Эксперт по кибербезопасности о ваших паролях, вирусах и кибератаках

У меня есть мой старый добрый друг. Я антивирус принципиально не ставлю. Я, говорит, пацифист, и пусть на моем компьютере живут все живности. Я не хочу их убивать. Любое устройство, где есть хоть какая-то там условно обработка информации, может быть атаковано. Потому что сейчас на самом деле компьютеризировано все. Сейчас на первое место выходит такая штука, как утички. Машину можно удаленно атаковать, заблокировать ее во время движения и, собственно, делать с ней все, что угодно. Меня зовут Владимир Дащенко, и я работаю ведущим экспертом по кибербезопасности в лаборатории Касперского. Были организованы атаки со стороны проправительственных одних азиатских группировок, и они целились исключительно в посольства, в консульства и визовые центры. Единственное, что они похищали, это была биометрия. То есть их интересовали данные сотрудников посольства, кто заходит по биометрии туда. Это опасно, потому что, условно, вы всегда можете взять, поменять пароль, ну или, не знаю, паспорт, пойти поменять, хрен с ним. Но поменять печаток пальца сложновато, а сетчатки глаза, мне кажется, еще сложнее. Правда ли, что из интернета на самом деле ничего нельзя удалить? Короткий ответ – да. Развернутый ответ – почти. Большая часть данных, они так или иначе подвергаются резервному копированию. Не вами, а какой-то там, допустим, соцсети, когда вы там загружаете фотки и так далее. Есть требования какого-то локального законодательства, и у нас в том числе, хранить трафик, хранить какие-то данные в течение определенного количества времени. А есть какие-то сторонние системы, условно, которые создают слепки сайтов, какие-то профили в соцсетях. Мы не можем гарантировать, ну, собственно, мы как общество не можем гарантировать и знать, сколько эти данные там будут храниться и так далее. Можно взломать все, что угодно? Любое устройство, где есть хоть какая-то там, условно, обработка информации и какая-то внутренне встроенная логика, это может быть атаковано. Можно взломать автомобиль, можно взломать нейроимпланты или там биомеханические протезы у людей, парки аттракционов, умные электрички, конвейеры, там, сливоналивные эстакады, то есть это какая-нибудь штука, которая разливает бензин там или какой-то дизель по цистернам. Система маркетинговой аналитики. Вы ходите, допустим, по сайтам, принимаете куки-файлы вот эти вот. Они складируются там в гигантских-гигантских системах. Это можно взломать и отследить, где человек бывает, чем он интересуется. У меня есть история про кофемашину. Там тоже несколько лет назад была история на одном европейском заводе. Началась атака из айтишного, то есть классического компьютерного сегмента. Со стороны злоумышленника они нашли просто какое-то компьютерное устройство на базе операционной системы Linux, там, с простым логинами и паролями, на него зашли. И увидели, что это устройство подключено как в одну сеть, к которой у них был доступ, так и в другую подсеть. И вот с этого устройства они стали развивать атаку на вторую подсеть, на изолированную. Вот это вот пограничное устройство была кофемашина. То есть у вас вот это вот одно устройство, маленькое какое-то умное устройство, оно может быть использовано как точка распространения вредоносного какого-то трафика, ну то есть там спам, слайд, DDoS-атаки и так далее. Либо это может быть перевалочный пункт для атакующего, чтобы попасть уже во внутреннюю сеть. Как компьютерный вирус попадает на устройство? Они могут попадать к вам через электронную почту, когда вы открываете какие-то непонятные вложения. Второй вариант, вы можете в интернете что-то скачивать. Третий вариант, вы можете зайти на какой-то супер странный сайт с кучей всяких там баннеров и вот это вот все. И один из этих баннеров может содержать вредоносный код, который выполнится у вас в браузере и дальше там закрепится у вас в компьютере. Либо вы вставите какую-то флешку непонятную. Дальше, как только вредоносный объект оказывается у вас, вот он только-только получает доступ, ему нужно закрепиться, ему нужно сделать так, чтобы его не нашли. Закреплять себя в оперативной памяти, прописывать себя в реестр, как можно дольше оставаться в системе и предоставлять зачастую доступ к атакующему, к вашему компьютеру. Сейчас, к сожалению, очень сильно распространены атаки на мобильные телефоны, особенно там на базе Андроида. В меньшей степени пока на iOS. Я бы, вот честное слово, рекомендовал поставить на андроидовские телефоны антивирусы, потому что большое количество людей устанавливают приложения не из официального маркета, а из там неофициальных маркетов. Там проверка кода на зловредность, она в меньшей степени реализована. И, соответственно, если вы ставите какое-то приложение со встроенным зловредом и даете ему права на доступ на уровне ядра операционной системы, то тут и начинается все веселье с вашего телефона, в кавычках с одного собой. То есть он будет заражен. Если мы говорим про Apple, телефоны Apple взламывают и заражают, но по сравнению с Андроидом это стоит дороже. Антивирусов под Apple не существует ввиду закрытости их архитектуры и вообще в целом подхода к разработке. То есть они не дают доступа, как дает, допустим, Андроид. Ну, собственно, вот это мое рабочее место. Наша команда вообще в целом специализируется на промышленных системах, на всяких автомобилях, умных автомобилях. Короче, все нестандартные IT-технологии, все, что выходит за рамки среднестатистического компьютера. Потому что сейчас, на самом деле, компьютеризировано все. Та же самая заправка. Там есть компьютеры, которые управляют наливом топлива и смотрят, сколько осталось и так далее. И как бы у этого все могут быть уязвимости, и на это все могут быть совершены какие-то кибератаки. И вот, в общем, мы это защищаем. Короткий ответ и простой – дофига. Сейчас у нас порядка 400 тысяч уникальных вредоносных объектов а так детектируются за сутки. Буквально, мне кажется, год-полтора назад их было 300 тысяч. Их обрабатывать вручную невозможно. Так, ну что. Святая святых – это наша антивирусная лаборатория. Здесь сидят наши сменные вирусные аналитики 24 на 7 и разбирают какие-то примеры вредоносных программ, которые прилетают к нам через нашу статистику, смотрят, являются они вредоносными или нет, да и вносят в свой вердикт. То есть, есть часть каких-то объектов, которые не могут быть проверены в автоматизированном режиме, да, и проходят дополнительную проверку через человека. У нас есть threat landscape, такая штукианция. Мы показываем, условно, ландшафт угроз, которые есть вообще в мире. Все начиналось с того, что приходило большое количество запросов со стороны заказчиков из России, из-за рубежа. Типа, а что вы видите? А что происходит? А что у нас в регионе происходит? Мы, во-первых, показываем, вот есть какой-то вредоносный объект, он работает так-то. С высокой долей вероятности он относится к какой-то группировке. Она специализируется, допустим, на нефтехимической отрасли, на автомобильной отрасли. То есть, у них есть какой-то такой свой круг интересов. Условно, китаеязычные люди, да, они пишут код по особому образу. Русскоязычные по-другому. Люди, которые по-арабски говорят, у них там третья логика изложения мыслей в код. И по результатам, условно, выдаётся огромный отчёт, можно смотреть, какие-то закономерности простраивать. И это очень удобно. Исторически так сложилось, что вирусные аналитики называются дятлами. Когда лаборатория была ещё совсем маленькой, большую часть вредоносных объектов приходилось вручную разбирать. То в комнатах, значит, в кабинетах стоял просто от того, что постоянно нажимались клавиши на клавиатуре. И вот если посмотрите, там у нас на эмблемке прямо нарисован значок дятла и стрелочка направо, что вот логово вирусных аналитиков, оно вот здесь. Как хакерам удаётся взламывать целые кампании? На первое место выходит такая штука, как утички. Есть огромное количество сервисов, сайтов каких-то сторонних, которые не связаны с вашей организацией, но вы можете зарегистрироваться там с использованием корпоративного адреса электронной почты. И вводите пароль, который либо такой же, либо похож. Ну, грешочек-то бывает. Потом интернет-магазин или какой-то сторонний сервис могут взломать, эту базу данных слить. И потом какие-то хакеры условно-атакующие изучают, смотрят, ага, там Gmail неинтересен, а вот корпоративные адреса интересны. И начинают пытаться подобрать пароль, как-то получить доступ. Через такие слитые учётки чаще и чаще пытаются пробраться во внутреннюю инфраструктуру. У нас есть команда классная DFI, Digital Footprint Intelligence. Они, значит, анализируют кучу всяких этих даркнетов и смотрят, условно, какие данные утекают, и помогают нашим заказчикам, клиентам вовремя реагировать, что нужно, значит, вашим пользователям сменить пароль. Потому что существует высокая вероятность, что через этот логин пароль смогут как-то начать развивать атаку на инфраструктуру. Мы регулярно выезжаем на какие-то проекты на внешние. Вот у меня тут есть пачка, ой, даже больше, пачка посадочных билетов, за которые я ещё не читался. Поэтому бухгалтерия с меня требует читаться. Простите, я забыл. Командировки бывают там тоже нескольких видов. Когда нужно срочно лететь куда-то и тушить пожар. То есть, когда что-то произошло. У нас команда называется по-английски Cyber Emergency Response Team. То есть, группа реагирования на киберинциденты. То есть, это могут быть какие-то заводы, аэропорт какой-то. Либо они созрели до того, что им нужно сейчас уже повысить уровень защиты. Либо вторая часть заказчиков, это те, у которых уже что-то произошло, к сожалению. И они такие, так, ребята, слушайте, надо что-то с этим делать, помогите, пожалуйста. На самом деле, что технологии со стороны атакующих, что технологии со стороны защищающихся, они вот идут там ноздря в ноздрю. И как только появляются какие-то, ну там, вообще глобально новые технологии, они тут же начинают применяться как со стороны добра, так и со стороны зла. Атака должна стоить дороже, чем потенциальный профит от полученной информации. Если вы в атаку инвестировали, там, допустим, 100 рублей, а потенциальная монетизация от полученной информации будет там 70 рублей, то вы на 30 рублей в минусе, и так это не бизнес. Задача кибербезопасников сделать следующее, что, типа, друзья, поставьте этот продукт, он стоит, допустим, 50 рублей, и, соответственно, вот с этим продуктом атака будет стоить 100 рублей. Если раньше мы считали, накатил антивирус, да и фиг с ним, этого там более чем достаточно, то сейчас огромное поле других вредоносных объектов и каких-то векторов атак, которые могут нанести вред абсолютно без вируса. И в итоге у нас там выросли продукты до класса XDR, это Extended Detection Response, то есть это у вас, получается, расширенная такая штукенция, и она уже там смотрит не только какие там вредоносные файлы, а вообще что происходит там, может быть какой-то там безфайловый зловред. Как безопаснее всего хранить пароли? Идеального коктейля не существует, но в браузере, наверное, менее безопасно. Я бы рекомендовал пользоваться менеджерами паролей. Условно там у нас есть Касперский паспорт менеджеры, есть там сторонних производителей от зарубежных. Вот этот менеджер паролей, он будет хранить в зашифрованном виде ваши пароли от соцсетей, банков, мессенджеров, всё-всё-всё. Чтобы получить доступ к вашим паролям, вам нужно ввести всего один пароль. Вот этот вот мастер пароль, то есть это как бы главный пароль. Вы его вводите, у вас происходит расшифровка всей вашей парольной информации от социальных сетей, от электронной почты. Чтобы создать какой-то сложный пароль, вот этот мастер пароль, есть такие подходы, называется мнемоника. Вы, допустим, берёте какую-нибудь любимую песню, берёте первые 2-3 буквы каждого слова, большие и маленькие регистры, добавляете ещё по циферке, используете спецсимволы, и у вас получается пароль на 20 символов, который объективно сложно подобрать. Почему нельзя использовать один пароль для разных сайтов? Когда сливают базу данных, допустим, с какого-то сайта, и там есть ваша учётная запись, например, адрес электронной почты и пароль в чистом виде, зачастую у злоумышленников, у них не одна база данных, а их куча разных утёкших сайтов. Если, допустим, на одном сайте пароль хранится в чистом виде, а на другом хранится в подшифрованном, это усложняет процесс взлома. Если вы используете везде один и тот же пароль, то, получив связку логин и пароль, атакующие будут использовать логин и этот же пароль на других сайтах. Можно взломать поезд метро? В Корее, например, в Японии. В московском метро? Нет. Там, где поезда более аналоговые, их взломать, наверное, скорее нет, чем в классическом виде, а там, где более цифровизованы и там бесчеловечное метро и вагоны, то есть он управляется автоматически, то скорее да, чем нет. Заразить компьютер вирусом очень легко. Если компьютер не защищён, то элементарно. Вирус можно долго не замечать. Абсолютно верно, да. Особенно если речь идёт о таргетированной атаке, его можно не замечать годами. За нами могут следить через фронтальную камеру. Несмотря кто следит. Если вы производитель ноутбука, то вам это и дёшево, и выгодно. А если вы какой-то атакующий, а что вы с этого получите? Нет никакой прямой монетизации. Вы запишите, как человек в труселях рассказывает перед камерой песенки поёт. Окей. Хранить пароли на бумажке безопасно. Если, ещё раз, вы дома, вы уверены за ваш дом, то без проблем. Храните на бумажке. Никаких вопросов. Но если, ещё раз, это корпоративная среда, то нет, ни в коем случае. Хранить фото бумажки с паролями на телефоне также безопасно. Тогда производитель вашего телефона знает ваш пароль. Потому что все фотографии в телефонах, они анализируются, что там изображено, какой текст, и эта информация складируется дальше. Если вы фотографируете свой пароль, не знаю, супер, ваши учётные записи на работе для доступа к чему-то, важному очень, такое, наверное, этого делать не надо. Если вы сфотографировали пароль для доступа к трекеру вашего кота, ну, как бы, дай бог с ним. Взломать аккаунт в любой соцсети очень просто? Ну, не очень. И не любой. Потому что современные соцсети, они уже мониторят, откуда вы заходите, с какого IP-адреса, с какой страны, с какого устройства, ваше поведение. Если в ваш профиль зашли, и тут же начинают тыкать судорожно, искать переписки, скачивать файлы и так далее, то, скорее всего, вас заблокируют, потому что очень странное поведение. И это делается автоматизированным. Можно поймать вирус из подозрительного письма, просто открыв его? Вероятность небольшая. Она прям стремится к нулю, но она существует. Чтобы взломать вас через просто открытие письма, в письме должна быть эксплойт. Это такой вредоносный код, то есть это должна быть дорогая атака. И это должна быть ранее неизвестная атака. На черном рынке эксплойты под какие-то e-mail клиенты продаются по полмиллиона долларов. Такие штуки используются в каких-то точечных атаках на каких-то высокопоставленных чиновников, журналистов каких-то крупных и так далее. Так, ну что? Вот этот наш супер-еж. Это одно из наших устройств. На самом деле это штукенция для того, чтобы проводить какие-то исследования по безопасности там разных беспроводных технологий в 4G, LTE и так далее. Если мы сейчас выйдем, опять же, на дорогу на Ленинград, у нас сейчас каждая там вторая машина, более-менее современная, там есть внутри встроенная модем, есть встроенная сим-карта. Машину можно удаленно атаковать, заблокировать ее во время движения и собственно делать с ней все, что угодно. Встроенная сим-карта автомобиля цепляется на эту базовую станцию, то можно проводить атаку. Но как только мы такие штуки находим, да, мы сразу же сообщаем производителям, да, и чтобы они тут же незамедлительно начинали это все делать с пророй. Зачем совершают кибератаки? Огромный кусок пирога, а там кибератак, это финансово мотивирование. Стащить кредитные карты, вывести бабки. Есть тоже большой пласт, это шифровальщики. То есть это взломать какую-то компанию и потом пошифровать всю-всю-всю компьютерную сеть и требовать выкупа. Но тут нужно всегда держать в голове, что не факт, что вам пришлют ключ для расшифровки, потому что с пиратами, с такими киберпиратами переговоры, я не знаю, кажется, сложная штука. И есть группировки, которые нацелены именно на кибершпионаж. То есть это люди, задача которых не денег заработать, а стащить информацию. И находиться в сети как можно дольше, и не отсвечивать, украсть какие-то документы, тихонько их переправлять и так далее. Часто ли кибератака достигает цели? 99, наверное, запятая 8 или 9 процентов атакующих детектируется роботами быстро, легко, и при должном уровне защиты они не наносят ущерба. 0,1 процента это таргетированы точечные атаки, которые выполняются суперподготовленными командами, чаще всего это какие-то проправительственные атакующие. И вот такие атаки, их детектировать сложно. Чтобы задетектировать такую атаку, есть такой класс решений вообще в целом на рынке. Он называется CM. Это штука, которая собирает данные с кучей, кучей, кучей источников, на основе искусственного интеллекта в том числе, она делает выводы. Окей, вот такая это последовательность событий, она потенциально может быть опасной. То есть, если вы возьмете каждое событие по отдельности, они в целом нормальные. Но вот именно в такой последовательности там возрастает риск того, что это может быть срабатывание какой-то вредоносности. То есть, не 100% вас атаковали, а потенциально такие шаги может предпринимать злоумышленник при каких-то определенных действиях. У нас был случай в прошлом году, таргетированная атака на сотрудников нашей компании и как бы ценились исключить исключительно вот в Apple устройства, в iPhone. И вот наш CM кума, он значит, увидел там в огромном потоке трафика очень странное событие. Типа, обрати внимание, вот это вот странно, это нужно разобрать руками. Как защитить себя от кибератаки? Во-первых, нужно обновлять все свои устройства регулярно. Обновление программного обеспечения, роутер свои обновлять и так далее. Телефоны, компьютеры. Пользоваться менеджерами паролей. Но самое главное всегда подвергать сомнению то, на какие сайты вы переходите. То есть, если вы видите, что в адресе сайта там заменена какая-то буковка, то, скорее всего, это не настоящий сайт. И стараться не открывать всякие там левые непонятные ссылки и выложения там в электронной почте там непонятно от кого. Ну, иначе можно потерять данные. Стараться, как бы это сейчас мерзко не звучало, никому не доверять. Потому что человек на том конце провода может быть вообще не тем, о ком вы думаете. Мне сложно вам сказать, типа, антивирус должен стоять у всех. Если вам там как-то ваши данные важны и нужны, то наверное, стоит задуматься о том, как бы как это можно обезопасить. К тому же там условно продуктов на рынке часть тьма. Если вы владелец бизнеса и вы там не защищаете свои данные, ну, тогда вы сам себе злобно буратино. Если вы бабки потеряете, ну, как бы сами и виноваты. Это когда получается решить какую-то сложную задачу. Это прям кайф. Это написание каких-то отчетов. Изначально термин хакеры это человек, который увлечен компьютерными технологиями и пытается решить какие-то нестандартные задачи нестандартными путями. Спустя какое-то время термин хакер стал употребляться в более негативном ключе. Изначально это все-таки человек, который увлекается технологиями, да, и там, изобретает что-то. Сколько зарабатывают специалисты по кибербезопасности? Верхние планки по скилловым таким безопасникам, ну, я не знаю, ее, наверное, не существует. Если вы там директор по безопасности в крупном холдинге, ну, у вас будет там шестизначная зарплата, скорее всего. Вот, плюс там бонусы и пакеты. Какие кибератаки самые страшные? Это кибератака, которая ведет к смерти. Такие, к сожалению, были. Были неподтвержденные случаи похожих вещей. Есть кардиостимулятор, есть инсулиновая помпа, вот, удаленноуправляемая. А есть кибератаки, которые приводят там к, ну, техногенным катастрофам, там, к взрывам каким-то, когда есть киберфизический эффект. Что в работе главное? Цель. Понимать, что надо. Кем бы ты стал, если не специалистом по кибербезопасности? До этого я занимался организацией рейв- вечеринок на протяжении более чем 10 лет. У нас была огромная команда, мы делали масштабные рейвы, там, на 5-6 тысяч человек, наверное, я продолжал бы заниматься этой штукой.