The Standoff 2020. Кибербитва на фоне глобальной конференции

The Standoff 2020. Кибербитва на фоне глобальной конференции

Ряска повторной самоизоляции,затянув просветы KICC и CISO Форума, превратила событийный фон «ибэшных» мероприятий в унылое Zoom-виртуальное болото. Сообщение о командировке на The Standoff заставило взбодриться.

RED ПРОТИВ BLUE

Живое общение с организаторами позволило понять, что вожжи стремительно разворачивающейся «тачанки» The Standoff находятся в опытных руках Positive Technologies, а само по себе мероприятие – это почти то же самое, что и «масштабное хакерское соревнование, проведённое в ходе PHDays 2018» и «высокотехнологичный ночной клуб, воссозданный устроителями PHDays 2019». Только в прошлые годы слово The Standoff отходило на второй план, уступая первое место бренду PHDays.

Но SARS-CoV-2 вывел бренд TheStandoff в группу лидеров в короткой череде действительно масштабных дистанционных мероприятий в сфере ИБ. Шесть дней в режиме нон-стоп 29 команд redteam атаковали цифровой город, защищаемый шестью командами blue team. Среди объектов – транспортная инфраструктура (аэропорт, морской порт, железнодорожный узел), ТЭК (нефтяное месторождение, газораспределительная станция, нефтепереработка), банк и деловой центр, рекламно-информационная инфраструктура города, парк развлечений.

Конференция «при TheStandoff» тоже получилась впечатляющей: более 70 докладов и круглых столов, свыше 20 тыс. посещений.

С ПОПРАВКОЙ НА РЕАЛЬНОСТЬ

Продвинутые зрители следили за киберсражением, используя профессиональный инструментарий PositiveTechnologies и Cisco. Простые обыватели полагались на отчёты пресс-службы и видеотрансляции бесед с экспертами и участниками событий.

Учитывая, что участники спали мало, нерегулярно питались и не всегда были выбриты, данные пострелизов и устные заявления в режиме реального времени частенько расходились в деталях (реализованы по одним источникам 24 риска, по другим 29, деньги из взломанного банка по одним источникам выведены, по другим нет), но всегда верно отражали картину в целом. И картина эта была такой же живой и многомерной, как и само мероприятие. Соответственно, разные трактовки имели полное право на существование.

НЕКОТОРЫЕ ИТОГИ

К концу шестидневной битвы были выведены из строя системы аэропорта, парка развлечений, газораспределительной станции, нефтедобывающей компании и электростанции. Потери понесли банк и деловой центр. Под управление атакующих попали рекламные экраны.

Плачевные результаты?

Результаты такие, какие и должны быть при нынешнем состоянии ИТ-технологий и квалификации персонала, строящего и обслуживающего КИИ. Организаторы заложили в инфраструктуру города около 60 уникальных рисков, атакующие «реализовали» около половины этих рисков, причём – любопытный и неожиданный факт – два из «реализованных» не входили в число, изначально заложенных организаторами.

Так хороший результат или плохой?

Дмитрий Серебренников, директор по анализу защищённости Positive Technologies, в своём комментарии заявил, что в этом году уровень атакующих заметно вырос. «Мы не ожидали, что половина рисков будет реализована».

Против атакующих выстояли лишь морской порт и железная дорога. Банк и «нефтянка» подверглись нападению в первые же часы, сила атак не ослабевала постоянно. И хотя поначалу проникшие довольно быстро были изгнаны из банка, в конце концов пали и финансовая инфраструктура, и КИИ нефтегазового комплекса.

Такая тактика оправдана?

Вполне возможно, такой ход событий был спровоцирован методикой оценки результатов и стереотипами современного мышления, для которого финансы и «Газпром» являются олицетворением экономики. С практической же точки зрения, если сразу остановить транспорт, то и нефтедобыча, и нефтепереработка встанут сами по себе. И это следует учитывать и при оценке реальных рисков, и при разработке тактики кибервойны.

«КОММУНИЦИРУЕМ, ОБЩАЕМСЯ, ЛОМАЕМ»

Уже упомянутый Дмитрий Серебренников и Алексей Новиков, директор экспертного центра безопасности Positive Technologies, при подведении первых итогов отмечали, что они с интересом изучали новинки инструментария атакующих, техники и тактики атак команд, продемонстрировавших в этом году резко возросшие возможности проникновения. Среди оригинальных решений защитников Алексей Новиков отметил приём, при котором одна из команд защитников специально открыла пару серверов для атакующих и далее с интересом наблюдала за топтанием red-team-слонов в посудной лавке.

О бесценности вновь обретённого опыта упоминали и многие участники команд. Антон Куранда, технический директор RBK.money, компании, предоставившей свою финансовую платформу для оснащения киберполигона, высоко оценил возможность обкатки платформы в ходе киберучений и выразил желание продолжить сотрудничество с организаторами The Standoff.

«Коммуницируем, общаемся, ломаем», – так охарактеризовал три источника, три составные части пользы от участия в The Standoff лидер одной из команд-победительниц.

Уместно заметить (без каких-либо комментариев), что победные места по условиям The Standoff присваивались только командам атаки – по совокупному числу баллов, которые им присуждали за реализацию бизнес-рисков, отчёты «по внутренней багбаунти» и некоторые другие успехи.

Среди команд защиты победители не выделялись, однако вёлся рейтинг команд, учитывающий разные показатели: число проведённых расследований, доступность инфраструктуры, скорость расследования.

МУЗЫ НЕ МОЛЧАЛИ

Уместно вспомнить, что The Standoff 2020 – это не только битва в киберпространстве, но и конференция. И если бы в этой части мероприятия также были предусмотрены призы, возможно, награду за оригинальность темы получил бы Роберт Селл, президент компании Trace Labs. Он рассказал, как хакеры трудятся над получением физического доступа к оборудованию. А также о том, как преступники проводят разведку, что делают в ходе тестовых попыток проникновения (включая приготовление объяснений на случай поимки), а для наглядности представил подробное описание инструментов для физического взлома замков и способов сокрытия их в здании до момента использования.

Что касается основной части докладов и дискуссий, то классифицировать их можно вполне традиционно – (1) визионерство, (2) новости (breaking & hot) и (3) сообщения о планомерно развиваемых исследованиях.

В этой связи уместно отметить, что искусственный интеллект плавно перетёк в разряд (3) и теперь его возможности оцениваются профессионалами более чем трезво и достаточно рутинно применяются для фильтрации спама, пассивного анализа трафика, сбора информации, подбора паролей и т. д.

В разделе (2) запомнились обсуждения «фальшивой биометрии». Создание «синтетических» личностей становится всё проще, а борьба с ними – сложнее. Что, впрочем, не мешает экспертам выявлять ограничения технологий подмены и синтеза биометрических данных и предлагать их для обнаружения фактов компрометации биометрии. Этой теме был посвящён, в частности, доклад учёных из компании BBVA Next Technologies.

«Безопасное программирование», проверка качества кода – это пример сквозной, планомерно развиваемой темы в ИБ, как и использование Open Source-инструментария. Денис Макрушин из Huawei поделился опытом своей компании и рассказал, в частности, о SonarQube – платформе с открытым исходным кодом для анализа качества и защищённости программного кода. Сергей Горохов, архитектор решений компании EPAM, рассказал о важности тесного взаимодействия подразделений AppSec и Security Testing.

ДО НОВЫХ ВСТРЕЧ

В ближайших планах организаторов The Standoff – глубокий анализ данных, собранных на поле битвы. В планах на перспективу – организация новых учений. В инфраструктуру полигона могут быть добавлены медицинские учреждения и системы спутниковой связи. Рассматриваются возможности увеличения числа команд обороняющихся и доведение их количества до той цифры, что характеризует атакующую сторону. Изюминкой новой битвы может стать разрешение командам blue team атаковать «красных».

А мы будем следить ещё и за анонсами PHDays. Как уживутся два медведя в одной берлоге?