Завтра 31 марта. Пожалуйста, сделайте бэкапы

    В последнее время угрозы безопасности заметно потрепали нервы всей ИТ-сфере: Wanna Cry, Petya, новогодний сюрприз Meltdown и т.д. Это всё масштабные инциденты. Почти невозможно подсчитать, сколько произошло мелких SQL-инъекций, DDoS-атак, взломов, хищений в малом и среднем бизнесе. Высокие технологии трансформируются с невероятной скоростью: то, что вчера было научным исследованием в университетских лабораториях и в компаниях, сегодня активно внедряется в продакшн и используется в коммерческой сфере. И чем больше технологий, тем выше вероятность атак, причём в самых неожиданных направлениях.

    Завтра Международный день резервного копирования, или День бэкапа. Одна из тех дат, которую лучше не праздновать, а отрабатывать. Давайте посмотрим, откуда во втором десятилетии XXI века стоит ждать атак.


    Занимательная зоология. Песец всегда подкрадывается незаметно.

    Наша компания RegionSoft Developer Studio работала в 2011, работает в 2018 — и, поставляя решения для бизнеса и on-premise CRM-систему в частности, мы сталкиваемся с одними и теми же проблемами в безопасности компаний разных сфер бизнеса. Просто потому что для безопасности в них делается… ничего. Ну сколько можно? Ведь опасности растут буквально день ото дня, и нацелены угрозы далеко не на гигантов со 100500 уровнями защиты, а на бесценные данные практически любого бизнеса.

    Давайте посмотрим на две инфографики. Первая — количество зафиксированных инцидентов в сфере информационной безопасности в 2011 году, вторая — то же самое, но в 2017. Шесть лет — довольно короткий промежуток времени даже в условиях взрывного технологического роста. Тем не менее ситуация изменилась в корне, год от года количество и масштаб атак растёт, они меняют свой вектор — от большого количества мелких инцидентов к крупным и поражающим колоссальное количество данных.

    2011 год


    2017 год. Источник Securityintelligence. Эта красочная картинка иллюстрирует отнюдь не весёлые бреши в безопасности. IBM X-Force выделила 235 инцидентов в сфере безопасности в 2017 году на основе 2,8 миллиардов записей. Как видите, DDoS стал скромнее, но не исчезает, равно как и вредоносы. Среди лидеров-новичков — атаки на Интернет вещей, ошибочно сконфигурированные (misconfig) облачные сервера и атаки с использованием криптовалют.


    Где были главные «проколы» последних двух лет?


    Машинное обучение и большие данные


    Относительно новая сфера обеспечения безопасности — это большие данные и машинное обучение, которые стоят на вооружении как крупных компаний, так и технологичных стартапов. Данные собираются и агрегируются с помощью веб-приложений, внутренних систем и проч. Все они могут быть подвергнуты атакам, а десятки источников данных просто выйти из-под контроля. Данные сложные, механизмы сбора и обработки перегруженные, к системам хранения предъявляются высокие требования, — вся эта махина требует огромного времени, которое нужно затратить на создание и развёртывание системы безопасности. Такие системы ввиду сложности весьма уязвимы для хакеров и кибермошенников. Увы, большая часть компаний, работающих с большими данными, обеспечивает защиту потоков данных практически «вручную» с помощью программных средств собственной разработки. И тут неясно, какой счёт будет в схватке с киберпреступниками. Но такая ситуация должна не тормозить отрасль, а наоборот стимулировать развитую инфраструктуру: разработку специализированного ПО, создание новых ультра защищённых систем хранения и т.д.

    Конференция по кибербезопасности

    Базы данных — следите за защитой


    20 декабря 2017 года началась атака на базы данных Mongo DB. Поначалу происходили точечные инциденты, но буквально за неделю были полностью уничтожены тысячи серверов Mongo DB (оценочно около 28 000, а это больше половины всех баз Mongo DB, доступных через сеть Интернет). Атаковали не все базы подряд, а те, которые были доступны через всемирную сеть и не имели пароля в учётной записи администратора СУБД. Взамен своих данных пользователи получили сообщение о выкупе, более того, группы хакеров обменивались информацией и запрос о выкупе мог появиться второй и третий раз (при этом хакеры просили от 150 до 500 долларов, это сравнительно небольшие суммы, на которые компании шли с относительной лёгкостью). Увы, взломщики оказались не этичными и часто забывали экспортировать и сохранить данные каждой из баз, вследствие чего часть компаний потеряли свои данные навсегда. Кстати, атака получилась такой массовой из-за того, что проводилась не вручную как разовый акт, а с помощью автоматизированных скриптов. И вот скажите после этого, неужели разработчикам и системным администраторам было невдомёк, что настройки СУБД по умолчанию делают базу открытой для атаки и максимально уязвимой? А где были бэкапы? Риторические вопросы, жёсткий урок, который, кстати, не всех научил.

    Поверь мне, это гораздо проще сделать онлайн

    Облачные системы и сервисы — данные проливаются дождём


    Мы — разработчики десктопной CRM-системы RegionSoft CRM и, конечно, каждый день нос к носу сталкиваемся с бизнесом, который считает облако — вершиной корпоративной ИТ-инфраструктуры. Агрессивный маркетинг провайдеров, поставщиков облачных сервисов и даже крупнейших мировых корпораций своё дело делает — тут даже таить нечего. Но никто не исключает человеческий фактор, ошибки конфигурации, инсайдерские вбросы и откровенные взломы. Увы, Mongo DB оказалась не единственной жертвой, среди потерпевших большие неприятности в облаках — клиенты Salesforce, Amazon S3, Bitrix 24, а в недавнем прошлом и Google. И жертвами таких облачных неприятностей становится не только парализованный и лишённый данных бизнес, но и настоящие корпоративные монстры. Так, в июле 2017 года гигантский телеком-оператор Verizon подвергся атаке, в результате которой в Интернет попали более 14 млн. записей персональных данных абонентов из США. Виноват оказался один из поставщиков услуг оператора — NICE Systems, который по случайной ошибке оставил данные открытыми на незащищённом облачном сервере Amazon S3. Утекшие данные включали в себя имена клиентов, мобильные телефоны, PIN-коды, — в общем, всё то, что позволит обойти любую форму аутентификации. Неизвестно, почему Verizon доверил данные израильской компании, но есть версия, что NICE Systems с помощью этой информации просто контролировала работу операторов колл-центров для Verizon. Исследователи утечки выяснили, что горе-поставщик также связан с французским оператором Orange.

    Источник Securityintelligence. В 2017 году, по состоянию на сентябрь, IBM X-Force отследила более 1,3 миллиарда записей с неправильно настроенных серверов — всего 24 инцидента. Чтобы представить это в перспективе, такие неправильные конфигурации составляют 71% от общего количества зарегистрированных утечек за период до 2017 года. По сравнению с SQL-инъекциями этот вид бреши в безопасности несёт гораздо более разрушительные последствия, так как меньшее число атак способно компрометировать в тысячу раз больше записей (у SQL-инъекций скомпрометированы миллионы, а не миллиарды записей).

    Ещё одна история, связанная с конфигурацией Amazon Web Services S3 Cloud, произошла в октябре 2017 года. Из-за ошибки определения прав доступа к данным в открытом доступе была обнаружена база потребительских данных (от персональной информации до предпочтений, ипотеки и т.д.) 123 млн. граждан США. Доступ мог получить любой аутентифицированный пользователь Amazon AWS — то есть по сути каждый, кто мог зарегистрировать даже свежую учётную запись (хоть с «левой» почты). Как выяснилось, к записям имели отношение две аналитические компании и Бюро переписи населения.

    Сохраните свои персональные данные здесь

    Так что же такое эти самые «неправильные конфигурации» (misconfigurations)? Это внутренняя проблема компании, а иногда и провайдера или поставщика услуг, которая может привести к лёгкому доступу к базе безо всяких хакерских уловок. Аналитики Gartner полагают, что на такой тип нарушений безопасности приходится от 70 до 99% всех инцидентов. Накосячить может кто угодно и на любой стороне отношений: админ, разработчик и даже инженер по тестированию, допущенный к «живой» сборке. Хорошие новости: этих проблем можно избежать, если быть чуть более внимательным, не оставлять СУБД без пароля, ну и избегать любимого сочетания admin/admin и не менее любимого root/root.

    Это не значит, что стоит отказаться от облака. Но клиентскую базу и важную коммерческую информацию лучше хранить у себя и защищать понадёжнее.

    Вчера экзотика, сегодня угроза: криптовалюта


    Криптовалюта в этом году не перестанет нас «радовать» новыми схемами мошенничества, краж и киберпреступлений. Очевидно, что пройдёт волна громких исчезновений (нам как представителю бизнеса сложно назвать эти процессы банкротством) биткойн-компаний, сорвавших куш на ICO. Но гораздо более интересно, какие дыры в безопасности блокчейна найдут кибермошенники. На данный момент уже состоялось несколько гигантских по размаху актов кражи биткойнов.

    Криптовалютный стартап Tether потерял $31 млн. в токенах. Компания сразу заявила, что не пойдёт на выкуп токенов у мошенников и всеми силами воспрепятствует выходу этого объёма на криптобиржи. Несмотря на то, что Tether уже обнаружил адрес, по которому хакер держит украденные средства, механизм атаки понять не удалось.

    Словенская криптобиржа NiceHash недавно заявила, что были похищены биткоины стоимостью $64 млн. Это около 4700 BTC, на момент кражи каждый стоил 13 617 долларов. И вновь неясен механизм атаки, как, впрочем, и сумма потери весьма оценочная. Есть версия, что биткойны ушли с кошелька одного из пользователей, причём в момент резкого роста стоимости криптовалюты.

    Между тем, каждая такая кража резко компрометирует суть криптовалюты и может снижать курс. Когда в 2016 году с криптобиржи Bitfinex было похищено почти 120 000 биткоинов на $77 млн., падение курса составило 20%. Для биржевого курса любого актива это просто колоссальное падение, по сути, обвал. Опять же, схему мошенничества до конца раскрыть не удалось. Кстати, за несколько недель то того августовского события хакеры сумели украсть Ethereum на $50 млн.

    Криптовалюта пока не особо прижилась в российском бизнесе, и, думается, в серьёзных компаниях и не приживётся. Но если вам вдруг захочется привлечь новую аудиторию и принимать платежи в биткоинах или чём-то ещё, помните, что безопасности нужно уделить двойное внимание.

    IoT: сами заберут и одежду, и мотоцикл


    В ноябре 2016 года ботнет Mirai превратил сотни тысяч камер и устройств DVR в боты для DDoS-атак. В 2017 он вернулся и продолжил разрушительное дело, используя ещё и NVR и расширив свою географию. Такие атаки могут привести к самым непредсказуемым последствиям, ведь поражённые устройства могут быть частью городской инфраструктуры, элементом физической безопасности потенциально опасных объектов и т.д.

    В августе 2017 по гостиницам и отелям ударил ботнет WireX, состоящий из десятков тысяч заражённых устройств Android. Примечательно (на самом деле, печально), что заражение произошло через 300 с лишним официальных приложений в Google Play, включая такие безобидные программы как файловые менеджеры и медиаплееры.

    Ещё одно проявление IoT-угроз — это уязвимость Bluetooth, получившая название BlueBorn. Без шума и пыли она может быть использована для компрометации систем в ближайшей зоне действия. Это очень опасная угроза с точки зрения потенциального масштаба: протокол Bluetooth используют почти все носимые устройства, а также системы и элементы системы умного дома, которые из соображений экономии нередко используют в офисах, на складах, в небольших производственных помещениях.

    Если задействовать IoT, можно в теории получить огромную сеть ботов, которая будет способна надолго «положить» сотни тысяч объектов инфраструктуры и собрать максимум самых ценных данных (о предпочтениях, перемещениях, здоровье и т.д.).

    Слушай, а мы бэкап-то сделали?

    Свои сольют


    Мы ранее уже приводили истории, связанные с утечкой данных со стороны партнёров и сотрудников, но повторимся ещё раз. Если причины, о которых мы говорили выше, часто не зависят от нас, а атаки трудно обнаруживаются, то в случае с экосистемой бизнеса вы сами своими руками можете себе навредить. Это непроверенные и неблагонадёжные сотрудники, бизнес-тренеры и консультанты, которым вы сами доверяете свои данные, наивно полагая, что это как бы врачи вашего бизнеса. Ещё это партнёры, подрядчики и иные компании, которые что-то делают для вас или имеют с вами отношения. Когда речь идёт о выгоде, их не остановят никакие подписанные NDA. Во-первых, не все пойдут в суд, во-вторых, их нужно будет ещё найти, в-третьих, даже при разрешении проблем в правовом поле ущерб всё равно останется. Совет тут один и довольно универсальный — думайте головой.

    В правом углу ринга у нас файервол, шифрование, антивирус и прочая кибербезопасность. А в левом углу ринга у нас… Вася (человеческий фактор).

    Мы не будем заниматься морализаторством и грузить вас подробными советами по защите корпоративной информации (об этом мы скоро напишем отдельно). Помните просто одно. Вот список:

    • ставить сложные пароли на СУБД
    • менять настройки по умолчанию
    • проводить стратегию ITAM и ITSM
    • не доверять новичкам
    • не раскрывать данные пред бизнес-тренерами
    • ставить минимальную защиту на сайт
    • обучать сотрудников безопасной работе с информацией
    • обновляться до последних версий корпоративного ПО и OS
    • делать бэкапы
    • делать бэкапы
    • делать бэкапы.

    В нём ничего особо сложного и необычного. Но исполнение этих пунктов уже сделает вашу компанию в несколько раз защищённее. Особенно уделите внимание трём последним пунктам — нам до сих пор непонятно, почему их так часто не делают? Может, кто откроет секрет в комментариях.

    Ну и уж раз на то пошло, сегодня пятница, вечер которой по традиции может оказаться интересным. Вот вам ещё одно предупреждение:




    Наш сайт с абсолютно десктопным ПО для бизнеса и нашей флагманской RegionSoft CRM.

    Наш Телеграм-канал BizBreeze. Всякое про CRM и бизнес, по уму, без копипаста и на 90% без рекламы. Вступайте в нестройные ряды.

    Интересные ссылки:
    При подготовке статьи больше всего нас порадовали материалы блога IBM о безопасности Securityintelligence, который мы рекомендуем читать всем — о безопасности честно, интересно и главное, довольно доступным английским языком.

    → Кстати, если вы хотите познакомиться с инцидентами безопасности поближе, у IBM есть крутая интерактивная карта. С ней остаток пятницы пройдёт явно незаметнее. Полистайте год справа в блоке текста — и вы увидите, что 2011 сильно отличается от 2017. Инциденты стали масштабнее по охвату (кружки больше — это больше данных охвачено).
    RegionSoft Developer Studio
    135.19
    CRM-система, программное обеспечение для бизнеса
    Share post

    Comments 20

      +4
      делать бэкапы
      делать бэкапы
      делать бэкапы.
      И не забывать проверять, что из них восстановится!
        +2
        Иначе это будут бекапы Шрёдингера
          +2
          Хранящиеся во всем известном чайнике.
            0
            В багажнике всем известной машины?
        +2
        1. делайте бекапы.
        2. проверяйте восстановление из бекапа.
        3. Не держите бекапы на одной машине (привет рейд массивы или просто соседние hdd).
        4. Разносите бекапы географически (смысл что хранишь бекап на NAS-е который стоит в соседней комнате? Наводнение, пожар, ограбление).
          +5
          *обновляться до последних версий корпоративного ПО и OS
          *делать бэкапы

          Это надо поменять местами ))
            +1
            Особенно уделите внимание трём последним пунктам — нам до сих пор непонятно, почему их так часто не делают?

            1. Раздолбайство.
            2. Невозможность убедить начальство в том, что дополнительные носители информации это не прихоть сисадмина, а жизненная необходимость.
              0
              Можно короче сформулировать второй пункт: дорого
                0
                По сравнению с возможным ущербом практически всегда- копейки.
              0
              Как обвалить облачное хранилище? А давайте все одновременно сделаем бэкапы!
                +1
                Но гораздо более интересно, какие дыры в безопасности блокчейна найдут кибермошенники. На данный момент уже состоялось несколько гигантских по размаху актов кражи биткойнов.

                Хотелось бы уточнить, что упомянутые кражи криптовалюты с криптобирж — это не дыры в безопасности блокчейна, как можно подумать, читая этот раздел статьи. Это дыры исключительно в безопасности самих криптобирж. В качестве аналогии: кража денег с банковской карты — не обязательно результат дыры в безопасности платёжной системы Visa. Лицевые счета пользователей криптобиржи и операции с ними не имеют отношения к блокчейну, это обычные цифры баланса в обычной базе данных.
                  0
                  Я завтра не работаю, завтра суббота ;)
                    +1
                    Завтра день бэкапа — будешь работать, как и я
                    0
                    Как восстанавливать бэкап большого сайта если за тот день что он сломался могли прийти заказы?
                    Может есть какие-то best practices кроме «удалить все».
                      0
                      К бэкапам можно относить и (синхронные) реплики БД. Разные векторы угроз закрывают реплики и классические sql-дампы. Вообще очень интересная и сложная тема обеспечения восстановления операционных данных при реализации различных угроз.
                      0
                      На вашем сайте www.regionsoft.ru куча информации про автоматизацию, даже нашел про «резервирование столов», но не нашел ни слова про резервное копирование, я себе делаю бэкапы с помощью сервиса backupland.com, где черным по белому написано про «резервное копирование» ( завтра же 31 марта — день бекапа), а не резервирование столов. Как у вас делаются бэкапы, где именно можно почитать об этом подробнее?
                        +1
                        Мы в посте обозначили, что мы разрабатываем системы автоматизации бизнеса и CRM, на резервное копирование не претендуем — для этих целей есть масса крутых и надёжных решений. Мы же качественно делаем свои продукты :-)

                        Так что вы немножко невнимательно прочитали статью. Что касается софта по вашей ссылке — ничего говорить не будем, не сталкивались, но кому-то из сообщества может и будет полезно.
                          –1
                          Вы бы написали про свой опыт, как вы делаете бэкапы себе и тем кому автоматизируете бизнес.
                        0
                        «What is backup anyway? Backup is usually unnecessary...»
                          0
                          Интересно, что означают коричневые кружочки на инфографиках? (В легенде такого цвета нет.)

                          Only users with full accounts can post comments. Log in, please.