Leta group

В настоящее время виртуальный мир, за счет развития информационных технологий, начинает оказывать серьезное влияние на реалии жизни физических и юридических лиц. Используя различные сервисы, которые позволяют нам стать свободнее и быстрее, мы не задумываемся о том, что существуют люди, которые зарабатывают большие деньги, нарушая законодательство и наши права.

ПРОБЛЕМАТИКА

Прошли те времена, когда рассчитывались бартером, золотом и серебром. Сейчас в системах дистанционного банковского обслуживания по каналам связи текут электронные деньги, услуги ЖКХ можно оплатить через терминалы, купить диван в интернет магазине через Интернет, используя платежную карту, все прелести современного мира перечислять можно долго.

С развитием технологий и увеличением проникновения электронных платежных систем в нашу жизнь появились люди, которые построили свой бизнес на мошенничестве в сфере высоких технологий. Времена «школьников» которые занимались взломом веб – страниц постепенно уходят, на их смену приходят организованные группы, профессионально занимающиеся незаконным извлечением прибыли. Доходы этих организованных групп иногда поражают воображение и составляют от 1000 и до 15-20 млн. долларов ежемесячно. Уровень доходов при минимальных издержках, позволяет этим людям осуществлять широкий спектр не законных активностей в области разработки технических средств и организации преступных сообществ, путем вовлечения в них профессионалов из нужных им областей деятельности, благо бюджеты позволяют это сделать.

Стоимость услуг хакера

Услуги хакера	Стоимость
Взлома сайта или форума:	от 50$
Гарантированный взлом почтового ящика Yandex, Mail, Rambler	от 45$
DDoS атака	от 100$
Массовое внедрение троянского и шпионского ПО	от 100$
Рассылка СПАМа:
400 000 компаний	55$
1 800 000 частных лиц	100$
90 000 компаний в Санкт-Петербурге	30$
450 000 частных лиц на Украине	50$
6 000 000 частных лиц в России	150$
4 000 000 адресов @mail.ru	200$

Источник Group-IB

Злоумышленники привыкли к полной безнаказанности и к тому, что единственная проблема, стоящая перед ними, — это обход очередного технического решения, а не возможность попасть на судебную скамью. И во многом из-за присутствия чувства полной безнаказанности  стоимость услуг хакеров в России значительно ниже, чем в развитых странах.

Цена информации на «черном рынке»

Таким образом, доходы преступных сообществ, зарабатывающих на незаконной деятельности в сфере высоких технологий, уже давно обогнали бюджеты на информационную безопасность крупных организаций. Это обстоятельство приводит к неутешительному выводу, что, похоже, выигрыш в гонке «вооружений», между киберпреступниками и информационной безопасностью ИБ начинает проигрывать.

Соотношение процента затрат на ИБ от бюджета ИТ и количество инцидентов

 

Однако, не все так безрадостно, как может показаться на первый взгляд. Совместные усилия бизнеса и правоохранительных органов, зачастую приводят к положительным результатам, а преступники несут заслуженное наказание в соответствии с Законодательством РФ. И это не пустые слова, в России существуют бизнес структуры, которые жестко, в пределах правового поля,  реагируют на вторжение в их виртуальную жизнь, получая от этого ощутимые и реальные бизнес выгоды.

РОССИЙСКИЕ РЕАЛИИ  

Россия, по мнению экспертов, отстаёт от Запада в компьютерной криминалистике минимум на 5 лет. На данный момент анализ норм действующего в России уголовного, уголовно-процессуального и административного законодательств показывает отсталость, неточность и противоречивость нормативной базы. Такие же тенденции прослеживаются в научных, методических и учебных работах по уголовному праву, криминалистике, судебной экспертизе, оперативно-розыскной деятельности и информатике. Кроме государства, от которого очень многое зависит в этой отрасли, отстает от времени и корпоративный сектор.

Собственно проблемы можно разделить на государственные:

• Менталитет граждан
• Нет единой системы обмена информации по инцидентам в сфере высоких технологий
• Киберпреступность преступность не знает границ, а законы в области компьютерных преступлений не синхронизированы
• Отсутствие качественного образования. Нет системы сертификации специалистов
• Устаревшее законодательство
• Оперативность работы, возможные утечки, не всегда хорошая техническая подготовка
• и корпоративные:
• Упор на технические меры в области обеспечения ИБ
• Развитие рынка информационной безопасности не во всех необходимых областях
• Менталитет служб информационной безопасности
• Нет единых стандартов по реагированию на инцидент
• Нет единых стандартов по осуществлению журналирования в информационных системах
• Неприменимость многих западных методик к Российской действительности
• Сложность проведения компьютерной экспертизы
• Закрытость информации по инцидентам в корпорациях

В Интернете можно собрать статистику по делам, раскрываемым органами внутренних дел: получается, что лишь 10% раскрытых преступлений – это «высокотехнологичные» преступления, которые совершили высококвалифицированные хакеры. В тоже время в Интернете существуют десятки фишинговых сайтов, постоянно ведутся DDOS атаки и т.п.

Участники преступной группы могут находиться в разных уголках земного шара. При этом в разных странах — разное законодательство в отношении компьютерных преступлений. Разные подходы к компьютерной экспертизе. Злоумышленники этим пользуются. Но даже такие ситуации не являются тупиковыми – просто приходится тратить больше времени на расследование.

Хотелось бы обратить внимание на ещё одну проблему Российских государственных служб – большую вероятность появления информации об инциденте в прессе, что очень нежелательно для коммерческих компаний. Ведь информация о том, что компанию атаковали хакеры, произошла утечка конфиденциальной информации – это удар по престижу фирмы. Поэтому компании предпочитают замалчивать информацию о случившихся инцидентах, создавая у нарушителей чувство безнаказанности. Кроме этого, некоторые компании продолжают использовать нелицензионное ПО, по этой причине, они не могут обратиться за помощью в государственные спецподразделения,  до тех пор, пока не обеспечат собственную работу в правовом поле.

Главная особенность рынка на Западе заключается в том, что он синхронизирован с законодательством и мировоззрением населения. Все понимают, что такое ценность информации и что любое незаконное на нее покушение – преступление. Не нужно часами доказывать следователю, что, например, бот-сеть это незаконно.

Россия пока от этого далека. Потребуется время и серьезные реформы, чтобы обеспечить прогресс в этой области. Но этот процесс неизбежен. Электронное правительство, интернет проекты – все это напрямую столкнет государство с киберпреступностью.
 

ПРИМЕРЫ ИНЦИДЕНТОВ И ПРОБЛЕМНЫЕ ОТРАСЛИ

Сейчас проблема компьютерной преступности актуальна для всех отраслей бизнеса. Истории про хакеров, крадущих деньги со счетов компаний, – это не легенды. Это самый актуальный тип мошеннический действий. Например, в последнее время часто происходят DDoS-атаки на системы Интернет-банкинга, которые на самом деле являются прикрытием для вывода средств со счетов клиентов, что, в свою очередь, стало возможным благодаря краже электронных ключей. Речь идет о цепочках реальных и связанных преступлений, которые приводят к одному — прямым финансовым потерям.
 

Мы выделяем основные отрасли бизнеса, которые сталкиваются с инцидентами, собственно они и клиенты рынка расследований компьютерных преступлений:

• Финансовый сектор: Банки, кредитные организации, электронные платежные системы
• Страховые компании
• Интернет торговля
• Крупные промышленные компании нефтегазового сектора
• Компании – бренды (Западные и российские)
• Сектор малого и среднего бизнеса использующий Интернет-банкинг

Отрасли бизнеса, которые сталкиваются с инцидентами

Если говорить о DDoS-атаках, то это сейчас одна из  самых актуальных проблем. Многие думают, что защищены от них. Это миф. Мы видели, как падают защищенные сервера и толстые каналы от действий шестнадцатилетних ребят.
Для страховых компаний DDoS-атаки — означают  простой Интернет-продаж и работы филиалов. Для трейдерских компаний — простой работы биржи… Стоимость таких видов атак — около 200 евро в день. (Это стоимость организации подобных видов атак) Что несоизмеримо со стоимостью защиты.

Только за первую половину 2010 года к нам поступило 78 запросов от банков и их клиентов на расследование крупных инцидентов информационной безопасности и сопровождение уголовных дел по связанным с ними компьютерным преступлениям. 

На основе данной статистики мы выделили наиболее часто встречающиеся инциденты ИБ:

1. Мошенничество с использованием систем ДБО. Хищение и незаконное использование данных аутентификации: паролей, криптографических ключей, одноразовых паролей и т.п. для неправомерного списания денежных средств со счетов клиентов, использующих системы ДБО.
2. Атаки на Бренд. Создание фишинговых доменов, создание Интернет-ресурсов, компрометирующих бренд или акционеров .  Создание Интернет порталов занимающихся мошенничеством.
3. Распределенные атаки на отказ в обслуживании (DDoS-атаки), на системы ДБО, Платежные системы, Интернет-сайты банков чаще всего как прикрытие для мошеннических операций в системах ДБО, или же в целях причинения неудобства клиентам как способ конкурентной борьбы.
4. Внутреннее мошенничество с использованием компьютерных технологий, изменение платежных документов и финансовой информации, хищение массивов данных, компрометация конфиденциальной информации.

В 2010 году самыми популярными расследованиями стали: мошенничества в системах дистанционного банковского обслуживания (ДБО). Появились целые группы киберпреступников, занимающимися централизованной кражей ключей для систем ДБО и дальнейшей обналичкой денежных средств.

В большинстве случаев компрометация электронных ключей происходит с помощью вредоносного ПО, которое проникает через Интернет. Этот код обнаруживает, что на данном ПК ведется работа с системой ДБО, и осуществляет копирование ключей и логина/пароля пользователя, а затем передает данную информацию злоумышленникам. Кроме того, возможны случаи, когда перевод денежных средств осуществляется непосредственно с ПК жертвы посредством ПО для удаленного администрирования, также, установленного мошенниками через сеть Интернет. Так же заказчика может интересовать внутренний это инцидент или внешний.

«Админка» хакерской программы для мошенничества в системах дистанционного банковского обслуживания

Так же из популярных расследований в 2010 – DDoS атаки. Для заказчиков важно найти заказчика атаки. В реальном мире это означает нахождение исполнителя, привлечение его к ответственности и выяснение имени заказчика после оперативно-розыскных мероприятий, проводимых МВД.

 География реального бот-нета

Если начинается фишинговая атака на банк, то банк очень интересует – это целевая атака на банк или массовое явление. Далее интересует найти злоумышленников и параллельно с этим минимизировать воздействие на банк.
Расследование инцидентов мы совмещаем с реагированием на инциденты и с мониторингом, поэтому в нашем случае эти услуги имеют смысл, отдачу инвестиций и пользуются популярностью.

ЧТО ДЕЛАТЬ

Существует ли сила, которая могла бы помочь бороться с киберпреступностью? Компании, занимающиеся информационной безопасностью, по большей части нацелены сейчас только на одно – на получение прибыли (в принципе, как и киберпреступники). Получается своеобразное бизнес-партнерство: все зарабатывают деньги, и никто никому не мешает. При этом киберпреступность обеспечивает сверхприбыли. Если ситуация не изменится, то через пару лет мы увидим новый мир информационных технологий, который будет полностью поглощен преступными элементами. Это не громкие слова, а действительность.

Популяризация темы правового и правильного проведения расследования компьютерных инцидентов позволит хотя бы немного отвлечь наших «безопасников» от классической информационной безопасности без ответственности. Глобальная задача — создать в России культуру расследований. Это поможет повысить степень ответственности и приведет к снижению количества преступлений, и, как следствие увеличит эффективность отрасли информационной безопасности для бизнеса.

Что касается менталитета, то Россия до сих пор не понимает, что такое компьютерное преступление. Мы ещё не научились защищать свои права в обычной жизни. Поэтому, понять, что такое кража информации большинству пользователей информационных систем (от домашнего компьютера и смартфона до сложных корпоративных сетей) пока довольно сложно.

Если говорить о корпоративном рынке, то есть устоявшиеся мнение – корпоративная служба безопасности может все сделать сама. А то, что оборудование для определенных видов экспертиз может стоить 200 тысяч долларов – это никого не интересует. Зачастую, из-за отсутствия инструментария, ресурсов и опыта расследования проводятся непрофессионально и не имеют юридических перспектив. Сейчас только передовые западные и российские компании готовы к проведению такого рода мероприятий.

Так же сильно влияет на развитие рынка менталитет служб информационной безопасности.

• Каким бы профессионалом не был сотрудник службы информационной безопасности, он не может постоянно отслеживать правовые решения по компьютерным преступлениям, от которой зависит, как именно необходимо настроить систему журналирования в информационных системах и выстроить процедуру реагирования на инциденты информационной безопасности, отвечающую реальной проблематике и обеспечивающую правовой сбор доказательств.
• Для проведения расследования требуется специальное оборудование и программное обеспечение для компьютерной экспертизы, которое не так просто купить, и его стоимость порой слишком высока.
• Расследование инцидента информационной безопасности может занимать несколько месяцев. При этом получается, что сотрудник, проводящий расследование, будет оторван от текущей работы, и его обязанности придется перераспределять среди других работников. А если штат мал или работники и так перегружены работой?
• Если инцидент произошел по вине или недосмотру службы информационной безопасности, то стоит ли ждать объективной оценки происходящего?
• Классические сотрудники службы информационной безопасности уверены, что могут все разрешить сами, да еще только техническими и организационными средствами. А в итоге — количество инцидентов и ущербы растут, не взирая на увеличивающиеся бюджеты ИБ.
• Допустим, что если внутренние инциденты на 80% служба безопасности может расследовать (и предположим сказочную ситуацию что дорогое оборудование и софт у неё есть), то что делать с внешними инцидентами? Когда приходит реальный инцидент, связанный с расследованием DDoS атаки или мошенничества с IP адреса, который является элитным зарубежным прокси-сервером, то служба безопасности оказывается в тупиковой ситуации.

Дело в том расследование компьютерных преступлений - это мощнейший бэкофис, который, во-первых сотрудничает с различными странами по вопросам взаимодействия, а во вторых производит мониторинг противоправных активностей (естественно, что речь не о вирусах) и пополнение базы знаний об инцидентах. Такие базы накапливаются годами. Если инцидент возьмется расследовать компания, которая это делает от случая к случаю или служба безопасности – из-за отсутствия опыта, ресурсов и технических средств, с высокой долей вероятности мы можем столкнуться с неразрешимыми проблемами.

ОТВЕТСТВЕННОСТЬ

Не смотря на то, что информационная безопасность и бюджеты на нее в России развиваются в геометрической прогрессии, количество компьютерных преступлений и инцидентов информационной безопасностью растет еще более стремительно. Бюджеты, технические и организационные меры не могут решить существующие проблемы в полном объеме. Решить эту проблему можно лишь обеспечив баланс мер защиты и эффективного реагирования, что должно ввести высокую степень вероятности привлечения к  ответственности за совершение незаконного действия, а именно преступления в сфере высоких технологий.

К сожалению, пока в России этого нет, но есть многие к этому стремятся.