Проактивная безопасность: три принципа защиты IT-инфраструктуры в финансах

Илья Зуев: Банки сталкиваются с широким спектром угроз — от DDoS-атак до сложных атак на бизнес-логику приложений через специальные бот-фермы. Одна из самых опасных угроз — логические уязвимости в коде. Поэтому мы уделяем особое внимание анализу уязвимостей в API и приложениях. Сохраняются риски, связанные с атаками шифровальщиков, компрометацией данных и социальной инженерией.

Активное внедрение открытых банковских API расширяет поверхность для атак. Для поиска уязвимостей злоумышленники часто используют бот-фермы — это множество виртуальных устройств, которые имитируют действия реальных пользователей. Задача банка — эффективно противостоять атакам ботов, проверить все API-методы и найти уязвимости раньше хакеров.

Стоит также отметить, что в этом году мошенники стали более активно использовать поддельные приложения известных банков и вредоносное ПО. Ландшафт угроз постоянно меняется, надо понимать тактики противника, чтобы не защищаться, а заранее перекрывать ему возможные ходы.

Илья Зуев: Эффективная защита строится на балансе технологий, процессов и человеческого фактора. Технические средства должны поддерживаться правильно выстроенными процессами. Например, можно купить лучший антивирус, но, если не контролировать его покрытие и актуальность, через полгода он превратится в ничто или, что еще хуже, в инструмент в руках хакеров.

Одной из первых задач при построении информационной безопасности финтех-компании является всесторонняя оценка текущего состояния защиты, включая поиск возможных следов компрометации. Когда я пришел в МТС Банк, первым делом мы провели Compromise Assessment. Это был не формальный аудит, а полноценное детективное расследование. Мы исходили из парадигмы «нулевого доверия»: предположили, что в инфраструктуре уже могут быть «закладки».

Мы превратились в цифровых археологов: вручную анализировали терабайты логов за последние годы, выискивали аномалии — подозрительные доступы и аккаунты, соединения в нерабочее время, странные процессы и задачи автозагрузки. Мы «вскрывали» все системы, искали признаки продвинутых угроз: скрытые руткиты, легитимные инструменты доступа, часто используемые хакерами, следы вредоносного ПО в памяти. Проверяли каждую конфигурацию, каждую учетную запись с привилегированными правами.

Это кропотливая работа по цифровым слоям, но она необходима. Хакерская «закладка» может быть одной строкой в файле, которая «проснется» через два года. Найти и обезвредить ее — значит предотвратить катастрофу, о которой ты даже не подозреваешь. Это позволяет заложить чистый и контролируемый фундамент для дальнейших мероприятий.

Далее мы модернизировали комплексную защиту, в том числе начали другой ключевой процесс — тотальное обучение сотрудников. Самой главной уязвимостью в любой компании все равно остается человек. Без обучения, вовлечения и тестирования сотрудников в сфере информационной безопасности даже самые передовые технологии будут бесполезны.

На сотрудников сыпется шквал фишинговых атак. Например, атаки fake boss, когда сотруднику пишет якобы «генеральный директор» и просит выполнить какое-нибудь действие. Поэтому тренировка бдительности и обучение сотрудников — это стратегическая необходимость. Мы не просто делаем рассылки, проводим митапы, читаем лекции о том, как распознать фишинг, а стараемся вовлечь в защиту каждого сотрудника. Один из способов — регулярное проведение учебных фишинговых атак, которые моделируют реальные сценарии. Даже я иногда не могу понять, это реальная атака или проделки отдела повышения осведомленности ИБ. По нашей статистике, чтобы выработать рефлекс, человеку нужно пройти через пять-семь таких тренировок. Таким образом, мы создаем «иммунитет» на самом уязвимом рубеже.

Илья Зуев: Я бы выделил три ключевых пункта. Во-первых, всегда копать глубже первого результата. Нашли и закрыли уязвимость? Отлично. Теперь выясните, как давно она существовала и не успели ли ею воспользоваться. Это трудоемко, но это настоящая защита.

Во-вторых, инвестировать в процессы, команду и культуру. Важно постоянно совершенствовать защиту, иметь не только защитников (Blue Team), но и внутреннюю команду атакующих (Red Team) для постоянной проверки. А еще — направлять не менее 25% усилий на киберграмотность, растить амбассадоров безопасности в каждом департаменте. Безопасность зависит от каждого.

Третий пункт — не бояться создавать. В современной гонке готовые решения не всегда поспевают за угрозами. Способность разрабатывать свои инструменты под конкретные опережающие задачи — это ключевое конкурентное преимущество.

Нельзя выиграть, только отбиваясь. Нужно постоянно совершенствоваться, учить команду, создавать свои инструменты и всегда, всегда искать угрозы на шаг раньше того, кто по ту сторону защиты. В этом и есть суть современной кибербезопасности.