьего
этапов целесообразно отразитьв так называемом паспорте (описании) ИС предприятия. Схемыи таблицы рекомендуется приобщить в виде приложения.
Итог третьего этапа: наличие
полной информации в отношении ИС и ПО, используемыхв организации (рис. 3).

Четвертый этапЦель: определить и классифицировать состав информации,циркулирующей в информационных системах организации.
Задачи этапа – получить исистематизировать сведения о:l информации, циркулирующейв ИС организации (производ-20 •ственная – задание на производственные установки, станки ЧПУ, передача 3D-моделей
и т.д., планово-экономической,кадровой, бухгалтерской и т.д.);l маршрутах движения информации;l подразделениях, которые
являются пользователями тех илииных информационных ресурсов;l принципы взаимодействия
информационных ресурсов.
В ходе проведения мероприятий данного этапа также необходимо установить, каким образом классифицирована обрабатываемая информация (конфиденциальная/открытая).
Итог четвертого этапа: наличие полных данных относитель-Цель: установить качество
выполнения требований обеспечения информационной безопасности,предусмотренных
федеральным
законодательством, и требований, предусмотренных организационно-распорядительной документацией федеральных органов исполнительной
власти, которые реализуют государственную политику в области
обеспечения безопасности.
Задачи этапа – установить:l выполнение требований,предусмотренных Федеральным
законом "О персональных данных" от 27.07.2006 № 152-ФЗ, идругих подзаконных актов, обеспечивающих защиту персональных данных сотрудников организации;l выполнение требований Федерального закона "О безопасности критической информационной инфраструктуры Российской
Федерации" от 26.07.2017№ 187-ФЗ и других подзаконных
актов, обеспечивающих защиту
критической информационной
инфраструктуры (если организация является субъектом критической
информационной
инфраструктуры);l выполнение требований
Федерального закона "О коммерческой тайне" от 29.07.2004№ 98-ФЗ (при условии введенияв организации режима коммерческой тайны);l выполнение требований пообеспечению информационной
безопасности государственных
информационных систем.
Итог пятого этапа: наличие
полной информации о выполнении требований обеспечения
информационной безопасности,предусмотренных федеральным
законодательством.

Шестой этапЦель: установить введенныев действие требования по обеспечению безопасности в организации.
Задача – получить и обобщить
нижеследующую информацию:l возможно, имеющиеся мерыпо обеспечению ИБ. Они должны
включать: порядок подключения
различных устройств к ЛВС организации, регламенты использования ПО, обеспечение безопасных настроек аппаратного и программного обеспечения для серверов, рабочих станций и ноутбуков, поиск и устранение уязви-lugantsev 9/5/19 3:01 PM Page 21

www.itsec.ruУПРАВЛЕНИЕ

мостей, обеспечение защиты отвредоносного кода и безопасность прикладного ПО, защитуи контроль использования беспроводных устройств, организацию восстановления данных;l порядок осуществления контроля используемых сетевых портов, протоколов и служб, еслиосуществляется, то каким образом, мониторинга и контроля
административных привилегий,контроль осуществления доступа пользователей к объектам
доступа, мониторинга и анализа
журналов регистраций событий;l каким образом осуществляется реагирование на возникающие инциденты информационной безопасности и обеспечивается безопасность ЛВС;l имеющиеся организационнораспорядительные документы,обеспечивающие режимные
меры (пропускной режим, организация допуска в режимные
помещения, СКУД и видеонаблюдение);l введенные меры обеспечения
кадровой безопасности.
Итог шестого этапа: получение предварительной информации о внедренных мерах
обеспечения безопасности ворганизации (рис. 5).
По моему опыту, в зависимости от размеров организации,структуры ИТКС временной
интервал проведения вышеописанных этапов силами двухсотрудников может занимать отодного до шести месяцев.
И вот, после значительного
количества затраченного рабочего и личного времени, несмотря

Рис. 5. Шестой этап аудитана истерзанные нервные клеткии не ко времени появившуюся
седину, вы являетесь обладателем бесценной информации, которая в полной мере будет отражать
реальное состояние факторов.
влияющих на состояние информационной безопасности в целом.
В дальнейшем, используя
имеющиеся сведения, необходимо подготовить краткий посодержанию, но емкий по смыс-лу отчет руководству организации о состоянии дел. А получив
высочайшее одобрение – приступить к разработке концепции
информационной безопасности,стратегии развития, политик,регламентов и… Но это ужесовсем другая история. lВаше мнение и вопросы
присылайте по адресу

is@groteck.ruКолонка экспертаЛев Палей,начальник
отдела ИТобеспечения
защиты
информации,АО “СО ЕЭС"Эксперты в области информационной
безопасности не слишком щедры наописание своих историй успеха. Ситуация
вполне объяснима характером и направленностью отрасли и вряд ли подвержена
сильным изменениям. Одно свойство
связывает все рассказываемые и описываемые случаи достижения неоспоримого результата (как в ИТ, так и винформационной безопасности): наличие
логических связок внутри повествованияи четко прослеживаемая причинно-следственная связь в совершаемых действиях. И если проекты автоматизации
процессов в основном нацелены на получение экономии (ресурсов, времени,денег), то проекты по информационной
безопасности на каждом этапе требуют
идентификации сущностей, которыми
оперируют. Один из соответствующих
примеров приведен в статье раздела.

Другое неотъемлемое действие в рамках таких историй успехаот информационной безопасности – формализация. Фиксация
параметров ИТ-актива, решений по его категоризации, ответственных за мероприятия – это самый популярный механизм
выведения процесса/проекта на следующий уровень, первый шагдля закрепления формируемого процесса в стенах компании.
Дружное шествие современных итеративных методологий
формирования результата–продукта путем вербальных коммуникаций здесь сталкивается с привычкой к compliance, привитых годами троекнижия и практикой проверок необходимой
документации (иногда без проверки сути написанного). Ноесть и другой фактор, скрытый от поверхностной оценки, – этопростейшее человеческое желание разобраться в том, чтопроисходит, принимать решения с минимальной долей вероятной ошибки.
Американские популярные тренеры и коучи очень любят
прием донесения информации через многочисленное повторение простой идеи. Попробую пойти этим проверенным
путем и продекламирую: любая история успеха начинается сувеличения прозрачности происходящего вокруг вас.
Больше историй, коллеги мои!

• 21

kuts 9/6/19 3:53 PM Page 22ТЕХНОЛОГИИ

Защита организации с распределенной
сетью не признает мелочей и километров
Сергей Куц, эксперт Positive TechnologiesНередко при создании системы обеспечения ИБ в крупных
организациях со сложной разветвленной инфраструктурой основной
фокус направлен на защиту головных организаций. Практика
расследований PT Expert Security Center1 насчитывает немало
историй, когда головной офис пострадавшей компании,обратившейся за помощью, был хорошо защищен (чистый периметрбез уязвимостей и лишних сервисов, песочницы, NGFW),а в региональных подразделениях ситуация в плане ИБ оказывалась
плачевной (словарные пароли, недостаточная защитаот восстановления учетных записей, неготовность сотрудниковк фишингу и т.п.). При этом все офисы находились в одном домене,без жесткой сегментации между сетями. В итоге атакующие
взламывали менее защищенный офис, “дампили” привилегированные
учетные записи и спокойно заходили в головное подразделение2.

Нет патчменеджмента,но есть разнотипные
системы защитыВ дочерних структурах и наудаленных небольших площадках крупных распределенных
организаций не всегда учитываются все актуальные угрозы,нижние уровни инфраструктурына практике недостаточно
защищены и вполне могут сыграть для гипотетического злоумышленника роль распахнутой
двери в инфраструктуру всейорганизации. Один из первых
шагов для взлома организациисо стороны злоумышленника –сканирование целевой системы,Для эффективного выполнения задач по ИБв распределенных инфраструктурах необходимо
выработать единую политику, которая будет
учитывать специфику организаций с разным
уровнем зрелости информационной безопасности.
Но, не дожидаясь итогового формирования
политики на всех уровнях крупной корпорации,необходимо сразу же, с максимальной
оперативностью начать учитывать реальные
угрозы, о которых забывают на нижних уровнях
структуры. А это означает, что службы
информационной безопасности должны получитьили начать использовать с большей
эффективностью инструментарий, имеющий
возможности иерархических установок длясквозной интеграции и единой техподдержки, что,в свою очередь, обеспечит необходимый минимумс точки зрения организации централизованного
мониторинга безопасности на всех уровнях
распределенных систем.

1для того чтобы найти уязвимые
места. Если же на периметреон ничего не находит, то начинает изучать другие точки входа
через удаленные компоненты,расположенные на площадках
филиалов, дочерних или дажеподрядных организаций. После
этого злоумышленник эксплуатирует уязвимости. В основномэто уязвимости устаревших
версий ПО, на которые ужевышли патчи с исправлениями.
Но на нижних уровнях не занимаются поиском уязвимостейи регулярным обновлением,поэтому для киберпреступников
открываются возможности дляреализации своих целей. Причиной этому могут быть какотсутствие достаточных бюджетов, так и нехватка квалифицированных специалистов.
Для построения центров реагирования на нижних уровнях
необходимо закупать дорогостоящие средства защиты,предназначенные для обнаружения инцидентов и реагирования на них. К тому же эффективный анализ требует найма
опытных специалистов, которые в большом дефиците (и темболее в регионах).
Кроме того, "зоопарк" решений на разных уровнях усложняет процесс управления иконтроля. Когда на разных
уровнях применяются средства
различных производителей,возможность эффектного централизованного мониторинга
усложняется.
Рассмотрим,например, решения класса
SIEM: если в дочерней организации используется система
одного
производителя,а в управляющей (головной)организации – другого, то специалисты головного центра
реагирования не смогут оперативно помогать реагироватьна инциденты своей подчиненной организации из-за технологических различий используемых решений. Поэтому
нельзя сбрасывать со счетов
выстраивание единой стандартизации применения тех илииных ИБ-решений в крупных
корпорациях, холдингах и ОГВс распределенной ведомственной инфраструктурой.
Не менее важная проблема –несоответствие нормам законодательства в сфере ИБ. Безприменения единой концепцииили корпоративных стандартов
(единого согласованного подхода при реализации системыИБ в многоуровневых информационных системах) на нижних
уровнях возникает риск невыполнения принятых норм. Головному центру в этом случае
необходимо иметь средства
контроля, чтобы отслеживать
состояние защищенности налюбом уровне распределенной
инфраструктуры.

https://www.ptsecurity.com/ru-ru/services/esc/
https://www.anti-malware.ru/practice/methods/How-to-write-correlation-rules-in-SIEM-system-without-programming-skills
2

22 •kuts 9/6/19 3:53 PM Page 23

www.itsec.ruТЕХНОЛОГИИ

Начать с головыи прокачать филиалы
Начинать нужно с реализации
основных процессов по ИБ науровне головной организации,затем тиражировать наработанные практики и методики надочерние структуры. И в первую
очередь следует разобратьсяв составе компонентов информационных систем и в сетевой
архитектуре (т.е. в том, как теили иные компоненты взаимодействуют друг с другом). Этопослужит началом для организации процессов инвентаризации программных и аппаратных
ресурсов (Asset Management)и управления уязвимостями
(Vulnerability Management). Этопозволит закрыть основные
лазейки для хакеров, а именно
уязвимые места инфраструктуры с учетом ее распределенности (ограничить сетевую доступность с нижних уровней).
Лучшие современные практики ИБ (NIST, ISO, нормативная база по ГосСОПКА, требования к мерам защиты отФСТЭК России и т.п.) также
рекомендуют включить в перечень основных ИБ-процессов
следующие:l инвентаризация программныхи аппаратных ресурсов, что позволит отслеживать измененияи выявлять появление новых
компонентов, которые припоявлении в инфраструктуре
могут порождать новые угрозы;l управление уязвимостями, т.е.
отслеживание наличия в системе уязвимых мест с регулярнымих закрытием (обновление ПО,смена прошивок и т.п.);l анализ событий и выявление
инцидентов (Event Management),необходимые для постоянного
мониторинга
запускаемыхв инфраструктуре процессов,которые могут быть нелегитимными, т.е. стать своего рода предпосылками для проведения атаки;l обработка инцидентов и реагирование на них (IncidentManagement): недостаточно просто выявлять инциденты, необходимо уметь оперативно реагировать на них для предупреждения дальнейшего проникновенияили дальнейшего заражения,в зависимости от типа атаки;l повышение квалификации
службы ИБ: группа реагирования на атаки должна обладать
актуальными знаниями о современных методах и способах
компьютерных атак для более
эффективного и оперативного
реагирования на новые вызовыи угрозы. Этому способствет
участие в киберполигонах, специализированных тренингах,курсах и пр.;l анализ эффективности принимаемых мер (контроль соответствия): без этого нельзя оценить правильность выбранного
вектора (стратегии). Данный
процесс необходимо автоматизировать, так как отслеживание
метрик выполнения мер в распределенных инфраструктурах
вручную занимает слишком
много времени и не позволяет
составить общую картину повсем организациям сразу.
Такимобразом,можновыстроить стратегию развитияИБ в организации и планомерно
достигать определенного уровня
зрелости. Сроки ее реализации
зависят от количества предприятий, входящих в холдинг, иот распределенности их инфраструктуры. А вот говорить о том,что процессы ИБ выстроены
эффективно, можно только наосновании конкретных резуль-татов. К измеримым параметрам могут относиться количество закрытых уязвимостейи угроз, количество выявленных
инцидентов, сроки реагированияна разные типовые атаки и пр.
Но в тех случаях, когда нанижнем уровне иерархии информационная безопасность "недозрела", специалистам, работающим на верхних уровнях инфраструктуры, необходимо иметь
возможность собирать информацию для мониторинга. Дляорганизации централизованного
мониторинга можно использовать различные инструменты,в частности специализированные
агенты и сканеры, которые способны собрать события ИБ, проанализировать сетевой трафик,проанализировать файлы наналичие вредоносного ПО, а вердикты отправить в центр длядальнейшего анализа и принятия
действий по реагированию.
Таким образом будет обеспечиваться автоматический сбори передача необходимых длявыявления атак данных снизу
вверх.

Практика показывает,что начать с выстраивания
ИБ-процессов на всех уровнях не получится. Причины
могут варьироваться от экономических до ресурсных.
Поэтому эффективнее
использовать унифицированный подход к кибербезопасности при иерархической
структуре, основанный наЧто делать,если "низы не могут"Рассмотрим более подробно,какие задачи предлагается
решать на разных уровнях иерархической структуры системы
кибербезопасности в тех случаях,когда процессы "внизу" строить
некому и некогда (см. рис.).
Практика показывает, чтоначать с выстраивания ИБ-процессов на всех уровнях не получится. Причины могут варьироваться от экономических доресурсных. Поэтому эффективнее использовать унифицированный подход к кибербезопасностипри иерархической структуре,использовании на нижних
структурных уровнях сенсоров. Это позволит обеспечить мониторинг ИБ, не упираясь в глобальную организацию ИБ-процессов в каждой филиальной структуре.

Типовая схема распределенной системы кибербезопасности

• 23

kuts 9/6/19 3:53 PM Page 24ТЕХНОЛОГИИ
Колонка редактора
Сегодня, в период,когда идет повсеместный отказ от традиционных клиентсерверных системс нативным толстым
клиентом,когдачетко проявляется
глобальный тренд наиспользование кроссплатформенных
решений или испольСергей Рысин, зование облаков,происходит трансэксперт поформация множества
информационной классических прилобезопасности
жений для работыв браузере. Как следствие, это дополнительным грузом ложитсяна плечи специалистов по информационной
безопасности. Можно отметить, что зачастуюсам по себе процесс разработки новых технологических решений проходит в спешке,с известной долей хаоса. Это вызвано желанием бизнеса не только хоть как-то поспеватьза конкурентами, но и вырываться вперед,отвоевывать большую долю на рынке. Положа руку на сердце, можно сказать, что в этотмомент о безопасности бизнес думает далеконе в первую очередь, и в итоге именно набезопасности зачастую экономят и финансовые, и временные ресурсы.
Поэтому в цикле статей по технологиям,которые тесно сопряжены с деятельностью
CISO, подразделений информационной безопасности и структур, обеспечивающих функционирование ИТ-инфраструктуры, будем
говорить о вновь возникающих проблемах
и, конечно, способах их решений. Авторы
опишут современные тенденции в области
информационной безопасности, механизмы,которые позволяют несанкционированно
получать доступ к конфиденциальной информации, технологии защиты периметра, способы построения информационной безопасности, способы выявления ошибок, допущенных при администрировании системы.

На этом мы не собираемся останавливатьсяи расскажем читателям нашей технологической рубрики о новых трендах в области
информационной безопасности, которыми снами поделятся специалисты из различных
направлений, это будут:l пентестеры, которые расскажут о передовых технологиях нападения и способах сбораи анализа информации, некоторые из которых разработаны с нуля для автоматизациии упрощения их работы;l руководители направлений, которые прошли со своими проектами по информационной безопасности путь от идеи до ее реализации, с последующим созданием продукта,благодаря которому компании успешно повышают свои доходы. Хотя безопасность никогда не была профилем этих организаций,они расскажут о том, как реализоватьи вырастить идею в полноценную технологию,способную заработать деньги для компании;l администраторы информационных систем
различного уровня, которые поделятся своими технологиями проверки как своей работы,так и своих помощников и контрагентовподрядчиков, способных нанести непоправимый урон одной командой COPY;l заказчики программного обеспечения,которым приходилось на своем опыте учиться проверять то, что им предлагают разработчики, иной раз погружаясь в чужиеи неизведанные технологии, о которых онирасскажут;l разработчики программного обеспечения,которые поделятся информацией о способах,которыми пользуются сами при проверке
кода на уязвимости, с целью улучшения
качества кода и повышения безопасности
конечного продукта;l другие члены ИБ- и ИТ-сообщества, участвующие в обеспечении функционирования
ИТ-инфраструктуры.
Для кого будет интересен этот цикл статей? Попробую сформулировать кратко: длятех, кто не хочет стоять на месте, для тех,кто хочет развиваться, учась не только насвоем опыте, но и смотря по сторонам. lоснованный на использовании нанижних структурных уровнях сенсоров. Это позволит обеспечить
мониторинг ИБ, не упираясь вглобальную организацию ИБ-процессов в каждой филиальной
структуре. Этапность работ приэтом следующая:l установка сенсоров кибербезопасности на нижних уровнях
инфраструктуры для сбора ипередачи данных в центры
мониторинга;l создание центров мониторинга кибербезопасности (такназываемый средний уровень)на базе крупных подведомственных организаций/филиалов для выявления атак, реагирования и их расследования;24 •l создание главного центра
кибербезопасности (так называемый верхний уровень) набазе головного офиса для консолидации данных, разработки
регламентов, помощи в реагировании на сложные атаки идля взаимодействия с государственными органами (правоохранительные
органы,НКЦКИ и т.п.).
На верхнем уровне располагается главный центр кибербезопасности, который консолидирует и визуализирует информацию, полученную из центров
мониторинга кибербезопасности, мониторит состояние ИБво всей организации, взаимодействует с государственными

органами (правоохранительные
органы, НКЦКИ и т.п.), отвечаетза разработку внутренних регламентов ИБ и политик безопасности. Соответственно распределяются и задачи, которые
решаются с помощью применяемых в главном центре кибербезопасности инструментов:l сбор информации об инцидентах и передача данныхв государственные органы (правоохранительные
органы,НКЦКИ и т.п.);l оценка эффективности ИБи уровня защищенности организации в целом и в отдельных
подразделениях;l контроль соответствия стандартам;l консолидация данных обуязвимостях и контроль ихустранения;l анализ записей сырого трафика и подозрительных файловдля расследования атак, которые были эскалированы изцентров мониторинга.
На среднем уровне располагаются центры мониторинга,которые могут в силу своих
компетенций решать задачи
мониторинга состояния ИБ науровне дочерних обществ организации и "внучек", обнаружения атак, оперативного реагирования и расследования, контроля
функционирования
средств защиты и сенсоров
кибербезопасности. В задачи
применяемых в центре мониторинга инструментов входит:l сбор и анализ информацииоб уязвимостях, контроль ихустранения;l корреляция событий ИБи выявление инцидентов;l построение топологии сетивсех подключенных к мониторингу инфраструктур;l анализ сетевого трафикаи подозрительных файлов длярасследования атак;l передача данных об атакахи уязвимостях в центр кибербезопасности.
На третьем (нижнем) уровне
располагаются подразделенияс инфраструктурами для мониторинга. Основной задачей
информационной безопасностина этом уровне является обеспечение бесперебойного функционирования сенсоров кибербезопасности (сканеров, агентов, анализаторов и т.п.). lВаше мнение и вопросы
присылайте по адресу

is@groteck.ru

safronov 9/6/19 3:52 PM Page 25

www.itsec.ruТЕХНОЛОГИИ

Дыра в SOP: баг или фича?
Илья Сафронов, пентестер, Practical Security Lab, itpsl.ru

S

ame Origin Policy (SOP), или по-русски принцип одного
источника, – один из столпов безопасности современных
браузеров. Многие клиентские приложения действуют отимени сторонних ресурсов. Например, браузеры “ходят”
по HTTP-редиректам – инструкциям от сервера, браузеры жепредоставляют Document Object Model (DOM) интерфейсыдля скриптов.

Если бы не существовало никакой
модели безопасности, приложения моглибы выполнять зловредные действия дляюзера или Web-ресурсов. Со временем
многие Web-технологии пришли к единой
модели безопасности, известной нам
как Same-Origin Policy.
По сути, SOP запрещает сторонним
скриптам обращаться к текущей вкладкев браузере путем проверки источника –Origin. Источник определяется комбинацией протокола, URL и порта:http:// + www.example.com + :80
Любой скрипт, пришедший с другого
Origin, не имеет права доступа к содержимому документа и его cookies. Зачемэто нужно? Представим себе ситуацию,когда скрипт из любой вкладки браузера имеет доступ к другим вкладкам.
В такой ситуации, один раз посетив
любой нехороший сайт, мы отдадимвсе свои cookies, а также все содержимое наших вкладок – переписки, картинки и т.д. Чтобы такого не происходило, все современные браузеры
используют SOP1.
Шло время, технологии развивались,и у разработчиков все чаще возникала
необходимость все-таки обращаться кдругим Origins. Простейший пример –когда сайт использует api, а api находится на другом домене и, соответственно, другом источнике. По умолчанию браузер не разрешит такой запрос.
И тут на помощь приходит CORS2.
С помощью CORS (Cross-Origin
Resource Sharing) ресурс может указать,какие сторонние источники (Origins)могут получить доступ к его содержимому. Оковы пали! Наконец-то разработчики могут пересылать всякое интересное между разными ресурсами.

Что может пойти не так?
В стандарте CORS описывается
довольно много заголовков для разных
целей, наиболее интересными для насвыглядят эти три:Access-Control-Allow-OriginУказывает, какие домены имеют
доступ к ресурсам текущего домена. То
1
2

https://tools.ietf.org/html/rfc6454
http://www.w3.org/TR/cors/есть если домен нужен-доступ.рф хочет
иметь доступ к домену можем-датьдоступ.рф, разработчики последнего
могут использовать этот заголовок.

Access-Control-Allow-Credentials
Указывает, будет ли браузер посылать
cookie вместе с запросом. Куки будут
отсылаться только если значение заголовка равно True.

Access-Control-Allow-MethodsУказывает, какие HTTP-методы (GET,
PUT, DELETE и т.д.) могут быть использованы для доступа к ресурсу.

Практика
Представим, что мы отправили воттакой запрос к сайту:GET /api/userinfo
Host: vlopate.com
Origin: vlopate.com
И в ответ получаем, среди прочего,следующее:HTTP/1.0 200 OK
Access-Control-Allow-Origin: *Access-Control-Allow-Credentials: trueЧто это значит?
Это значит, что vlopate.com отдает
информацию о пользователе любому
сайту. Все, что осталось, – это создать
зловредный ресурс, разместить на немкод, обращающийся к vlopate.com/api/userinfo, и заманить на этот ресурс пользователей. Все их данные принадлежат нам.
Допустим, разработчики все-таки задумались о безопасности и настроилиCORS, на запрос:GET /api/userinfo
Host: vlopate.com
Origin: vlopate.com
Мы получаем:HTTP/1.0 200 OK
Access-Control-Allow-Origin: vlopate.com
Access-Control-Allow-Credentials: trueИ все, казалось бы, хорошо, но разработчик был с похмелья и в настройках
бэкенда указал проверку следующим
образом:if($_SERVER['HTTP_HOST']=='*vlopate.com'):

access.granted()else:
raise.404()
Видите звездочку (*)? Это означает,что мы можем зарегистрировать домен
mi_ne_vlopate.com, и на наш запрос:GET /api/userinfo
Host: vlopate.com
Origin: mi_ne_vlopate.com
получим утвердительный ответ:HTTP/1.0 200 OK
Access-Control-Allow-Origin:mi_ne_vlopate.com
Access-Control-Allow-Credentials: trueЧерез неделю разработчики отошлиот празднования релиза и поправиликод на:if($_SERVER['HTTP_HOST']=='*.vlopate.com'):
access.granted()else:
raise.404()
тем самым разрешив доступ только
поддоменам.
Придется идти на крайние меры. Поиск
дает результат – найдена XSS на поддомене kartofel.vlopate.com. А это значит,при ее эксплуатации мы все равно получим доступ к данным vlopate.com, таккак наш скрипт работает от имени егоподдомена.

Какие выводы тут можно сделать?
При разработке внимательно относитесь к настройке CORS, также внимательно относитесь к нему при аудитахили багбаунти.
Для проверки могут помочь готовые
скрипты из github: https://github.com/
chenjj/CORScannerhttps://github.com/RUB-NDS/CORStest
Отмечу, что всецело на них полагатьсяне стоит, важные и интересные случаи
лучше дополнительно проверить руками.
Успехов! lВаше мнение и вопросы
присылайте по адресу

is@groteck.ru• 25kondrashin 9/6/19 4:31 PM Page 26

ТЕХНОЛОГИИКак серверы ElasticSearch используютдля организации DDoS-атакМихаил Кондрашин, технический директор в Trend Micro в России и СНГDДля организации мусорного потока имеются различные способы. Например,можно вывести из строя
Web-сервер, отправляя емумножество GET-запросов наодну или несколько страниц

DDoS-атаки – это настоящий бич современности. Несмотряна закрытие в 2018 году WebStresser 1 и еще 15 сайтовдля организации распределенных атак 2 , количество
инцидентов в первом квартале 2019 года выросло, причем
число длительных атак стало больше. Причина такого
расцвета в том, что организовать вполне серьезную атаку
можно буквально на коленке, собрав собственный ботнетиз достаточного количества подключенных к Интернету
устройств. Подойдут практически любые устройства,от умных чайников и камер видеонаблюдения до принтерови мощных серверов. Главное, чтобы прошивки, операционные
системы или доступные из Интернета сервисы содержали
известные уязвимости.

Совсем недавно был обнаружен вредоносный код, который
превращает в DDoS-ботнет серверы ElasticSearch3, – написанный на Java поисковый движокс открытыми исходниками. Егоиспользуют Wikimedia, Quora,SoundCloud, GitHub, Netflix, Amazon, IBM и др.
В этой статье мы рассмотрим
основные виды атак на отказ вобслуживании, выясним причины популярности движка ElasticSearch, расскажем, как серверы стали участниками ботнетов и как защититься от подобных инцидентов.

сайта или большое количество пакетов с запросами наустановку сетевого соединения (атака SYN-flood).
Для посетителя сайта обеатаки выглядят одинаково:ему не удается подключиться к серверу.

Что такое DDoS-атака
Аббревиатура DDoS расшифровывается как Distributed Denialof Service – распределенный
отказ в обслуживании. Во время
DDoS-атаки жертву атакуют
сотни и тысячи компьютеров,т.е. "все на одного". В случаес DoS-атакой нападение происходит в режиме "один наодин". Разумеется, эффективность распределенных атакзначительно выше.
Суть атаки сводится к тому,чтобы засыпать жертву мусорными запросами, которые она1неуспевает
обработать.
В результате легитимные клиенты не могут подключитьсяк системе, получая отказв обслуживании.
Для организации мусорного
потока имеются различные способы. Например, можно вывести из строя Web-сервер,отправляя ему множество GETзапросов на одну или несколько
страниц сайта или большое
количество пакетов с запросамина установку сетевого соединения (атака SYN-flood4).
Для посетителя сайта обеатаки выглядят одинаково: емуне удается подключиться к серверу.

Какие бывают DDoS-атаки
Если не слишком углублятьсяв технические детали, то атакина отказ в обслуживании
можно разделить на две большие группы.

Переполнение канала
связиСюда относятся все видыфлуда и другие атаки на сетевом и транспортном уровне
модели ISO/OSI (уровни 3 и 4).
Фактически атака создает боль-шой поток данных, целиком
заполняя канал. В результате
реальные
пользователи
лишаются доступа к сервисам.
Самая крупная атака из этойкатегории была зафиксированав феврале 2018 г.5. Ее целью
стал GitHub – популярный сервис для управления исходным
кодом. Мощность мусорного
потока составила 1,3 Тбит/с,была получена благодаря усилению потока с использованием
серверов memcached6, выполняющих кеширование интернеттрафика.

Перегрузка сетевого
сервисаЭто атаки на уровень приложений, уровень 7 модели
ISO/OSI. К данной разновидности относятся HTTP-флуд, медленные сессии и фрагментированные HTTP-пакеты.
Со стороны подобная атака
выглядит как резко возросшая
активность пользователей, создающая большое количество
запросов к Web-серверу илидругому сетевому сервису, которые нагружают процессор,вызывают обращения к базеданных и/или интенсивную

http://safe.cnews.ru/news/top/2018-04-27_fizicheski_razgromlen_krupnejshij_ddosservis_v
https://www.justice.gov/opa/pr/criminal-charges-filed-los-angeles-and-alaska-conjunction-seizures-15websites-offering-ddos
3
https://blog.trendmicro.com/trendlabs-security-intelligence/multistage-attack-delivers-billgates-setagbackdoor-can-turn-elasticsearch-databases-into-ddos-botnet-zombies/
4
https://ru.wikipedia.org/wiki/SYN-флуд
5https://www.cloudflare.com/learning/ddos/famous-ddos-attacks/
6
https://www.cloudflare.com/learning/ddos/memcached-ddos-attack/2

26 •kondrashin 9/6/19 4:31 PM Page 27

www.itsec.ruЗАЩИТА СЕТЕЙ

нагрузку на диск. Защититьсяот таких атак сложно, поскольку
практически невозможно отделить паразитный трафик отлегитимного.

Почему ElasticSearchпопулярен и почему
уязвим
Elasticsearch – это быстрый,горизонтально масштабируемый движок, в котором совмещаются возможности поисковой
системы и базы данных NoSQL.
Движок написан на Java и распространяется бесплатно полицензии Apache.
ElasticSearch умеет искать
документы различных типов,поддерживает многопользовательский поиск в режиме
реального времени. Одна изиз самых интересных возможностей продукта – способность
разделять поисковый индекс
на "осколки" (Shards), хранящиеся на различных серверах.
Это дает возможность практически неограниченно наращивать нагрузочную способность
системы.
Функциональность и бесплатность принесли ElasticSearchзаслуженную популярность исделали самым распространенным в Интернете поисковым
инструментом для предприятий.
По рейтингу DB-Engines ElasticSearch (рис.1) почти в два разаопережает своего ближайшего
конкурента Splunk7.
Обратная сторона богатого
набора возможностей ElasticSearch – сложность конфигурации системы. Результат – многочисленные сообщения обутечках данных компаний,использующих ElasticSearch:l в июне 2018 г. персональные
данные 340 млн американцев,собранные компанией Exactis,оказались в открытом доступе8из-за того, что база ElasticSearch, содержащая эти сведения, была доступна всем желающим;l в декабре 2018 г. в открытой
базе ElasticSearch обнаружились 60 млн записей с персональными данными избирателей США9, собранными канадской компанией Data & Leads;

Рис. 1. Рейтинг DB-Engines ElasticSearchРис. 2. CVE Detailsl в августе 2019 г. жертвой
утечки из базы ElasticSearchстала Honda Motor, оставившаяв открытом доступе 134 млнзаписей с конфиденциальной
информацией10.
Это лишь небольшая часть
инцидентов, связанных с неправильной конфигурацией ElasticSearch.
Впрочем, даже грамотная
настройка движка не гарантирует отсутствие проблем,поскольку в нем, как и в любой

сложной программной системе,обнаруживаются различные
уязвимости. Согласно CVE
Details (рис. 2), за период
с 2014 по 2019 г. в ElasticSearchвыявлено восемь уязвимостейс уровнем опасности вышешести по 10-балльной шкале11.
Некоторые из этих уязвимостей, обнаруженных в 2014
и 2015 гг., были исправлены
лишь в 2018 г. В списке присутствуют несанкционированное
исполнение кода и эскалация

7https://db-engines.com/en/ranking/search+engine
https://www.wired.com/story/exactis-database-leak-340-million-records/
9
https://hacken.io/research/industry-news-and-insights/new-data-breach-exposes-57-million-records/
10
https://rainbowtabl.es/2019/07/31/honda-motor-company-leak/11
https://www.cvedetails.com/vulnerability-list.php?vendor_id=13554&product_id=&version_id=&page=1&hasexp=0&opdos=0&opec=0&opov=0&opcsrf=0&opgpriv=0&opsqli=0&opxss=0&opdirt=0&opmemc=0&ophtt
prs=0&opbyp=0&opfileinc=0&opginf=0&cvssscoremin=6&cvssscoremax=0&year=0&month=0&cweid=0&order=
1&trc=45&sha=4bbd7797fbecb728bf20e4aecf6a382f285623e3
8• 27

kondrashin 9/6/19 4:31 PM Page 28ТЕХНОЛОГИИ

Рис. 3. Пример вредоносного запроса, который успешно выполняется на уязвимом
сервере ElasticSearch. Источник: Trend Microкриптовалюты, а затем скачивает скрипт второй стадии
s66.sh с подконтрольного злоумышленникам взломанного
сервера и запускает его навыполнение (рис. 4).
Скрип второй стадии также
пытается завершить процессы
межсетевого экрана и майнеров, удаляет файлы, относящиеся к конкурирующим криптомайнерам, завершает работу
нежелательных сетевых процессов и пытается очистить всеследы первоначального заражения. Выполнив эти операции,скрипт загружает исполняемый
файл вредоносного кода, который умеет похищать системную
информацию и запускать DDoSатаки. Как только он получит
управление, сервер становится
участником ботнета и послушно
атакует цели, на которые емуукажут
злоумышленники
(рис. 5).
Внедренный на сервер вредоносный код позволяет выполнять DDoS на уровнях 3 и 4,перегружая интернет-каналы
жертв с помощью UDP-, SYN- и
ICMP-флуда, атаки с усилением
(NTP, CoAP, Memcached) и других способов.

Как защититься

Рис. 4. Скрипт первой стадии. Источник: Trend MicroВ июле 2019 г. исследователи компании Trend Microзафиксировали многочисленные атаки на серверы
ElasticSearch, результатом
которых становилось превращение этих серверовв участников ботнета дляорганизации DDoS-атак.

привилегий – чрезвычайно
удобные инструменты длякиберпреступников.
В июле 2019 г. исследователи
компании Trend Micro зафиксировали многочисленные атакина серверы ElasticSearch, результатом которых становилось превращение этих серверов в участников ботнета для организации
DDoS-атак. Успех атакам обеспечила уязвимость CVE-20151427 в Groovy ElasticSearch,обнаруженная в версиях движка
1.3.0–1.3.7 и 1.4.0–1.4.2.

Успех атакам обеспечила
уязвимость CVE-2015-1427
в Groovy ElasticSearch, обнаруженная в версиях движка
1.3.0–1.3.7 и 1.4.0–1.4.2.

Как происходит захват
сервера
Атака начинается с обнаружения подходящих серверов
ElasticSearch. Для этого исполь-

12
13

28 •

зуется специально сконструированный поисковый запрос свнедренными Java-командами
(рис. 3).
Если сервер уязвим, команды
выполняются, загружая следующий скрипт с домена злоумышленников, причем домены
постоянно меняются.
Загруженный скрипт s67.shпытается "убить"» процессы
межсетевого экрана и майнеров

Обнаруженная Trend Microатака в очередной раз демонстрирует, насколько важно поддерживать в актуальном состоянии свои цифровые активы,устанавливая все обновления,выпущенные разработчиком.
В случае с ElasticSearchобновленные версии 1.4.3 и
1.3.8 с исправленной уязвимостью были выпущены еще вфеврале 2015 г.12. Успешная
эксплуатация этой уязвимостив середине 2019 г. говорит лишьо халатном отношении администраторов серверов к своим
обязанностям.
Документация по ElasticSearch содержит подробные
рекомендации по настройке
безопасности движка13. Ихвыполнение позволяет легко

ElasticSearch умеет искать документы различных типов,поддерживает многопользовательский поиск в режиме
реального времени. Одна из из самых интересных
возможностей продукта – способность разделять поисковый
индекс на "осколки" (Shards), хранящиеся на различных
серверах. Это дает возможность практически неограниченно
наращивать нагрузочную способность системы.

https://www.elastic.co/blog/elasticsearch-1-4-3-and-1-3-8-released
https://www.elastic.co/guide/en/elasticsearch/reference/current/configuring-security.html

kondrashin 9/6/19 4:31 PM Page 29

www.itsec.ruЗАЩИТА СЕТЕЙ

обезопасить сервер от посторонних с помощью аутентификации через Active Directory,
Kerberos и LDAP, настройки
аудита действий пользователейи распределения ролей между
ними.
В качестве дополнительного
уровня защиты от ошибок администрирования можно рекомендовать решения, базирующиесяна машинном обучении и поведенческом анализе. Современный ландшафт киберугроз
постоянно меняется, поэтому
эффективными могут бытьлишь адаптивные гибридные
системы, способные обнаружить новые разновидности вредоносного ПО и заблокировать
атаки.

Все может быть серьезнее,чем DDoS

Рис. 5. Фрагменты кода вредоноса. Синим цветом выделены классы дляорганизации различных видов DDoS-атак. Источник: Trend Microнимные хакеры, но и конкурирующие организации. "Уронив"сайты и сервисы успешного бизнес-соперника, можно лишитьего заработка, нанести репутационный и финансовый ущерб
либо обрушить биржевой курсего акций, чтобы скупить подешевке контрольный пакет изахватить управление. Другой
вариант – использовать DDoSатаки в качестве отвлекающего
маневра при внедрении винфраструктуру жертвы дляхищения денег или бизнес-секретов.
Какую цель на самом делепреследуют организаторы бот-В качестве дополнительного уровня защитыот ошибок администрирования можно рекомендовать
решения, базирующиеся на машинном обучениии поведенческом анализе. Современный ландшафт
киберугроз постоянно меняется, поэтому
эффективными могут быть лишь адаптивные
гибридные системы, способные обнаружить новые
разновидности вредоносного ПО и заблокировать
атаки.

нета из серверов ElasticSearch, покажет ближайшее
будущее. lВаше мнение и вопросы
присылайте по адресу

is@groteck.ruРеклама

Современные киберпреступники ориентированы на быстрое
получение прибыли, а потому
ищут легкие мишени для достижения своих целей. К сожалению, популярность серверов
ElasticSearch и беспечностьих администраторов превратилаих в удобные плацдармы дляразличных вредоносных действий, поставив в один рядс устройствами IoT.
Многоступенчатый характер
атаки, обнаруженной Trend
Micro, кодирование URL-адресов серверов и взлом легитимных сайтов для размещения
вредоносных скриптов позволяют предположить, что этолишь разведка, проверка хакерского инструментария и подготовка инфраструктуры дляболее серьезных атак, чембанальный DDoS.
Атаки на отказ в обслуживании можно рассматривать каккибероружие, воспользоваться
которым могут не только ано-• 29

lukatsky 9/6/19 4:43 PM Page 30ТЕХНОЛОГИИ

Успех внедрения биометрии
зависит от того, как выстроен
процесс повышения осведомленности
Алексей Лукацкий, бизнес-консультант по информационной безопасности

Ядостаточно пристально слежу за сферой биометриии за последнее время сделал несколько достаточно
интересных наблюдений.
Эта тематика очень важна и для России, где Единую
биометрическую систему (ЕБС) насаждают достаточно
активно, невзирая на неочевидные преимущества этойсистемы для ее конечных пользователей – банков.

Подчеркну особо, чтоя не говорю о биометриикак таковой. Она вполне
себе применяется накорпоративном уровне,и очень неплохо. Нокогда речь заходито проектах национального масштаба, картина вдруг меняется
и, казалось бы, очевидные преимущества перестают бытьтаковыми.

Положительный опытМногие успешные проекты сегодня рассматривают биометрию не какосновной, а как вспомогательный способ идентификации и, как правило,в некритичных кейсах.
Например, та же идентификация по голосу в центрах
обработки вызовов позволяет сократить время наобслуживание клиентов,что дает вполне серьезную
экономию. Но как механизм
безопасности она не рассматривается.

Возьмем недавний инцидент,произошедший в Китае, гдебиометрическая система выявила убийцу, который пытался
получить деньги своей жертвы,подставив под видеокамеру ее
труп. Система быстро распознала отсутствие признаков
жизни и просигнализировалаоб этой аномалии уполномоченным сотрудникам, которыеи подтвердили, что на видеоизображении мертвый человек.
Дальше последовал сигнал правоохранительным
органам,которые быстро скрутили убийцу, признавшегося в содеянном.
Вот он, яркий пример того, какможетработать
системав финансовой сфере.
Или, например, "Аэрофлот",который внедрил распознавание голоса в своем кол-центреи тем самым снизил нагрузкуна операторов и их число, взявна автоматизированный контроль первоначальный контактс клиентами. Тоже положительный опыт.

Обход системыС другой стороны, на прошедших в августе в США конференциях Black Hat и DefConбыло несколько докладов о том,30 •Вопрос № 1
Тратятся миллионы рублей,но где отдача от этойсистемы?

как можно обойти системы биометрической идентификациии выдать себя за другого человека. И эти две американские
конференции – не единственные, кто уделяет внимание
взлому биометрии.
Самым ярким примером,пожалуй, я бы назвал проект
DeepFake, который в шутку позволял менять лицо людей навидеоизображениях на любое
другое. Так появились смешные
ролики с Николасом Кейджем,который "превращался" тов гнома, то в женщину, то в сказочного героя, при этом качество подмены было достаточно
высоким. Лицо Кейджа, а заним и многих других знаменитостей, делало все то, что изначально делал оригинал: так жеговорило, так же менялась
мимика, так же двигались губы.
Потом стали появляться и аналогичные приложения, которые
подменяли личность на более
профессиональном уровне. Этоявление в целом получило
название Deepfake.

В чем проблема ЕБС?
И вот тут я бы хотел вновь
вернуться к ЕБС. С ней не всетак просто. В утвержденной
Банком России и согласованнойс ФСБ России модели угроз яне нашел в явном виде упоминания угроз, аналогичных Deepfake, собственно, как и многим
другим угрозам, присущим биометрии. И при этом банки обязаны внедрять у себя компоненты ЕБС, не имея возможно-сти отказаться. Тратятся миллионы рублей, но где отдача отэтой системы?
Альфа-Банк недавно заявил,что потратил на внедрение ЕБС$1,5 млн, но никакой отдачи невидит. Банк России обязал всехсвоих сотрудников сдать биометрические данные для ЕБС.
Вообще число граждан России,которые их сдали, измеряется
долями процента от целевой
аудитории. Почему так?

Вопрос № 2Число граждан России,которые сдали своибиометрические данные,измеряется долями
процента от целевой
аудитории. Почему так?

Вроде бы у системы есть очевидные преимущества – онапозволяет получать финансовые услуги, не выходя из дома.
Но… Оказалось, что там, где уграждан есть деньги, а этообычно крупные города, им несоставляет большого труда
прийти в офис банка и совершить нужную операцию. А там,где удаленная идентификация
действительно могла бы сэкономить на посещении банковских отделений, денег нет. Нопризнавать такой просчет никтоне хочет, и ЕБС по-прежнему
навязывают всем банкам, дажене видящим в этом никакой
бизнес-отдачи.

Чья ответственность?
Есть и еще одна проблемас ЕБС. Дело в том, что до сихпор открытым остается вопрос:а кто несет ответственность завсе происходящее в ЕБС? Ктоотвечает, если кто-то взломал

lukatsky 9/6/19 4:43 PM Page 31

www.itsec.ruКОНТРОЛЬ ДОСТУПА

Вопрос № 3
Кто несет ответственностьза все происходящеев ЕБС?

ЕБС и внес в нее коррективыили вовсе украл исходные биометрические данные граждан?
Банк России? Он дистанцируется от этого. Банк, собирающий биометрию? Так он ее нехранит. Ростелеком? Он тожене хочет брать на себя эту роль.
В итоге ключевой вопрос
любой системы безопасности
("кто крайний?") остается безответа. Это также не вызывает
оптимизма, но уже у обычных
граждан, в среде которых циркулирует слух, что ЕБС затевалась не для оказания финансовых услуг дистанционным способом, а для сбора биометрических данных граждан Россиив целях идентификации неблагожелательных личностей навсяких митингах, в местах массового скопления людей, ну и,конечно, для борьбы с терроризмом и экстремизмом. Ктото даже говорит о том, что Россия хочет внедрить систему
социального рейтинга, аналогичную той, которая запускаетсяв Китае, и которая завязана набиометрическую идентификацию граждан.

Удаленная идентификация
= личное присутствие?
Третья
проблема
ЕБС,с которой столкнулись банкив процессе ее внедрения,заключается в том, что до сихпор нет ответа на вопрос,можно ли считать удаленную
идентификацию равнозначной
той, которая происходит привыполнении транзакций приличном присутствии. В последнем случае клиент всегда ставит свою подпись собственноручно, и это является серьезным доказательством при разборе конфликтных ситуаций,и особенно в суде. А вот какдоказать, что клиент осознанно
согласился с какой-либо дистанционно проведенной операцией? Что является доказательством прохождения идентификации и аутентификации?
Логи ЕБС?
В условиях несложившейся
судебной практики этот вопрос
сильно волнует банковских юристов и рисковиков, которые покане знают, как описывать процессы, связанные с физическим
отсутствием человека присовершении банковских опера-ций. То есть вновь возникает
ситуация: закон разрешил удаленно идентифицироваться, нодетально никто не расписалв нормативных актах, как осуществляется данное действиев рамках существующих процессов. И это еще один барьер
для, казалось бы, отличной технологии, которая призвана сэкономить людям деньги, времяи нервы.

Процесс адаптации
Когда в корпоративной среде
внедряется какое-либо новое
решение, всегда есть процесс
адаптации, когда сначала
можно пользоваться и старыми,и новыми методами. Затем
постепенно старые подходы
замещаются, но все это сопровождается активной работой поповышению осведомленности
сотрудников: что это, зачем,как пользоваться, кому задавать вопросы и т.п. Ну, по крайне мере, у нас это так.
Тогда внедрение проходит
безболезненно и с наименьшими "потерями" (недовольные
всегда будут, но число ихнезначительно). В случае с ЕБС,к сожалению, регуляторы самоустранились от процесса разъяснения всех нюансов работыс этой системой. Производители
решений для нее тупо продвигают свои продукты под соусом“Вы обязаны купить, иначе васнакажет регулятор”.

Вопрос № 4
Кто отвечает, если кто-товзломал ЕБС и внес в неекоррективы или вовсе
украл исходные
биометрические данные
граждан?

Вот у потребителя и возникает в такой ситуации отторжение того, что могло бы действительно стать уникальным
проектом даже в международном масштабе, где биометрияна национальном уровне преимущественно реализуется
только для идентификации
граждан по паспорту с биометрическим чипом. Но увы,пока проект буксует, чего нескажешь о корпоративном секторе, где существует немало
примеров успешных внедрений систем биометрической
идентификации по голосу,изображению лица или инымбиометрическим признакам,которых насчитывается парадесятков.

Защита биометрии
Правда, и в этом случае
тоже не стоит думать, что этопанацея, которая решает всепроблемы. Достаточно просто
помнить, что подобранный
пароль или украденный токен
можно легко заменить, а вотутекший биометрический профиль (особенно если он хранился в "сыром" виде, а нев виде свертки) заменить
будет проблематично. Поэтомукак никогда важна проработка
вопросов защиты биометрииот различных угроз, и криптография составляет примерно
10% от общего числа защитных механизмов, которые
должны применяться в этомслучае.

Вопрос № 5
Как доказать, что клиент
осознанно согласился скакой-либо дистанционно
проведенной операцией?

Отсутствие "крайнего"также не вызывает оптимизма, но уже у обычных граждан, в среде которых цирку-Именно поэтому многие успешные проекты сегодня рассматривают биометрию не как основной, а как вспомогательный способ идентификации и, как правило, в некритичных кейсах.
Например, та же идентификацияпо голосу в центрах обработки
вызовов позволяет сократить
время на обслуживание клиентов, что дает вполне серьезную
экономию. Но как механизм безопасности она не рассматривается. Чтобы сделать ее таковой,придется не только составить
правильную
модель
угрози выбрать соответствующее техническое решение (которое в томчисле умеет бороться с Deepfake), но и проработать вопросы
защиты вокруг него, а также,что еще важнее, грамотно вписать биометрию (особенно еслиона удаленная) в существующие
процессы и разработать процедуру разбора конфликтных
ситуаций. Без этого внедрение
биометрии на скорую руку и впопыхах может сформироватьу людей стойкое убеждение, чтобиометрии доверять нельзя.
А это – недопустимо! lлирует слух, что ЕБС затевалась не для оказания
финансовых услуг дистанционным способом, а длясбора биометрических данных граждан России в целях
идентификации неблагожелательных личностей навсяких митингах, в местах
массового скопления людей,ну и, конечно, для борьбыс терроризмом и экстремизмом.

Вопрос № 6
Что является
доказательством
прохождения идентификациии аутентификации?

Ваше мнение и вопросы
присылайте по адресу

is@groteck.ru• 31konyavsky_NEW 9/9/19 2:38 PM Page 32ТЕХНОЛОГИИ

Удаленная идентификация/аутентификацияс использованием биометрии
Валерий Конявский, зав. кафедрой “Защита информации” МФТИ, д.т.н.

МПриемы идентификации
существенно зависят отцелей, которые могут характеризоваться как криминалистические и технологические.
Криминалистическая
идентификация выполняется, как правило, на доверенном оборудовании, безсотрудничества с идентифицируемым объектом. Идентификация в техническойир внезапно изменился – и все прежние наработки в области
технической защиты информации резко, более чемнаполовину, потеряли свою актуальность. Корпоративные
системы, конечно, остались, но появились новые, открытые
компьютерные системы цифровой экономики. И онинемедленно стали важнейшими, а методов защиты их нет.
“Здесь и сейчас” – вот лозунг цифровой экономики.
Но как понять, где и когда, если на пути к этому стоит
полное отсутствие методов идентификации в открытой среде?
А ведь нужно знать, кому мы оказываем услугу.
Как применять криптографию, если пользовательские
устройства недоверенные? На какую нормативную базуопираться, если для открытых систем ее нет совсем?

Все меры по защите информационных систем до настоящего времени неявно формулировались для корпоративных,замкнутых систем. Состав такой
системы известен: какие компьютеры в нее входят, как онизащищены, где расположены
и т.д. Понятны связи между
узлами и характеристики передаваемых данных, что позволяет принять решение о криптографической защите данных.
Легальные участники системы
также известны, а это дает возможность эффективно их идентифицировать с использованием доверенных средств вычислительной техники (СВТ). И вэто время все радикально изменилось.

защите информации выполняется в предположении,что субъект готов к сотрудничеству.
Все исследования в области технической защиты
информации до последнего
времени проводились с учетом того, что мы работаемс корпоративными системами, границы которых точно
известны. В этих границах
всегда можно обеспечить
достаточный уровень защищенности, базирующийсяна доверенности СВТ, включенных в состав системы.

Новый мирВ компьютерах появились
неотчуждаемые средства реинжиниринга (например, IME),которые позволяют перехватить
управление
компьютеромв любой момент и в любой
момент получить любые данные, размещенные на его технических средствах. И эти угрозы не блокируются ни одним изизвестных средств защиты.
Системы преимущественно
становятся открытыми, а сделать все СВТ в открытой системе защищенными невозможно.
Если мы и понимаем, какидентифицировать участников
информационного взаимодействия в закрытых системах, тов открытых системах доверенных методов пока нет. И таккак смартфоны всегда будут
недоверенными, то методы
идентификации должны стать
совершенно другими. Мы предложим новый метод биометрической идентификации, основанный на рефлекторных реакциях человека и интерактивности процедур.
Приемы
идентификации
существенно зависят от целей,которые могут характеризоваться как криминалистическиеи технологические.
Криминалистическая идентификация выполняется, какправило, на доверенном оборудовании, без сотрудничествас идентифицируемым объектом. Идентификация в технической защите информации
выполняется в предположении,что субъект готов к сотрудничеству.
Все исследования в области
технической защиты информации до последнего времени проводились с учетом того, что мыработаем с корпоративными
системами, границы которых
точно известны. В этих границах
всегда можно обеспечить достаточный уровень защищенности,базирующийся на доверенности
СВТ, включенных в состав
системы.
В открытой же системе этого
добиться невозможно. Обращаясьза госуслугами, телемедицинскими консультациями, услугами бан-ков, услугами в секторе B2C,
граждане всегда будут пользоваться смартфонами, о доверенности которых говорить не приходится. Такой доступ неизменно
будет самой легкой добычей длявсех видов атак с использованием
вредоносного ПО.
В этих условиях можно развивать систему в двух направлениях: перенести всю тяжесть
защиты на центр и отказатьсяот использования надежной
криптографической защиты придоступе к сервисам (например,банка) с мобильных устройств
пользователей или/и строить
распределенную, "иммунную"систему защиты, обеспечивающую приемлемый уровень
защищенности клиентских транзакций даже при недоверенном
оборудовании.
Первое направление очевидно, и многие идут по этому
пути, полагая, что риски поканевелики и такими же останутся в дальнейшем. Очевидно, что это не так. Брешь взащите всегда находится и эксплуатируется преступниками.
Брешей в защите следует
избегать.
Второе направление ещеждет своих исследователей.
Основой эффективных решений могут стать системы мультимодальной биометрической
идентификации с использованием динамики рефлекторных
реакций. Статья посвящена
последним1.

1
Из соображений краткости в тексте минимизированы ссылки на литературу, развернутый обзори ссылки можно увидеть в [1].

32 •konyavsky_NEW 9/9/19 2:38 PM Page 33

www.itsec.ruКОНТРОЛЬ ДОСТУПА

Естественность и простота
Биометрическая идентификация представляется естественным механизмом идентификации (аутентификации) дляоткрытых систем. Биометрические параметры неотъемлемыот человека, и поэтому соблазн
использовать их объясним.
Об эффективности биометрии свидетельствует огромный
опыт применения для идентификации самых разных модальностей: радужной оболочки
глаза, папиллярного узора,рисунка сосудистого русла,формы лица, ладони, голоса,состав генома и др. Эти биометрические модальности хотяи избыточны, но предельно просты: они или статичны, илиусловно статичны. Более того,если снимаемые приборами
характеристики не инвариантны2, то исследователи зачастую
пытаются свести их к инвариантам3 в попытке упростить
последующий анализ.
В силу простоты и статичности эти модальности легко
воспроизводятся и моделируются, что не только не снижает риски ошибочной идентификации, но и позволяет
влиять на ее результаты. Традиционные (инвариантные)биометрические модальностине обеспечивают и не могут
обеспечить достаточный уровень доверия к результатам
идентификации на недоверенном устройстве.
Успешный же опыт применения биометрии связан не с визуальной и/или приборной идентификацией, а только с криминалистической, где в базах данных никто отпечатки не подменит, гражданин не наденет прирегистрации отпечатков перчатку и не передаст ее потом злоумышленнику, а средства идентификации, используемые полицией, – доверенные.
Любые результаты идентификации, если они будут полученына недоверенных (обычных)устройствах (смартфонах, планшетах), легко подделать (подменить), что дискредитирует
саму идею применения биометрии в юридически значимом
информационном взаимодействии.
Простота подделки статических биометрических модаль-ностей сегодня осознана, и операторов идентификации наоснове биометрических данных
начинает интересовать вопрос"А нельзя ли повысить ее достоверность за счет использованияне одной, а нескольких биометрических
характеристик?",т.е. за счет мультимодальностина этапе принятия решения.
Для независимых модальностей вероятности ошибок (какпервого, так и второго рода) перемножаются, что объясняет целесообразность многофакторных
(мультимодальных) решений ипозволяет обеспечить достаточный уровень доверенности. Независимость при этом понимаетсякак независимость характеристики независимость каналов.

Почему улучшенияне помогают
Предположительно, биометрические характеристики человека нельзя считать независимыми уже хотя бы потому, чтоони принадлежат одному человеку. Во всяком случае, независимость не доказана и, скорее всего, не изучалась. Уже всвязи с этим гипотеза о повышении уровня доверия прииспользовании мультимодальностей не очевидна и требует
серьезного изучения.
Еще более наглядной является необходимость в независимости каналов, а в нашем случае канал один, он формируется
клиентским терминалом (смартфоном) и Интернетом. Конечно,ни о какой независимости здесь
даже не может идти речь.
Таким образом, использование статических параметров дляповышения
достоверности
идентификации с использованием недоверенного устройства
практически нецелесообразно.
Одним из решений проблемы
подделки (подмены) статических (инвариантных) биометрических параметров является
проверка активности и разумности субъекта в дополнениек проверке биометрических
показателей. Однако на недоверенном устройстве злоумышленник-человек может пройти
тесты, контролирующие интеллект, а биометрические характеристики подменить.
В одной из статей в этомжурнале [2] мы уже приводили

Предположительно, биометрические характеристики
человека нельзя считать независимыми уже хотя быпотому, что они принадлежат одному человеку. Вовсяком случае, независимость не доказана и, скорее
всего, не изучалась. Уже в связи с этим гипотеза оповышении уровня доверия при использовании
мультимодальностей не очевидна и требует
серьезного изучения.

сравнение задач, средств и данных, необходимых для решения
задачи идентификации в криминалистике и в цифровой экономике.
Вышло, что эти процессы полностью различны.
Не совпадают:l объекты идентификации;l их одушевленность/неодушевленность;l заинтересованность объекта
идентификации в ошибке;l желательный для объекта
идентификации результат;l характер участия объектав процессе идентификации.
При этом противоположными
являются:l контролируемость инструмента субъектом;l доверенность среды идентификации;l значимость того, жив ли объект идентификации;l значимость согласия объекта
идентификации с результатом
идентификации;l заинтересованность объекта
идентификации в подтверждении гипотезы субъекта.

Успешный же опыт применения биометрии связанне с визуальной и/или приборной идентификацией,а только с криминалистической, где в базах данных
никто отпечатки не подменит, гражданин не наденетпри регистрации отпечатков
перчатку и не передаст еепотом злоумышленнику,а средства идентификации,используемые полицией, –доверенные.
Любые результаты идентификации, если они будут
получены на недоверенных

Физиология движений

(обычных) устройствахДля устранения уязвимостей,связанных с простотой подмены
измерений на недоверенных
устройствах, необходимо отстатических показателей перейти к динамическим типа "стимул –реакция" со сложной динамикой
связи. Динамическим звеном,чрезвычайно сложным на сегодняшний день для моделирования, являются нервная и вегетативная системы человекаи связанные с этим особенности физиологии движений.
В частности, индивидуальными
оказываются непроизвольные
реакции на внешние стимулы(в частности, аудио- и видеораздражители).
Предположительно реакцияна стимулы может быть зафиксирована датчиками клиентского устройства, обработанас помощью методов искусствен-(смартфонах, планшетах),легко подделать (подменить), что дискредитирует
саму идею применения биометрии в юридически значимом информационном взаимодействии.

2Например, голос существенно зависит от состояния мягких тканей, т.е. при насморке может
сильно измениться.
3Например, к зависимости только от твердых тканей – добиваясь инвариантности, но уменьшая
информативность (сложность).

• 33

konyavsky_NEW 9/9/19 2:38 PM Page 34

ТЕХНОЛОГИИ
ного интеллекта, например
искусственных нейронных сетей,что позволит определить источник потоков данных и повысить
достоверность идентификации.
Совокупность
нескольких
биометрических модальностей
нужно дополнить анализом хотябы одной физиологической
(рефлекторной) реакции, чтоповысит достоверность биометрической идентификации иобеспечит решение задачи
виталентности.
На недоверенном клиентском
терминале несложно подделать

клетки рецепторов "утомляются"и "подменяются" в процессе саккадических движений. Эти движения характеризуются высокой
сложностью. Достаточно отметить, что движениями глаз управляют семь мышц (!) и мышцы,ответственные за саккадические
движения, являются самыми
быстрыми. Многообещающим
представляется изучение рефлекторной составляющей саккад,а также (может, и в первую очередь)процессы
фиксациии регрессии при чтении.

Пульсовая волна
Основная особенность, обеспечивающая
безопасность идентификации на недоверенном
устройстве, состоит в интерактивности: никлиентский терминал, ни центр сами по себе невыполнят идентификацию. Процедура существенно
интерактивна, что и позволяет генерацию стимулаи принятие решения отнести к доверенному центру,а съем информации осуществлять на принадлежащем
клиенту персональном устройстве.

Основой нового подхода
является гипотеза о том, чтозависимость реакций человека на внешние стимулы
существенно зависит от когнитивных и кинезиологических особенностей человека, носит динамический
характер и отражаетсяв измерениях в достаточнойдля анализа степени.

голос, лицо, подменить отпечатки
пальцев и рисунок сосудистого
русла, сымитировать движение
глаз. Но если в качестве биометрического признака использовать реакцию на раздражитель, то изменения этих модальностей при реальном источнике
должны быть согласованными, ипоэтому подделать потоки данных будет почти невозможно,т.к. для согласования поддельных
данных нужна модель реакций
конкретного человека, что нереально ввиду высокой сложности
такой модели.
На сегодняшний день психомоторные реакции человека
исследуются, как правило, насложном лабораторном медицинском оборудовании в контролируемых условиях. Однако,исходя из параметров современных и перспективных технических средств (смартфонов), с их помощью среди динамических
биометрических
характеристик человека представляется возможным зафиксировать по крайней мерехарактеристики
пульсовой
волны, динамику изменения
диаметра зрачка, динамику
слежения взглядом за стимулом на экране. Для этого
достаточно на смартфоне
иметь камеру и вспышку
(фонарик), а также сенсорный
экран.

Движения глазПерспективным
является
изучение движения глаз. Глазне может быть неподвижным,34 •Изучение пульсовой волны
предположительно позволит
выделить реакцию сердца –изучить вариабельность сердечного ритма. Это тем более
важно, что для жизнедеятельности организма сердце важнее
зрения и регулирование осуществляется более "старыми"(и, таким образом, более стабильными) механизмами, в томчисле ЦНС и вегетативной
системой. При этом уровни регулирования могут менятьсяв зависимости от многих факторов, что позволяет считать
механизм достаточно сложнымдля моделирования.
В качестве внешних раздражителей можно использовать
имеющиеся у смартфона возможности: звук, цвет, свет, вибрацию, отображение текста(в том числе со случайным
изменением числа пробелов).
Основой нового подхода
является гипотеза о том, чтозависимость реакций человекана внешние стимулы существенно зависит от когнитивныхи кинезиологических особенностей человека, носит динамический характер и отражаетсяв измерениях в достаточнойдля анализа степени.

Принципиальные
особенности системы
"стимул – реакция"1. Нервная система человекакак связующее звено между
стимулом и реакцией. Еслик симуляции интеллекта ужедостаточно много подходов, торабот по симуляции деятельности нервной системы практически нет. Нервные системы
людей крайне сильно отличаются друг от друга и сложны длямоделирования. В отличие отинтеллектуальных задач у нервной системы нет "правильного
ответа", которому бы можно
было научить машину.

2. Случайные, неповторяющиеся стимулы. Такой подход
позволит принципиально исключить возможность воспроизведения ранее записанных реакций пользователя, т.е. подлога
первичных данных.
3. Обработка пары "стимул –реакция" может производитьсяна удаленном доверенном
устройстве.
При этом:l недоверенность клиентского
терминала не влияет на результаты, т.к. генерация стимула ианализ реакции выполняютсяна отчужденных доверенных
ресурсах. Искажение реакциине даст возможности злоумышленнику получить нужный длянего результат;l перехватывать стимул нетсмысла, т.к., зная стимул, невозможно сгенерировать реакциюв силу отсутствия модели человека;l извлечь параметры нейронной
сети путем ее тестированияв заданных условиях невозможно, а акты идентификации
постоянно уточняют параметры
нейронной сети, и поэтому дажетотальное наблюдение не позволит в полной мере воспроизвести сеть.
Нетрудно видеть, что основная особенность, обеспечивающая безопасность идентификации на недоверенном устройстве, состоит в интерактивности: ни клиентский терминал,ни центр сами по себе не выполнят идентификацию. Процедура
существенно интерактивна, чтои позволяет генерацию стимулаи принятие решения отнестик доверенному центру, а съеминформации осуществлять напринадлежащем клиенту персональном устройстве. lЛитература
1. Бродский А.В., Горбачев В.А.,Карпов О.Э., Конявский В.А.,Кузнецов Н. А., Райгородский
А.М., Тренин С.А. Идентификация в компьютерных системах
цифровой экономики // Информационные процессы. Том 18. –№ 4. – 2018. – С. 376–385.
2. Конявский В.А. Новая биометрия. Можно ли в новой экономике применять старые методы?
//Information
Security/Информационная безопасность. – 2018. – № 4. –
С. 34–36.
Ваше мнение и вопросы
присылайте по адресу

is@groteck.ruРеклама

Sicurezza 9/6/19 3:51 PM Page 35

gukov 9/6/19 3:51 PM Page 36ТЕХНОЛОГИИ

Dual EC – криптографический
стандарт с лазейкой
Алексей Жуков, председатель совета Ассоциации “РусКрипто”Александра Маркелова, технический директор ООО НТЦ “Альфа-Проект”, к.ф.-м.н.

Мы рассмотрим историю генератора псевдослучайных чисел
Dual_EC_DRBG (Dual Elliptic Curve Deterministic Random
Bit Generator), ставшего в свое время федеральным
криптографическим стандартом в США и продвинутогов международные криптографические стандарты. Несмотряна огромное количество работ, содержащих его серьезнейшую
критику, данный стандарт просуществовал как часть
стандартов ANSI и ISO/IEC с 2006 по 2015 г. По всеобщему
мнению криптографических экспертов (не подтвержденному,однако, на официальном государственном уровне), этоталгоритм содержит лазейку, позволяющую владельцу ключак лазейке вычислять по выходу генератора его внутреннее
состояние, а затем предсказывать вырабатываемые им числа.

Обстоятельства,сопровождавшие процесс утверждения этого
алгоритма в качестве
криптографи ч е с к о г остандарта на национальном и международном
уровне, а также рольАНБ в этом процессе
лишь укрепляют убеждение, что в данном случаемы имеем дело с успешной реализацией давней
идеи государственных
структур США о внедрении лазеек в криптоалгоритмы, являющиеся государственными (а еще лучше – международными) криптографическими стандартами [1].
АНБ – Агентство национальной безопасности США(National Security Agency –NSA) – специализированный
орган в системе министерства обороны США, осуществляет разведывательные
функции в электронных коммуникационных сетях, атакже защиту американских
правительственных и ведомственных закрытых линий
связи. АНБ располагает
широко разветвленной
сетью пунктов подслушивания, радиоперехвата ирадиопеленгации, расположенных во многих районах
земного шара.

36 •История Dual EC:появление,стандартизация,модификация, отмена
Следует сразу сказать, чтомыприводим
историю
Dual_EC_DRBG (Dual EC – длякраткости) в той степени, в которой она известна общественности, т.е. пользуясь материалами, опубликованными воткрытой печати. Сам алгоритмбыл впервые представлен насеминаре NIST по генерации
случайных чисел в 2004 г. у как"теоретико-числовой генератор", использующий вычисленияв группе точек эллиптической
кривой [2].
Надо сказать, что генераторы
случайных и псевдослучайных

чисел (далее – ГСЧ и ГПСЧ)являются важнейшими криптографическими примитивами, отсвойств которых во многом
зависит стойкость всей криптографической системы. Обычным требованием к таким генераторам является статистическая неотличимость порожденных ими последовательностейот случайных равновероятных
последовательностей. Для проверки этих свойств разработаны
многочисленные статистические
тесты. Для криптографических
приложений от ГПСЧ требуетсяеще и "непредсказуемость" –невозможность для нарушителя
предсказывать очередной знаквыходной последовательности,порождаемой генератором свероятностью,существенно
отличной от равновероятной,даже если ему известны всепредыдущие знаки этой последовательности. Это подразумевает, что нельзя определить
внутреннее состояние ГПСЧ наоснове его выхода.
С самого начала было ясно,что скорость работы нашего
генератора является достаточно
низкой за счет вычислений наэллиптических кривых, но затоего стойкость, по утверждению
докладчика, Дона Джонсона,существенно выше альтернатив, поскольку базируется назадаче дискретного логарифмирования в группе точек
эллиптической кривой. Тогдаже алгоритм Dual EC появилсяи в проекте стандарта ANSI
X9.82 [3].
Однако вскоре были опубликованы исследования, доказывающие, что генератор Dual ECподвержен
различительной
атаке (distinguishing attack) [4],[5], т.е. вырабатываемые импоследовательности чисел статистически отличимы от истинно случайных. Обычно такого
рода уязвимости считаются критичными для ГПСЧ и являются
причиной его исключения изкриптографических стандартов,но не в этот раз…
Комитет по стандартизации
проигнорировал работы, критикующие Dual EC, сославшисьна формальное превышение
сроков их подачи. При этомнекоторые другие, менее существенные, замечания, поданные
позже срока, все-таки былиучтены. В результате в июне2006 г. в пакете с другими генераторами
псевдослучайных
чисел Dual EC был принят NISTв качестве криптографического
стандарта [6].
Одновременно с этим алгоритм Dual EC стал частью международного стандарта – стандарта ISO 18031:2005. И здесьне обошлось без давления состороны властей США. К лету2003 г. подкомитет 27 объединенного технического комитета
1 ISO/IEC (Joint Technical Committee ISO/IEC JTC 1, Information
technology, Subcommittee SC 27,
IT Security techniques) занялся

gukov 9/6/19 3:51 PM Page 37

www.itsec.ruКРИПТОГРАФИЯ

процессом
стандартизации
генераторов случайных чисел.
При этом изначальная версия
стандарта ISO, за которую проголосовало 19 стран из 24, несодержала генератора Dual EC.
Было получено более 150 комментариев, но большинство изних были незначительными
исправлениями и пояснениями.
Участники голосования высказывали те или иные замечанияи уточнения к проекту стандарта, комментируя его отдельные
пункты и формулировки. Состороны США не было конкретных замечаний, был только
общий комментарий "ко всему
документу", в котором говорилось, что текущая версия стандарта "не обладает достаточной
глубиной"1. В качестве альтернативы ISO был предложен американский стандарт ANSI X9.82,
как "более тщательно проработанный"2. В результате США,по сути, навязали ISO свою версию стандарта, включающую
Dual EC, которая в итоге и былапринята [7].
Параллельно с процессом
продвижения Dual EC шел процесс его критики со стороны
независимых экспертов. В августе 2007 г. на конференции
CRYPTO-2007 сотрудники Microsoft Дэн Шумов и Нильс Фергюсон продемонстрировали возможность существования лазейки в Dual EC [8]. В этом алгоритме при генерации случайных
чисел используются две точки
эллиптической кривой: P и Q.
С помощью точки P задается
внутреннее состояние генератора, а точка Q используетсядля вычисления выхода генератора. Если известна связь
между точками P и Q (т.е. такое
число d, что Q = d • P), то понескольким известным значениям выхода можно вычислить
текущее внутреннее состояние
генератора, а значит, можно
предсказать все последующие
генерируемые им числа3.
В стандарте точки P и Q заданы. Поскольку задача дискретного логарифмирования является вычислительно трудной, тонайти такое d, что Q = dP, наданный момент невозможно. Нодело в том, что эти точки заданы авторами стандарта, а они

Рис. 1. Электронная переписка между Дж. Келси и Д. Джонсоном от 27.10.2004 [18]могли изначально выбрать
число d, а затем вычислить
точку Q как dP. Подобное предположение подтверждается иследующей перепиской между
Дж. Келси и Д. Джонсоном,которую приводят авторы
статьи [18], посвященной истории Dual EC (рис. 1). По сути, вней говорится, что мы имеем
дело с асимметричным SETUPмеханизмом в структуре DualEC, при этом Q играет рольоткрытого ключа SETUP-механизма, а d – роль секретного
ключа [1].
Таким образом, наличие указанной скрытой лазейки в алгоритме Dual EC в принципе возможно, хотя ни доказать, ниопровергнуть ничего нельзя.
Из приведенной выше переписки видно еще одно немаловажное обстоятельство – рольАНБ в разработке и принятии
стандарта Dual EC. Ни в одномиз первоначальных материалов,посвященных нашему стандарту, не указан его автор или разработчик. Официальная публикация NIST, содержащая, наряду с другими генераторами

псевдослучайных чисел, и алгоритм Dual EC, имеет официальных авторов – Элейн Баркер
(Elaine Barker) и Джон Келси
(John Kelsey), оба сотрудники
NIST. В то же время существуют
многочисленные подтверждения того, что ни Келси, ни Баркер не были разработчиками
Dual EC, более того, они дажене чувствовали себя компетентными давать комментарии поповоду Dual EC, отсылая поэтому поводу к сотрудникам
АНБ, например, переписка
между Э. Баркер и М. Кампанья
(рис. 2), приведенная в [18].
Вскоре после конференции,в ноябре 2007 г., вышла разгромная статья Брюса Шнайера
[9], в которой он советовал нипри каких обстоятельствах неиспользовать генератор DualEC, тем более что и в стандартах NIST, и в ISO есть альтернативы.
Другой способ избежать возможной закладки в Dual EC –это выработать собственные
точки P и Q и запускать генератор с этими новыми значениями. Формально NIST разрешил

Джон Келси – ДонуДжонсону: "Знаете ли вы,откуда взялось Q в
Dual_EC_DRBG?"Дон Джонсон – Джону
Келси: "P = G.Q, по сути,открытый ключ для некоторого случайного закрытого
ключа. Кроме того, Q может
быть получена как еще однаканоническая точка G, ноАНБ отвергло эту идею изапретило мне это публично
обсуждать…"
Национальный институт
стандартов и технологий
США – (англ. The National
Institute of Standards and Technology, NIST). Официальная
задача института – "продвигать инновационную и индустриальную конкурентоспособность США путем развития наук об измерениях, стандартизации и технологий сцелью повышения экономической безопасности и улучшения качества жизни". Вместе с Американским национальным институтом стандартов (ANSI) участвует в разработке стандартов и специфи-1

We feel that this document is lacking sufficient depth in many areas and simply is not developed enoughto be an ISO standard… [10].
2
We do feel that ANSI X9.82 Random Bit Generation standardization work is much further developedand should be used as the basis for this ISO standard [10].
3Детально принцип работы генератора DUAL_EC_DRBG и механизм лазейки будет разобранв разделе 2.

каций к программным решениям, используемым как вгосударственном секторе
США, так и имеющим коммерческое применение.

https://ru.wikipedia.org• 37

gukov 9/6/19 3:51 PM Page 38ТЕХНОЛОГИИние генератора и вырабатываемые псевдослучайные биты.
В упрощенном варианте, еслидополнительная строка additional_input не задана, то
si = φ (x(si - 1P)), (1)ri = φ (x(siQ)), (2)Рис. 2. Электронная переписка между Э. Баркер и М. Кампанья, от 02.03.2006 [18]Элейн Баркер – Мэттью
Кампанья, копия Джону
Келси: "Мэтт, Джон – не тотчеловек, которому можно
задавать вопросы касательно Dual_EC_DRBG. Я переадресовала ваше письмо
Дебби Уоллнеру и Бобу Каркоска из АНБ. Элейн".

SIGINT – радиоэлектронная разведка (англ. Signals
Intelligence), включает перехват каналов связи. BULLRUN – секретная программапо дешифрованию онлайнкоммуникаций и данных,которая осуществляется
Агентством национальной
безопасности США.

В сентябре 2013 г. NISTвыпустил рекомендации поотказу от использования
Dual EC [13], но при этомалгоритм все еще оставался
частью стандарта и некоторые криптопродукты использовали его. В декабре 2013
г. в документах, обнародованных Сноуденом, былаобнаружена информация,что компания RSA Securityполучила от АНБ $10 млнза использование алгоритма
Dual EC в криптобиблиотеке
BSAFE в качестве основного
генератора псевдослучайных чисел [14]. RSA не подтвердило и не опроверглоэту информацию, сообщив,что они "всегда действуют

использование альтернативных
(сгенерированных пользователем) P и Q, но на практике оказалось, что это существенно
усложняет разработчикам сертификацию соответствующего
продукта на соответствие FIPS140-2 [11].
После разоблачений Эдварда
Сноудена у криптографического
сообщества не осталось сомнений, что история Dual EC былачастью масштабных программBULLRUN и SIGINT АНБ поослаблению криптографических
стандартов и встраиванию лазеек в коммерческие продукты
[12]. Годовой бюджет АНБ наподобные мероприятия составлял порядка $250 млн.
Некоторые аффилированныес АНБ математики продолжали
отрицать возможность практического использования лазейки
в Dual EC. "Их глаза широко
открываются, когда я говорю отом, как трудно на самом делеполучить информацию, которуюони предполагают получить
такими атаками... Я бросил имвызов: предложил сгенерировать свои собственные параметры и показать мне, что онив действительности смогут восстановить таким способом.
Никто пока этого не сделал"4,–заявил Ричард Джордж (Richard
George) в мае 2014 г. [18]. Заметим, что сам Ричард Джордж
работал в АНБ с 1970 по 2011 г.,а затем перешел в RSA Security,где курировал финансируемые
правительством проекты [15].
Вызов Ричарда Джорджа былпринят группой математиков,и уже в августе 2014 г. они продемонстрировали реальную(а не только теоретическую)эксплуатацию уязвимости DualEC [16]. Их статья показала,как вычислять ключи протокола
TLS, используя знание связи
между точками P и Q (число d,"ключ лазейки").
Вскоре после этого RSA Security выпустила рекомендациидля пользователей библиотеки
BSAFE: не использовать генератор Dual EC.
В июне 2015 г. вышла новая
версия рекомендаций NIST [17],в которой алгоритм Dual ECуже отсутствовал. Конец истории… Точка.

Описание алгоритма
Пусть задана эллиптическая
кривая в форме Вейерштрасса:y2 = x3 +ax = b mod p,
где p > 3 – простое число,точка P = (Px, Py) – порождающий элемент циклической подгруппы группы точек эллиптической кривой, r – порядок этойподгруппы, Q = (Qx, Qy) – некоторая ненулевая точка той жеподгруппы, отличная от P.5
В приложении А.1 стандартаNIST версии 2006 г. [6] былиопределены фиксированные
значения параметров p, r, a, b,
Px, Py, Qx, Qy для кривых P-256,
P-384, P-521.
Стойкость генератора базируется на сложности решения
задачи дискретного логарифмирования в группе точек
эллиптической кривой, т.е. нанахождении такого числа d, чтоQ = dP.6

где x(•) – выбор x-координаты
точки эллиптической кривой,а φ(•) – представление элемента
поля в виде битовой строки(в формате Big Endian старшие
биты записываются первыми).
В силу сложности задачи дискретного логарифмирования
обновление внутреннего состояния по формуле (1) должно
обеспечить стойкость генератора к обратному перебору
(Backtracking
Resistance).
Последнее означает, что дажеесли в какой-то момент скомпрометировано
внутреннее
состояние генератора, то всеравно невозможно восстановить предыдущие внутренние
состояния и получить ранее
выработанные
случайные
числа.
Блок ExtractBits извлекает изпришедшей на вход битовой
строки правые outlen бит. Приэтом значение outlen должно
делиться на 8 и быть не больше,чем 240 для кривой P-256, 368
для P-384 и 504 для P-521. Тоесть от x-координаты точки siQберутся младшие outlen бит("отбрасываются" как минимумдва старших байта).
Презентация генератора [2]обосновывала необходимость
использования
операции
ExtractBits тем, что иначе генератор становится предсказуемым в некоторых ситуациях.
Дело в том, что количество
точек эллиптической кривой
приблизительно равно размерности поля: по теореме Хассе
[20], порядок m абелевой группы
точек эллиптической кривой
удовлетворяет неравенству

Основная идеяОбщая схема работы генератора Dual EC показана на рис. 3.
Значения s и r задают, соответственно, внутреннее состоя-Из уравнения Вейерштрасса
легко понять, что если точка
(x, y) лежит на эллиптическойв интересах своих клиентов". АНБ от комментариев,разумеется, воздержалось.

38 •4“Their eyes open wide when I talk about how how hard it is to really get the information they assume
they just get to attack this thing... I’ve challenged any of them to actually generate their own parametersand show me that in real life they can recover that. No one has done it yet" [18].
5Слово Dual в названии алгоритма объясняют использованием в его работе двух точек.
6В работе алгоритма Dual EC задействованы вычисления в группе точек эллиптической кривой [20],где в силу аддитивной записи групповой операции степень элемента P-группы превращается в егократное n • P или короче – nP, а задача дискретного логарифмирования по основанию P принимает вид:для данного Q найти такое n, что nP = Q.

gukov 9/6/19 3:52 PM Page 39

www.itsec.ruКРИПТОГРАФИЯ

кривой, то и точка (x, -y) тоже.
Таким образом, каждой x-координате соответствуют две точки,а значит количество различных
координат можно оценить какоткуда следует, что количество
значений, не являющихся xкоординатами, оценивается как

Рис. 3. Алгоритм Dual EC [6]Мы видим, что почти половина значений не являются координатами точек эллиптической
кривой, т.е. никогда не будут
выработаны генератором безусечения, а следовательно
такой генератор вырабатываетне всевозможные битовые строки, а только какое-то подмножество. По утверждению авторов алгоритма [2], отсечение
13 старших (левых) бит позволяет избавиться от этого недостатка, поскольку "валидные" и"невалидные" значения x распределены достаточно хаотично(к сожалению, точного объяснения, откуда взялось число 13,нигде не приводилось, каки многие другие поясненияк предложенной конструкции).
Итак, пусть необходимо выработать requested_number_of_bits
бит, генератор ранее инициализирован (s – внутреннее
состояние), на вход подана
строка additional_input (если незадана,тосчитаем
additional_input = 0).
Обозначим за TRUNC_R(a,len) – правые (младшие) len битстроки a, а за TRUNC_L(a, len) –левые (старшие) len бит строки a. Тогда алгоритм работает
следующим образом:1. temp = Null;
2. s = s ⊕ additional_input;
3. s = φ (x(sP));
4. r = φ (x(sQ));
5. temp = temp||TRUNC_R(r,outlen);6. Если len(temp) < requested_number_of_bits, то перейти
к 3;
7. returned_bits =TRUNC_L(temp,
requested_number_of_bits).
В данном описании мы опустили некоторые шаги, связанные с переинициализацией генератора, проверкой корректности
всех длин данных, дополнительной обработкой additional_input.
7Заметим, кстати, что при выработке достаточно длинной битовой строки additional_inputиспользуется только в первом
блоке данных. К этому аспектумы еще вернемся, когда будем
рассматривать структуру лазейки в данном алгоритме.

e = d-1 mod r.
Тогда

s = φ (x(sP)),
т.е. было сделано дополнительное обновление внутреннего
состояния. В комментарияхк изменениям необходимость
данного изменения объяснена
"обеспечением
стойкостик стойкости к раскрутке генератора в обратную сторону"7.
Однако более вероятна версия,что данное исправление делает
лазейку в алгоритме более универсальной, об этом мы расскажем чуть позже.

Лазейка с защитой
Сама математическая структура алгоритма Dual EC позволяет легко спроектировать
лазейку. Действительно, так как
P – порождающий элемент подгруппы группы точек эллиптической кривой, а Q – нетривиальный элемент этой же подгруппы, то существует число d:тов (англ. American National
Standards Institute, ANSI)

P = eQ.

осуществляет надзор заразработкой и использова-Для начала рассмотрим схему
без additional_input. Из формул
(1) и (2) следует:Модификация
алгоритмаВ обновленной версии стандарта NIST 2012 г. алгоритм
Dual EC был немного модифицирован [21]. В конце алгоритмабыл добавлен еще один шаг:Американский национальный институт стандар-нием стандартов путем
аккредитации процедур
организаций, разрабатывающих стандарты. ANSI

(3)

также определяет конкретные стандарты как амери-где Si+1 = siP и Ri = siQ – соответствующие точки эллиптической кривой.
Таким образом, если знать
ключ лазейки и точку Ri длянекоторого момента времени i,то можно вычислить все последующие внутренние состояния
генератора и, соответственно,определить все его дальнейшие
выходы.
Правда, в алгоритме Dual ECизвестна только часть x-координаты точки Ri. Тем не менеевсю точку Ri можно восстановить перебором.
Шумов и Фергюсон [8] предложили следующий алгоритмдля подбора "кандидатов" навнутренние состояния.
Дано: oj – блок выходной
битовой строки ключевого генератора.
Найти: множество возможных внутренних состояний

канские национальные стандарты, или ANS. –https://ru.wikipedia.org

Q = dP.
Далее будем называть d ключом лазейки. Мы покажем, чтознание d помогает вычислять
внутреннее состояние генератора на основе полученной
битовой строки. Напомним, чтоr – порядок подгруппы, порожденной точкой P. Пусть e задается формулой:_Если y = √z mod p существует,то A = (x, y) – точка кривой,тогдаΣ = Σ U {φ (eA)}.
Мощность множества Σ приблизительно равна 215, поскольку всего есть 216 вариантов

Provide Backtracking Resistance [16].

• 39gukov 9/6/19 3:52 PM Page 40ТЕХНОЛОГИИ
Помимо деятельности вобласти стандартизации вСША, ANSI отстаивает политическую и техническую
позицию США в международных организациях постандартизации. ANSIявляется официальным
представителем США в двухосновных международных
организациях по стандартизации – Международной
организации по стандартизации (the International Organization for Standardization –ISO) и Международной электротехнической комиссии
(the International Electrotechnical Commission – IEC).
ANSI участвует почти вовсей технической программе ISO и IEC и управляет
многими ключевыми комитетами и подгруппами. Вомногих случаях стандартыСША передаются в ISO ивыбора, а квадратичными вычетами будет примерно половинаиз значений x = u|oj. Напомним,что нахождение числа y выполняется за полиномиальное
время [22].
Общий алгоритм использования лазейки следующий:l запросить outlen + δ псевдослучайных бит;l на основе первых outlen битсформировать множество Σ возможных внутренних состояний
генератора;l для каждого s ∈ Σ вычислить
следующие δ бит и сравнить стеми, которые выдал генератор.
Шумов и Фергюсон провели
эксперимент для кривой P-256,заменив точку Q на вычисленную ими точку Q2 = d2P. Пригенерации 32 байт (т.е. δ = 16)внутреннее состояние генератора определялось всегда однозначно.

будет использоваться. В противном случае разработчик
может заложить в алгоритм
выработку каким-то специализированным образом ключа
лазейки, а затем уже вычислять
Q’ как Q’ = d’P.
Приложение А.2 описывает
возможность генерации собственных P и Q на тех же эллиптических кривых, но, как указывалось выше, при такой реализации генератора становится
невозможной сертификация
криптографического модуля.
Дополнительно отметим, чтов первоначальной версии DualEC защитой от лазейки былоиспользование additional_input(см. рис. 3), поскольку внутреннее состояние Si +1 вычислялосьиз соотношения Si+1 = siP. Однако, если подано ненулевое
значение additional_input, тоВозможности
модификации Dual ECдля защиты от лазеек

т.е. формула (3) перестает бытьверной. Сложность взлома базируется на том, что побитовое
сложение происходит с неизвестной пока еще величиной si.
Именно эту проблему решает
модификация стандарта 2012 г.:добавленное в конце алгоритма
обновление внутреннего состояния (без учета каких-либо дополнительных входных данных) позволяет
синхронизировать
информацию у владельца ключа
лазейки с внутренним состоянием генератора. После этого,когда внутреннее состояние
генератора уже известно, дополнительные битовые сложения
никак не мешают предсказаниям
"случайных" чисел, вырабатываемых генератором.

IEC через ANSI, где они полностью или частично принимаются в качестве международных стандартов.
https://ru.wikipedia.org

40 •Самое радикальное и простейшее противодействие – неиспользовать "напрямую" вкачестве выхода генератора
координаты точки Ri, а какимто образом преобразовыватьих так, чтобы по выходу былозатруднительно восстановить
Ri, например "обрезать" x-координату точки Ri на большее
число бит, переставлять выходные биты и др.
Шумов и Фергюсон предложили две возможные модификации алгоритма Dual EC, которые не давали бы возможности
использовать подобного родалазейку.
Первая – уже упомянутое
выше усечение x-координаты
более чем на 16 бит. Имеет
смысл брать половину бит x-координаты. В этом случае составление множества Σ и перебор
всех его кандидатов становится
вычислительно сложной задачей. Отметим, что стандарт NISTс первой же редакции [6](п.10.3.1.4) запрещает подобную
модификацию "из соображений
производительности".
Вторая рекомендация Шумова и Фергюсона – вырабатывать
новую случайную точку Q’,собственную для каждого
экземпляра генератора. Такой
метод надежен, только еслипользователь сам получает
точку Q’ каким-либо доверенным способом, не связанным сгенератором, где эта точка

Практическая атака
на Dual ECВ августе 2014 г. была продемонстрирована практическая
эксплуатация лазейки и оценена стоимость такой атаки [16],[18]. Авторы исследовали четыре варианта реализации Dual
EC: OpenSSL-FIPS, SChannel(Windows), а также версии
C/C++ и Java библиотеки BSAFE
RSA.
Атака базируется на предположении, что атакующий (владеющий к тому же ключом
лазейки) знает случайные биты,выработанные генератором, ипосле этого может вычислить
внутреннее состояние генератора и предсказывать все егодальнейшие вычисления. Атака
была продемонстрирована нашироко используемом протоколе TLS. Данный протокол
состоит из нескольких частей,одной из которых является такназываемый протокол рукопожатия (TLS handshake), упрощенная схема которого представлена на рис. 4.
Как видно из рис. 4, клиент исервер обмениваются случайными числами – именно этойинформации может быть достаточно для восстановления внутреннего состояния генератора.
Авторы исследования показали,что в TLS передается достаточное для атаки количество случайных чисел. На первый
взгляд, вырабатывается всего
лишь 28 байт, но идентификатор сеанса – это тоже случайная
битовая последовательность,генерируемая в большинстве
случаев (но не всегда) тем жеалгоритмом Dual EC.
Поскольку для заданной встандарте Dual EC точки Qзначение дискретного логарифма (т.е. ключа лазейки)неизвестно, то при моделировании атаки было сгенерировано случайное число d’ и вычислена точка Q’ = d’P. Далее былонеобходимо заменить Q на Q’во всех исследуемых библиотеках. Поскольку OpenSSL
имеет открытый исходный код,то подмена точки в OpenSSLFIPS была простой задачей.
Длябиблиотек
SChannel,
BSAFE-Java и BSAFE-C потребовался реверс-инжиниринг.
В процессе исследования
выяснилось, что библиотека
OpenSSL-FIPS постоянно выдавала ошибку при самодиагностике, если была сконфигурирована для использования DualEC, из чего можно предположить, что никто никогда неиспользовал данный функционал. Авторы исследования
исправили эту ошибку и в дальнейших экспериментах использовали модифицированную версию библиотеки OpenSSL-fixed.
На табл. 1 показано время
атаки на протокол TLS прииспользовании различных криптобиблиотек. Для атаки брали
4-узловой вычислительный кластер на базе 4-ядерных AMD
Opteron 6276 (Bulldozer). Каждый из узлов имел 256 Гбайт
оперативной памяти, а связь
между ними обеспечиваласьInfiniband. Авторы исследования
отмечают, что реально дляатаки достаточно всего 1 Гбайт
оперативной памяти на узел ине требуется такой быстрой

gukov 9/6/19 3:52 PM Page 41

www.itsec.ruКРИПТОГРАФИЯ

Табл. 1. Время атаки на TLS [18]связи между узлами. Время
атаки зависело от того, насколько длинную случайную последовательность может сразу
получить злоумышленник, прослушивающий канал, в частности, от того, используется ли
Dual EC для генерации идентификатора сеанса.
Атака на BSAFE-C оказалась
самой легкой, поскольку идентификатор сеанса вырабатывается с помощью Dual EC, т.е.
атакующий сразу имеет достаточное количество информациидля взлома лазейки.
В BSAFE-Java идентификатор вырабатывается другим
способом, поэтому первый
вызов Dual EC – это 28 байтслучайного числа в протоколе
рукопожатия, после которых
вырабатываются 32 байта дляэфемерального ключа ДиффиХэллмана. На основе переданных 28 байт требуется сделать
232 попыток, проверяя результат по открытому эфемеральному ключу.8Библиотека SChannel при генерации идентификатора сеанса
использует Dual EC, но преобразует результат некоторым образом, скрывающим от наблюдателя результат работы Dual EC.
Это усложняет восстановление
внутреннего состояния, но неделает его невозможным. Авторы исследования рассмотрелидва случая: SChannel-I, если злоумышленнику известны данные
предыдущих протоколов рукопожатия (Handshake), или же
SChannel-II, когда атака проводится в пределах одного сеанса.
OpenSSL оказалась единственной библиотекой, использующей additional_input. Данное
значение зависело от значения
системного времени в секундах,текущего системного временив микросекундах, некоторого
внутреннего счетчика и идентификатора процесса. Текущее
системное время в секундах
злоумышленнику
известно,поскольку оно содержится воткрытых данных, передаваемых в протоколе рукопожатия
TLS, но остальные значения
требуется угадать.
OpenSSL-fixed-I предполагает,что злоумышленник знает additional_input.
В случае OpenSSL-fixed-II злоумышленник знает значение
счетчика (например, он атакует

Криптобиблиотека

Время атаки в худшем случае (в минутах)BSAFE-C v1.1

0.04

BSAFE-Java v1.1

63.96

SChannel I

62.97

SChannel II

182.64OpenSSL-fixed I

0.02

OpenSSL-fixed II

83.32

OpenSSL-fixed III

2k · 83:32

Заметим, что все переборы можно выполнять независимо друг от друга, поэтому атака хорошо распараллеливается, т.е. время будет
сокращаться пропорционально количеству используемых процессоров.

Рис. 4. Общая схема TLS handshake (рис. из [16])первое же соединение, когда
счетчик равен 0) и идентификатор процесса (зная особенности нумерации и порядок
запуска процессов в системе).
Злоумышленнику
остается
пересчитать текущее время,заданное в секундах, в микросекунды, на это требуется 1 млнпопыток.
В последнем случае, когда нисчетчик, ни идентификатор процесса не известны, требуется
время в 2k раз большее времени
атаки OpenSSL-fixed-II, поскольку требуется угадать k-бит.
Было продемонстрировано,что атака может выполняться
как "онлайн", т.е. в момент
соединения клиента и сервера,так и "офлайн", уже после

завершения сеанса (на основе
сохраненных передаваемых
данных). Кроме того, еслицелью атаки был не клиент, асервер, то знание внутреннего
состояния генератора позволяет
злоумышленнику вычислить
секретный ключ и затем "подменять" сервер, аутентифицируясь от его имени.

ЗаключениеКак было отмечено ранее,работа [16] поставила точку вистории Dual EC, поскольку продемонстрировала не только теоретическую, но и практическую
возможность использования
встроенной в алгоритм лазейки.
В то же время эта история
наглядно демонстрирует упорст-8Эфемеральными (или разовыми) ключами протокола Диффи-Хеллмана называют случайные числа,участвующие в вычислениях, производимых в рамках этого протокола. Открытыми эфемеральными
ключами называют информацию, которой обмениваются участники протокола по открытому каналу.

• 41

gukov 9/6/19 3:52 PM Page 42ТЕХНОЛОГИИ
во, с которым спецслужбы готовы продвигать необходимые имстандарты и реализации ослабленных алгоритмов, невзираяна прямые обвинения со стороны экспертного сообщества.
Эта история демонстрирует
также серьезную зависимость
международных
институтов
стандартизации (а уж темболее – национальных институтов стандартизации США) отспецслужб США: необходимые
последним стандарты принимаются, невзирая на то, чтоведущие математики, криптоаналитики, специалисты поинформационной безопасностив один голос заявляют о ненадежности таких стандартов.
История алгоритма Dual ECи его бесславный конец – грязное пятно на репутации солидных (во всяком случае, до сейпоры) организаций – NIST, ISO.
Разоблачение действий АНБимелодвойной
эффект.
С одной стороны, экспертное
сообщество
окончательно
утратило доверие к деятельности спецслужб. В дальнейшем это проявилось, например, при попытках АНБ утвердить в качестве международных стандартов малоресурсной
криптографии шифры Simon
и Speck (о чем мы постараемся
рассказать в следующих статьях, когда дойдем до рассмотрения лазеек в симметричных
алгоритмах).
С другой стороны, спецслужбы и правоохранительные органы все меньше скрывают своидействия по ослаблению криптоалгоритмов и фактическитеперь стремятся перейти к легитимизации лазеек. То естьрезультатом
разоблачения
стало усиление давления состороны спецслужб на гражданскую криптографию.
Не исключено, что вскоре
точка в истории Dual EC превратится в многоточие...

Литература
[1] Жуков А. Е., Маркелова А. В.
Криптография и клептография:скрытые каналы и лазейкив криптоалгоритмах // Information Security / Информационная
безопасность. – 2019. – № 1 –C. 36–41.
[2] Johnson D. B. Number theoretic DRBGs // NIST RNG Workshop. July 20, 2004. https://cryptome.org/2013/12/NumberTheoreticDRBG.pdf[3] ANS X9.82, Part 3 – DRAFT
June 2004. http://citeseerx.ist.psu.

42 •edu/ viewdoc/download;jsessionid=D96134C539F238DD741A65
F49189E076?doi=10.1.1.6.1272&r
ep=rep1&type=pdf[4] Gj steen K. Comments on
Dual-EC-DRBG/NIST SP 800-90,
draft December 2005, 2006.
https://www.researchgate.net/publication/228960119_Comments_o
n_Dual-EC-DRBGNIST_SP_80090_Draft_December_2005[5] Schoenmakers B., Sidorenko
A. Cryptanalysis of the Dual Elliptic
Curve Pseudorandom Generator// Cryptology ePrint Archive,
Report2006/190(2006).
https://eprint.iacr.org/2006/190.pdf[6] Barker E., Kelsey J. NIST
Special Publication 800-90.
Recommendation for Random
Number Generation Using Deterministic Random Bit Generators.
June 2006 https://nvlpubs.nist.gov/
nistpubs/Legacy/SP/nistspecialpublication800-90.pdf[7] ISO/IEC 18031:2005. Information technology – Security techniques – Random bit generation.
[8] Shumow D., Ferguson N.
On the possibility of a back door
in the NIST SP800-90 Dual EC
PRNG // CRYPTO 2007 Rump
Session, August 2007. http://rump
2007.cr.yp.to/15-shumow.pdf[9] Schneier B. Did NSA put asecret backdoor in new encryption
standard? // Wired Magazine,
2007.
https://www.wired.com/
2007/11/ securitymatters-1115/[10] Joint Technical Committee
ISO/IEC JTC 1, Information technology, Subcommittee SC 27, IT
Security techniques. US national
body comments on ISO/IEC 2nd
CD 18031. Attachment 10 to SC27
N3685, 2003. https://projectbullrun.org/dual-ec/documents/uscomment-to-iso.pdf.
[11] FIPS-140-2, Security Requirements for Cryptographic Modules, Federal Information Processing Standards Publication 1402, U.S. Department of Commerce/N.I.S.T., National Technical
Information Service, 2001.
[12] Ball J., Borger J., Greenwald G. Revealed: how US andUK spy agencies defeat internet
privacy and security // The Guardian. September 6, 2013https://www.theguardian.com/worl
d/ 2013/sep/05/nsa-gchq-encryption-codes-security[13] Supplemental ITL bulletin
for September 2013. NIST opensdraft special publication 800-90a,
recommendation for random number generation using deterministic
random bit generators, for review
and comment. https://csrc.nist.gov/
csrc/media/publications/shared/

documents/itl-bulletin/itlbul201309-supplemental.pdf[14] Menn J. Exclusive: Secretcontract tied NSA and security
industry pioneer // Reuters.
December 21, 2013 https://www.
reuters.com/ article/us-usa-security-rsa/exclusive-secretcontracttied-nsa-and-security-industry-pioneer-idUSBRE9BJ1C220131220[15] https://www.rsaconference.com/speakers/richard_george[16] Checkoway S., Fredrikson
M., Niederhagen R., EverspaughA., Green M., Lange T., Ristenpart
T., Bernstein D. J., Maskiewicz J.,
Shacham H. On the practical
exploitability of Dual EC in TLS
implementations // Fu K., Jung J.
(eds.) Proceedings of the 23rd
USENIX Security Symposium, San
Diego, CA, USA, p. 319–335.
USENIX Association (2014).
[17] Barker E., Kelsey J. NIST
Special Publication 800-90A.
Recommendation for Random
Number Generation Using Deterministic Random Bit Generators.
June 2015. https://nvlpubs.nist.
gov/nistpubs/
SpecialPublications/NIST.SP.800-90Ar1.pdf[18] Bernstein D. J., Lange T.,
Niederhagen R. Dual EC: A Standardized Back Door // Ryan
P.Y.A., Naccache D., Quisquater
J.-J. (eds.) The New Codebreakers. LNCS, vol. 9100, p. 256–
281. Springer, Heidelberg (2016).
[19] Young A., Yung M. Kleptography: using Cryptography
against Cryptography // Advancesin Cryptology – EUROCRYPT’97. –Lecture Notes in Computer Science, Vol.1233. – Springer, 1998. –Р. 62–74.
[20] Болотов А.А., Гашков
С.Б., Фролов А.Б., Часовских
А.А. Элементарное введение вэллиптическую криптографию:Алгебраические и алгоритмические основы. – М.: КомКнига,2006. – 328 с. ISBN 5-48400443-8.
[21] Barker E., Kelsey J. NIST
Special Publication 800-90A.
Recommendation for Random
Number Generation Using Deterministic Random Bit Generators.
January 2012 https://nvlpubs.nist.
gov/nistpubs/ Legacy/SP/nistspecialpublication800-90a.pdf[22] Shanks D. Five numbertheoretic algorithms // Proceedingsof the Second Manitoba Conference on Numerical Mathematics,
Congressus Numerantium, №. VII,
1973. – Р. 51–70. lВаше мнение и вопросы
присылайте по адресу

is@groteck.ru

midexpo 9/5/19 3:00 PM Page 43

selendeeva 9/6/19 4:31 PM Page 44Дети в киберпространстве

Киберсоветы для безопасности
детей в Интернете
Оксана Селендеева, основатель международной детской школы программирования
CODDY

Т

ема безопасного поведения детей и подростков в Интернете
является одной из ключевых в современном обществе.
Интернет и социальные сети стали благодатной почвой длясетевых манипуляторов. Основательница международной
школы программирования CODDY специально для журнала
Information Security подготовила несколько киберсоветов длядетей и родителей.

Мыиспользуем
Интернет,чтобыобщаться и оставатьсяна связи с нашими
друзьями и семьей.
После домашних заданий мы играем в видеоигры, скачиваем музыку,смотрим телешоу и фильмы,совершаем финансовые операции, делаем покупки и занимаемся другими важными
повседневными
деламив Интернете.

Почему нам нужно
защитить
киберпространство?
Ребенок проводит
33% времени онлайн,33% – в автономном режиме
(без сна),33% – во сне.

44 •Преступления, которые случаются в реальной жизни, такиекак воровство, происходят и вИнтернете. Точно так же, какмы учим детей смотреть в обестороны, прежде чем переходить улицу, мы должны научитьих быть осторожными при егоиспользовании.
Часто дети могут не осознавать, что их действияв сети могут навредить нетолько им самим, но и ихсемьям, и даже стране. Узнавание об опасностях в Интернете и принятие мер длязащиты не только себя, нои детей – это первый шагк тому, чтобы сделать Интернет более безопасным.

Дети ведут цифровую
жизньСогласно данным National
Cyber Security Alliance, детив возрасте 8–18 лет проводят
7 часов и 38 минут в деньв Интернете. Если ребенок
спит 8 часов в сутки, этоозначает, что половину времени бодрствования он проводит в сети.

Оскорбленияи запугиванияв киберпространстве
Киберхищники – это люди,которые ищут в Интернете других людей, чтобы каким-то образом использовать, контролировать или вредить им.
Киберзапугивание – это электронное размещение подлых
сообщений о человеке, часто
анонимно.

Киберсоветы для детей
1. Держать вашу личную
информацию в тайне.
2. Не указывать свое настоящее имя, адрес, номер телефона, день рождения, паролии название своей школы присерфинге в сети Интернет.
3. Подумать дважды, преждечем отправлять сообщения илиговорить что-либо в Интернете.
4. Относиться к другим так,как хочешь, чтобы относилиськ тебе.
5. Если вы видите что-тонеуместное, сообщите об этомна Web-сайте и скажите взрослому, которому вы доверяете.
Не терпите издевательства,онлайн или оффлайн.

Кража личных данных
Кража личных данных – этонезаконное
использование
чужой личной информации длякражи денег или кредита.
Киберсоветы для детей:1. Если вы когда-нибудь получите электронное письмо сзапросом вашей личной информации на вашу учетную запись
электронной почты, сообщитеоб этом родителям.
2. Некоторые электронные
письма выглядят официальными, как если бы они былиотправлены из клуба илишколы, но они могут быть хитростью для получения вашей
личной информации. Поддельные электронные письма, какправило, кажутся срочными ипросят вас ответить своей личной информацией.
3. Выберите псевдоним илиадрес электронной почты, который не является вашим настоящим именем, чтобы защитить
вашу личность. Например, вместо "Василий Иванов" почемубы не выбрать Sk8boardKing75?
4. Создайте надежные пароли из восьми или более символов, которые используют комбинацию букв, цифр и символов. Не передавайте свои пароли никому.
5. Подумайте, прежде чемнажать: не открывайте электронные письма от незнакомых
людей и не нажимайте на ссылки для незнакомых сайтов.
6. Используйте и проверяйте
настройки конфиденциальностив социальных сетях, таких какВК и Instagram.

Безопасность при работена мобильных устройствах
Когда вы играете в игры илипросматриваете Web-страницы

Реклама

IB_Monitor 9/5/19 3:01 PM Page 45

selendeeva 9/6/19 4:31 PM Page 46Дети в киберпространствена мобильном телефоне илипланшете, вы получаете доступв сеть Интернет. Мы должны
быть осторожны при использовании мобильных телефоновтак же, как мы осторожны прииспользовании компьютера.

Киберсоветы для детей

Некоторые общие
онлайн-проблемы, с которыми сталкиваются дети:кибериздевательстваи кража личных данных.

1. Внимательно следите засвоим мобильным устройством.
Никогда не оставляйте своимобильные устройства без присмотра.
2. Всегда блокируйте устройство, когда вы им не пользуетесь. Используйте надежные
пароли для предотвращения
доступа других пользователейк вашему устройству. Никогдане сообщайте свои пароли
кому-либо, кроме ваших родителей или опекунов.
3. Знайте свои приложения.
Проконсультируйтесь с родителями перед загрузкой приложения и просмотрите егонастройки.
4. Подключайтесь к Интернету
только при необходимости.
Отключите ваше устройство отИнтернета, когда вы им не пользуетесь, и убедитесь, что вашеустройство не настроено наавтоматическое подключение к
Wi-Fi.

Общие правила
здравого смыслав онлайн для детейНе разговаривайте с незнакомцами онлайн. Сообщите
родителю, учителю или взрослому, если незнакомец связывается с вами в чате, по электронной почте или с помощью
текстовых сообщений.
Посмотрите в обе стороны,прежде чем переходить цифровую улицу. Не участвуйте в конкурсах, не вступайте в клубы ине делитесь личной информацией: адрес электронной почты,возраст, номер телефона и другие факты о вас, которые долж-46 •ны быть личными и не должны
передаваться без предварительной проверки человека илиорганизации, которая их запрашивает.
Если полученное электронное
предложение кажется слишком
хорошим, то, скорее всего, этоне так. Например, если в письме
обещают подарить мобильный
телефон или билеты на концертв обмен на ваши персональные
данные, конечно, никаких
подарков вы не получите. А вотзлоумышленники могут получить доступ к вашей почтеи страницам в соцсетях.
Еще одна опасность – скачанные файлы или приложения.
Вместе с интересным приложением вы рискуете получить вредоносное или шпионское программное обеспечение.

Как обезопасить ребенка.
Советы родителям
Расскажите своим детямо кибербезопасностии интернет-угрозахВы хотите, чтобы ваши детипроводили время в Интернетеи использовали возможности
обучения, но вы также хотите,чтобы они были в безопасности.
Для этого вам нужно рассказать
простым и понятным языкомпро онлайн-угрозы и способыих выявления. Когда дело доходит до кибербезопасности,образование играет жизненно
важную роль в процессе обучения.
Родителям необходимо поговорить со своими детьми о безопасном времяпровождениив Интернете, рассказать о вредоносных сайтах, к которымони могут получить доступ, объяснить различные формы
киберзапугивания и другие
необходимые темы. Чем больше вы говорите со своими детьми об интернет-угрозах, об ихактивности в сети, тем легчеим понять, что они там видятили слышат.

Установите лимиты временив Интернете для ваших детей
Интернет может быть увлекательным миром для детей,но большинство родителей действительно беспокоятся о том,какое количество времени онитам проводят. Если вы заметили, что у вашего ребенка возникает склонность к тому, чтобывсю ночь не спать, а серфить вИнтернете, это может быть первым звоночком для установки

ограничений на использованиеи времени, проводимого в сети.
Убедитесь, что вы четко рассказали детям о времени, которое они могут провести в своем
компьютере или ноутбуке. Родители также должны уточнить,что дети могут и не могут
делать, когда перемещаютсяв Интернете.

Будьте терпеливыи слушайте своих детейМы не всегда можем предсказать, куда пойдут дискуссииили комментарии, или каких
людей мы найдем в социальных
сетях. Вы можете ежедневно
проверять компьютеры своих
детей, их смартфоны или любые
другие устройства, подключенные к Интернету, но это не дает100% гарантии их безопасности.
А что действительно поможет,так это умение слушать и слышать своих детей.
Сколько мы на самом делезнаем о наших детях? Есличестно, то не так уж и много,потому что дети не всегда поднашим контролем и в поленашего внимания. Поэтому мынастоятельно
рекомендуем
набраться терпения и прислушиваться к своим детям. Позвольте им рассказать вамо социальных сетях, которыеони используют, или о последнем видео, которое стало
популярным на YouTube. Безусловно, самый простой способ
получить информацию об ихпривычках в Интернете – именно это, а не трата времени наслежку за своими компьютерами и попытки понять их историю
просмотров.
Представьте, что вы не слишком много знаете о социальных
сетях, и пусть они начнут говорить. Для детей нет ничего
более захватывающего, чемпритворяться учителем, не говоря уже о доверии, которое ониполучают к себе и, наконец,к вам как к родителю.
В цифровую эпоху нам нужно
объяснять детям, что такое
киберугрозы и как себя от нихобезопасить, а также необходимо "проповедовать" онлайнзащиту от вредоносных программ и попыток фишинга,которые обычно направлены нанеосведомленных лиц. lВаше мнение и вопросы
присылайте по адресу

is@groteck.ru

NEW_PROD 9/5/19 2:58 PM Page 47НОВЫЕ ПРОДУКТЫ И УСЛУГИ

НОВЫЕ ПРОДУКТЫ
Kaspersky Security для бизнеса
Универсальный

Производитель:Кас перского""Лаборатория

Назначение: управление и контроль
безопасности всех типов конечных точек –как виртуальных, так и физических
Особенности:l одна лицензия для защиты виртуальных и физических рабочих мест и серверовl поддержка всех популярных платформ
виртуализацииl централизованное управление безопасностьюl мощные инструменты контроляl расширенные возможности системного
администрированияl интегрированные шифрование и патчменеджмент
Возможности: комплексная защита
физической и виртуальной инфраструктуры
Время появления на российском
рынке: июль 2019 г.
Подробная информация:https://www.kaspersky.ru/small-to-mediumbusiness-security/endpoint-advancedФирма, предоставившая информацию:ЛАБОРАТОРИЯ КАСПЕРСКОГО
См. стр. 7

Kaspersky Endpoint Security Cloud(обновленная версия)Производитель:Кас перского""Лаборатория

Назначение: защита от киберугроздля среднего и малого бизнеса
Особенности: решение было разделено на два уровня – Kaspersky
Endpoint Security Cloud и Kaspersky
Endpoint Security Cloud PlusВозможности:l в базовом уровне Kaspersky Endpoint
Security Cloud доступны все основные
функции безопасности, необходимыедля малого бизнеса: защита от сетевых атак, почтовых, файловых и Webугроз, а также мониторинг активности, сетевой экран и проверка науязвимостиl в расширенном уровне Kaspersky
Endpoint Security Cloud Plus дополнительно к перечисленному доступны

функции управления "Web-контроль"и "Контроль устройств". Также в продвинутый уровень решения добавлены
новые возможности: управление установкой исправлений и шифрование
информации на устройстве для предотвращения несанкционированного
доступа к конфиденциальным корпоративным данным
Характеристики: лицензированиепо числу пользователей – каждая
лицензия распространяется на одностационарное устройство на Windowsили Mac и два мобильных гаджета на
Android или iOSОриентировочная цена: 18 210 руб.
(Cloud) и 25 070 руб. (Cloud Plus)Время появления на российском
рынке: апрель 2019 г.
Подробная информация:https://www.kaspersky.ru/small-to-mediumbusiness-security/cloudФирма, предоставившая информацию:ЛАБОРАТОРИЯ КАСПЕРСКОГО
См. стр. 7

www.itsec.ruработе сотрудника. Отработка навыков(а всего их более 350) основана напринципе "от простого к сложному",то есть пока проверка не будет пройдена, следующий этап тренинга небудет доступен. Такая структура позволяет наиболее эффективно запоминать и, самое главное, использовать
полученные знания
Время появления на российском
рынке: апрель 2019 г.
Подробная информация:https://www.kaspersky.ru/small-to-mediumbusiness-security/endpoint-advancedФирма, предоставившая информацию:ЛАБОРАТОРИЯ КАСПЕРСКОГО
См. стр. 7

Solar webProxy

Kaspersky Automated Security
Awareness PlatformПроизводитель:"Лаборатория
Касперского"Назначение: онлайн-инструмент, который помогает сотрудникам компаний
осваивать навыки кибербезопасности
Особенности: решение позволяет
оценить текущие знания сотрудникав сфере кибербезопасности, определить в соответствии с этим набор
навыков, необходимых именно емув зависимости от его рабочих обязанностей и профиля риска, выстроить
график прохождения программы

Возможности: автоматизированное
управление в Kaspersky ASAP помогает компаниям контролировать процесс на всех этапах – от постановки
цели до оценки эффективности. Благодаря удобной панели управленияи подробным отчетам руководство
компании всегда будет иметь информацию для оценки прогресса
Характеристики: продукт построенс учетом особенностей человеческой
памяти. Во время каждого урока, который длится не более 10 минут, несколько раз делается акцент на ключевых
сообщениях. Урок включает в себяинтерактивный модуль и видеоролики,а также упражнения на закреплениеи проверку (тест или имитацию фишинговой атаки). Упражнения на закрепление представляют собой наглядные
задания, применимые к повседневной

Производитель: "Ростелеком-Солар"Назначение: контроль доступа к Webресурсам и защита Web-трафика
Особенности: прозрачное вскрытие
SSL-сертификатов, аутентификация
сотрудников, в том числе с помощью IPадреса, NTLM или Kerberos, горизонтальное масштабирование и работав кластере
Возможности:l аутентификация и авторизация – контроль доступа сотрудников и приложений
к Web-ресурсамl расшифровка HTTPS-трафика – проверка зашифрованного трафика и егопередача другим системам, в том числе
антивирусам и DLPl проверка Web-трафика по ключевым
словам – предотвращает утечку конфиденциальной информацииl блокировка рекламы, запрет доступак зараженным сайтам и интеграцияс любым антивирусом – защищаютот вредоносного ПО и фишингаl очистка трафика от различных
скриптов, собирающих из браузера
информацию о пользователях (куки) –защищает личные данные сотрудников, которые могут быть использованыв том числе для таргетированной
атакиВремя появления на российском
рынке: август 2019 г.
Подробная информация:https://rt-solar.ru/products/solar_webproxy/Фирма, предоставившая информацию: РОСТЕЛЕКОМ-СОЛАР

• 47

NEW_PROD 9/5/19 2:58 PM Page 48

НОВЫЕ ПРОДУКТЫ И УСЛУГИ
УСЛУГИ
Программа повышения
квалификации "Техническая
защита информации.
Организация защиты
информации ограниченного
доступа, не содержащей
сведения, составляющие
государственную тайну"Отрасль: техническая защита информации, повышение квалификации
Регион: РФОписание:продолжительность
216 ак. ч., включая практические занятия, самостоятельную работу слушателей под руководством преподавателейи итоговую аттестацию.
Форма обучения – очная или дистанционно-заочная (с одной короткой очной
сессией).
По окончании курса слушателям выдаются удостоверения МФТИ о повышении
квалификации установленного образца.
Программа согласована со ФСТЭК России.
Фирма, предоставившая информацию: ОКБ САПР, ЗАО (совместнос Центром дополнительного профессионального образования МФТИ)Программа повышения
квалификации "Техническая
защита информации. Способы исредства защиты информации отнесанкционированного доступа"Отрасль: техническая защита информации, повышение квалификации
Регион: РФОписание:продолжительность
108 ак. ч., включая практические занятия, самостоятельную работу слушателей под руководством преподавателейи итоговую аттестацию.
Форма обучения – очная или дистанционно-заочная (с одной короткой очной
сессией).
По окончании курса слушателям выдаются удостоверения МФТИ о повышении
квалификации установленного образца.
Фирма, предоставившая информацию: ОКБ САПР, ЗАО (совместнос Центром дополнительного профессионального образования МФТИ)Программа профессиональной
переподготовки
"Техническая защита
информации ограниченного
доступа, не содержащей
сведения, составляющие
государственную тайну"Отрасль: техническая защита информации, профессиональная переподготовка
Регион: РФОписание:продолжительность
706 ак. ч., включая практические занятия, самостоятельную работу слушателей под руководством преподавателей,итоговую аттестацию, написание и защиту квалификационной работы.
Форма обучения – очная или дистанционно-заочная (с двумя короткими
очными сессиями).
По окончании курса слушателям выдаются дипломы МФТИ о профессиональной
переподготовке установленного образца.
Фирма, предоставившая информацию: ОКБ САПР, ЗАО (совместнос Центром дополнительного профессионального образования МФТИ)НЬЮС МЕЙКЕРЫ
125212, Москва,Ленинградское ш., 39А, стр. 3
Тел.: +7 (495) 797-8700
E-mail: info@kaspersky.com
Kaspersky.ru
См. ст. "Бизнес в ответе за киберугрозы"на стр. 7

ОКБ САПР
115114, Москва,2-й Кожевнический пер., 12
Тел.: +7 (495) 994-7262
E-mail: okbsapr@okbsapr.ru
http://www.okbsapr.ru/
См. стр. 48
РОСТЕЛЕКОМ-СОЛАР
125009, Москва, Никитский пер., 7, стр. 1
Тел.: +7 (499) 755-0770 (офис),+7 (499) 755-0220 (техническая поддержка)

11-13
48 •

2020

E-mail: info@rt-solar.ru
http://www.rt-solar.ru
См. cтр. 47
СПЛАЙН-ЦЕНТР, ЗАО105005, Москва, ул. Бауманская, 5, стр. 1
Тел.: +7 (495) 580-2555
E-mail: cons@debet.ru
www.debet.ru, сплайн.рф
См. стр. 29

Реклама

ЛАБОРАТОРИЯ КАСПЕРСКОГО

IB_Jornal 9/5/19 2:59 PM Page cov3

изДАниЯПо инФормАционной
безоПАСноСти –вСегДА нА рАбочем
СтоЛеПоДПиСКА нА ЖУрнАЛЫ:ВО ВСЕХ ОТДЕЛЕНИЯХ ПОЧТЫ РОССИИ
оФиСнАЯ ПоДПиСКА:E-mail: monitor@groteck.ru
Тел.: (495) 647-0442, доб. 22-82
Информационное агентство
монитор

Реклама

ПОДПИСКА

ALL_OVER_IP 9/5/19 3:00 PM Page cov4

www.all-over-ip.ru

12
20–22.11.2019

n
o
i
at

m
r
o
f
s
n

a
r
T
tal

i
f
i
t
Ar

e
t
n
I
cial

e
c
n
llige
РекламаigiD