Что лучше - длина или объем или почему спецсимволы в пароле не нужны?

Думаю все мы сталкивались с советами, что для того, чтобы выбираемый пароль был надежным, он должен быть больше 8 символов, содержать не только буквы, но и цифры и спецсимволы, а буквы должны быть в разном регистре. Именно такие советы всегда даются на вопрос, как сделать пароль стойким к подбору. На днях я в своем Telegram-канале провел опрос, в котором задал схожий вопрос и получил очень интересные результаты (на основе 773 голосов). Обратите внимание, длина пароля попала на третье месте среди факторов, которые влияют на надежность пароля, а ведь на самом деле именно длина является самым главным, а на самом деле единственно важным параметром, который и определяет, насколько сложно будет хакерам подобрать ваш пароль.  

Доказательством тому является формула Андерсона. Я не знаю, учат ли сейчас ее в институтах, но в мое время ее преподавали. С помощью нее определяют время подбора пароля, который характеризуется двумя параметрами - длиной (количество символов) и объемом алфавита (количество вариантов символа в каждой позиции пароля). Школьный курс комбинаторики подсказывает нам, что число возможных комбинацией пароля из L символов и объеме (мощности) алфавита A будет равно A^L (A в степени L). В формуле Андерсона также присутствует такой параметр как скорость перебора пароля (V). В итоге мы получаем следующую формулу, которая и показывает время перебора пароля определенной длины и определенной мощности алфавита при заданной скорости. Понятно, что чем, мощнее у нас компьютер или кластер компьютеров, тем быстрее будет производиться перебор (отсюда отличия в картинках, которые можно найти в Интернете и которые показывают сколько лет будут ломать ваш пароль).

Есть и другой вариант этой формулы, в которой P - это вероятность подбора пароля за указанный интервал времени, G - число попыток подбора за 1 такт времени, T -  число тактов времени и A^L - число возможных комбинаций пароля.

И вот вновь нужно вспомнить курс школьной математики, а именно раздел степенных функций, которым и относится формула подсчета числа возможных паролей. Так вот это число растет быстрее, если увеличивать показатель степени (длину пароля), а не основание (мощность алфавита). При увеличении основания значение функции тоже растет, но не так быстро. Отсюда вывод - длина пароля гораздо важнее используемого в нем алфавита, то есть этих ваших спецсимволов, регистров, комбинаций цифр и букв и т.п.

Понятно, что речь не идет о просто длинных словах. Какая-нибудь "электрификация" (14 символов) хоть и длинна, но все-таки это слово присутствует в словарях, которые могут быть использованы при переборе. Слово "метоксихлордиэтиламинометилбутиламиноакридин" (44 символа) я бы тоже не стал использовать, а то кто знает, может у хакеров есть и словари названий химических веществ. Но вот какое-нибудь "модясачепродвшузаиувсезанобовынемо" (34 символа) вполне себе подойдет (немного шучу, но только немного). Запомнить его несложно - это первые два символа из начала "Евгения Онегина" ("Мой дядя самых честных правил..."). На самом деле начало у Онегина другое ("Не мысля гордый свет забавить..."), но "мой вариант" более привычен.

У такого совета (опираться на длину пароля, а не спецсимволы) есть и другое преимущество - нестандартные клавиатуры, на которых приходится искать непонятные символы. Помните в "Падение Олимпа", когда главный герой вводит код отмены запуска баллистических ракет, мучается с тем как ввести "решетку", которую ему назвали среди других символов кода (советник по нацбезопасности вовремя подсказала, что это будет Shift+3)? 

Не пора ли поменять рекомендации по выбору паролей для своих пользователей, облегчив им жизнь?ч

Подробнее…

Математическая оценка читабельности нормативных актов регуляторов

Если мне не изменяет память, то в одном из романов Айзека Азимова из серии про Академию (она же "Фонд", она же "Основание") был фрагмент о том, что речь галактического чиновника прогнали через специальный алгоритм оценки осмысленности речи, чтобы понять, что важного было сказано за всей той канцелярщиной, которой так изобилует речь государевых мужей. И, о, ужас, оказалось, что несмотря на многочасовую речь, уровень ее осмысленности был равен нулю. Я раньше думал, что это такой красивый литературный ход, пока не столкнулся с различными технологиями DLP, синтаксического и семантического анализа, которые позволяли оценивать текст с разных точек зрения. И вот на днях, я наткнулся на интересный проект plainrussian.ru, который позволяет оценивать читабельность текста.

Думаю, мы все понимаем, что чем проще текст, тем легче его читать и, самое главное, понимать. Отсутствие сложных конструкций, деепричастных оборотов, 4-5 существительных подряд и т.п. позволяет не только проще доносить свои мысли и идеи, но и позволяет рассчитывать, что они будут правильно поняты и применены на практике. Как важно следовать этому при состалении различных нормативных и нормативно-правовых актов, которые устанавливают обязательные требования и которые не должны допускать двойных и даже тройных толкований. Понятнее текст - проще его реализация. Вот я и решил попробовать пропустить через проект АНО "Информационная культура" несколько типовых образчика нормативных требований по ИБ, выпущенных из под пера наших регуляторов - ФСТЭК, ФСБ и ЦБ.

Начал я с документа, который всегда вызывал сложность при его изучении. Речь про 382-П от Банка России. А все потому, что почти каждый абзац начинался со одинаковых конструкций "Оператор по переводу денежных средств, оператор услуг информационной инфраструктуры, банковский платежных агент (субагент) должен...". И так почти 40 страниц. К середине уже голова пухла от этих перечислений. Математический анализ тоже показывает, что документ читать очень сложно и для его восприятия требуется наличие второго высшего образования или оконченной аспирантуры :-)

Уровень читабельности 382-П 

У меня нет ни второго высшего, а аспирантуру я так и не закончил. Думаю поэтому мне приходилось читать нормативные акты Банка России по несколько раз. Такой же и один из последних образчиков ЦБшного творчества, 716-П. Он также далек от простоты восприятия (и он даже хуже 382-П по уровню читабельности).

Уровень читабельности 716-П

У ФСТЭК ситуация тоже далека от идеала. Вот так выглядит уровень читабельности приказа №17 с требованиями по защите государственных информационных систем.

Поэтому, когда регулятор утверждает, что его документы понятно написаны и это сами госы виноваты, что ничего не понимают, математика это отрицает. Помню, когда представители ФСБ рассказывали о готовящемся 378-м приказе по защите персональных данных, они упоминали, что этот нормативно-правовый акт прошел не менее 43-й редакций перед тем, как появилась финальная версия. Но такое количество проходов на читабельность повлияло плохо - в сегодняшней подборке это один из худших примеров читабельности текста.

Другие приказы ФСБ недалеко ушли от "лидера". Например, уровень читабельности приказа 196-го по требованиям к средствам ГосСОПКИ выглядит так:

А есть примеры абсолютно читабельного текста? Да, конечно. Например, если прогнать через проект "Простым языком" русскую сказку "Колобок", то уровень ее читабельности будет рассчитан даже на детей 6-8 лет. Понятно, что нормативка врядли будет изучаться учениками 1-3 классов, но как ориентир этот пример неплох. 

Кстати, сказки Владимира Безмалого по ИБ вполне себе в читабельной форме (правда, нормативку в таком виде не опубликуешь): 

Я решил прогнать через сервис ряд своих заметок в блоге :-) К уровню "Колобка" я не приблизился (и это хорошо), но для учеников последних классов школы я вполне читабелен (это анализ заметки про последнюю методику оценки угроз ФСТЭК).

Чуть более "формальный" обзор телемоста с Лютиковым В.С. оказался рассчитанным на студентов начальных курсов ВУЗов и мне кажется, что это именно тот уровень, к которому нужно стремиться в нормативных документах по ИБ (может быть достигая уровня 5-6 курсов ВУЗа). 

Судя по всему, это обычный для моих статей и заметок уровень. Вот, например, так выглядит уровень читабельности для моей статьи по SOCам для BIS Journal:

Читабельность моего раздела по кибербезопасности для учебника CDTO проект "Простым языком" оценил уже на грани. Думаю, что больше усложнять уже не надо, так как рядовым читателем многое будет восприниматься непросто, что приведет к неясности. 

Но чиновники, увы, видимо, не прогоняют свои творения через такого рода проекты (а у "Простым языком" и API свой есть, который можно было бы подцепить к системам подготовки нормативных актов). Вот так, например, выглядит уровень читабельности ФЗ-152:

или ПП-127 о категорировании объектов КИИ (это безусловный лидер сегодняшнего обзора, который не разобрать без ста грамм второго образования):

Но не надо думать, что регуляторы не способны писать читабельные документы. Например, проект ГОСТа по безопасной разработке ПО вполне себе читаем его целевой аудиторией:

Как и утвержденная методика ФСТЭК по оценке угроз (вопрос ее реализуемости оставим в стороне):

Вот такая картина получается. Не то, чтобы в заметке есть какие-то сюрпризы, но если по ее прочтении, регуляторы начнут прогонять проекты своих текстов через нее, было бы неплохо. Все-таки читабельность текстов и в их интересах - меньше критики, меньше вопросов, меньше отвлечения от работы.

А что касается математики, лежащей в основе методики оценки читабельности текста, то она вполне себе развита и широко применяется. Например, формула Флеша-Кинкейда используется при разработке нормативки американского МинОбороны, а также встроена в популярные текстовые редакторы типа MS Word или сервисы типа Grammarly. На сайте проекта упомянуты все используемые формулы, адаптированные к русскому языку.

Подробнее…

Почему ВУЗы не преподают теорию игр специалистам по ИБ?

Я календарь перевернул... в понедельник прошел день знаний и я бы хотел задаться очередным риторическим вопросом относительно нашего образования по ИБ и той странной ситуации, которая сложилось при приеме на работу, когда от соискателя требуют высшего образования по ИБ, но при этом сразу говорят ему, чтобы он забыл все, чему его учили в институте :-) И дело тут не в самой парадоксальной ситуации, сколько в том, что у нас действительно учат не совсем тому, а самое главное, не совсем так, как того требует жизнь. 

Когда я учился на "Прикладной математике", моя специализация по диплому была "Защита информации", но что удивительно, нам не преподавали теорию игр, которая, очень хорошо подходит для преподавания специалистам по ИБ. Сейчас я оставлю в стороне тему бизнес-направленности ИБ - ей очень трудно учить студентов технических специальностей, которые еще даже не знают, пойдут они работать в ИБ или нет. А вот теория игр подойдет, независимо от того, станет ли выпускник безопасником или пойдет искать себя на каком-либо ином поприще. В области же ИБ эта теория может найти свое достойное место, повернув процесс преподавания как от тупого пересказа преподавателями российской нормативки, в которой даже ее авторы уже путаются, так и от рассмотрения устаревших версий средств защиты, которые составляют хорошо если 10% от портфолио, с которым придется иметь дело выпускнику.

ВУЗ готовит специалиста в непонятной для меня парадигме. Либо ты учишь нормативку и твоя задача, выполнять кучу приказов, стандартов, положений и законов, которые выполняют только потому, что это якобы обязательные нормативные акты. Но насколько они нужны бизнесу, насколько они помогают бороться с современными угрозами, совершенно непонятно. Либо студенту рассказывают и показывают скриншоты отечественных средств защиты, которые могут и не отразить те атаки (а может и вовсе не увидеть), которые против них будут реализовывать злоумышленники. Теория же игр позволяет учесть нам многомерность мира современного безопасника и то, что ему приходится выбирать стратегию лавирования между хакерами и регуляторами (как минимум).

По сути речь идет о некооперативной игре с ненулевой суммой, где как минимум 3 игрока - компания, хакеры и регуляторы. Каждая из сторон имеет свою цель и некоторую стратегию, которая ведет либо к выигрышу, либо к проигрышу - в зависимости от поведения других игроков.  Вот эта зависимость от поведения других игроков отличает теорию игр от типичного преподавания ИБ в российских ВУЗах. Теория игр учитывает ресурсы игроков, их поведение и его вариативность, различные цели игроков, а также наличие определенных правил игры. Все это позволяет выстроить (или приблизиться) оптимальную стратегию деятельности своей службы. В более реалистичном примере игроков у нас становится больше - и регулятор у нас обычно не один, и хакерских групп с разной тактикой не одна, и даже сама компания представляет из себя набор разных сил с разными интересами, которые надо учитывать в ИБ, - пользователи, бизнес, ИТ... 

К сожалению, теория игр до недавнего времени не находила своего отражения не только в преподавании ИБ, но и на корпоративном рынке. Ситуация стала меняться только в последнее время, когда в ИБ стали набирать популярность подходы к геймификации, которые можно условно разделить на два основных течения - киберучения и игры. Первое позволяет моделировать различные реальные ситуации, происходящие в жизни, и смотреть, как на них будут реагировать специалисты по ИБ, которым приходится выходить за шоры своих вузовских знаний, которые часто действительно неприменимы в жизни. Я очередные киберучения буду проводить через месяц, в октябре, на Алтайском региональном ИТ-форуме в Барнауле. Второе позволяет в привычной для фанатов компьютерных или настольных игр форме, поучаствовать в кибербаталиях. В феврале я уже писал про пример одной такой игры - "Хакер".

Про игру Касперского я повторяться не буду, покажу еще парочку примеров игр по ИБ, которые основаны на теории игр (я постил их скриншоты в своем Twitter, но решил повторить и в блоге). Начну с решения Project Ares компании Circadence, которое позволяет моделировать различные ситуации и учить специалистов по ИБ реагированию на различные ситуации.

За последний год проект существенно обновился и "вырос" - появились различные варианты подписки - для ВУЗов, для корпоративных пользователей и т.п.

Есть различные сценарии проведения игр с разным числом участников и разными заданиями.

Есть своя система рейтингов и подсчета очков, которая позволяет проводить соревнования между студенческими группами или группами специалистов по ИБ в рамках одной компании или группы компаний.

Есть в Project Ares и развлекательные компоненты, например, "пасьянс "Косынка" на тему ИБ:

или аналог "Своей игры":

или аналог "Змейки":

Стоит отметить, что несмотря на игровой формат, Project Ares - это не обычная компьютерная игрушка. Это целая платформа для обучения специалистов по ИБ, использующая разные техники, вплоть до искусственного интеллекта, подстраивающегося под манеру каждого игрока и меняющего задания на ходу.

Но стали появляться и компьютерные игры, доступные каждому желающему. Например, на игровой платформе Steam скоро выпустят игру ThreatGEN: Red vs Blue, которая позволит множеству игроков попробовать себя в роли хакеров или защитников, не ломая реальные сети и системы, но оттачивая свои стратегические и тактические навыки, которые можно будет применять в реальной жизни (конечно, с оговорками). 

У этой игры будет несколько версий:

• Red vs Blue. Игра для всех желающих на платформе Steam.
• Red vs Blue Corporate. Настраиваемые сценарии игр для корпоративных тренингов.
• Red vs Blue CTF. Соревнования команд.
• Red vs Blue Tabletop. Игра для проведения штабных киберучений.
• Red vs Blue Instructor Led Training.

Несмотря на громкое название заметки, я не ставил перед собой цель написать учебник или пособие по теории игр для кибербезопасника (все-таки я учил эту дисциплину в качестве факультатива, для себя лично, уже после окончания ВУЗа, и не могу сказать, что я в ней специалист). Скорее мне хотелось показать, что сегодня, в условиях непрерывно меняющихся технологий, атак, нормативки, и постоянно устаревающих знаний, подходы к обучению (в том числе и корпоративному) должны меняться. И геймификация, построенная на теории игр, является одним из инструментов решения этой задачи.

Подробнее…

Искусственный интеллект в ИБ (презентация)

Выкладываю свою презентацию про машинное обучение в ИБ, которую я читал вчера на Магнитогорском форуме по банковской ИБ. Время было немного - всего 30 минут, поэтому пришлось сильно ужимать имеющийся материал, чтобы хотя бы основы рассказать и дать некоторые практические советы и тем, кому впаривают решения с машинным обучением, и тем, кто решил у себя сделать свою систему на базе той или иной модели машинного обучения.

Машинное обучение в кибербезопасности from Aleksey Lukatskiy

Подробнее…

Занимательная нумерология ИБ или как манипулировать статистикой

В курсе по измерению ИБ есть у меня раздел, который называется "Как врать с помощью цифр ИБ", название которого является аллюзией на известное высказывание Дизраэли, популяризованное Марком Твеном "Есть три вида лжи: ложь, наглая ложь и статистика". В этом разделе я привожу несколько манипуляций, которые позволяют сформировать определенное мнение относительно демонстрируемых цифр, имеющих отношение к ИБ.

Один из примеров касается понятия "среднеестатистическое". Большинство под этим термином понимает "среднее арифметическое", которым многие ИБ-компании и консультанты манипулируют. Например, вы встречаете в каком-нибудь отчете тезис, что средняя сумма инцидента ИБ составляет 11 миллионов рублей (цифра взята с потолка). Авторы отчета умалчивают, что они имели ввиду под средним, но чаще всего они, недолго думают, просто делят сумму по всем инцидентам на число инцидентов. Является ли это действительно средним? Увы. В данной ситуации средним должна быть медиана - именно она наиболее точно показывает среднестатическую компанию. Давайте проиллюстрирую. Представим, что у нас 10 компаний сообщили об инцидентах ИБ. У 9 компаний размер ущерба составил 1 миллион рублей, а у десятой - 100 миллионов рублей. Среднее арифметическое будет равно 10.9 миллионам, а вот медиана - одному миллиону. И именно медиана отражает реальную картину с размером ущерба (только если у всех ущерб одинаковый, то медиана будет равна среднему арифметическому).

Другой пример "манипуляции" (цифры-то все верные), изменение размерности графика. На примере ниже показан именно такой случай. Достаточно всего лишь изменить размер по оси ординат (Y) и у вас сразу меняется отношение к цифрам - вы начинаете думать, что у вас колоссальный рост атак произошел за месяц, хотя на самом деле это не так.

К чему этот экскурс в забавную нумерологию ИБ? Просто я посмотрел пресс-конференцию замдиректора НКЦКИ г-на Мурашова, который рассказал о 4 с лишним миллиардах кибератак, направленных против Российской Федерации. Так как меня всегда смущало определение, которое используется ФСБ применительно к "атаке" и "инциденту", то я просто решил визуализировать цифры из интервью официальных лиц, которые звучат последние несколько лет. Господа Патрушев, Бортников, Путин и Мурашов каждый год (исключая 2017-й) озвучивали число атак, направленных против России. Выглядит это вот таким образом:

Отмечу, что тут нет "среднего". И размерностью никто не играл. И дело даже не в трактовке термина "атака" (вон, Лаборатория Касперского под атакой понимает просто срабатывание своего средства защиты). Тут иная манипуляция. При сравнении чего бы-то ни было с течение времени очень важно соблюсти неизменность объекта измерения. Было у меня 100 компьютеров, атаки на которые я мониторю. 100 должно быть и дальше. Иначе возникают вопросы. За два года мы видим колоссальный рост числа атак (на 2 порядка). С чем это связано? Стало действительно больше атак? Поменялось определение атаки? Мы стали лучше ловить? Увеличилось число контролируемых объектов? В случае с цифрами НКЦКИ вероятно имеют место все факторы сразу, но хотелось бы (лично мне, я понимаю, что журналистам в целом пофиг, а именно на них и направлены данные цифры) видеть методологию расчета. А то получится как у Лаборатории Касперского - срабатывание антивируса считается атакой. А может я пентест проводил? Или сканер запустил? Это тоже считается атакой?

И последняя манипуляция цифрами. "Ведомости", по отчету Лаборатории Касперского,  напечатали статью, согласно которой хакерским атакам подверглась половина компьютеров российской промышленности. Все в панике и бегут срочно покупать средства защиты информации. Специалисты по ИБ справедливо критикуют эти цифры, которые не отражают действительности. А все дело в грамотном пиаре и нежелании журналистов разбираться в подоплеке цифр. Ведь ЛК прямо пишет, что атакованными она считает только то есть компьютеры, на которых сработали их средства защиты. При этом число таких инсталляций она не сообщает. Что в итоге? Срабатывание 5 миллионов антивирусов на 10 миллионах компьютеров - это половина! Срабатывание 1 антивируса на 2 компьютерах - это тоже половина! Бинго! А в материале "Ведомостей" звучит устрашающе и руководство компаний начинает задумываться о своей безопасности. А после пресс-конференции Мурашова у всех уже не возникает сомнений, что Россия в круге киберврагов и надо усиливать кибербезопасность страны и подключаться к ГосСОПКЕ.

Что в итоге? Есть цифры. И есть умение ими пользоваться и умение их читать. И надо понимать, что у тех, кто показывает цифры есть разные задачи, которые могут отличаться от задач читателей этих цифр. Если, читая разные отчеты, держать это в голове, воспринимать многие цифры будет гораздо проще :-)

Подробнее…

Впечатления от темы искусственного интеллекта и ИБ

К моему удивлению тема искусственного интеллекта и кибербезопасности оказалась более чем востребованной. Я уже 4 раза читал в разных местах регулярно обновляемую презентацию и еще как минимум 3 заказа есть на ближайшее время. И так как я не люблю повторять презентации, то для каждого выступления добавляю что-то новое, все больше погружаясь в тематику, которая, на мой взгляд сейчас больше смахивает на очередной хайп.

Да, ИБ-стартапы (не в России) активно применяют (или заявляют об этом) различные варианты искусственного интеллекта (как правило, машинное обучение) в своих продуктах, делая именно на ни ставку. За прошедшие 6 лет было совершено более двухсот сделок в этой области и рынок кибербезопасности входит в Топ 5 сфер для сделок слияний и поглощений в этой сфере. Очень активны в этой области различные инвестиционные фонды, которые, как мне кажется, просто хотят нажиться на горячей теме, чем продвинуть ее в массы. Хотя наличие среди самых активных инвесторов ЦРУшной In-Q-Tel заставляет думать и об обратном.

Но какие наблюдения у меня родились в процессе подготовки различных версий презентации по ИИ и кибербезопасности? Их несколько. Во-первых, многие "апологеты" и "евангелисты", похоже, не учили математику в своей юности (или юность их не так далеко от них ушла) и поэтому они почему-то считают, что ИИ - это что-то новое и он вот-вот поработит нас, как Скайнет в "Терминаторе". Но разочарую - этой теме уже с полсотни лет и пока никакого порабощения нас роботами и компьютерами не произошло (и пока нет уверенности, что это произойдет в ближайшем будущем). Я вспоминаю свое обучение в институте по специальности "Прикладная математика" и многое из того, что сегодня преподносят как новое, на самом деле является хорошо забытым старым. Кстати, одна из курсовых у меня была посвящена созданию экспертных систем (да, это еще не Big Data и не совсем ИИ, но многое из области эксертных систем потом перешло в область искусственного интеллекта).

Очень мало где говорится об атаках на искусственный интеллект, позволяющих превратить все новомодные модели в тыкву. Безопасникам же наоборот требуется смотреть на все новомодные штуки именно с прицела "как можно ее обойти" или "как можно использовать ее во вред". Об этом пишут не так уж и много, так как исследователей ИИ в первую очередь интересует положительная сторона их творений (как тут не вспомнить Манхеттенский проект).

Еще меньшее число исследований говорит о том, как защитить ИИ от негативных направленных воздействий? Как защитить обучающую выборку? Как защитить модели от внедрения некорректных данных или использования "белых пятен" в алгоритмах ИИ? Как обеспечить целостность данных и моделей и защититься от манипуляции с ними? Про SecOps для ИИ тоже мало кто говорит, хотя в этой нише как раз много наработок из традиционной корпоративной сферы.

Наконец, мало говорят о том, как искусственный интеллект может быть использовать во вред, то есть применен для обхода систем защиты. И дело не в банальном обходе CAPTCHA, а в более сложных механизмах уклонения от антивирусов и системы защиты от вредоносного кода, от систем контентной фильтрации, от систем сетевой безопасности. Такие технологии активно тестируются различными сторонами - от хакеров до военных ведомств разных государств, что вновь обращает нас к мысли, что не стоит так уж бездумно бросаться в тему искусственного интеллекта. Вот уж, кстати, дурацкое название. Кому в голову пришла мысль перевести "intelligence" как "интеллект" (при наличии английского "intellect")?

К чему это я? Какой-то конкретной цели заметка не преследует. Скорее это наблюдение, которым я решил поделиться и которое мне не хотелось терять в суматохе. В любом случае стоит помнить о здравом скепсисе, который должен сопровождать безопасника при изучении/внедрении новых технологий. Без этого жить становится сложно.

Подробнее…

Искусственный интеллект и кибербезопасность (презентация)

Сделал в рамках keynote на Russian Internet Governance Forum (RIGF) обзор применения искусственного интеллекта в кибербезопасности. Что хорошо приносит ИИ в жизнь безопасников? Как используют ИИ злоумышленники? Какие слабые места есть у ИИ, которыми могут воспользоваться "плохие парни"? Почему вендора пока не способны выпускать воспроизводимые ИИ-продукты "из коробки" (исключая отдельные направления применения ИИ). Вопросы этики применения ИИ в кибербезопасности. И многое другое. Получился короткий обзор более объемной презентации по применению ИИ, обзору различных алгоритмов ИИ и рассмотрению примеров реализации ИИ в кибербезопасности по обе стороны баррикад т.п.

Искусственный интеллект в кибербезопасности from Aleksey Lukatskiy

Подробнее…

Как использовать базу знаний ATT&CK?

Продолжу пятничную заметку про базу знаний ATT&CK. Ее идея появилась не на пустом месте. Если посмотреть на методы, которыми сегодня пользуется большинство безопасников, то несмотря на все новомодные технологии типа Threat Intelligence, SOC, SIEM и иже с ними, все они базируются на знании прошлого. Те же индикаторы компрометации (IoC) даже в своем названии "признают", что они фиксируют уже случившийся факт заражения узла или сети. И эффективность системы защиты будет измеряться тем, насколько быстро мы сможем внедрить IoC для обнаружения того, что уже умеют делать злоумышленники. Как бы не назывались эти индикаторы, по сути это обычные сигнатуры, просто более комплексные и включающие в себя сразу несколько элементов. А как ловить неизвестных нарушителей и атаки, для которых еще нет сигнатур и индикаторов компрометации?

Корпорация MITRE предлагает новую парадигму, которая предлагает осуществить сдвиг от IOC в сторону IOA (индикаторов атак), то есть пытаться детектировать что-то в процессе действия злоумышленника, изучая в реальном времени его поведение. Не опираясь на сигнатуры уже известных атак, а именно на поведение нарушителя, которое, при всем их разнообразии опирается на конечное число возможных тактик и техник. Задача ATT&CK как раз и сформировать базу таких техник и атак, которые могут быть описаны (некоторые вендоры на Западе начинают ориентировать свои продукты на базу знаний ATT&CK). Чем-то это ситуация схожа с тем, чем отличается IPS от NGIPS (кстати, на днях Gartner выпустил свой магический квадрат по IPS за 2018 год - его можно найти в Интернет). Не буду говорить за всех вендоров, скажу, как обстоит дело у нас с Cisco NGIPS. Мы ловим не атаки или эксплойты в сетевом трафике, а факт использования уязвимостей. Например, WannaCry. Его известно свыше 400 разных модификаций. Можно иметь 400+ сигнатур и для каждого нового семпла WannaCry писать новую, а можно иметь всего одну, сфокусированную на использовании уязвимости ETERNALBLUE и сколько бы атак ее не использовали, одна сигнатура будет ловить их все. Вот с шаблонами атак ситуация схожая. Какая разница, какой вредонос или хакерская кампания использует технику "Man in the Browser"? Это может быть Cobalt Strike, а может что-то новое появится в будущем. Если вы это ловите, то вы будете ловить все, что работает по этой технике.

Вот на таких рассуждениях MITRE и предложил новую парадигму, опирающуюся на 5 новых принципов (ну не совсем новых, но просто их мало кто сейчас реально использует):

1. Обнаружение компрометации. Это то, что пытаются делать продукты класса EDR или сервисы класса MDR, то есть признание того факта, что нас могут взломать и на это нельзя закрывать глаза, а надо пытаться оперативно обнаружить факт компрометации и локализовать ее, не давая злоумышленнику развивать атаку и расширять плацдарм во внутренней сети.
2. Фокус на поведение. Сигнатуры и индикаторы - это важно и нужно, но обязательно надо смотреть в сторону поведения злоумышленника. Вспомните мое описание последнего семинара Gartner в Москве, где Антон Чувакин рассказывал про UEBA. Одним из признаков технологии UEBA является использование на статических и заранее описанных правил, а применение машинного обучения и других технологий, названных advanced analytics, которые позволяют сами (после обучения или сразу) детектировать неизвестные атаки, нарушения, аномалии и т.п. Вот тут всплывает эта тема вновь - обнаруживать известное важно и нужно, но еще важнее детектировать неизвестное, а для этого надо изучать поведение.
3. Моделирование угроз. Нельзя сегодня выстраивать систему защиты, не понимая кто вам противостоит. Хорошая модель угроз как раз и отвечает на вопрос, какова реалистическая и релеватная картина нарушителя, действующего против вас. Отсюда и выплывает тема с его мотивацией, возможностями, компетенциями, инструментарием и атаками, которые он может запустить против вас.
4. Динамичный дизайн. Ландшафт угроз, техник и тактик хакеров постоянно меняется. Также динамично, постоянно и итерационно должна меняться и система защиты, подстраиваясь под новые вызовы, внедряя новый инструментарий, новые модели и техники защиты.
5. Разработка в реалистичном окружении. Разработка системы защиты должна происходить в максимально реалистичном окружении, которое позволит учесть многие нюансы из реальной жизни. Никакого ковыряния в носу и высасывания из пальца.

Вот база знаний ATT@CK и родилась в результате различных натурных экспериментов, исследований, пентестов, которые проводила MITRE за последние годы. 10 категорий тактик содержат почти 200 техник, которые активно применяются злоумышленниками (и пентестерами) в своей работе. Не останавливаясь на изучении хакероы, корпорация MITRE стала разрабатывать реестр методов обнаружения поведения нарушителей, описываемого в ATT&CK. Этот реестр называется Cyber Analytics Repositiry (CAR). Эта работа началась позже ATT&CK и пока не завершена даже в первом приближении. Но уже сейчас на сайте CAR можно посмотреть ряд методов обнаружения техник и тактик злоумышленников. Для того, чтобы облегчить сопоставление ATT&CK с CAR разработан прототип инструмента CARET (Cyber Analytics Repository Exploration Tool), который представляет собой графический интерфейс, который помогает ответить, например, на следующие типы вопросов:

• Какие известные нарушители (в базу входит множество известных групп - Lazarus, Cobalt, APT28, APT3 и т.п.) могутбыть детектированы или не детектированы?
• Какие методы защиты могут детектировать конкретные техники злоумышленников или конкретные хакерские группы?
• Какие данные требуются для ваших методов защиты?
• Какие инвестиции надо сделать для борьбы с определенными нарушителями или методами атак?

Например, вы хотите посмотреть какие техники и тактики использовала хакерская группа APT28: 

Или вас интересует, какие технологии защиты вам помогут бороться с Lazarus или Dragonfly (Energetic Bear):

ATT&CK, CAR и CARET - cугубо практичные и расширяемые инструменты, которые вы можете наполнять или использовать по своему усмотрению (вы можете скачивать смоделированные вами данные в JSON). Заказчики могут понять, чего им не хватает для борьбы с современными и вполне конкретными хакерскими группировками. Разработчики могут получить готовый набор тактик и техник хакеров, а также набор методов их детектирования для включения в свои продукты. Просто специалисты по ИБ могут расширить свой кругозор за счет более понятного и простого описания того, что и как реально делают злоумышленники.

Я уже это писал как-то, но повторюсь. Эти три проекта MITRE - это именно то, чтобы хотелось видеть как цель развития БДУ ФСТЭК, которая пока содержит простой перечень угроз (даже не атак), который фиг знает, как применить на практике. То есть вроде и каталог угроз есть и он относительно неплохой, но практическое его применение сопряжено с большими трудностями. Никакой автоматизации, никакой связки с защитными мерами, никакой связки с атаками, которые могут быть реализованы в рамках той или иной угрозы. Практичности не хватает. ФСТЭК по понятным причинам врядли сможет использовать ATT&CK, CAR и CARET в своей работе (пусть и полезные инструменты, но потенциального противника), но заказчики (как минимум, коммерческие) не скованы такими геополитическими ограничениями и могут себе позволить применять то, что удобно, а не то, что квазипатриотично. Хотя если у нас появится что-то свое, то буду только рад.

Подробнее…

Крупное обновление ATT&CK - базы знаний тактик и техник злоумышленников

В 2016-м году я уже писал про интересный проект корпорации MITRE, известной по своим инициативам в области ИБ, самой популярной из которых является проект CVE, а также стандарты STIX и TAXII. Так вот матрица ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) по сути является базой знаний и моделью для оценки поведения злоумышленников, реализующих свои активности на последних шагах нападения, обычно описываемого с помощью понятия Kill Chain, то есть на этапах после проникновения злоумышленника во внутреннюю сеть предприятия или на мобильное устройство. Первоначально в базу знаний входило описание 121 тактики и техники, используемых при нападении. По сути речь шла об атаках, позволяющих реализовать различные угрозы (например, из того же высокоуровневого банка данных угроз ФСТЭК). В начале этой недели произошло крупное, уже третье обновление ATT&CK, в результате которого база знаний расширилась до 188 тактик и техник атак (уже существующие были серьезно обновлены), каждая из которых подробно описана в формате Wiki.

В чем вообще смысл и польза базы знаний ATT&CK? Давайте вспомним мою другую заметку 2016-го года, посвященную разным моделям описания защитных мер - от NIST CSF до МинОбороны США. В чем плюс этих высокоуровневых моделей? Они позволяют оперативно понять, каких механизмов/технологий/мероприятий защиты вам не хватает.

Но у нас нет аналогичной модели, которая бы систематизировала методы, используемые злоумышленниками в рамках своей деятельности. Да, есть Kill Chain, но эта концепция очень высокоуровневая и не разъясняет, как можно реализовать этап проникновения или расширения плацдарма на Windows или MacOS. Так вот именно эту задачу (систематизация методов хакеров) и решает модель ATT&CK. Пока так называемая корпоративная версия (ATT&CK for Enterprise) ориентирована только на 3 платформы - Windows, Linux и MacOS.

Корпоративная версия ATT@CK

Разработана и первая версия "мобильной" (ATT&CK for Mobile) базы знаний методов злоумышленников, разделенная на три части - получение доступа к устройству:

использование доступа к устройству:

и сетевые эффекты:

Чтобы уйти от просто перечисления и систематизации техник и тактик хакеров (хотя тоже очень полезная вещь), MITRE пошла дальше и начала разработывать Adversary Emulation Plans, то есть наборы документов, которые позволяют защитникам протестировать свои сети и системы, встав на место злоумышленников. По сути Adversary Emulation Plans - это готовые инструкции по созданию собственных Red Team и эмуляции различных техник и тактик нападющих.

Вот такой вот полезный инструмент, систематизирующий наши знания о методах злоумышленников, которые уже проникли в нашу сеть и которые пытаются расширить свой плацдарм и как можно дольше оставаться незамеченными. В следующей заметке я расскажу о том, как извлечь практическую пользу из ATT&CK (хотя эта база знаний полезна и сама по себе) и оценить на ее основе свои защитные возможности.

В заключение хочется отметить, что ATT&CK не спонсируется и не разрабатывается каким-либо вендором или интегратором или консультантом и не привязана к каким-либо продуктам. Вы можете сами поучаствовать в проекте, если вам есть что сказать и добавить в набор используемых тактик и техник.

ЗЫ. У ATT&CK есть свой API, который позволяет вытаскивать из Wiki информацию по нужным техникам/тактикам и вставлять их, например, в собственный портал по ИБ или в собственные решения по ИБ. Есть даже скрипт на PowerShell, задействующий данный API и демонстрирующий работу с ним.

ЗЗЫ. Еще одна интересная модель, систематизирующая мотивацию хакеров и защитников изложена в моей заметке от 2012-го года.

Подробнее…

Security Foresight: темная сторона искусственного интеллекта

Про искусственный интеллект в ИБ я уже писал год назад, а сейчас мне бы хотелось обратиться к другой стороне медали - использованию искусственного интеллекта в деятельности киберпреступников. Эта тема мало поднимается в открытой прессе и мало кто из специалистов пока задумывается о ней, предпочитая изучать, как ИИ может помочь делу ИБ. На прошедшем в мае семинаре Gartner я спросил у Антона Чувакина, сталкивались ли они с запросами своих клиентов, которые бы интересовались нелегальным применением искусственного интеллекта. Антон тогда ответил, что даже просто использованием ИИ в ИБ у них поинтересовался за все время всего один клиент, а уж про темную сторону ИИ не спрашивал никто и никогда. Это показательный пример, когда специалисты по ИБ думают о "сиюминутных" задачах, не желая посмотреть "за горизонт".

А смотреть есть куда. В кибербезопасности часто используются технологии так называемого двойного назначения. Криптография используется и защитниками и хакерами. Поиск уязвимостей применяется при взломе и при пентесте. Фишинг используется злоумышленниками для компрометации пользователей, а безопасниками для их же обучения и проверки способности противостоять атакам. Вообще киберпреступники перенимают все лучшее из нашего мира и ИИ не исключение. Например, можно установить на компьютере жертвы относительно простого агента, изучающего переписку пользователя в электронной почте, соцсетях или мессенджерах. После небольшого периода обучения вредоносное ПО сможет маскироваться под жертву и от ее имени рассылать сообщения по всем ее контактам, которые и не заподозрят ничего. По работе сообщения будут официальными, друзьям или членам семьи - менее формальными (кстати, голосовые сообщения тоже можно будет подделывать без проблем). Все это легко автоматизируется, тем более, что в Интернете представлено немало готовых библиотек для реализации как базовых, так и более сложных алгоритмов ИИ. Вот только один пример с подборкой совершенно различных программных реализаций.

А боты в соцсетях, напрашивающиеся в друзья? Это же классика искусственного интеллекта (я уже раньше писал, что под этим термином я понимаю сразу весь спектр технологий - от машинного обучения до нейросетей). Многие компании используют ботов для общения со своими клиентами в Интернет - почему злоумышленникам не делать тоже самое? И они это делают. Вообще соцсети сегодня представляют колоссальный объем информации о людях - профили, открытые заметки (и закрытые, если бот смог заставить пользователя вступить с ним в дружеские отношения), фотографии, предпочтения, геометки, родители (включая девичьи фамилии матерей), питомцы... Все это очень хорошо собирается, анализируется и сопоставляется различными алгоритмами ИИ.

Вот представьте сценарий. Депутат Госдумы является скрытым педофилом, который зарегистрировался на нелегальном форуме с детской порнографией под вымышленным псевдонимом и с зарубежного почтового сервиса. При этом, по глупости, этот же псевдоним он использовал как часть своего e-mail для личного почтового ящика на mail.ru. А на эту почту он же пересылал несколько сообщений со своей служебной почты в домене gov.ru. Вполне реалистичный сценарий, в котором только технологии ИИ могут сопостовить множество источников данных и сделать гипотезы о совпадении этих трех виртуальных личностей. ну а дальше можно только предугадывать, что могут преступники (а может спецслужбы?) сделать с такой информацией.

А теперь вспомним про конкурс Cyber Grand Challenge, проведенный Агентством по передовым оборонным исследованиям МинОбороны США DARPA. В его рамках семь команд использовали автономных агентов для обнаружения, анализа и исправления уязвимостей до того, как их найдут противники. При этом поощрялось обнаружение уязвимостей в коде своих оппонентов по конкурсу. Целью конкурса была демонстрация технологий искусственного интеллекта для целей кибербезопасности, но... DARPA занимается не только оборонными исследованиями. У них есть и атакующий потенциал. Что, если технологии автоматизации поиска и использования дыр в ПО будет применяться киберпреступниками (или спецслужбами)? Незря Элон Маск сравнил проект DARPA с Skynet из "Терминатора".

Все, наверное, слышали про сервис VirusTotal, скрывающий "под крышкой" 60+ антивирусов, которые проверяют переданные сервису файлы на вредоносность. Безопасники могут использовать его для оценки способности интересующего антивируса ловить разные вредоносные программы. Аналогичные сервисы есть и по ту сторону баррикад, только там они используются для создания вредоносного кода, который не детектируется на момент своего распространения. А теперь представьте, что такие сервисы расширяются за счет технологий искусственного интеллекта, которые модифицируют вредоносный код и отправляют на сервис тестирования. И так в автоматическом режиме до тех пор, пока не будет найден вариант, пропускаемый средствами защиты.

Описанные выше примеры являются фантастикой? Нет. Все они вполне реальны. Какие-то уже применяются криминалом. Какие-то будут применяться в ближайшем будущем, к которому надо готовиться уже сейчас; чтобы потом не было поздно.

ЗЫ. Бывший глава национальной разведки США в конце прошлого года предупредил Конгресс об опасности искусственного интеллекта, который может быть использован киберпреступниками. 

Подробнее…

Обзор московского семинара Gartner по ИБ (часть 1)

Между майскими праздниками тихо и без помпы прошло одно из тех редких в Москве мероприятий, которые стоят того, чтобы утверждать, что рынок ИБ-мероприятий еще не до конца потерян и у него есть перспектива; разумеется при соблюдении ряда условий, одним из которых является правильный контент и докладчик. В Москве прошла непубличное мероприятие Gartner, на котором Антон Чувакин выступал с двумя связанными темами:

• cybersecurity advanced analytics (почему название на английском, я напишу чуть ниже)
• особенности построения SOCов.

Первая тема официально звучала как "Последнее слово техники в сфере Аналитики Безопасности", а по-английски - "State of the Art of Security Analytics". Вообще фраза "последнее слово" на русском имеет несколько смыслов (от криминального до ритуального) и этот казус хорошо отражает вообще проблему с терминологией в ИБ. Об этом Антон говорил в обоих презентациях, специально огорившись, что переводить на русский "security analytics", "big data", "machine learning", UEBA, SOC, "operations", "management", "threat intelligence", "orchestration", "engineering", "workflow" он не будет, так как получится полный бред. В этом плане английские емкие термины гораздо лучше, чем громоздкие русские переводы.

--- лирическое отступление 1 ---

Использование английских терминов и подготовка презентаций целиком на английском языке для русскоязычной аудитории - это две большие разницы. Первое я допускаю и сам регулярно использую. Второе считаю неверным, если не сказать больше.

--- конец лирического отступления 1 ---

Ключевая идея первого доклада Антона заключалась (в моем понимании и изложении), что сегодня дискретных правил (шаблонов/сигнатур) и базового матстата для работы систем ИБ уже явно недостаточно и нужно то, что называется security analytics. При этом мы не должны ограничиваться только событиями ИБ, которые нам отдают МСЭ, IDS, антивирусы и т.п., а брать все, что будет полезно для принятия решений - данные из HR, СЭБ, видеонаблюдение и т.п. Ровно то, о чем я говорил в прошлом сентябре на "Коде ИБ" в Челябинске.

Соответственно все эти данные уже не могут быть обработаны как раньше и для обнаружения необнаруживаемого (я про это говорил на Коде ИБ в Нижнем Новгороде, а потом стал эту тему активно использовать) нужны "продвинутые" средства аналитики.

--- лирическое отступление 2 ---

Gartner у российских безопасников часто ассоциируется с магическими квадратами, что не есть верно. У Gartner есть замечательный сервис GTP, который позволяет приобщиться к мировой аналитике (по ИБ в данном контексте) и получить обезличенные данные об опыте применения тех или иных технологий или, даже, продуктов. В этом, на мой взгляд, и есть сила Gartner, который аккумулирует у себя мировой опыт (преимущественно по крупным заказчикам), которым он и делится в своих материалах и консультациях.

--- конец лирического отступления 2 ---

При этом Антон сделал несколько важных замечаний относительно технологий аналитики ИБ:

• Эффективность технологий ИБ-аналитики зависит в первую очередь не от алгоритмов, а от данных, которые на них подаются. Gartner пока не нашел доказательств, что один алгоритм анализа неструктурированной информации дает лучший эффект, чем другой.
• Эффективность технологий ИБ-аналитики может меняться от компании к компании - у одних взлетает, у других - нет.
• Для работы технологий ИБ-аналикити, которые якобы "сокращают" число дорогих специалистов по ИБ, часто может понадобиться еще более дорогой специалист по прикладной математике (сдуть пыль что-ли со своего диплома по примату?..), которых на рынке просто нет (какую бы зарплату им не предлагали). Нужно комбинировать (воспитывать) аналитиков ИБ и аналитиков данных.
• Если подождать пару-тройку лет, то многие методы с приставкой "advanced" войдут в традиционные продукты, те же SIEMы. Но тут стоит добавить, что до России с ее курсом на изоляционизм и вышибание иностранных игроков с рынка (а большинство технологий к нам все-таки приходит оттуда) этот прогноз может и не сбыться вовсе.

•  Gartner советует присмотреться к 4-м направлениям технологий ИБ-аналитики, от которых может быть толк (с учетом всего вышесказанного):
• UEBA (user entity behavior analytics) - анализ поведения пользователей и иных сущностей
• CASB (cloud access security broker) - контроль происходящего в чужих облачных средах
• EDR (endpoint detection & response) - защита ПК следующего поколения
• NTA (network traffic analytics) - анализ сетевого трафика на предмет аномалий (это эволюция NBAD) и т.п.

• Многие продукты по ИБ-аналитике сегодня не работают без сопутствующих услуг, что плохо и Gartner считает, что они гораздо хуже, чем продукт, который работает хуже, но из коробки. Причин тут несколько - и высокая цена, и зависимость от вендора, и неоправданные ожидания, и чувство ложной защищенности.

Но в целом Антон, подводя итоги своей первой презентации, полный вариант которой будет читаться на ближайшем Gartner Security & Risk Management Summit в США, сказал, что пока клиенты мало понимают, как работает аналитика ИБ (да и сами вендоры не всегда это понимают) и берут ее для улучшения своего текущего положения в ИБ, надеясь на нее как некую "кремлевскую таблетку".

Во второй части я расскажу про следующий доклад Антона Чувакина про SOCи...

Подробнее…