Системная безопасность

Неделя без доставки
26 мая 2024 года у СДЭК перестали работать сайт, приложение и обработка посылок. Пункты выдачи остановились на три дня. Приём отправлений возобновился 1 июня, к штатной работе компания вернулась 3 июня.
Компания назвала это масштабным техническим сбоем. Хакерская группировка заявила, что зашифровала системы и уничтожила резервные копии. Компания это не подтверждала.
Что было внутри, мы не знаем. Но случай ставит вопрос перед любой компанией: сколько дней вы можете простоять - и знаете ли вы это заранее, а не в день сбоя?
Разбор: что подтверждено, что нет и какие выводы можно сделать честно → https://thesystemsecurity.ru/razbory/sdek-2024/

Как продолжать работу, когда ИТ лежит → https://thesystemsecurity.ru/posobiya/kogda-it-lezhit/

Видеоконференция, где все, кроме вас, - подделка

Январь 2024 года. Сотрудник гонконгского офиса Arup получает сообщение от «финансового директора» о секретной сделке. Он сомневается и решает проверить на видеозвонке. На звонке «финдиректор» и «коллеги». По данным полиции, все они были подделками, собранными из открытых видео и аудио.

Итог: 15 переводов, около 25 млн долларов.

Сомнение было правильным. Ошибка в том, где его проверяли: внутри канала, который предложили мошенники.

Проверьте у себя: откуда ваш бухгалтер возьмёт номер, чтобы перезвонить «директору»? Если из того же письма - проверки нет.

Разбор: что сработало, что нет и как должно быть устроено → https://thesystemsecurity.ru/razbory/arup-2024/

Здесь мы писали, что безопасность - это не набор мер, а система: предотвратить, защитить, обнаружить, отреагировать, восстановиться. Теперь у канала есть сайт - база знаний, где каждая тема разобрана полностью.

thesystemsecurity.ru

Что там:

24 пособия: как устроить платежи, доступы, работу с подрядчиками, обновления и ИИ так, чтобы ошибка одного человека не превращалась в потерю денег, данных или работы компании;
9 разборов реальных случаев: СДЭК, «Аэрофлот», фирма-клон, дошедшая до Верховного суда;
20 инструментов: шаблоны в Word и Excel, которые можно взять и заполнить;
самооценка для руководителя: 30 вопросов, около 7 минут, без регистрации. В конце - индекс, слабое звено и три первых шага.

В канале - поводы и короткие тезисы. На сайте - полный ответ.

С чего начать → https://thesystemsecurity.ru/samoocenka/

Как устроен метод → https://thesystemsecurity.ru/metod/

● Что делать, если угроза уже находится в кабине пилотов?

30 сентября на рейсе Flydubai Дубай - Тель-Авив произошёл серьёзный инцидент: в кабине экипажа возник конфликт, самолёт пришлось взять под контроль и экстренно посадить в Саудовской Аравии. Причины и мотивы пока официально расследуются, в том числе проверяется версия о возможной связи с террористической деятельностью.

■ Этот случай интересен с точки зрения внутренней угрозы.

Авиационная безопасность традиционно хорошо защищает кабину пилотов от посторонних. Но сложнее сценарий, когда источником опасности становится человек, который уже имеет законный доступ к управлению самолётом.

Поэтому одной проверки пилота при приёме на работу недостаточно.

Для таких критических профессий необходима система: проверка кандидата и его профессиональной истории, психологическая оценка, постоянная оценка пригодности к работе, возможность сообщать о тревожных изменениях в поведении коллег и понятные процедуры действий экипажа при нестандартной ситуации. Например, европейские авиационные правила уже предусматривают психологическую оценку пилотов и программы их поддержки.

Но главное при проектировании безопасности нужно моделировать не только внешнего нарушителя.

Модель внутреннего нарушителя должна учитывать, что сотрудник с законными полномочиями и доступом тоже может стать источником угрозы умышленно, под воздействием других лиц или вследствие резкого изменения своего состояния.

Отсюда и практические вопросы после подобных инцидентов: достаточно ли проверок персонала, какие признаки должны замечать коллеги, как действовать при нападении одного члена экипажа на другого и как устроить аварийный доступ в кабину, не ослабляя её защиту от внешнего захвата.

▲ Чем критичнее полномочия сотрудника, тем опаснее строить защиту на предположении, что человек, прошедший проверку однажды, всегда останется надёжным.

● Почему мошенники придумали дефицит вакцин?

Россиянам начали рассылать сообщения якобы от поликлиник и «Госуслуг» с предложением записаться на вакцинацию от гриппа.

В сообщениях предупреждают о нехватке вакцин и свободных мест, но предлагают решение: пройти вакцинацию без очереди или заранее забронировать импортный препарат.

Для этого нужно перейти по ссылке.

Ссылка ведёт на поддельный сайт, внешне похожий на «Госуслуги», где запрашивают логин, пароль и код подтверждения.

■ Здесь интересен сам механизм мошенничества.

Сначала человеку создают проблему — скоро вакцины закончатся, свободных мест не будет.

Затем предлагают решение, которое якобы доступно прямо сейчас.

В результате человек переходит по ссылке не потому, что хочет сообщить мошенникам свои данные, а потому, что пытается решить вполне обычную задачу — записаться на прививку.

При этом оформление сайта, похожее на государственный портал, создаёт дополнительное доверие.

Но цель мошенников — не вакцинация. Им нужен доступ к учётной записи, содержащей персональные данные и связанной с другими цифровыми сервисами.

Что делать?

Не пытаться определить подлинность сообщения только по его оформлению или имени отправителя.

Если предложение заинтересовало, самостоятельно откройте официальное приложение «Госуслуги» либо свяжитесь с поликлиникой по известному номеру.

Если уже ввели пароль и код на подозрительном сайте — необходимо немедленно восстановить контроль над аккаунтом.

▲ Мошенники могут придумать любой повод: вакцинация, медицинское обследование, запись к врачу или получение льготы. Но если для решения вопроса вас направляют по присланной ссылке и просят авторизоваться, сначала проверьте предложение через независимый официальный канал.

● Почему NDA не защищает секреты?

Перед важными переговорами компании часто подписывают NDA - соглашение о неразглашении информации.

Документ подписан. Кажется, теперь можно спокойно отправлять презентации, финансовые модели, клиентские базы и техническую документацию.

Не совсем.

■ NDA прежде всего устанавливает обязанность: полученную информацию нельзя раскрывать или использовать вопреки условиям соглашения.

Но сам документ не мешает человеку скачать файл, переслать его на личную почту, скопировать в облако или показать другому сотруднику.

Более того, в России одного NDA недостаточно, чтобы автоматически создать полноценный режим коммерческой тайны.

Компания должна сама определить, что именно она защищает, ограничить доступ, установить правила обращения с такой информацией и понимать, кто её получил.

И здесь хорошо видна разница между юридическим документом и системой безопасности.

Можно подписать очень строгий NDA, а затем отправить конфиденциальный файл двадцати людям обычным письмом без ограничений доступа.

А можно заранее определить круг получателей, выдавать доступ только необходимым сотрудникам, фиксировать передачу документов и закрывать доступ после завершения проекта.

NDA в такой системе нужен. Если информация всё-таки утечёт, он помогает определить обязанности сторон и ответственность.

Но предотвращает утечку не подпись под соглашением.

▲ Если компания подписывает NDA, но не может ответить, что именно защищается, кто имеет к этому доступ и как контролируется передача информации, то значительная часть защиты существует только на бумаге.

● Зачем государству высокая явка на выборах?

Перед выборами государство обычно активно напоминает гражданам о голосовании: реклама, сообщения, информирование, обход квартир, обращения публичных лиц.
Возникает вопрос: если выборы состоятся в любом случае, зачем так важно, сколько людей придёт?

■ Потому что для политической системы значение имеет не только результат выборов, но и участие в самой процедуре.

Высокая явка позволяет говорить о более широком участии граждан в принятии решения.

Она делает результат более репрезентативным и может усиливать воспринимаемый общественный мандат избранной власти.

Но здесь важно не перепутать разные вещи.
Высокая явка сама по себе не означает, что граждане доверяют власти, поддерживают победителя или считают процедуру справедливой. Люди могут приходить голосовать совершенно по разным причинам.

Поэтому явка это скорее один из показателей состояния политической системы.

Для государства она даёт ещё кое-что: информацию.
Какие группы населения участвуют? Где активность выше или ниже? Какие территории голосуют иначе? Насколько граждане вообще готовы пользоваться существующими политическими институтами?
С этой точки зрения выборы выполняют не только функцию выбора представителей, но и функцию обратной связи между государством и обществом.

▲ Поэтому политической системе важно не только получить результат выборов. Ей важно, чтобы значительная часть общества вообще приняла участие в механизме, с помощью которого этот результат формируется.

● Перевод от судебных приставов и счёт заблокирован. Где ошиблась система?

Интересная история произошла с московским предпринимателем.
На его счёт поступило чуть больше 500 тысяч рублей. Деньги взыскали судебные приставы с должника по исполнительному листу - долг существовал почти десять лет.
Платёж пришёл через Управление Федерального казначейства, в назначении были указаны должник и исполнительное производство.
После поступления денег банк ограничил операции по счёту по 115-ФЗ. Предприниматель представил подтверждающие документы, но восстановление работы счёта заняло около недели. BFM.ru

■ Здесь интересен сам механизм.

Банки действительно обязаны искать подозрительные операции. Для этого используются автоматические модели, профиль клиента, история его операций и признаки необычного поведения.
Поэтому редкое поступление крупной суммы вполне может привлечь внимание системы.

Но необычная операция и незаконная операция это не одно и то же.

Действующие правила Банка России предусматривают, что подозрение должно оцениваться с учётом всей доступной информации: кто клиент, чем занимается, откуда пришли деньги, каков экономический смысл операции. Для клиентов низкого риска одного формального признака необычности вообще недостаточно.

И вот здесь возникает интересная проблема безопасности.

Автоматическая система хорошо умеет быстро заметить отклонение:
«раньше таких поступлений не было - надо проверить».

Но контекст оказывается значительно сложнее:
суд → исполнительный лист → ФССП → казначейство → возврат старого долга.

Чтобы разобраться в нём, уже нужен человек.
В результате подозрение возникает почти мгновенно, а доказательство того, что операция нормальная, занимает несколько дней.
При этом для банка ошибка в одну сторону - пропустить действительно подозрительную операцию несёт регуляторный риск. А ошибка в другую сторону может оставить добросовестный бизнес без нормально работающего счёта.
Поэтому вопрос не в том, нужно ли банкам контролировать необычные операции. Конечно, нужно.

Вопрос в другом: насколько точно система умеет отличать сигнал для дополнительной проверки от основания остановить работу клиента.

▲ Если перевод от ФССП с исполнительным производством способен на неделю остановить операции предпринимателя, значит система хорошо научилась обнаруживать отклонения, но её механизм проверки контекста пока работает значительно медленнее.

● Флешмоб или сигнал?

В Вологде произошёл интересный с точки зрения безопасности инцидент. Группа из 31 подростка в возрасте от 9 до 16 лет одновременно похитила продукты из супермаркета и скрылась.

По предварительной версии, дети собрались через группу в соцсети, чтобы погулять по городу, а идея с хищением возникла уже на месте. Среди задержанных оказался администратор этой группы.

■ На первый взгляд это обычное подростковое хулиганство.

Но для системной безопасности важен другой вопрос!

Действительно ли решение возникло спонтанно?

Когда несколько десятков несовершеннолетних собираются через онлайн-сообщество и совершают групповое правонарушение, важно понять механизм его возникновения.

Кто предложил идею? Как быстро остальные её поддержали? Был ли лидер? Возникали ли подобные предложения раньше? Есть ли внешние участники, которые направляют активность группы?

Именно поэтому в подобных случаях важнее не пытаться строить защиту магазинов от каждого нового «флешмоба», а работать с причиной.

Если это действительно случайная подростковая выходка, то, конечно, профилактической работы может быть достаточно.

▲ Если же за группой обнаружится человек или сообщество, которое сознательно проверяет способность подростков выполнять определённые действия, ситуация выглядит уже иначе. Сегодня это шоколадки из магазина, завтра задание может оказаться значительно серьёзнее.

● Нужно ли замедлять развитие искусственного интеллекта?

Глава Anthropic Дарио Амодеи призвал замедлить развитие наиболее мощных ИИ-систем.

Возможности моделей растут быстрее, чем способность разработчиков понимать и контролировать их поведение.

Два риска!

Первый - ИИ всё активнее участвует в создании следующего поколения ИИ, что может ещё сильнее ускорить развитие технологии.

Второй - автономные ИИ-агенты уже способны выполнять сложные действия в цифровой среде. После недавнего инцидента, в котором группа агентов вышла за рамки поставленной задачи и атаковала внешние системы, возможно такое, что более мощные системы через 6–12 месяцев потенциально смогут проводить атаки совсем другого масштаба.

Глава Anthropic предлагает допустить независимых экспертов к работе ведущих ИИ-компаний, согласовать общие правила между разработчиками и в перспективе добиться международной координации.

■ Риски действительно существуют. Причём уже не только теоретические.

Но здесь есть более широкая проблема.

Практически любая мощная технология становится опасной, когда используется для военного, политического, экономического превосходства, мошенничества или получения других преимуществ.

У ИИ есть еще один риск - это автономность и непредсказуемость сложных систем.

Все равно не представляю как это можно замедлить такое развитие… Все знают, что сейчас идет огромная конкуренция США и Китая в этой сфере.

Если одни государства ограничивают разработку, а другие продолжают её ускорять, преимущество получает тот, кто ограничений не соблюдает.

▲ Поэтому вопрос безопасности ИИ всё больше становится вопросом не самой технологии, а правил её применения и мирового порядка, в котором она развивается.