Кибербезопасность: советы бывшего хакера

24 мая 2019

1519

Кибербезопасность: советы бывшего хакера

В Киев Берт Хейтинк (Bert Heitink) приехал на конференцию по кибербезопасности NoNameCon (16-17 мая). Вопросами ІТ-защиты он занимается с 1997 года, а в 2004 году стал соучредителем компании по информационной безопасности Sincerus. С 2015 продал акции и стал независимым экспертом. Господин Хетинк также был соавтором советника по операциям защиты Национального центра по вопросам кибербезопасности Нидерландов.

Во время выступления на конференции он дал ряд советов компаниям по цифровой безопасности. Во-первых, следует обращать внимание на безопасность самой сети и исключения, которые были добавлены в брандмауэр. Также важно проводить регулярный мониторинг системы и обновлять данные о вредоносных программах.

Ключевым элементом защиты является регулярное обучение работников кибергигиене (надо акцентировать внимание на важности устойчивых паролей и т. д.). Кроме того, следует проводить анализ инцидентов проникновения в систему и понять, как не допускать их в будущем.

Отдельно господин Хейтинк остановился на смартфонах. Он подчеркнул: не надо лишний раз обрабатывать рабочие документы на собственном телефоне. А в социальные сети он советует не выкладывать слишком много информации о себе.

Едва ли не главным тезисом его выступления было то, что цифровая защита является постоянным процессом, который требует регулярного обновления систем и зависит от осведомленности всех работников компании.

«Как убедить ваших начальников в том, что кибербезопасность нужна и за ней надо следить Это вопрос к руководству: какой риск приемлем? Если это потеря нескольких миллионов долларов - это может быть технической проблемой. А когда украли все данные клиентов, то такой прокол может привести к банкротству компании. Надо понимать, чем можно рискнуть»,- отмечает спикер.

Бертом Хейтинк рассказал «Детектор медиа», почему считает системы для электронного голосования крайне уязвимыми, насколько готовы европейские системы к выборам в Европарламент и почему Украине следует равняться на Израиль в вопросе кибербезопасности.

- Берт, вы много говорили о кибербезопасности для компаний. Какие дыры в безопасности наиболее распространенные, из вашей практики?

- Для взлома крайне много возможностей. Наиболее легким здесь есть, конечно, является фишинг (часто это ложные электронные письма, которыми вводят в заблуждение пользователей. - Ред.).Это до сих пор является путем для 50% взломов. Работники просто кликают на ссылки в фальшивых электронных письмах. Они получают какое-то напоминание о встрече и думают, что общаются с коллегой, но на самом деле за этим стоит хакер.

Кроме того, часто в компании не обновляют вовремя операционные системы. Это оставляет злоумышленникам слабые места, которыми они могут воспользоваться. И еще хочу подчеркнуть: безопасность в первую очередь зависит от самих пользователей. До сих пор многие используют один и тот же пароль для всех своих учетных записей, что очень упрощает задачу для взлома. Знаете, я до сих пор могу зайти в систему своего бывшего клиента. Я дважды им об этом говорил, но они ничему так и не научились.

- То есть? Вы до сих пор в системе?

- Они не удаляют мой пароль и аккаунт. Но я уже закончил с этим работу давно! Теперь я посторонний человек.

- Почему, по вашему мнению, люди столь беспечны в этом плане?

- Они заняты и, несмотря на то, что это важная тема, очень трудно найти правильных людей, которые хорошо образованы. Кроме того, бюджет на безопасность всегда не столь большой, как хотелось бы. Особенно когда компания переживает кризис, людей увольняют - это момент, когда кибербезопасность в организации падает.

То же мы видели в США, когда Трамп перекрыл финансирование правительства (government shutdown) - очень многие чиновники были отправлены в неоплачиваемый отпуск. Среди них были и ІТ-специалисты. И хакеры знают: если ИТ-специалистов там нет, они могут найти пробелы в безопасности. В таких случаях это становится несложно.

Я в прошлом был хакером (ethical hacking) и могу сказать, что главное в этом деле - знать, чем пользуются работники. Однажды будет найдено слабое место в сетевом экране (firewall), и если вы знаете, что компания не обновила программное обеспечение, то у вас будет ключ к ее системе.

- Для чиновников тренинги по кибергигиене не менее важны, чем для работников компаний?

- Конечно! К сожалению, в Нидерландах правительство не столь сообразительно в этом плане, но они имеют достаточно много хороших советников. У нас также есть Национальный центр по кибербезопасности (CSC), который кооперируется со специалистами из Великобритании и Франции. Они занимаются вопросами безопасности критической инфраструктуры, для чего получают деньги от правительства. Другая важная инфраструктура - коммуникационные компании и т.д. - должны также строить свою защиту, но платят за это сами. На цифровую безопасность их кармана идет не один миллион.

- Недавно я был на мероприятии, где обсуждали вмешательства в киберсистемы Украины во время выборов президента. Специалисты отметили, что атаки других стран, в частности России, были в этом году неуспешными. Вероятная причина - Украина хорошо подготовилась. По вашему мнению, это может быть реальной причиной или РФ просто не сильно старалась?

- Я не знаком с вашей локальной ситуацией. Могу сказать, что, несмотря на другие страны - Россия это или нет - очень много людей, которые хотят повлиять на ход выборов. Вы могли это видеть в период Brexit. Тогда было очень много ложной информации (дезинформации), фейков. Куча историй, которые не базировались на реальных фактах.

В Нидерландах с конца 90-х люди начали голосовать с помощью электронных систем. И эти машины были очень просты. Один из хакеров, которых я знал, купил себе такую машину, заявив, что она ему нужна для компании. Так он смог исследовать их программу и впоследствии научился менять всю систему. К примеру, когда ты голосуешь за номер один, голос идет за номер три. Если мой знакомый смог взломать эту машину, то это мог сделать любой.

В таком случае вопрос, кто выиграет выборы, переходит в другую плоскость: у какого кандидата больше денег на хакеров. Не думайте, что в процессе голосования у вас только один враг - Россия. Осознайте, что выборы просто могут быть скомпрометированы. Этот риск есть всегда.

- У нас пока нет электронного голосования, голоса считаются по бумажным бюллетеням.

- Это замечательно! Ведь многими электронными системами для голосования могут манипулировать. В Нидерландах они использовались с конца 90-х до 2007 года. С тех пор вернулись назад к бумажному голосованию, а электронные системы используются для параллельного подсчета голосов. И хотя наши электронные системы обновили, они все равно могут быть скомпрометированы. О безопасности обычно в ІТ-секторе вспоминают едва ли не в последнюю очередь.

- Через несколько дней (23-26 мая) состоятся выборы в Европарламент. Как считаете, готова ли к ним Европа в вопросе цифровой безопасности?

- Нет. Здесь всегда есть пробелы, тем более, что эти выборы распределены по 27 странам. Думаю, в Нидерландах мы довольно хорошо подготовились, как и в Германии или Франции. Однако есть ряд стран, которые значительно слабее и находятся под влиянием популистов или фейковых новостей. Все это инструменты для манипуляций. Я всегда с подозрением отношусь к таким процессам.

- Как насчет социальных сетей. Не стали ли мы крайне уязвимы из-за них?

- Люди впечатлительны, так как слишком много рассказывают на этих онлайн-платформах. Не стоит. Игнорируйте свое эго, не говорите там много. Это хорошо, что вы гордитесь своей работой. Но надо ли регулярно сообщать миру о каждом своем шаге?

Я, например, обновляю LinkedIn уже после работы над определенным проектом. Так поступать прошу и свою команду. Регулярные посты могут упростить возможность вас скомпрометировать. Если вы предсказуемы - вы являетесь мишенью, а 93% вашей жизни предсказуемо. Вы идете на работу, за покупками, занимаетесь спортом - все это повторяется неоднократно. И на этих путях взломать ваш телефон несложно.

Знаете, как это делают в США? С помощью самолетов они создают дополнительную линию, которая работает аналогично сети мобильной связи. То есть целью такого слома остается такая же связь, но спецслужбы могут все записывать. Так поступает, например, ЦРУ. По моей информации, у них для этого есть 16 самолетов, которые помогают им ловить преступников.

- Вы слышали о пробеле в безопасности WhatsApp, который недавно раскрыли? Смартфоны могли взломать, просто позвонив пользователю в WhatsApp. Программу разрабатывала израильская компания и продавала ее правительствам.

- Да, это был инструмент для прицельной атаки. Такая компания не могла бы существовать, если бы у нее не было определенных связей с правительством Израиля. В этой стране вообще все очень жестко в вопросе безопасности, и я понимаю почему. Думаю, они сейчас находятся в ситуации, подобной украинской. Если вы знаете, что вы чья-то цель и есть враги, - будьте защищены.

- WhatsApp - это часть компании Facebook. Ее соучредитель Крис Хьюз написал большой материал для The New York Times, в котором призвал разделить Facebook, потому что Марк Цукерберг имеет слишком много власти. По вашему мнению, это является рецептом, что решит проблемы, с которыми сейчас сталкиваются разные страны, связанные с этой компанией?

- Мы не можем сделать шаг назад во времени. Сейчас мы глобализированы. Нельзя разделить компанию и иметь свой Facebook для Европы или отдельный для Украины. Ведь когда члены вашей семьи находятся где-то в другой точке мира, вам хочется видеть, как они там живут. Наибольший вызов теперь - разработать регулирование для таких компаний. Это то, что пытается делать ЕС: давить на Facebook и Google. Это одна из причин, почему я доволен политикой Европейского Союза. Европа очень жестко отстаивает защиту личных данных: какую информацию компании собирают, зачем и что дальше с ней делают.

Это, в частности, касается и Google. Теперь у пользователей есть право удалить всю информацию о своих запросах. Лично я никогда не использую Google для поиска в сети. Предпочитаю DuckDuckGo или просто захожу сразу на сайт, который меня интересует. Google собирает слишком много информации обо мне, и я немного боюсь этого. Это моя работа - быть немного параноиком в этом плане.

Кроме того, я захожу в интернет с помощью VPN и с телефона, и с компьютера. Это не защищает меня на 100%, но я стараюсь хотя бы быть не такой легкой добычей для злоумышленников.

- Во время своего выступления вы советовали украинским военным заниматься рабочими делами только на защищенных девайсах, лишний раз не включать GPS, не пользоваться для работы незащищенными мессенджерами. Еще рекомендации по кибербезопасности можете дать нашей армии?

- Прежде всего, вооруженным силам нужен сильный отдел по вопросам киберзащиты (сейчас в ВСУ есть подразделения по кибербезопасности. - Ред.).Туда следует отбирать из вузов добросовестных студентов, имеющих хорошие ІТ-навыки, и в дальнейшем тренировать их для цифровой защиты.

У этого решения есть несколько преимуществ. Во-первых, в вашей армии будет команда прогрессивных людей с новыми идеями. Во-вторых, вы будете тренировать их специально для киберзащиты, шлифуя у них соответствующее мышление в вопросах безопасности. И даже если они покинут вооруженные силы, то, скорее всего, продолжат работать в этом поле.

В Израиле есть Unit8200 - очень известное подразделение (часть израильской разведки, которая отвечает за сбор разведывательной информации и расшифровки кодов. - Ред.). Едва ли не все израильские специалисты по кибербезопасности тренировались в его армии. Это одна из причин, почему кибербезопасность в Израиле на высоком уровне. Очень много инноваций в этом вопросе идет именно из этой страны, и их решения покупают другие правительства. Поэтому используйте такой путь, не надо придумывать колесо. Не смотрите на США или Россию, посмотрите в сторону Израиля, который сейчас находится в ситуации, похожей на украинскую.

—

Владимир Малинка, опубліковано у виданні Детектор медіа