15 октября компания Group-IB представила результаты собственного исследования угроз и преступлений в области высоких технологий. Исследование охватывает период с середины 2013-го до середины 2014 года. Для оценок масштабов действий киберпреступников применялись собственные методики Group-IB, а также некоторые исследования партнеров, например компания Highload Lab предоставила сведения о количестве DDoS-атак.

Специалисты сделали вывод: за год «русскоязычные» хакеры и мошенники всех мастей заработали на незаконных операциях 2,5 млрд долл. Это лишь вдвое меньше, чем объем экспорта программного обеспечения из России за 2013 год. Однако масштабы действий отечественного ИТ-криминалитета меркнут на фоне «успехов» их зарубежных коллег. Согласно отчету компании Symantec 2013 Norton Report, в прошлом году общемировой объем доходов киберпреступников достиг 113 млрд долл., то есть преступный пай злоумышленников из России и СНГ составляет всего 2% глобального.

Больше всего — 841 млн долл. — местные криминальные круги заработали на распространении спама о фальшивых медикаментах и другом контрафакте, в том числе поддельном ПО. Операции по «кардингу», связанные с компрометацией и продажей данных платежных карт, принесли злоумышленникам 620 млн долл. Еще 426 млн преступники заработали на мошенничестве в системах интернет-банкинга, на банковском фишинге и махинациях с электронными деньгами. Продажа эксплойтов, загрузок, трафика для преступных операций и предоставление услуг по анонимизации добавили киберпреступникам еще 288 млн долл. На DDoS-атаках злоумышленники заработали 113 млн. Прочие мошеннические операции принесли им 153 млн. долл.

В исследовании Group-IB зафиксирован рост числа целевых атак, направленных на получение конфиденциальной информации и финансовое мошенничество. Особенностью таких атак аналитики назвали их направленность на компрометацию конкретной категории информационных систем.

В отчете особо отмечено, что нелегальный рынок данных банковских карт за последние десять лет окончательно структурировался и на нем активно организованы массовые автоматизированные каналы сбыта в формате электронных торговых площадок и интернет-магазинов. На эти площадки оптом поставляются украденные в торговых сетях карточные данные, которые затем распродаются отдельным злоумышленникам в розницу для кражи денег со счетов.

Как заявила Наталья Касперская, генеральный директор группы компаний InfoWatch, значительная часть преступлений, связанных с кардингом, происходит в результате утечек персональных данных. По сведениям аналитического центра InfoWatch, общее число утечек в России выросло в первой половине 2014 года в два раза по сравнению с тем же периодом прошлого года, при этом подавляющее число – три четверти — случаев компрометации конфиденциальной информации за исследуемый период было связано с утечками персональных или платежных данных.

Новая опасность подстерегает владельцев смартфонов — злоумышленники нашли способ совершать хищения с их банковских счетов, используя только троянскую программу на мобильном устройстве. Статистика Group-IB такова: почти 40% мобильных устройств так или иначе связаны с банковскими счетами их владельцев; число заражений таких устройств троянцами превысило полмиллиона, благодаря чему пять основных преступных групп похитили со счетов владельцев смартфонов 3 млн долл.

Что касается спама, то основной доход от него преступники получают за счет продвижения контрафактных лекарств. Но немало приходится и на спам-рекламу поддельного ПО – 112 млн долл. По словам Дмитрия Береснева, руководителя направления кибербезопасности и подлинных решений Microsoft, в России 50% программ, установленных на компьютеры в 2013 году, были контрафактными. Их пользователи, очевидно, не учитывают, что вероятность потери данных или денег при загрузке «бесплатной» версии Windows составляет 92%, полагает эксперт.

А вот значительная часть DDoS-атак теперь происходит из «протестных» побуждений. В частности атаки большой мощности были зафиксированы во время Олимпийских игр в Сочи, а также во время проведения референдума в Крыму. Пиковые значения некоторых мощных атак составляли 120-160 Гбит/с, и это уже серьезная угроза для деятельности операторов связи.

Комментируя итоги исследования, генеральный директор Group-IB Илья Сачков подчеркнул, что ущерб от криминализации сферы высоких технологий не ограничивается потерями от собственно компьютерных атак и мошенничества. С помощью ИТ совершаются преступные деяния, связанные с коррупцией, продажей наркотиков, нарушением прав на интеллектуальную собственность, а также с террористической деятельностью и экстремизмом. А потому суммарные потери для общества от высокотехнологичных преступлений намного выше означенных 2,5 млрд долл.

Дмитрий Пономарев: «С внедрением 'Локального хантера' и 'Национального хантера' мы знаем, как правильно 'кредитовать' мошенников»

Информационно-аналитическая компания Experian провела совместно с «Объединенным кредитным бюро» конференцию Experian Anti-Fraud Day 2013, посвященную новым технологиям и сервисам, которые помогают бороться с мошенничеством в банковской и финансовой сферах. Системы, предлагаемые компанией, помогают сотрудникам банков принять решение о предоставлении и непредоставлении кредита, проанализировать относящуюся к сделке информацию, чтобы определить, насколько она является подозрительной.

Решение «Локальный хантер» позволяет банкам анализировать информацию о клиентах. Оно дает сотрудникам банка возможность выделить в накопленных данных признаки недостоверности. По этом признакам можно отличить рискованную операцию от надежной. В частности, так можно выделить поддельные справки о доходах, фальшивые трудовые книжки и другие недостоверные сведения в первичных документах, предоставленных потенциальным клиентом.

Другое решение, «Национальный хантер», позволяет банкам обмениваться между собой информацией о мошенниках. Например, она дает возможность получить сведения о таких типах мошеннических действий, как одновременная подача документов на получение кредита сразу в несколько банков. Банки также могут обмениваться сообщениями о выявленнных мошеннических действиях (хотя банки и не всегда доверяют сведениям от своих коллег, но используют их как дополнительный источник информации).

Еще одним источником сведений о клиенте является международный сервис компании iovation, с его помощью можно проводить оценку устройств, с которых осуществляется подключение к системам интернет-банкинга, выявляя подключение мошенников. Для работы достаточно на сайте, через который выполняется обслуживание клиентов, разместить специальный код, чтобы сформировать так называемый отпечаток устройства, этот отпечаток посылается затем в базу данных сервиса. В ответ приходит информация о совершенных с этого устройства сделках и статусы подозрительности этих транзакций. Так можно проверить не только браузеры в компьютерах, планшетах и смартфонах, но и банкоматы — в случае если устройство будет взломано, это очень быстро скажется на его репутации. Пока в России нет компаний, пользующихся данным сервисом, тем не менее репутация российских устройств в базе iovation все-таки есть — ее создают иностранные пользователи, подключающиеся к своим банкам из России. Следует отметить, что сервис позволяет решить проблему защиты персональных данных — он собирает только сведения об устройствах, а как сказал Максим Чуриков, директор по стратегическим инициативам Experian, «права киборгов российский закон пока не защищает».

Среди клиентов Experian — международный банк «Юникредит», здесь внедрены и «Локальный хантер», и «Национальный». По словам Дмитрия Пономарева, начальника отдела по выявлению и предотвращению мошенничества в розничном кредитовании банка «Юникредит», внедрение продуктов окупилось практически за три месяца. Были выявлены компании, которые занимаются подделкой справок 2НДФЛ и трудовых книжек (это, кстати, вообще не считается нарушением российского законодательства). К системе «Национальный хантер» также подключен Сбербанк.

Александр Чигвинцев: «Существующие технологии неэффективны против APT, с опасностью может справиться RSA Security Analytics»

Год от года фокус технической политики специализирующейся на информационной безопасности компании RSA, входящей в корпорацию EMC, смещается. В 2011-м главное внимание было нацелено на обеспечение безопасности в облаках, в прошлом году — на мобильные устройства, в нынешнем — на целенаправленные устойчивые угрозы (Advanced Persistent Threat, APT) и средства анализа Больших Данных. В январе в США и в начале февраля в Москве RSA представила новый продукт — платформу RSA Security Analytics, которой предстоит стать фундаментом для следующего поколения систем, рассчитанных на отражение атак класса APT. Такого рода вредоносные программы создаются профессиональными специалистами, имеющими серьезное финансирование, их цель состоит в нанесении ощутимых материальных потерь коммерческим предприятиям и госструктурам. И пока действенных средств защиты от таких угроз почти нет. Представлявший новинку директор по работе с партнерами Александр Чигвинцев привел печальную статистику, свидетельствующую о чрезвычайно низкой эффективности существующих средств обороны от APT. Например, по данным IDC, антивирусное ПО обнаруживает только 1% такого рода атак, а крупный американский провайдер Verizon считает и эту цифру слишком оптимистичной. Инструментарий RSA Security Analytics призван исправить существующее положение.

Новый продукт создан на базе технологии NetWitness, приобретенной RSA в 2011 году вместе с одноименной компанией. В нем она сочетается с уже имевшимися у RSA собственными технологиями, а именно с системой управления информацией о безопасности и текущих событиях (Security Information and Event Management, SIEM), криминалистическими средствами Network Forensics и аналитикой Больших Данных.

Компания NetWitness, название которой буквально переводится как «сетевой свидетель», была создана Амитом Яраном, одним из самых известных сетевых контрразведчиков: помимо опыта работы в коммерческих предприятиях он еще одно время возглавлял венчурную компанию In-Q-Tel, работающую на ЦРУ. NetWitness получила широкую известность в 2010 году, когда ей удалось раскрыть ботнет Kneber. Решающую роль тогда сыграла технология Visualize, позволяющая аналитику увидеть особенности сетевого трафика и выявить его аномалии.

RSA NetWitness мониторит сеть и помогает извлекать из трафика существенную информацию. Продукт состоит из трех основных частей: специализированных устройств Decoder и Concentrator, а также интерактивного приложения для расследований Investigator. Функции между компонентами распределены следующим образом: Decoder собирает сырые данные (журналы) и пересылает их в хранилище, Concentrator собирает, индексирует и пересылает в хранилище метаданные о пакетах и журналах. Investigator поддерживает работу аналитиков. Плюс к перечисленному в продукте Security Analytics есть возможность передачи в хранилище результатов распределенных запросов из других приложений. Интеграцию обеспечивает подсистема RSA Archer eGRC (enterprise Governance, Risk management, and Compliance). Совокупность применяемых решений, объединение технологий обработки Больших Данных со средствами обеспечения безопасности позволяет аналитикам учитывать бизнес-контекст, с тем чтобы расставить приоритеты и перераспределить ресурсы в борьбе с угрозами, представляющими наибольшую опасность, существенно повысив общий уровень защиты информации.

В настоящее время на организацию атак APT у злоумышленников затрачивается немало труда и времени, поэтому такие атаки относительно немногочисленны и их целями становятся исключительно крупные предприятия. Обычно таковые имеют собственный штат специалистов по информационной безопасности и готовы на серьезные инвестиции, они способны использовать RSA Security Analytics в его нынешнем виде. Однако в предвидении скорой и неизбежной «демократизации» APT, когда объектами нападения могут стать предприятия среднего или даже малого бизнеса, RSA планирует доступ ресурсам RSA Security Analytics в виде сервисов, предоставляемых провайдерами.

«Лаборатория Касперского» объявила о выходе новых версий продуктов для домашних пользователей — Kaspersky Internet Security и «Антивирус Касперского». Программы используют новое антивирусное ядро, обеспечивающее, по заявлениям компании, более высокое качество обнаружения вредоносных программ. Кроме того, в Kaspersky Internet Security используется новое ядро антиспама.

Сергей Голованов: «Вредоносные программы, нацеленные на кражу денег, являются самыми выгодными для злоумышленников»

По данным опроса IDC, приведенным Сергеем Головановым, экспертом «Лаборатории», кража финансовой информации всерьез беспокоит порядка 40% респондентов, а около 21% считают ее хищение наиболее серьезной угрозой. Аналитики IDC утверждают, что в 2012 году будет совершено более миллиарда онлайн-покупок на сумму свыше 1,2 трлн долл. Поэтому основным направлением развития новой линейки домашних продуктов стала безопасность онлайн-банкинга.

Новая технология для ее обеспечения — «Безопасные платежи». Функция автоматически включается при посещении популярных платежных и банковских сайтов и проверяет подлинность платежной системы. Эти ресурсы предлагается открыть в защищенном режиме, где контролируется доступ других программ к передаваемым данным для недопущения их кражи. Одновременно с запуском защищенного режима проходит быстрая проверка компьютера на наличие уязвимостей, влияющих на безопасность онлайн-платежей. При их обнаружении пользователю будет предложено автоматическое исправление. Выполнить полную проверку ПК на наличие всех уязвимостей предлагается вручную.

Следующая ступень защиты – обеспечение безопасности вводимых данных. В более ранних версиях программы для этого служила только виртуальная клавиатура, которую требовалось запустить вручную. Сейчас при заполнении информации на банковских сайтах виртуальную клавиатуру предлагается включить автоматически. Но есть и более существенное отличие: в новой версии реализована технология «Защита ввода данных с аппаратной клавиатуры», использующая специальный драйвер для предотвращения регистрации нажатий клавиш во время ввода данных. Этот режим активируется автоматически при посещении ресурсов онлайн-платежей.

Для защиты от эксплойтов, наиболее сложных и опасных угроз, использующих уязвимости в популярных программах или операционной системе, применяется технология «Автоматическая защита от эксплойтов». Значительная часть их может быть заблокирована традиционными средствами антивирусной защиты, однако для борьбы с вредоносными программами, использующими уязвимости «нулевого» дня (уязвимости, для которых производитель еще не выпустил обновление, решающее проблему), стандартных средств оказывается недостаточно. В основе работы системы лежит анализ поведения существующих вредоносных программ. Система контролирует активность продуктов, которые чаще всего подвергаются атакам, и в случае, если одна из них попытается запустить подозрительный программный код, процедура прервется и начнется проверка. Кроме того, «Автоматическая защита от эксплойтов» отслеживает обращение программ к сети и анализирует источник файлов, а также проверяет, создан ли файл при участии пользователя.

Следует отметить, что на фоне усиления защиты онлайн-банкинга из продукта была удалена функция «Безопасная среда». В предыдущей линейке она позволяла пользователю перейти в виртуальную среду, где можно запускать подозрительные приложения без вреда для системы. Также имелась возможность выполнения в безопасной среде отдельной программы. Сейчас предусмотрен только автоматический запуск браузера в безопасной среде при посещении некоторых сайтов. Возможно, причина в том, что, по информации «Лаборатории Касперского», защищенную среду открывали лишь около 1% пользователей домашних продуктов.

Процесс установки продукта был ускорен и включает теперь меньше этапов. Кроме того, улучшена система обнаружения несовместимых программ, которые предлагается удалить автоматически.

Наталья Касперская: «Похищенная информация касается людей, крадется людьми, и для полного предотвращения утечек конфиденциальной информации одних только ИТ-средств недостаточно»

21 марта группа компаний InfoWatch, специализирующаяся на комплексных решениях в области информационной безопасности, объявила о финансовых результатах своей работы в 2011 году и планах дальнейшего развития. Доход за 2011 год по всем направлениям бизнеса составил 184,4 млн руб, что на 49,5% больше, чем в прошлом. Продажи лицензий принесли 74%, остальное — услуги по технической поддержке.

В 2011 году InfoWatch была преобразована в группу компаний, куда вошли еще три структуры: Kribrum — совместное предприятие InfoWatch и «Ашманов и Партнеры», занимающееся мониторингом и анализом социальных медиа; «Центр инноваций Натальи Касперской» — ведущее технологические разработки; EgoSecure — решения по защите рабочих станций в корпоративной сети.

Продажи программных продуктов для защиты корпоративной информации от утечек (Data Leak Protection, DLP), по словам Натальи Касперской, генерального директора группы компаний, показали в России относительно умеренный рост, однако разработки InfoWatch оказались весьма востребованы сегодня в Европе, странах Ближнего Востока и Индии. Объем рынка решений DLP в России и СНГ, по оценкам InfoWatch, составил к 2011 году 850-900 млн руб., и, как утверждается, эта компания занимает на нем почти половину. Портфель продуктов InfoWatch включает систему защиты от утечек InfoWatch Traffic Monitor Enterprise с технологией шифрования CryptoStorage Enterprise, InfoWatch Kribrum — облачный сервис мониторинга Сети, а также решения для малого и среднего бизнеса: InfoWatch Traffic Monitor Standard — защита от утечек, InfoWatch CryptoStorage — система шифрования и InfoWatch EgoSecure — защита рабочих станций.

По данным ежегодного исследования, проводимого аналитиками InfoWatch с 2004 года на основе анализа базы инцидентов, произошедших в организациях по всему миру в результате злонамеренных или неосторожных действий и обнародованных во всех доступных открытых источниках, включая форумы и блоги, в 2011 году было скомпрометировано 223 млн записей, а компании потратили на ликвидацию последствий утечек 0,5 млрд долл. Основным источником утечек конфиденциальной информации были коммерческие компании (45%), однако по сравнению с прошлым годом их доля снизилась на 25%, что связано с повышением внимания бизнеса к вопросам безопасности. При этом выросла доля госучреждений (31%) и некоммерческих организаций (20%), в которых преобладали утечки, совершенные по неосторожности или незнанию.

Большинство инцидентов было связано с персональными данными, причем основная часть утечек (19%) стала следствием нарушений при работе с бумажными документами (например, оставленными на общедоступном принтере) и выноса за пределы офисов съемных носителей, хотя и растет поток утечек через каналы Интернет. Первенство по общему количеству обнародованных утечек удерживают англоязычные страны: Великобритания, США, Канада, Австралия, что связано с особенностями законодательства этих стран и с активностью СМИ.

По мнению представителей InfoWatch, успех борьбы с утечками во многом зависит от степени вовлеченности пользователей в процесс внедрения систем DLP, которые без проведения серьезных организационных и просветительских мероприятий в ряде случаев могут стать тормозом на пути развертывания средств защиты. В конечном счете информация касается конкретных людей, и для эффективной защиты от утечек требуется создать среду, исключающую случайные действия, способные привести к утечкам, и обладающую средствами превентивного обнаружения подозрительных действий.

«Доля технологий при защите от утечек составляет менее половины — гораздо важнее аудит, консалтинг и обучение, — подчеркнула Наталья Касперская. — Похищенная информация касается людей, крадется людьми, и для полного предотвращения утечек конфиденциальной информации одних только ИТ-средств недостаточно».