— О, нет, ничего подобного. Я начинала с того, что экспериментировала с защитой и безопасностью компьютерных сетей в школе. В 16-17 лет я начала работать как специалист по тестированиям на проникновение.

— Когда мы говорим о топ-менеджерах организаций, нужно обращать внимание на события, связанные, скорее, с менеджментом безопасности: Microsoft Ignite, Tech Days, RSA. Здесь менеджеры могут оставаться в курсе последних трендов без технического погружения.

Вообще кибербезопасность — это большая тема, которая требует постоянной актуализации знаний, но список ключевых вопросов невелик. На подобных конференциях вы узнаете, что надо делать. Но если вы хотите понять, как — есть много классных конференции, ориентируйтесь на профессиональные мероприятия. Обязательно стоит посетить как минимум два — BlackHat и DEF CON.

— В целом активно обсуждается, как предотвратить выполнение неизвестного кода, как его обнаружить и противостоять ему. Если он упакован в обычный exe-шник, все просто. Но он может быть реализован через JavaScript или VBS, или как скрипт для Powershell, или еще как-то — и тогда все усложняется. Еще говорят о распространенных и сложных типах атак — pass-the-hash, SMB relay. Обсуждаются также целевые кибератаки, интернет вещей, безопасность различных девайсов.

— Чем больше сотрудников, тем сложнее обеспечить безопасность. Для этого используется персональное обучение, специальные викторины, другие методы. Но правда в том, что кибербезопасность — это не проблема пользователей, это проблема IT-подразделений. Почему бы не внедрять решения, не требующие действий пользователей?

— Да, конечно. Это WannaCry у нас, это Shamoon на Ближнем Востоке. В таких историях вина лежит не на конечных пользователях, а на администраторах: Shamoon может работать только на правах локального администратора, а WannaCry использует уязвимости Windows. Многие организации признаются, что стали жертвой WannaCry, но по сути это значит одно: «Мы не обновляем свой софт». Прискорбный факт.

— В последнее время наибольшую известность получила история с CCleaner. В одном из его обновлений имелся бэкдор, через который на компьютер устанавливалось вредоносное ПО. Я много лет наблюдала за этой программой, способной «ускорять Windows», и думала: ускорение Windows? Ускорение в чем? Согласно каким измерениям? Но люди, конечно, устанавливают это, потому что хотят более быстрый компьютер. В итоге апдейт скачали, насколько я помню, в районе 20 миллионов пользователей.

— Перед началом работы обе стороны подписывают соглашение, и в случае каких-то проблем заказчик остается защищен по закону. Кроме того, существуют инструменты наблюдения за тестировщиками — BeyondTrust, ObserveIT и другие — с помощью которых можно видеть все производимые на сервере действия. В составе Microsoft Sysinternals есть инструменты, которые позволяют оценить наличие доступа к конкретной информации. Увы, далеко не все владеют ими, так что остается лишь формальное регулирование. Вы как клиент можете точно обозначить, что нужно тестировать. Остальное — на совести тестировщика.

— Для этого на основе типа информации в логах нужно составить паттерн для анализа. Это непросто, но возможно. Логи передаются хорошему специалисту, который сможет все проанализировать и извлечь данные.

— Существует много программ, генерирующих вирусы-вымогатели, можно купить целый бандл и сгенерировать свой вариант. Цена вопроса — примерно $2000. Некоторые вирусы будут распознаны, некоторые нет. Наша команда создала более 200 инструментов для взлома, и ни один из них не определяется антивирусами. Все потому что мы сами изобретаем те паттерны поведения, которые используем — никто с ними раньше не встречался. Мы применяем эти инструменты для взлома при тестах на проникновение. Почему бы не сделать «прививку», проверив свою инфраструктуру и перекрыв уязвимости заранее?

— На аутсорсинг разумно передавать три процесса: мониторинг, ведение логов и аналитику. Например, для оценки того, какие аккаунты пользователей чаще всего подвергаются атакам. Ряд мер поможет обезопасить себя от недобросовестных подрядчиков: мониторинг сессий, мониторинг выполнения кода, регулярная смена паролей для внешних аккаунтов, проверка того факта, что одна и та же учетная запись не используется разными людьми.

— Переезд в облако из локальной инфраструктуры обычно снижает риски. Но важную роль здесь играет доверие поставщику: можно выбрать неизвестную компанию, а можно — крупного производителя типа Microsoft. Я доверяю Azure, потому что это уже зрелый продукт с широкой функциональностью, но в принципе разницы нет. В Azure, кстати, отслеживаются и все активности на сервере — так что в случае чего мы можем обратиться к логам.

Облако подойдет не для всех, оно создано для сервисов, которые не страшно запустить на внешних серверах. У нас много клиентов, которые размещают ИТ-системы в облаке, и они счастливы, потому что им не надо заниматься поддержкой этих систем — все просто работает.

— В определенных ситуациях контроль за активностью пользователей серьезно помогает. До определенной точки пользователей можно проследить, пока в дело не вступят анонимайзеры — прокси, торренты. Удивительно то, что вы можете, с технической точки зрения, совершить преступление из страны, которая даже не сможет обвинить вас в киберпреступлении, поскольку там еще нет необходимой законодательной базы. Хотя интернет уже есть. Но в большинстве стран такой проблемы уже нет.

— Ботнеты очень опасны. И дело не в масштабах, а в том, что мы можем не знать об этой активности в нашей среде, о том, что где-то запускается неизвестный нам код. Ботнеты создают дополнительную опасность, поскольку могут взаимодействовать не только с инфраструктурой, но и с финансовыми транзакциями — а это уже другой уровень.

— Очень своевременный вопрос. Эти технологии могут очень помочь в борьбе с угрозами, о которых антивирусы еще не осведомлены. Я уже говорила о том, что есть инструменты, которым не помеха антивирусы. Мы можем улучшить известные хакерские инструменты, чтобы они также не были видны. Но машинное обучение, которое уже реализовано, например, в Windows Defender ATP, позволяют посмотреть на процессы по-новому, увидеть связь между разными событиями. Вот был запущен какой-нибудь исполняемый файл, какая-нибудь функция и сделано что-то еще. Хм! Все вместе похоже на попытку заполучить права доступа, надо присмотреться. С помощью машинного обучения мы можем узнать о проблемах безопасности до того, как ими воспользуются злоумышленники.

— Конечно. Машинное обучение направлено на поиск связей между событиями. Активность пользователей — та же самая история.

— Для глобальных изменений необходимо взаимодействие с Google. На уровне организаций сотрудников можно принудительно пересадить на ограниченную версию Android, которая сможет работать только с определенным софтом. Или на альтернативные ОС.

— Это может решить все проблемы. Но опять же, ключевым аргументом здесь является доверие. Могу ли я доверять разработчикам ОС? Могу ли я быть на 100% уверена, что в системе не заложен неизвестный код? Если мы не обеспечим мониторинг безопасности на всех этапах разработки, то все может закончиться плачевно.

— Да, на протяжении всей разработки, всех этапов менеджмента проекта стоит привлекать специалистов по безопасности, которые смогут все грамотно оценить. На это нужно закладывать средства, иначе рано или поздно окажется, что ваш продукт уже взломан. Но я хочу сказать, что в целом сейчас картина уже гораздо лучше: люди все больше понимают, что безопасность — это важно.

— Да, конечно. На международном уровне здесь дебютировал Stuxnet — большой кусок кода, успешно поразивший центрифуги по обогащению урана в Иране. Мы не можем быть на 100% уверенными в том, кто запустил эту атаку. Так что остается лишь усиливать защиту.

— Хороший вопрос. Банковская отрасль представляет собой классическую мишень для хакеров. Финансовые системы серьезно отличаются от любых других. Все они как-то связаны, все имеют доступ к важным ресурсам. Но в основе лежат те же IT-процессы, так что подход остается неизменным: мы должны как можно тщательней отслеживать все происходящее.

— Государство может дать старт этим процессам, но в конечном итоге это забота самих организаций. Возможно, банки могут получить некоторую финансовую помощь от государства на цели кибербезопасности, но решать вопрос им нужно самостоятельно. Ситуация меняется в зависимости от страны, но в целом на федеральном уровне пойдут на пользу лишь какие-то образовательные инициативы.

— Для того, чтобы сделать что-нибудь на сервере, всегда необходимо подключиться к какой-либо сети. Пока на этом этапе возможно организовать какой-то мониторинг. Вопрос в том, будет ли полученной информации достаточно для противодействия. Имеющимися средствами мы не можем получить всю необходимую информацию, но такой момент рано или поздно придет. И в ответ кто-нибудь снова разработает новый Darkweb, и нам снова придется искать методы взаимодействия, и так по кругу. В итоге всегда будет что-то, что может быть спрятано, никто не сможет контролировать весь интернет.

— Да, вопрос в том, кто окажется умнее. Сможем ли мы перекрыть кислород хакерам? Или хакеры окажутся на шаг впереди — благодаря тому, что обладают большим количеством информации? Или даже не информацией — а более специфическими знаниями в конкретной области, позволяющими воспользоваться тем, что мы не смогли правильно сконфигурировать.

— Я думаю, это могло бы быть реальной угрозой. В вашей стране много людей с острым умом и научной подготовкой, с большим потенциалом в сфере кибербезопасности. Здесь ключевым является вопрос, нужны ли таким людям деньги. Если ответ положительный, то вне зависимости от страны всегда найдутся те, кто будут угрожать другим. В России есть отличные условия для разного рода активностей в сфере кибербезопасности.