Компания Ponemon в 2014 году впервые провела исследования стоимости кибер преступлений в России

Компания Ponemon в 2014 году впервые провела исследования стоимости кибер преступлений в России. В исследовании приняли участи 24 компании из разных отраслей, с численностью сотрудников 500+. Было проведено 154 интервью с представителями этих компаний.

К кибер-атакам относится преступная деятельность, осуществляемая через Интернет. К кибер-атакам относятся: кража  интеллектуальной собственности, аккаунтов онлайн банкинга, создание и распространение вирусов, размещение конфиденциальной информации в интернете и др.

Общие выводы

•          Кибер преступления довольно затратны для организаций.  Так среднегодовые затраты для опрошенных компаний составили 120.2 млн. рублей, с диапазоном от 24.9 млн. рублей до 442.2 млн. рублей на компанию.
•          Организации из абсолютно различных отраслей стали жертвами кибер преступлений.  Но больше всего пострадали компании финансового сектора, энергетики и коммунальных услуг.
•          Атаки становятся более затратными, если их не выявить вовремя. В среднем организации требовалось 26 дней,  чтобы решить проблему, что стоило 8,7 млн. рублей.
•          Наибольшие внешние затраты были связаны с такими последствиями атак как нарушение бизнес-процессов  (снижение производительности) и затраты, связанные с потерей доходов (47% и 22% соответственно).
•          Наиболее дорогостоящими для компаний оказались кибер преступления связанные с вредоносным ПО, вирусами, червями, веб-атаками и/или троянами. На их долю приходится 52% от общей суммы расходов, связанных кибер преступлениями. Чтобы нивелировать воздействие подобных атак на организацию, необходимо использоваться различные средства защиты, начиная от систем IPS и заканчивая решениями по проверке кода приложений.
•          Наиболее дорогостоящими внутренними мероприятиями, связанными с атаками, стали мероприятия, связанные с их обнаружением и восстановлением работы после устранения их последствий.
•          Наибольшие бюджеты тратились на ИТ-безопасность сетевого уровня
•          Исследование показало, что компании, использующие интеллектуальные системы ИБ (например, SIEM системы) более эффективны в обнаружении и сдерживании атак. В результате эти компании сэкономили в среднем 27,1 млн. руб., по сравнению с теми организациями, которые не использовали подобные системы

Магический квадрант Гартнера по системам SIEM 2014

В течение 2013 года спрос на SIEM системы продолжал расти. По сравнению с прошлым годом рынок вырос на 16% и составил 1,5 млрд.$ (в 2012 году он оценивался в 1.36 млрд.$). Основными драйверами роста рынка продолжают оставаться: обнаружение нарушений ИБ и выполнение соответствий требованиям регуляторов. При этом стоит отметить, что главными факторами при выборе системы SIEM заказчиком остаются простота ее внедрения и поддержки.

Рынок систем SIEM зрелый и конкурентный. Большинство производителей удовлетворяют базовым запросам заказчиков. Основными областями, где SIEM обычно справляется не очень хорошо, являются выявление направленных атак и обнаружение нарушений ИБ.

Вендоры

Источник: Гартнер, 2014

В 2014 году в квадрант Гартнера попали 15 производителей. Шесть из них производят только SIEM решения, остальные имеют в линейке другие продукты и сервисы по ИБ.

За 2014 год на рынке SIEM было два более или менее заметных поглощения:  KEYW приобрел SenSage, а Tibco Software – LogLogic.

60% рынка SIEM сосредоточены в руках пяти производителей: HP, IBM, McAfee, EMC (RSA) и Splunk. Компания Symantec объявила о прекращении продаж своего SIEM решения с сентября 2013 и об окончании его поддержки в ноябре 2017.

Разработчики SIEM систем следят за нуждами своих клиентов и реагируют на их запросы. Так для многих компаний стали актуальны такие темы, как направленные атаки и обнаружение различных нарушений, связанных с обеспечением ИБ. Для решения этих задач разработчики SIEM систем развивают свои продукты в таких областях как анализ угроз, профилирование, выявление аномалий и мониторинг сетевой активности. Некоторые производители (IBM, HP, RSA) осуществляют интеграцию со своими собственными технологиями, работающими с большими данными. Другие (McAfee и Splunk) объявили о планах интеграции с продуктами третьих компаний. Ряд производителей, имеющих собственные исследовательские центры (IBM, HP, McAfee, RSA и Trustwave), обеспечивают  интеграцию системы с собственным контентом, связанным с анализом угроз.  Производители SIEM, выступающие также как сервис провайдеры услуг по удаленному мониторингу и управлению средствами защиты (HP, IBM, Trustwave и EventTracker), предлагают различные  услуги по мониторингу SIEM систем.  Компания RSA продвигает стратегию, объединяющую на одной платформе технологии лог менеджмента, сбора и обработки событий, управления рисками и соответствия требованиям стандартов.  Стратегия компании McAfee все больше ориентирована на интеграцию различных технологий в рамках своего портфеля продуктов по ИБ, а также продажу SIEM систем в аккаунты, использующие продукты производства McAfee. 

2013 Cost of Cyber Crime Study: Executive Summary

·         Кибер преступления продолжают быть довольно дорогостоящими для компаний. Так в рамках данного исследования было выявлено, что в среднем расходы (234 опрошенных)  составляют 7.2 млн. $. Диапазон расходов варьируется от 375 тыс.$ до 57 млн.$. Обозначенные цифры демонстрируют 30% рост расходов, по сравнению с прошлым годом.

·          Организации из абсолютно различных отраслей стали жертвами кибер преступлений.  Но больше всего пострадали компании финансового сектора, энергетики и коммунальных услуг.

·         Наиболее дорогостоящими для компаний оказались кибер преступления связанные с действиями инсайдеров, атаками типа «отказ в обслуживании» и преступления, связанные с веб аккаунтами. На их долю приходится 44% от общей суммы расходов, связанных кибер преступлениями. Чтобы нивелировать воздействие подобных атак на организацию, необходимо использоваться различные средства защиты, начиная от систем IPS и заканчивая корпоративными GRC решениями.

·         Атаки становятся более затратными, если их не выявить вовремя. В среднем организации требовалось 27 дней, чтобы разобраться с атакой, связанные с этим затраты составляли в среднем 509 665$ (рост на 39% по сравнению с прошлым годом).

·         Наибольшие внешние затраты были связаны с такими последствиями атак как нарушение бизнес-процессов  (снижение производительности) и потеря информации.

·         Наиболее дорогостоящими внутренними мероприятиями, связанными с атаками, стали мероприятия, связанные с их обнаружением и восстановлением работы после устранения их последствий.

·         Наибольшие бюджеты тратились на ИТ-безопасность сетевого уровня.

·         Исследование показало, что компании, использующие интеллектуальные системы ИБ (например, SIEM системы) более эффективны в обнаружении и сдерживании атак. В результате эти компании сэкономили в среднем 2 млн$, по сравнению с теми организациями, которые не использовали подобные системы.  

Темы RSA 2014

Ежегодное исследование компании Kroll «Global Fraud Report»

Ежегодный обзор, посвященный мошенничеству, проводимый компанией Kroll в партнерстве с исследовательской компанией The Economist Intelligence Unit (аналитическое подразделение британского журнала Economist) в 2013 году включил в себя ответы 901 опрошенных респондентов. Все они являются руководителями высшего звена компаний различных отраслей (финансы, розничная и оптовая торговля, технологии, СМИ, здравоохранение, строительство, производства и др.). Что касается географической распределенности, то 25% респондентов были из Европы, 24% из Северной Америки, 23% из Азиатско-Тихоокеанского региона, 14% из Латинской Америки и 14% из Африки и Среднего Востока.

В данном материале представлена только часть исследования, касающаяся ситуации в России.

Обзор по России

В 2013 году в России было зафиксировано довольно серьезное количество различного рода мошенничеств (фрода). 76% респондентов сообщили, что их компании хотя бы единожды пострадали от мошеннических действий. Это является одним из самых высоких показателей в данном исследовании. Также высоким был показатель средних потерь от фрода для компаний, он составил 1.9% от выручки (средний показатель в исследовании - 1,4%). Наиболее острыми можно назвать такие проблемы как коррупция (32%) и кража информации (29%). В обоих случаях показатели являются очень высокими.

Также вызывает определенные беспокойства тот факт, что, даже признавая высокий риск возникновения фрода, предпринимаемые многими организациями шаги не достаточно надежны. Например, 91% опрошенных признали, что их компании уязвимы для кражи информации. При этом 74% организаций планируют инвестиции в ИБ в ближайшие 12 месяцев. Если посмотреть более детально, то 71% компаний планирует потратить деньги на новое ПО по обеспечению ИБ, 59% на обучение ИТ-персонала, и только 32% на обучение сотрудников (в среднем по исследованию - 57%).

Можно спрогнозировать, что российские организации вряд ли будут подготовлены к ситуации, возникновения фрода: т.к. только в 41% компаний план управления инцидентами ИБ пересматривался в последние 12 месяцев, а тестировался за последние полгода только в 32% случаев.

При этом 0% компаний сообщили, что мошенничества были выявлены во время внешних аудитов.

Таким образом, неудивительный вывод – для того, чтобы уровень фрода снизился, российским компаниям необходимо улучшать свою защиту.

	2012-2013	2011-2012
Распространенность: Количество компаний, пострадавших от фрода	76%	61%
Где больше всего потерь: % компаний, сообщивших о данном виде мошенничества	Коррупция и взятки (32%) Кража информации, успешные атаки (29%) Конфликт интересов в руководстве (24%) Внутреннее финансовое мошенничество (18%) Кража физических активов или акций (15%)	Кража физических активов или акций (26%) Кража информации, успешные атаки (26%) Коррупция и взятки (16%)
Компании, где наблюдался рост мошенничества	74%	52%
Наиболее сильные драйверы для роста мошенничества: Наиболее распространенный фактор, ведущий к росту мошенничества и % пострадавших компаний	Сложность, запутанность ИТ (35%)	Выход на новые, рискованные рынки (25%)
Потери: Средний % потерь от мошенничества от общей выручки	1,9%	0,4%

Обзор угроз от Verizone для медицинских компаний

Люди доверяют медицинским учреждениям большое количество конфиденциальной информации, начиная от медицинских карт и заканчивая данными платежных карт. Нарушения ИТ-безопасности ставит под угрозу не только конфиденциальные данные, но и доверие пациентов.

Кто атакует

Ландшафт угроз для здравоохранения очень похож на то, что наблюдается в других отраслях. Подавляющее большинство злоумышленников ищут информацию, от которой они прямо или косвенно cмогут получить  прибыль. К такой информации относятся персональные данные и данные платежных карт.

Такой акцент на финансовой выгоде объясняет почему в 92% случаев атаки были совершены организационными преступными группировками.  Большинство атак совершались извне, но пятая часть всех атак были осуществлены с помощью инсайдеров. И снова большинство нападений происходили из Восточной Европы.

На кого направлены атаки

Наиболее часто атаки были направлены на POS-терминалы и рабочие станции. Это развенчивает миф о том, что злоумышленников интересуют медицинские карты пациентов. Преимущественно компрометации подвергались личные данные и данные кредитных карт пациентов, т.е. то , что может быть в будущем преобразовано в наличные.

Какие методы использовались

Практически во всех мед. учреждениях наблюдались признаки различных методов взлома и использования вредоносного ПО. Довольно распространёнными были атаки, связанные с сессиями удаленных рабочих столов. Злоумышленники запускали автоматический скрипт, позволяющий находить в интернете такие сессии. После этого используют методы брутфорса (дефолтные учетные данные и часто используемые пароли) для получения доступа.  Данный метод довольно прост, но он легко автоматизируется и дает довольно высокий результат. После того, как доступ получен злоумышленник устанавливает какое-нибудь зловредное ПО типа кейлоггер для того, чтобы собрать нужные данные.

Каким образом все обнаруживалось

В 98% случаев злоумышленникам хватало минут и часов для компрометации данных, при этом в 78% случаев компаниям требовались недели для их обнаружения. Цифры довольно пугающие. При этом в 84% случаев компрометация данных была выявлена правоохранительными органами, когда в среднем по другим отраслям данный процент составляет 35%.

Какие рекомендации дает компания Verizone:

Используйте методы строгой аутентификации на используемых POS-системах

Используйте межсетевой экран или список контроля доступа для всех удаленных соединений.

Сведите к минимуму работу с POS-системами, предполагающее использование интернет

Убедитесь в том, что ваши POS-системы соответствуют требованиям PA DSS

Обзор угроз от Verizone для финансовых компаний

Компании финансового сектора сталкиваются с некоторыми специфическими угрозами информационной безопасности. Данные организации в основном привлекают к себе пристальное внимание серьезных, хорошо оснащенных криминальных группировок, будучи не застрахованными и от попыток нападения «одиночек». Вполне вероятно, что их защита более надежна, чем у многих других организаций, но как показывает практика это не повод расслабляться.

Кто атакует

Большая часть атак на финансовые компании были направлены извне и в 92% случаев за ними стояли организованные преступные группировки. Более половины всех атак были из восточной Европы, а четверть из США.

На кого направлены атаки

Зачастую злоумышленники охотятся за различными видами ценных данных – интеллектуальная собственность, обзоры рынка, финансовые отчеты и пр. Что касается финансовых компаний, то здесь в 94% случаев целью были деньги. Больше половины атак были направлены на банкоматы, но также были затронуты сервера БД, веб-приложения, рабочие станции пользователей и др.

Какие методы использовались

За исключением физического воздействия на банкоматы, большинство атак осуществлялись с использованием различных методов взлома, а также с использованием зловредов. Стоит отметить, что вариативность атак на финансовый сектор гораздо шире, чем на все другие типы компаний. Это обусловлено довольно высоким уровнем обеспечения информационной безопасности данных организаций. Но обратная сторона медали – это более изощренные и сложные атаки со стороны злоумышленников.

Каким образом все обнаруживалось

В 83% случаев злоумышленникам хватало минут и часов для компрометации данных, при этом в 61% случаев компаниям требовались недели для их обнаружения. В 31% случаев компрометации обнаруживались с помощью внешних антифрод системам, в 20% - правоохранительными органами, а в 15% случаев о проблемах сообщали бдительные клиенты.

Какие рекомендации дает компания Verizone:

- более тщательно выбирайте место для размещения банкоматов

- внедрите механизмы двухфакторной аутентификации (где необходимо) для снижения риска кражи идентификационных данных

- составьте списки «черных» IP-адресов

- ограничьте доступ администраторов к различным ресурсам рамками служебной необходимости

- уделяйте больше внимания тестированию и анализу кода используемых приложений, для снижения рисков SQL-инъекций, кроссайт скриптинга и др. атак

- внедрите процесс обеспечения ИБ в жизненный цикл разработки приложений

- проводите обучение пользователей для выявления признаков нарушений, фрода и социальной инженерии

- обучайте клиентов, чтобы они могли выявлять признаки мошенничеств