1 мая, в День труда, ожидается введе­ние в действие новых версий стандар­тов СТО БР РФ 1.0/1.2. Скорее всего, при выборе даты никто ничего не под­разумевал, но введение нового стан­дарта безопасности в День труда как бы намекает...

Новая версия стандартов учитывает последние изменения в требованиях по обеспечению защиты персональных данных, в частности Постановления Правительства № 1119 и 21-го Приказа ФСТЭК. Учтены требования Положения ЦБ РФ № 382-П от 09.06.2012 о требова­ниях к обеспечению защиты информа­ции при осуществлении переводов денежных средств. Ожидается, что этот бесспорно на данный момент лучший в России стандарт безопасности будет развиваться и дальше. Но все ли дыры безопасности будут закрыты новыми версиями руководящих документов? Однозначно нет.

Поступательное развитие, постоянное добавление новых методов защиты, чет­кие формулировки с одной стороны и не­уменьшающееся количество вредоносных программ в сетях компаний и организа­ций с другой. Почему компании, прошед­шие аттестацию по лучшим стандартам, на практике остаются беззащитными? В рамках одной статьи невозможно на­звать все причины, которых на самом деле множество, поэтому рассмотрим только одну угрозу, вызывающую активный ин­терес СМИ, - заражение вредоносными программами или вирусами.

Действующие редакции СТО БР РФ 1.0/1.2 и Приказа ФСТЭК России № 21 -это действительно достаточно совершен­ные акты. Что и как они рекомендуют защищать?

Давайте рассмотрим, что подразуме­вают руководящие документы под защи­щаемыми объектами. Тщательный ана­лиз требований показывает: от внимания регуляторов ускользнул целый ряд систем и процессов. Отсутствуют рекомендации по защите встраиваемых систем (бан­коматов и терминалов), нет требований по защите мобильных платежей, защите информации, передаваемой по беспровод­ным сетям, защите от мошенничества при бесконтактной передаче данных (в част­ности, по протоколу NFS; случаи списа­ния средств мошенниками уже известны). И это далеко не полный список.

Может быть, во всех вышеперечис­ленных случаях угрозы надуманны и существуют только в пресс-релизах раз­работчиков средств защиты?

Для примера начнем с банкоматов. Встраиваемые устройства работают в особом режиме - они должны функци­онировать (как и автоматизированные системы управления технологическими процессами) безотказно и непрерывно в режиме 24 часа 7 дней в неделю. Тре­бование непрерывной работы приводит к тому, что устройства не могут перезагру­жаться в случае прихода того или иного обновления, требующего перезагрузки. А поскольку заранее неизвестно, какое обновление потребует перезагрузки и как оно повлияет на работу удаленного устройства, то зачастую обновления не устанавливаются. Сейчас много говорят о том, что в связи с прекращением под­держки Windows XP, банкоматы на осно­ве этой ОС останутся работать с обнару­женными и незакрытыми уязвимостями. Но, положа руку на сердце, всегда ли на таких банкоматах в ходе регламентов прописывалось применение всех обнов­лений безопасности?

В результате устройства со всеми найденными от момента создания ОС уязвимостями оказываются идеальной целью для киберпреступников. По сути, хакеров сдерживает только одно - слож­ность внедрения вредоносных программ. На данный момент, если не считать про­никновения из внутренних сетей органи­зации, наиболее часто сети банкоматов заражаются через сменные устройства обслуживающего персонала. Но в этом случае на устройства попадают вредонос­ные программы общего назначения, не рассчитанные на хищения именно с бан­коматов. Максимум, что может произой­ти при таком заражении, - синий экран или шифрование информации с выво­дом на экран требования о выкупе. Это неприятно, грозит потерей репутации, распространением фотографий по всему Интернету, но хотя бы не ведет к пря­мым потерям денежных средств. Целе­направленные атаки тоже возможны, но для них необходим универсальный ключ для вскрытия банкоматов и доступ к кон­кретным устройствам для их заражения. Возможность заражения путем нештат­ного использования устройств (например, выхода с них в сеть Интернет) можно не учитывать - это решается организацион­ными методами.

Тем не менее, несмотря на явную сложность процедуры заражения, воз­можность получения доступа к боль­шому числу финансовых операций невероятно привлекательна для зло­умышленников. В связи со вступлением в силу Федерального закона № 161-ФЗ от 27.06.2011 «О национальной платеж­ной системе» финансовые организации все чаще используют фрод-системы, от­слеживающие характеристики платежей клиентов. В этих условиях затеряться среди переводов с банкомата или терми­нала гораздо проще, чем среди прогнози­руемых финансовых операций отдель­ных компаний. Итог предсказуем: менее чем за полмесяца этого года появились два новых троянца для банкоматов.

Trojan.Skimer.19 (рис. 1) перехва­тывает нажатия клавиш EPP (Encrypted Pin Pad) в ожидании специальной ком­бинации, с использованием которой троянец активируется и может выпол­нить введенную злоумышленником на клавиатуре команду, например вывести на дисплей банкомата окно со сводной статистикой (количество выполненных транзакций, уникальных карт, перехва­ченных ключей и т.д.).

Trojan.PWS.OSMP.21 (рис. 2) рас­пространяется в виде динамической библиотеки, которая проникает в терми­нал с использованием инфицированного флеш-накопителя и прописывает себя в отвечающую за автозагрузку ветвь систем­ного реестра Windows под именем Taskbar.

Мало? Рядом с сотнями тысяч еже­дневно появляющихся вредоносных про­грамм для десктопов - безусловно. Но по сравнению с количеством обнаружива­емых целевых атак (а это именно целе­вая атака) два троянца за такой корот­кий срок - это много. К тому же угрозы нарастают очень быстро: за всю историю противоборства антивирусов и хакеров было обнаружено всего несколько специ­ализированных программ такого рода.

Но вернемся к стандартам. Что они предлагают в качестве мер противодей­ствия? «Реализация антивирусной защи­ты должна предусматривать <...> приме­нение средств антивирусной защиты».

Основная проблема названных руко­водящих документов - отсутствие глос­сария, дающего определение антивируса и описывающего, что он может и чего не может. Распространено мнение о том, что антивирус должен и обязан обнару­живать все вредоносные программы в момент попытки проникновения. Такое общее преставление выгодно исключи­тельно злоумышленникам.

Дело в том, что наиболее опасные вредоносные программы (и тем более программы для целевых атак) разраба­тываются отнюдь не злобными гениями-одиночками, сидящими в темной комна­те в окружении взломанных устройств и упаковок от пиццы. Это высокодоходный бизнес, организованный по всем прави­лам (с разработчиками, руководством, партнерской программой и пр.). При таком подходе новейшие угрозы тести­руются на актуальных версиях средств защиты, используемых в атакуемой целе­вой группе, и не выпускаются в свет, пока обнаруживаются ими. Много ли вредо­носных программ можно создать при таком подходе? Группировка, ответствен­ная за Carberp (кстати, тоже нацеленный на хищение денежных средств - только через ДБО), выпускала около ста вредо­носных программ в день! И они не обна­руживались в момент проникновения ни одним антивирусом.

Получается, что роль антивируса со­стоит не только в предотвращении про­никновения, но и в обнаружении и уда­лении ранее неизвестных вредоносных программ. Система антивирусной защи­ты должна включать не только антиви­рус, но и как минимум систему ограни­чения прав и контроля за изменениями. Но только антивирус может лечить ак­тивные заражения.

Исчерпываются ли описанными труд­ностями проблемы защиты банкоматов? К сожалению, нет.

Выше уже говорилось о том, что особенностью работы встраиваемых устройств является невозможность их перезагрузки. Обновления вирусных баз действительно не требуют перезагрузки, но их назначение - опознание пойман­ного. Для того чтобы опознать, нужно поймать. Для перехвата нужны драйверы. И обновления компонентов, затрагива­ющих драйверы, вполне могут быть кри­тичными для обнаружения нового типа вредоносных программ.

Получается, что вполне возможна ситуация, когда антивирус мог бы проти­водействовать новой угрозе, но не сможет сделать это из-за того, что обновления не установлены. Можно ли этому противо­действовать? Можно, но необходимо изменить сам подход к защите. Наиболее частым источником заражения становится обслуживающий персонал, в нарушение всех инструкций использующий в соб­ственных целях сменные носители, пред­назначенные для работы с банкоматами. Поэтому если невозможно обеспечить полную защиту от всех известных угроз на уровне устройства, нужно защитить среду, в которой оно находится, то есть устано­вить (и поддерживать актуальность) сред­ства защиты во внутреннюю сеть компа­нии (если из нее есть доступ в сеть банко­матов), на личные устройства и домашние компьютеры обслуживающего персонала.

При этом, как и в случае защиты самого устройства, желательно не оста­навливаться только на установке анти­вируса, нужно использовать средства,

ограничивающие возможность установ­ки и запуска неизвестных программ, так называемый офисный контроль.

Несмотря на актуальность угрозы, единственным средством защиты встра­иваемых устройств на данный момент является Dr.Web ATM Shield.

Почему так получилось? Во-первых, это традиционная для решений компа­нии «Доктор Веб» возможность работы на слабых конфигурациях устройств. Для работы системы защиты вполне достаточ­но 512 Мб оперативной памяти - именно столько (и не более) сейчас имеют типич­ные банкоматы. Более того, новая версия Dr.Web ATM Shield специально разрабо­тана для защиты слабых компьютеров -работа системы защиты не должна влиять на функционирование используемого на устройстве ПО.

Во вторых, продукты Dr.Web действи­тельно позволяют перекрыть вредонос­ным программам все пути проникновения. Установка средств защиты возможна не только на банкоматах. Центр управле­ния позволяет контролировать состояние антивирусной защиты любых компьюте­ров и устройств, в том числе мобильных устройств и домашних компьютеров со­трудников компании. Администраторы компании, использующей Dr.Web ATM Shield, не ограничены в путях установки средств защиты: установка возможна с по­мощью Active Directory, утилита инсталля­ции, специально формируемых дистрибу­тивов - и это еще не весь список.

Dr.Web ATM Shield - это не только антивирус, он включает в себя средства, существенно ограничивающие возмож­ности вольных или невольных злоумыш­ленников. Кроме файлового монитора, обеспечивающего невозможность запу­ска известных вредоносных программ, и антируткита, обнаруживающего ранее не­известные угрозы, в состав Dr.Web ATM Shield включены средства офисного кон­троля. Ограничение возможности работы с локальными каталогами и ресурсами Интернета не позволяет вредоносной про­грамме передать данные своему хозяину или подключиться к управляющему цен­тру. Запрет использования сменных носи­телей исключает внедрение с неизвестных сменных устройств. Система контроля интернет-трафика обеспечивает выход в сеть только разрешенных программ и по разрешенным портам. При этом настрой­ки безопасности по умолчанию не могут быть изменены локально - политики безопасности обеспечиваются наличием средств централизованного управления.

Приобретая Dr.Web ATM Shield, кли­енты получают не только программный продукт. Поддержка подразумевает кон­сультации по оптимальной настройке си­стемы защиты, тестирование имеющихся конфигураций и многое другое. Напом­ним, Windows Embedded, который также поддерживается Dr.Web ATM Shield, от­личается от обычных десктопных опера­ционных систем тем, что данные ОС могут быть сконфигурированы под конкретные встраиваемые устройства. В связи с этим в них могут отсутствовать те или иные ком­поненты операционной системы. По сути, Dr.Web ATM Shield - это гораздо больше, чем просто программный продукт, это ре­шение для решения проблем.