Чи чули ви про великі витоки даних, або ж самі стикалися з наслідками хакерських атак? У будь-якому випадку, в сучасному світі складно зустріти хоча б одну людину, яка не має ні найменшого уявлення про проблеми інформаційної безпеки.

Крім дрібних крадіжок і виманювання грошей на зразок "африканського принца", жертвами хакерів все частіше стають власники як малого, так і великого бізнесу.

Трохи статистики

У результаті кібератаки на «Прикарпаттяобленерго», що сталась у грудні 2015 року, російським хакерам вдалося вимкнути майже 30 електричних підстанцій. Близько 230 тисяч мешканців Івано-Франківської області залишалися без світла від однієї до шести годин. Ця кібератака стала першою зареєстрованою атакою на енергетичну систему, що вивела її із ладу.

Не забуваємо і про вірус Petya.

Також у 2017 році сталася масштабна кібератака на кілька важливих інфраструктурних об’єктів у Харківській області — аеропорт, водоканал та облгаз. 

Мене це не торкнеться?

Але чи стосується небезпека злому власників куди більш скромних компаній, що не володіють значною кількістю філій і багатомільйонними оборотами? Безумовно, так. Незважаючи на всі способи захисту, послуги хакерів і їх популярність лише набирають обертів в останні кілька років.

Так, на одному з популярних сервісів «тіньового» інтернету - InsideHackers - ціна злому починається від 5$, збільшуючись у відповідності зі складністю завдання. В одному з останніх звітів SecureWorks в ті ж 5 $ оцінюється годинна DDoS-атака - в залежності від складності, ціна варіюється від 30 до 400 $ за те, щоб "покласти" сервер на весь день.

На думку цієї ж дослідницької групи, ринок хакерів переживає справжній бум, починаючи з 2016 року. Говорячи про збільшення масштабів, можна сказати, що тепер хакери працюють понаднормово, відповідають за якість своєї роботи і розширюють спектр пропонованих послуг, щоб залучити клієнтів, підлаштовуючись під вимоги споживачів.

Чи варто говорити, до чого призводять хакерські атаки і зростання попиту на їхні послуги? Крім фінансових втрат, власники атакованих сервісів отримують і істотний ділової збиток, поставши перед своїми клієнтами як особи, які не здатні забезпечити безпеку їх даних і фінансів.

Системи безпеки і навмисний стрес-тест

Перше, що необхідно зробити при створенні корпоративної мережі - організувати її безпеку за сучасними стандартами. На ринку є безліч готових рішень, що розрізняються ціною і орієнтованістю на великі або малі організації - так, наприклад, хмарний сервіс CloudFlare рятує атаковані сервера від перевантаження, перенаправляючи потік запитів в свою сторону - але, часто їх виявляється недостатньо, щоб протистояти серйозним атакам.

Кожне ПО має свої вади, а індивідуальні рішення і модифікації грішать не менш індивідуальними помилками, часто дозволяють обійти будь-які бар'єри. Але як, в такому випадку, убезпечити свою мережу?

Ви напевно чули про краш-тести автомобілів, які перевіряють їх стійкість до зіткнень. Крім дослідження наслідків, такі тести виявляють слабкі місця машини, дозволяючи виправити помилки в конструкції перед виходом в масове виробництво, забезпечуючи максимальну ефективність автомобіля при реальних аваріях.

Ті ж перевірки можна провести і на корпоративній мережі, не чекаючи перших зустрічей з серйозними проблемами. На відміну від реальних краш-тестів, система не піддається фізичному впливу, що дозволяє істотно заощадити на виправленні помилок в її конструкції.

Хто такі «білі хакери»?

На допомогу в цій нелегкій задачі приходять «білі хакери». Саме вони здатні провести контрольовану атаку на мережу, виявляючи і, в деяких випадках, виправляючи помилки в її структурі.

Варто зазначити, що ця професія має досить багато імен - від уже озвучених «білих хакерів», до «пентестерів» (від англ. Penetration testing - тест на проникнення) і «етичних хакерів». На відміну від своїх колег, ці зломщики діють на замовлення власника мережі, і працюють за його ж винагороду.

Така практика не є чимось незвичайним - так, наприклад, в Facebook Bug Bounty обіцяють виплату від 25 до 40 тисяч доларів кожному, хто знайде проблеми в системах безпеки соцмережі. Але як знайти такого хакера самостійно?

Зазвичай, вони працюють індивідуально, але вимоги ринку все частіше призводять до появи окремих посад тестувальників в штаті компаній, що працюють з питаннями інформаційної безпеки. 

Чому це ефективно

Можна скільки завгодно говорити про неефективність старих методів захисту, але краще переконатися в цьому на практиці. Існує три основних аргументи на користь злому своєї мережі.

Знайти свої уразливості перш, ніж це зробить хтось інший

Приклад з краш-тестом автомобілів демонструє основну особливість цього підходу - дія на випередження. Поки хтось витрачає час і кошти на покупку самого дорого і розрекламованого захисного ПЗ, «білі хакери» знаходять і виправляють всі слабкі місця в діючій корпоративній мережі перш, ніж їх використовують реальні зловмисники.

Але, ситуація з корпоративними мережами все ж має свої особливості. Тест на проникнення найчастіше виявляє слабкі місця в зовнішніх бар'єрах системи - але не враховує можливість появи внутрішніх зловмисників. Фахівці з інформаційної безпеки також досліджують можливість атаки з місця одного із співробітників, зводячи ймовірність проникнення до мінімально можливого рівня.

Звичні методи захисту - неактуальні

Що може бути простіше і зрозуміліше, ніж покупка ліцензії на антивірусне ПЗ, яке обіцяє захистити вас від усіх бід? На жаль, такі бар'єри вже давно не є дійсно актуальним рішенням для захисту корпоративних мереж.

Головна проблема антивірусного ПО - орієнтованість на взаємодію з конкретними, відомими погрозами. Такі системи захистять вас від найпоширеніших вірусів-вимагачів, але навряд чи допоможуть запобігти прямому вторгненню в мережу, в кращому випадку затримавши зловмисника на час обходу бар'єрів.

Відстеження нових стратегій

Незважаючи на новизну підходу, ефект від його використання не можна назвати досить довгим. Ринок хакерів-зловмисників лише набирає обертів, і кількість способів атаки і крадіжки інформації зростає з кожним днем.

Одноразовий тест допоможе виявити актуальні проблеми мережі на день перевірки, але не забезпечить захист системи на весь час її використання. Варто проводити такі перевірки регулярно - або, подивившись на приклади Google і Facebook, призначити нагороду за вивчення помилок в захисті системи.