Государства для тестирования хакерских атак: для кого строят киберполигоны

Обратная сторона цифровой революции — это, к примеру, риск кибератак, которые могут повлиять на окружающий мир и жизнь граждан. Аппетит злоумышленников растет с каждым годом, а вместе с ним и ущерб, наносимый компаниям в ходе кибератак. 

В том же месяце при атаке на Счетную палату Молдовы были уничтожены аудиторские отчеты и общедоступные базы данных ведомства, а в Иране из-за взлома компьютерной системы национальной железной дороги сбился график движения поездов. В сентябре этого года хакеры в очередной раз замахнулись на ООН и, взломав ее сеть, похитили информацию, которая теперь может быть использована для атак на другие ведомства.

Публичные примеры серьезных последствий заставляют компании всерьез относиться к киберрискам и принимать меры, чтобы снизить их вероятность и минимизировать потери. Уже более полувека эксперты по безопасности ищут способы наиболее точно оценить ущерб от кибератак. За это время были разработаны сценарии аудита и придумана методология оценки рисков: специалисты начали проводить анализ защищенности систем и тесты на проникновение, а организации стали уделять внимание обучению и проверке уровня осведомленности сотрудников в вопросах ИБ. Все это, конечно, помогает повысить уровень защищенности, однако не дает ответов на вопросы: «Чем грозит кибератака компании? Можно ли гарантировать, что неприемлемые для бизнеса события не будут реализованы?». 

Движение бизнеса в сторону практической безопасности привело к появлению нового инструмента для моделирования угроз и оценки защищенности компаний. Этим инструментом стали киберучения, в которых одновременно могут принять участие такие специалисты по кибербезопасности, как пентестеры, исследователи, сотрудники служб ИБ и центров мониторинга безопасности. 

Существуют масштабные киберучения, например Locked Shields, организованные Киберцентром НАТО в Таллине, в которых в 2019 году приняло участие более 1200 экспертов по ИБ, или мероприятие Cyber Defense Exercise Агентства национальной безопасности США, которое проходит с 2001 года. 

Для киберучений можно использовать реальную инфраструктуру компании, но тогда риски будут реализовываться условно. Поэтому для оценки реализуемости рисков ИБ и выявления возможных последствий кибератак лучше применять специально подготовленную платформу — киберполигон. Так можно не бояться нарушить реальные технологические или бизнес-процессы.

Использование киберполигона для анализа защищенности инфраструктуры — это передовое решение. Его выбирают организации, стремящиеся к практической безопасности — прозрачной, результативной и обоснованной. У каждой компании своя уникальная инфраструктура и свои недопустимые события. Для того чтобы проследить цепочки кибератак и оценить, к каким последствиям может привести недопустимое событие в обычной жизни, необходимо считаться с этой уникальностью. Киберполигон позволяет оценить значимость ресурсов и определить, что именно может заинтересовать злоумышленников. При ретроспективном анализе атак с полигона также можно выделить системы, взломав которые хакерам становится проще добиться реализации рисков. 

Кроме того, если в киберучениях участвует одновременно несколько команд атакующих (а это самый лучший расклад), то еще появляется возможность всесторонне проанализировать защищенность той или иной инфраструктуры и проработать больше техник и сценариев атак.

В отдельных случаях верифицировать неприемлемые события и оценить защищенность инфраструктуры без киберполигона попросту невозможно. Например, когда есть риск вызвать негативные последствия, в частности аварии на производстве, которые могут привести к травмам или гибели работников предприятия, жертвам среди населения или экологической катастрофе. Такие недопустимые события чаще всего характерны для предприятий из промышленного сектора и городских эксплуатационных служб. 

Создание киберполигонов — это дорогостоящая и трудозатратная задача, поэтому в основном ею занимаются на государственном уровне. К примеру, на построение национального киберполигона в США компании Lockheed Martin было выделено 33,9 млн долларов. В России субсидию в размере 364,55 млн рублей получил «Ростелеком» для создания киберполигона в рамках программы «Цифровая экономика». Мы в Positive Technologies — уже своими силами — организовали киберполигон, аккумулирующий опыт международных киберучений. За это время понимание концепции киберполигона у нас неоднократно эволюционировало. Сначала до формата противостояния на искусственно смоделированной инфраструктуре, потом — до глобального киберполигона The Standoff, на котором присутствуют инфраструктуры реальных организаций и реальные технологические и бизнес-процессы, реальные средства защиты и реальные защитники, отвечающие за выявление кибератак на виртуальный город. 

Угроза кибератак должна быть очевидна каждому. Для этого мы каждый год проводим крупнейшие в мире открытые киберучения на нашем полигоне. Чтобы продемонстрировать векторы атак и сделать аварии, вызванные зловредными действиями хакеров (в нашем случае — красных команд), наглядными для людей, знакомых с кибербезопасностью весьма поверхностно, мы создаем макет города. Там есть заводы, ТЭЦ, аэропорт, бизнес-центры, железная дорога и даже парк аттракционов. В инфраструктуру виртуального города заложены живые бизнес-процессы этих организаций, а на полигоне команды атакующих и защитников имеют дело с настоящими сервисами и оборудованием, используемыми в этих отраслях. 

При этом и взаимодействие с инфраструктурой города тоже происходит как в реальности: нападающие работают удаленно, пытаясь проникнуть внутрь корпоративной сети. В сердце макета — АСУ ТП, которые управляют реальными объектами с ПЛК. При проектировании полигона используются настоящие промышленные контроллеры и SCADA, как и на аналогичных объектах промышленности. Все технологические сети содержат настоящее оборудование и софт, а сетевое взаимодействие происходит по распространенным протоколам АСУ ТП — OPC DA, Modbus TCP, HTTP.