10 ноября 2022 года в Москве прошла первая встреча комьюнити CIRF. По задумке организаторов, комьюнити призвано стать неформальной площадкой, где эксперты ИБ и ИТ, технические специалисты, юристы и разработчики в формате «разговоров в ИБ-курилке», без статусов и регалий смогут обсуждать самые сложные и неудобные вопросы и совместно находить пути их решения.

Первая встреча прошла в Mamaison All-Suites SPA Hotel Pokrovka в Москве. Уже на стойке регистрации гостей было понятно, что всех ждёт не скучное мероприятие в формате «вендор-клиент», а неформальная дружеская встреча коллег, готовых обсуждать и помогать друг другу решать серьёзные проблемы в сфере ИБ. Даже гостевые бейджики содержали только имена без указания места работы и должности. И это создавало очень уютную атмосферу «квартирника».

В ходе активной дискуссии никто не смог предложить решения проблемы нехватки кадров. Но в ходе обсуждения в «ИБ-курилке» зародилась атмосфера клубного общения, и Дмитрий Борощук, воспользовавшись моментом, пригласил гостей и экспертов в зал на основную часть мероприятия. Она состояла из трёх блоков: двух теоретических, одного практического и итоговой «прожарки».

Увидев эти цифры, сотрудники securitm.ru решили разработать ПО, помогающее сотрудникам ИБ после выполнения определённого набора требований узнать процент их соответствия регламентирующим документам. Сделать это можно с помощью программы SECURITM, относящейся к классу SGRC (Security Government Risk and Compliance). Она поможет службам ИБ в средних и крупных компаниях автоматизировать процессы управления безопасностью на базе единой платформы.

Для этого в SECURITM реализован следующий функционал: управление рисками безопасности, контроль соответствия требованиям нормативных актов, управление активами (ITAM), планирование, задачи и процессы, технические уязвимости (VM) и опросы. Все введённые в компании защитные меры представлены наглядно в виде карточек. В них заносятся основные данные о мерах, такие как название меры с описанием и при необходимости инструкцией, ответственный за внедрение, используемые инструменты, периодичность, классификация, способ реализации, влияние на риски и статус.

Такой «картотечный» подход позволяет быстро и наглядно увидеть, требования каких регламентирующих документов уже выполнены на предприятии, какой уровень защиты они обеспечивают, и понять, насколько система ИБ соответствует другим стандартам. SECURITM помогает быстро оценить влияние принятых мер на состояние системы ИБ предприятия в целом и понять, что ещё необходимо предпринять для повышения уровня ИБ компании.

Отдельно Николай отметил различие в первой десятке требований к ИБ в отечественных и зарубежных стандартах. Если в отечественных документах, например, антивирусная защита стоит на 4-м месте, то в зарубежных она занимает последнее, 10-е, место. При этом в отечественных стандартах про обучение персонала вообще не говорится, а в зарубежных регламентах этот пункт занимает 8-е место. Именно поэтому различные векторы хакерских атак по-разному влияют на наши и зарубежные компании. Отечественные компании получают меньше урона от вирусов, но более подвержены утечкам данных со стороны сотрудников. У зарубежных компаний ситуация обратная.

Николаю задали очень интересный вопрос о том, какие регламенты проще и эффективнее: отечественные или зарубежные? По его словам, российские регламенты реализовать намного проще, поскольку они составлены по принципу «бери и делай» и имеют хорошую алгоритмическую проработку. С зарубежными документами ситуация иная. Там много неопределённостей, и поэтому их сложнее реализовать. А вот в эффективности рекомендуемых защитных мер они практически идентичны.

Только правильно ответив на все три вопроса, можно приступать к заказу пентеста. Александр дал гостям несколько подсказок, помогающих корректно это сделать. Отдельно он отметил, что для сотрудников его компании каждое тестирование — глубокий и творческий процесс, поскольку у каждой компании — свои особенности архитектуры и систем защиты.

И конечно, самое главное — чтобы результаты пентеста привели к принятию реальных мер по усилению безопасности ИТ-инфраструктуры, а не просто легли очередной бумагой в ящик стола!

Из этих трёх пунктов вытекают три разновидности преступников: условные «школьники», сотрудники «частных организаций», специализирующихся на подобных операциях, и сотрудники компании-жертвы, желающие «насолить» руководству. Из всех способов фишинговых атак наиболее эффективны почтовые рассылки с привлекательными предложениями. Причём, по статистике, на них чаще всего «клюют» корпоративные пользователи. Примерно 76 % из них охотно кликают по вредоносным ссылкам в письмах. Частные пользователи более дисциплинированы — только 26 % из них попадаются на «крючок».

Второе место по эффективности занимают фишинговые сайты. Здесь картина обратная. Частные пользователи более охотно заходят на поддельные ресурсы — их доля составляет 43 %. Корпоративные пользователи — более дисциплинированные: из них только 16 % переходят на подобные сайты. Социальные сети и различные мессенджеры также используются для проведения фишинговых атак, но их вклад существенно меньше.

В заключение Артём дал несколько практических рекомендаций, как не попасться на уловки мошенников. Не следует открывать письма от неизвестных адресатов, предлагающих «даром» получить большие выигрыши или огромную скидку на товар. Часто фишинговые письма маскируются под счета от различных транспортных компаний. Если вы ничего не заказывали, подобные письма также стоит игнорировать.
Если вы перешли по ссылке из письма на сайт и вам предлагают ввести данные, например, для входа в интернет-банк, убедитесь в том, что вы находитесь именно на сайте вашего банка, а не на его хакерской копии. Это можно сделать двумя способами: сравнить доменное имя и проверить SSL-сертификат. Если он бесплатный или самоподписанный — это повод насторожиться.

Отдельно Елена остановилась и на юридическом оформлении процесса сбора доказательств. Все письменные доказательства обязательно должны сопровождаться, например, актом, в котором фиксируются все действия по их сбору. Также в акте должны быть ссылки на приказ о проведении служебной проверки и/или оказание юридической помощи адвокатом.
Также можно оформить письменные доказательства у нотариуса, сделав, например, скриншот экрана и заверив его.
Вещественные доказательства предоставляются на физических носителях, например флеш-картах, внешних жестких дисках и других носителях. Все физические носители должны быть упакованы надлежащим образом и опечатаны, чтобы исключить их несанкционированное вскрытие.

В качестве процессуальной формы доказательств могут использоваться материалы служебной проверки, результаты адвокатского расследования и осмотр и обеспечение доказательств нотариусом. Все процессуальные формы должны подкрепляться соответствующими локальными нормативными актами.

В конце своего доклада Елена Юлова рассказала о нескольких завершённых делах с примерами сбора и оформления доказательств.

Также у МК Enterprise имеется агентский режим, с помощью которого возможно проводить дистанционное извлечение и анализ данных с любого ПК, сервера или хранилища в корпоративной сети предприятия. Используя специально настроенного агента, можно быстро извлечь и провести анализ файлов, программ, реестра и системных артефактов на наличие различного вредоносного кода и ПО, а также выявить следы хакерской активности.

Даниэль рассказал о существенном отличии систем DFIR от DLP. Всё дело в том, что для корректного сбора доказательств и предотвращения атаки система DLP должна быть установлена на ПК или серверах до начала вторжения. Если её использовать после атаки, то ничего найдено не будет. С МК Enterprise ситуация иная. Вы можете запустить агента как после, так и во время атаки. В обоих случаях все необходимые данные будут корректно собраны, зафиксированы и проанализированы.
Использование агентского режима МК Enterprise поможет существенно повысить эффективность работы сотрудников службы ИБ. Ведь достаточно установить на критически важные ПК в организации агентов и корректно их настроить, чтобы оперативно реагировать на хакерские атаки.

Также Даниэль продемонстрировал кейс поиска малвари с использованием правил YARA.

Обнаружить эту проблему помогла утилита Gephi, умеющая рисовать графы на основе дампа трафика. После её запуска экспертам стало понятно, на какие сетевые адреса идёт максимальное количество запросов.

Вячеслав поделился с комьюнити перечнем программ, которые он использует в ходе расследований и устранения последствий инцидентов. Этот список практически полностью совпал с теми программами, которые в своих расследованиях использует модератор комьюнити Дмитрий Борощук.

В ходе него выясняется, что все платёжки, которые были одобрены руководством для «пакетной» оплаты, направлялись в специальную папку, доступ на запись в которую имел только главный бухгалтер компании. Но на момент проведения платежа главбух был в отпуске. Специалистам удалось найти следы реквизитов платёжек в одном из файлов, который был создан заместителем главного бухгалтера примерно за месяц до инцидента. На основе этого факта было возбуждено уголовное дело, и, конечно, заместитель главного бухгалтера был уволен. Также в компании была пересмотрена процедура одобрения платежей, введен дополнительный контроль и обновлён регламент службы ИБ.

В другом кейсе расследовались факты хищения клиентской базы и нецелевого использования средств компании бывшим CEO. В нём ситуация была более запутанной и осложнялась наличием сговора бывшего CEO и действующего CIO. Но несмотря на это, специалистам по форензике удалось собрать неопровержимые доказательства причастности бывшего CEO к финансовым махинациям. Также был обнаружен виновный в утечке клиентской базы. Им оказался действующий CIO. Именно он помог бывшему CEO получить данную информацию.

По результатам расследования, на бывшего CEO компания подала в суд, а действующий CIO был отстранён от должности и была инициирована внутренняя проверка его деятельности. В самой компании был проведён аудит текущей системы ИБ и началось построение новой системы менеджмента ИБ.

Как видно из приведённых практических кейсов, компьютерная криминалистика является эффективным инструментом для решения различных задач в рамках внутренних корпоративных расследований. Она может помочь при сборе доказательств для возбуждения уголовных дел.

После окончания официальной части состоялось награждение памятными призами самых активных слушателей и экспертов, чьи доклады получили наибольшую оценку. Подводя итог встречи, Дмитрий Борощук предложил гостям и экспертам предсказать, как будет развиваться рынок систем ИБ в 2023 году.

Большинство взявших слово сошлось во мнении, что в 2023 году на рынок систем ИБ выйдут новые российские компании с интересными продуктами. Ведь уход зарубежных вендоров способствовал открытию новых возможностей для отечественных разработчиков, и, конечно, наиболее крупные компании этим воспользуются. Эксперты и гости также предположили, что число хакерских атак и случаев утечек и хищений персональных данных будет только увеличиваться, и на это есть несколько причин. ИТ-технологии всё глубже проникают в нашу жизнь, а грамотность многих пользователей в сфере ИБ остается довольно низкой, что способствует успешной деятельности хакеров.