Solar Security
Компания Solar Security, разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью (ИБ), опубликовала краткие итоги сводного отчета за первое полугодие 2017 г. Отчет содержит обезличенную информацию об инцидентах ИБ, выявленных центром мониторинга и реагирования на кибератаки Solar JSOC. На базе этой информации формируется аналитика, отвечающая на вопросы о том, кто, как, в какое время и с использованием каких векторов и каналов атакует крупнейшие российские компании.
В первой половине 2017 г. средний поток событий ИБ составлял 6,156 млрд в сутки, из них около 950 в сутки – события с подозрением на инцидент (172 477 за полгода). Это примерно на 28% больше, чем в первом полугодии 2016 г. Доля критичных инцидентов составила 17,2%. Таким образом, если в 2016 г. критичным был каждый 9-й инцидент, то теперь – уже каждый 6-й. Предполагается, что такая динамика связана с общим повышением интенсивности массовых и нацеленных атак на организации.
Если рассматривать общее количество инцидентов, то лишь в 12,5% случаев они происходили в ночное время. Однако если из общей массы инцидентов выделить критичные, этот показатель возрастает до 29,4%, т. е. почти треть всех случаев. Если критичные инциденты были вызваны действиями внешнего злоумышленника, то уже почти в половине случаев (44,6%) они приходились на ночное время. Основными инструментами киберпреступников оставались атаки на веб-приложения (34,2%), компрометация учетных данных внешних сервисов клиента (23,6%) и вредоносное ПО (19,2%).
Отдельно в отчете отмечается возрастающее число инцидентов, являющихся частью Kill Chain – цепи последовательных действий киберпреступника, направленных на взлом инфраструктуры и компрометацию ключевых ресурсов компании. В 13% случаев первым шагом Kill Chain служила атака на веб-приложение (например, онлайн-банк), в 25% – на управляющие протоколы систем (в том числе использование уязвимости Shellshock, известной с сентября 2014 г.), в 62% – внедрение в организацию вредоносного программного обеспечения через email-вложения или фишинговые ссылки.
Основными виновниками внутренних инцидентов (в 63% случаев) оставались рядовые сотрудники компаний, хотя их доля стабильно снижается. Инциденты, связанные с действиями внутренних злоумышленников, не претерпели существенных изменений. В 43,4% случаев это утечки информации, еще в 23,5% – компрометация внутренних учетных записей, и менее 10% приходится на использование хакерских утилит, средств удаленного администрирования и т.п.
«Цифры по внешним инцидентам демонстрируют высокий, но не драматический рост. В то же время о таком явлении, как Kill Chain, пока говорят только ИБ-специалисты. Таких атак еще относительно мало, но они перестали быть «страшилками» из презентаций западных вендоров и являются реальной угрозой. При этом большинство российских компаний не готово к их отражению», – полагают аналитики Solar Security.
