Positive Hack Days 12: доверие к технологиям невозможно без гарантий защищенности, которая может быть достигнута за счет объединения экспертного комьюнити

В Парке Горького завершился 12-й Positive Hack Days, организованный компанией Positive Technologies, лидером в области результативной кибербезопасности. В этом году мероприятие вышло на новый уровень, превратившись в большой городской киберфестиваль. Его ключевыми идеями стали повышение доверия к технологиям и развитие осознанности их использования через киберграмотность. Интерес широкого круга пользователей, представителей бизнеса, государства и СМИ к мероприятию лишний раз подчеркивает, что информационная безопасность сегодня касается каждого.

Гости открытого пространства киберфестиваля — кибергорода — узнали, как не стать жертвами мошенников на маркетплейсах, а также об особенностях ChatGPT, выборе безопасного VPN и других аспектах IT и ИБ. В рамках конференционной части киберфестиваля эксперты обсудили переход госорганов и частных компаний к результативной безопасности, стратегию объединения комьюнити, методы безопасной разработки, развитие рынка багбаунти. Подошла к концу кибербитва Standoff: за четыре дня атакующим в вымышленном Государстве F (но с настоящими системами управления и защиты) удалось реализовать недопустимые события 204 раза, а защитникам — расследовать 43 атаки. Если специалистам по кибербезопасности, участвовавшим в битве, придется встретиться с аналогичной активностью злоумышленников в своих компаниях, они будут готовы эффективно реагировать на нее.

Гарантированная защита как результат: кто за это в ответе

Тема результативной кибербезопасности осталась ключевой и для конференционной части второго дня.

Владимир Бенгин, директор департамента кибербезопасности Минцифры России, удивился полному залу субботним утром. Он напомнил, что специалистам по ИБ в любом случае приходится отвечать непосредственно за результат.

Айдар Гузаиров, генеральный директор Innostage (компании — соорганизатора Positive Hack Days 12), заявил, что изменения за последний год в отношении целеполагания, осознанности и всего того, что творится в кибербезе, сравнимы с пятилетним периодом в более спокойные времена.

Сергей Шерстобитов, генеральный директор Angara Security, согласился с тезисом, что российская кибербезопасность прошла пятилетку за год, отметив, что главными бенефициарами нынешнего окна возможностей становятся отечественные разработчики.

Про багбаунти как элемент результативной безопасности

Невозможно говорить о результативной кибербезопасности без осознанного использования программ багбаунти: об этом в течение прошлого года не говорили разве что из утюга (хотя разместить умный утюг на платформе багбаунти вполне реально). О том, каких конкретных результатов удается достичь, используя такие программы, подискутировали в рамках деловой части киберфестиваля.

По словам Александра Хамитова, руководителя направления безопасности приложений Wildberries, комьюнити, участвующее в багбаунти, может не только заниматься проверкой на уязвимости, но и подкидывать интересные идеи.

При этом многие организации пока все же не торопятся запускать багбаунти.

Эксперты отметили, что багбаунти — это непрерывный процесс, что является основным его преимуществом, например, перед пентестом. Результаты тестирования на проникновение устаревают в тот же день, когда оно заканчивается: инфраструктура меняется, появляются новые бреши в защите, есть теневые IT, про которые компания не знает. Багбаунти позволяет платить за результат в виде уязвимостей, а не за услугу, при этом является не серебряной пулей, а только одним из кубиков проверки защищенности.

Комьюнити и методология результативной ИБ

Еще одна тема, которую не обошли стороной в программе киберфестиваля, — роль сообщества в формировании подходов результативной защиты: была представлена платформа, на которой комьюнити может собирать фреймворки по построению результативной безопасности. Открытое сообщество rezbez.ru создано для экспертов в области ИБ, позволяет обмениваться знаниями и опытом и ориентировано на достижение практического результата. Чтобы обеспечить высокий уровень киберустойчивости, предлагается комплексный подход, в основе которого лежат 10 доменов по разным направлениям ИБ. Реализация шагов и практик, предложенных в каждом из доменов, не только поможет соблюсти требования регуляторов, но и позволит бизнесу уверенно развиваться в цифровом пространстве. Сайт в ближайшие дни будет пополнен методиками и рекомендациями, шаблонами и примерами, чек-листами и другими полезными материалами.

Участники дискуссии согласились, что подобная платформа необходима сообществу, а вендорам следует взять на себя ответственность за создание и развитие таких площадок. При этом для привлечения экспертов важно обеспечить прозрачность их работы с точки зрения прав интеллектуальной собственности, а на первом этапе, вероятно, понадобится и финансовое поощрение.

Директор по консалтингу «Ростелеком-Солар» Роман Чаплыгин отметил, что результат необходим в разных аспектах кибербезопасности, в том числе в процессах, и нужно прививать сообществу понимание того, что целеполагание должно быть в форме результата.

Генеральный директор CyberOK Сергей Гордейчик отметил, что любая деятельность должна быть измерима:

В России, по словам ряда участников, нет системно выстроенных, организованных площадок для сообщества по образцу западных. Тем не менее есть наработки, которые нужно развивать и которым следует придать некую системность. По мнению директора центра информационной безопасности «Инфосистемы Джет» Андрея Янкина, «между кучей замьюченных телеграм-каналов и зарегулированностью не хватает открытой площадки, на которой обычные специалисты могут свободно общаться».

Минувший год показал, что противостоять кибератакам можно только вместе, плечом к плечу. Однако, несмотря на участие представителей многих компаний в так называемых оперштабах, созданных для противодействия киберугрозам, не все игроки отечественного рынка кибербезопасности готовы делиться своими наработками. Индикаторы атак, сигнатуры, правила корреляции — это лишь малая толика того, что компании придерживают, не делясь с сообществом.

Генеральный директор и сооснователь RST Cloud («Технологии киберугроз») Николай Арефьев рассказал, почему компании не спешат делиться индикаторами компрометации:

В свою очередь, Владимир Дрюков, директор центра мониторинга и реагирования на кибератаки в «Ростелеком-Солар», обратил внимание на морально-этический аспект публикации наработок компании:

По мнению Теймура Хеирхабарова, директора департамента мониторинга, реагирования и исследования киберугроз BI.ZONE, нужен стандарт, который сподвигнет российских вендоров средств защиты чаще делиться информацией с рынком кибербезопасности:

Андрей Янкин, директор центра информационной безопасности «Инфосистемы Джет», добавил, что для взаимодействия нужна площадка, в рамках которой компании в сфере ИБ могли бы объединиться.

Руководитель центра мониторинга Kaspersky Сергей Солдатов высказался о возможном бюрократическом барьере на пути к созданию такой площадки и заявил, что в построении коммуникации между организациями важную роль должно играть государство.

О развитии хай-тека, DevSecOps и перспективах отечественных ОС

Будущее индустрии хай-тек обсуждали директора по разработке и совладельцы бизнеса. Из-за ухода зарубежных вендоров с российского рынка появились возможности для прорывов в различных технологических сегментах. Ушли монополисты, которые занимали свои ниши на 100%. При этом пользователи остались, и они ожидают продуктов и сервиса такого же уровня, как и раньше.

В свою очередь Константин Осипов, сооснователь компании Picodata, в числе приоритетных для импортозамещения сегментов назвал SCADA- и ERP-системы, базы данных, а также системы автоматизированного проектирования (CAD).

Кроме того, возникла фундаментальная необходимость в открытых процессорных технологиях и в их реализации на базе открытых стандартов.

В качестве второго важного направления инвестиций он обозначил средства, которые позволяют разработчикам писать под эти процессоры оптимизированные библиотеки и «другие строительные кирпичики, из которых складывается софтверная экосистема для новых открытых архитектур». Игорь с умеренным оптимизмом оценил перспективы развития отечественного «железа», однако подчеркнул, что в сфере разработки центральных процессоров, которые отличаются экстремальной сложностью, быстрых результатов ждать не стоит.

В 2022–2023 годах тема DevSecOps стала еще популярнее и портрет пользователей поменялся.

Денис Кораблев, директор по продуктам Positive Technologies, отметил, что по сравнению с прошлым годом тема DevSecOps стала гораздо популярнее.

В свою очередь, Рами Мулейс, менеджер продуктов безопасности Yandex Cloud, отметил трехкратное увеличение числа пользователей сервиса для управления DevOps-платформой GitLab в инфраструктуре Yandex Cloud. При этом, по словам спикера, частичный уход западных вендоров затруднил разработку продуктов:

По словам Юрия Сергеева, основателя и управляющего партнера Swordfish Security, важно помнить, что все разработчики, использующие решения open source, становятся ответственными за их безопасность.

С уходом зарубежных вендоров изменилась и ситуация в сфере отечественных ОС: разработчики уверены в своих перспективах и отмечают новые возможности.

Роман Аляутдин, директор департамента разработки ОС «Аврора» («Открытая мобильная платформа»), уверен в успехе российских ОС:

Кибергород — посетители парка узнали об особенностях ChatGPT и о том, как не попасть в сети мошенников

На площадке, доступной для всех посетителей Парка Горького (трек «Научпоп»), поднимали темы, близкие каждому человеку. Например, представители ритейла рассказывали о наборе признаков, указывающих на ненадежность интернет-магазина. Павел Куликов, CTO «СДЭК», порекомендовал пользователям не переводить общение с продавцом в другие сервисы при совершении покупок на маркетплейсах: этим нередко пользуются мошенники.

Валентин Малых, NLP-исследователь Huawei, рассказал, как функционирует система ChatGPT, под влиянием которой сотни западных экспертов, в том числе Илон Маск и Стив Возняк, призвали разработать правила для интеллектуальных помощников.

Егор Баяндин, CIO и сооснователь сервиса кикшеринга Whoosh, рассказал, могут ли самокаты собирать данные об окружающей среде и пользователях и может ли хакер взломать самокат и дистанционно регулировать скорость и другие показатели. По словам Егора, самокат почти ничего не знает о своем арендаторе. Кроме того, за четыре года работы сервиса данные о пользователях ни разу не были украдены. Эксперт также предупредил о важности физической безопасности при использовании самокатов, в частности о недопустимости езды вдвоем, пояснив, что даже мотоциклисты могут попасть в аварию из-за неправильных действий заднего пассажира.

В свою очередь, Яна Юракова (старший аналитик исследовательской группы Positive Technologies) и Сергей Полунин («Газинформсервис») объяснили, как выбрать защищенный VPN-сервис в условиях возросшей популярности этой технологии в связи с блокировками. Утечка конфиденциальных данных, по словам Яны, может возникнуть, только если владелец сервиса — недобросовестный человек, а соединение с запрашиваемым ресурсом происходит по незащищенному HTTP-протоколу (когда в браузере нет характерного замочка). Сергей отметил, что поддержка VPN-ресурсов стоит немалых денег и, если сервис бесплатен, надо понимать, какая у него модель монетизации и чем заплатит пользователь (рекламой или похищенными данными).

О кибербитве Standoff и других конкурсах

За четыре дня кибербитвы атакующим 204 раза удалось реализовать недопустимые события в воссозданных на киберполигоне секторах экономики. Из 148 предусмотренных уникальных недопустимых событий нападающие реализовали 64. Больше всего реализаций на счету команды Codeby, которая теперь является единственным четырехкратным чемпионом кибербитвы. Ни один из сегментов не выстоял под натиском красных команд. Чаще всего были реализованы утечка конфиденциальной информации (32 раза) и распространение вируса-шифровальщика (31 раз). Максимальное количество успешных атак было реализовано в банковской системе (44) и УК City (44), на третьем месте «МеталлиКО» (37), замыкает четверку лидеров Atomic Energy (27).

За все время кибербитвы в Государстве F атакующие сдали 209 отчетов об уязвимостях, из них 58% — об уязвимостях критического уровня риска, 24% — высокого и 17% — среднего. Наиболее популярным типом выявленных уязвимостей стало удаленное выполнение кода (Remote Code Execution, RCE).

Команды защитников сдали жюри 667 отчетов об инцидентах, в основном в сегменте Tube (37%), и расследовали 43 атаки.

Первое место среди атакующих заняла команда Codeby, набравшая в совокупности 193 454 балла, второе — True0xA3 (143 264 балла), третье — Bulba Hackers (58 796 баллов).

На киберфестивале была обширная конкурсная программа. Участники конкурса IDS Bypass испытывали на прочность системы сетевой защиты, а в конкурсе $natch надо было взломать банкомат, мобильный банк и кассовый аппарат. Последний, кстати, участники конкурса смогли вскрыть не менее пяти раз.

Около десяти человек попробовали свои силы в непростом конкурсе ETHical hacking. Участникам предстояло пройти ряд челленджей по взлому смарт-контрактов в сети Ethereum: вывести все средства из смарт-контракта или установить флаг (значение булевой стейт-переменной контракта) в true в зависимости от описания челленджа. Шестерым специалистам удалось решить как минимум один челлендж.

О результатах всех конкурсов мы сообщим дополнительно — совсем скоро последуют новости и отчеты, посвященные отдельным событиям киберфестиваля. Доклады, сессии, конкурсы и соревнования мероприятия транслировались онлайн на сайте PHDays. Видео большинства выступлений будут опубликованы позднее. Следите за новостями на нашем сайте.

Соорганизатором PHDays и Standoff уже третий год выступает IT-компания Innostage, разработчик и интегратор сервисов и решений в области цифровой безопасности. Бизнес-партнерами фестиваля стали разработчик решений для информационной безопасности Security Vision, национальный провайдер сервисов и технологий ИБ «Ростелеком-Солар» и один из крупнейших универсальных банков России Газпромбанк. Генеральный медиапартнер мероприятия — компания VK, а генеральный информационный партнер — Rambler&Co. Информационным партнером деловой части фестиваля стала группа компаний «РБК». Технологический партнер — «Азбука вкуса». Партнеры PHDays 12 и участники выставки — компании Axoft, Fortis, F+tech, «ICL Cистемные технологии», InfoWatch, MONT, OCS Distribution, UserGate, «Инфосистемы Джет», «Стахановец». Партнеры — ARinteg, Platformix, Росбанк и «УЦСБ». Участник выставки и Standoff — «Газинформсервис».