Уже более 10 лет протокол GSM-коммуникации является скомпрометированным настолько, что можно в неприметном автомобиле у бизнес-центра разместить фальшивую базовую станцию сотовой сети и перехватывать все звонки и сообщения пользователей, кроме всего прочего, ещё и отправляя им звонки и сообщения самого различного содержания. Плюс уязвимости в ПО мобильных операторов, оставленные случайно или намеренно, позволяют провернуть подобные трюки уже без физического присутствия рядом с объектом атаки.

Подозрение должно вызывать вообще всё, что присылает/говорит абонент на противоположной стороне, особенно если эти СМС-сообщения или звонки не инициированы вами. Любой запрос дополнительных данных нужно проводить по каналу, в котором вы можете убедиться, что общаетесь именно с банком или его представителем. Сейчас это либо визит в офис, либо мобильное приложение или сайт банка, а звонкам и СМС-сообщениям доверять не стоит совершенно.

С другой стороны, подобная сверхпаранойя может привести к курьёзным ситуациям наподобие моей. Мои обязательства перед одним из российских банков были переданы вследствие санации другому, а их система уведомлений была настроена таким образом, что казалась истинно мошеннической и была проигнорирована мной несколько раз подряд, пока я сам уже не обратился в поддержку банка за разъяснениями, которые опять же были предоставлены мне тем же странным путём, похожим на мошеннический.

Но есть риск, к которому в равной мере может оказаться не готовой и ИБ-ориентированный «бигтех», и вчера образовавшийся стартап: это уязвимости нулевого дня.

В этой статье будут разобраны причины существования 0-day уязвимостей, степень их критичности для функционирования компаний и возможные методы защиты от эксплуатации уязвимостей нулевого дня.

Что такое уязвимость нулевого дня​

Уязвимость нулевого дня – это программная или логическая уязвимость информационной системы, которая обнаружена впервые и, на момент получения сведений об этой уязвимости специалистами компании, у них нет готового решения по защите от эксплуатации этой уязвимости.

Главное «оружие» zero-day, которое отличает эту группу от других уязвимостей – это внезапность и неразбериха. На момент выявления уязвимости ИБ-специалисты и разработчики, которые защищают инфраструктуру, оказываются в условиях ограниченности данных: у них есть только отчет от исследователей, которые эту уязвимость обнаружили, и данные ИБ-систем, которые установлены внутри инфраструктуры.

Ситуация дополнительно осложняется тем, что «нулевой день» не обязательно совпадает с днем, когда уязвимость нашли и начали эксплуатировать злоумышленники. Может сложиться ситуация, когда «защитники» начинают работать над «закрытием уязвимости», которая уже месяцами используется хакерами.

Однако, в большинстве случаев ситуация далеко не так критична сразу по нескольким причинам. В первую очередь, потому что большинство уязвимостей zero-day детектируются и устраняются на разных этапах разработки и тестирования перед запуском сервиса.

SSDLC и анализ защищенности не гарантируют того, что в инфраструктуре не осталось «нулевых» уязвимостей. Но для их поиска и детекции злоумышленникам придется обладать как минимум не меньшими компетенциями в области анализа защищенности и пентеста, чем тем, кто проводил проверку и разработку. А таких хакеров очень немного, и большинство из них состоят в APT-группировках.

Вторая причина того, что каждая новая 0-day уязвимость не становится «концом света» для сервиса заключается в том, что далеко не все из них действительно критичны для функционирования инфраструктуры и напрямую ведут к реализации недопустимых событий.

И третья причина – это существование разнообразных методов детектирования и защиты, в том числе и с помощью ИБ-инструментов, которые ориентированы на анализ поведения и поиск аномалий, то есть не опираются на информацию о ранее известных уязвимостях, а ищут маркеры эксплуатации ранее не выявленных.

Уязвимости нулевого дня – это довольно опасное явление, которое может привести к серьезным последствиям для компании и пользователей уязвимого сервиса. Однако, важно понимать, что не выявленные уязвимости существуют абсолютно во всех сервисах и компаниях. Если осознать этот факт и планомерно готовиться к тому, что такая уязвимость будет выявлена – риски существенно снизятся.

Откуда берутся zero-day уязвимости​

Как было сказано ранее, zero-day – это день, когда данные об уязвимости стали известны разработчику программного обеспечения. Поэтому так важна работа исследователей, которые анализируют поведение хакерских группировок и данные с хакерских форумов – информация о новой уязвимости может появиться там раньше, чем в публичном поле, чем ее выявят «белые» исследователи.

Если же говорить о конкретных источниках происхождения уязвимостей нулевого дня, то их два:

Естественный. В ходе разработки продукта специалисты допустили ошибку или не смогли спрогнозировать сценарий « нецелевой» эксплуатации того или иного элемента кода. Можно сказать, что это человеческий фактор, влияние которого может быть снижено элементами автоматизации и вовлечением большого количества компетентных специалистов, но не может быть снижено до нуля.

Искусственный. Сюда можно отнести любые сознательно допущенные уязвимости, появление которых может быть обусловлено корыстными целями конкретного специалиста, недобросовестной конкуренцией или вмешательством иных третьих лиц.

Также, немаловажен и фактор технического прогресса. Взломостойкость ресурсов и сервисов, которые уже не поддерживаются производителем и не обновляются, будет падать год от года.

Исходя из причин появления уязвимостей нулевого дня можно вывести и три этапа борьбы с ними:

1. Превентивный. Вся совокупность действий по устранению уязвимостей до выхода в публичное пространство.

2. Профилактический. Комплекс проверок, тестирования и анализа на всем протяжении существования сервиса, с целью « опередить» злоумышленников в выявлении уязвимостей.

3. Реактивный. Все действия команды специалистов по реагированию и изучению выявленной уязвимости, оперативному «закрытию» и выпуску (установке) патча обновления, который решает эту проблему.

На каждом этапе или уровне борьбы с эксплуатацией уязвимостей нулевого дня можно выделить свои практики и рекомендации, которые могут помочь компании как снизить риски обнаружения такой уязвимости злоумышленниками, так и эффективно отреагировать на детектирование такого события.

Виктор Чащин Операционный директор компании «МУЛЬТИФАКТОР»

Не совсем корректно говорить про сокращение количества zero-day уязвимостей, потому что все найденные ошибки в самом начале и являются уязвимостями нулевого дня, поэтому нужно писать код так, как это завещают руководства по написанию безопасных приложений, тот же широко известный OWASP.

В абсолютном количестве, конечно, больше выявленных уязвимостей на счету "белых", хотя бы просто потому что их больше, и они постоянно занимаются поисками кода в своих проектах. «Черные» же чаще находят нетипичные ошибки, потому что им чаще приходится нетривиально подходить к задаче проникновения в исследуемую инфраструктуру.

Итоги​

Уязвимости нулевого дня – это не «бог из машины» и не новое явление в кибербезопасности. Они существовали всегда, и свой «страшный» окрас приобрели благодаря тому, что сервисы постоянно совершенствуются, как и уровень экспертизы кибербезопасности компаний. Поэтому хакерам приходится становиться особенно изворотливыми и искать особо не тривиальные способы проникнуть в инфраструктуру.

Вместе с тем, растет и арсенал борьбы с такого рода «черными лебедями», который пополняется не только новыми программными решениями, но и опытом специалистов в ходе предыдущих инцидентов, который позволяет снизить степень хаотичности в реагировании SOC на инцидент с использованием уязвимостей «нулевого дня».

Также, стоит сказать, что единственный надежный способ борьбы с такого рода уязвимостями – это осознание того факта, что система или сервис уязвимы ровно до тех пор, пока они функционируют, а значит и мониторинг защищенности всеми возможными способами должен быть неотъемлемой частью политики информационной безопасности компании.

Хакинг – это своего рода флагман медийности информационной безопасности. О хакерах снимают культовые фильмы. О том, как стать хакером, стремятся узнать многие подростки и начинающие ИТ-специалисты.

Особое внимание уделяется этичному хакингу, поскольку он не только престижен, но и легален. Под понятие «этичный хакер» подпадают множество специалистов: пентестеры, багхантеры и другие. Однако, их деятельность очень зависима от законодательства той страны, в юрисдикции которой они работают.

В чем измеряется этичность хакера​

Приставка «этичный» – это устоявшийся оборот. Мерилом этичности хакера служат его личные нравственные ориентиры или общественное мнение. В контексте профессиональной деятельности корректнее будет говорить о легальности или нелегальности хакинга.

Легальный хакинг – это тот, который соответствует всем правовым нормам страны, в юрисдикции которой действует хакер. Поэтому первое, что должен знать хакер – это профильные законы, регулирующие его деятельность.

Но даже знание и соблюдение всех законов не гарантирует того, что действия этичного хакера будут истолкованы неверно. Многое зависит от того, как компания, в инфраструктуре которой была найдена уязвимость, отнесется к этой информации.

Виктор Чащин

Операционный директор компании "МУЛЬТИФАКТОР", сертифицированный White Hat Hacker

Если говорить о России, то хакер в принципе не может защитить свою деятельность от каких-либо последующих претензий нанимателя. Самая типичная история: в процессе исследования безопасности хакер наткнулся на уязвимость, которая могла привести к утечке конфиденциальной информации. И наниматель может обратиться в полицию с заявлением, что, собственно, хакер к ней доступ и получил. Поэтому все подобные работы и договоры в первую очередь строятся на доверии друг к другу.

В условиях априорного несовершенства любой законодательной системы, особенно в таких динамично развивающихся сферах, как ИТ и ИБ, единственным надежным инструментом защиты становится двустороннее соглашение между компанией и этичным хакером.

Такую модель используют пентест-специалисты. В договоре четко прописываются способы тестирования, его рамки и другие параметры. Такой подход позволяет нивелировать возможные риски в ходе проведения тестирования на проникновение.

Некоммерческая организация Open Web Application Security Project описала типичные проблемы безопасности, которые угрожают современным облачным приложениям. Портал Cyber Media изучил новый рейтинг и собрал мнения экспертов о том, насколько он будет полезным.

Open Web Application Security Project (OWASP) — это открытое интернет-сообщество специалистов, которое разрабатывает методологии, документацию, инструменты и технологии в области безопасности веб-приложений.

OWASP Kubernetes Top 10 представляет собой логичное продолжение рейтинга OWASP Top Ten, который выходит с 2003 года и объединяет угрозы безопасности веб-приложений.

По словам экспертов OWASP, новый рейтинг призван помочь специалистам по безопасности, системным администраторам и разработчикам программного обеспечения определить приоритеты рисков в экосистеме Kubernetes. Список рисков основан на данных, которые были собраны в десятках организаций разной степени зрелости и сложности ИТ-процессов.

Что говорят эксперты​

Виктор Чащин

Операционный директор "МУЛЬТИФАКТОР"

Сам рейтинг составлен достаточно хорошо и правильно.

Для российских разработчиков сегодня больше всего головной боли доставляют две проблемы: K02:2022 Supply Chain Vulnerabilities и K10:2022 Outdated and Vulnerable Kubernetes Components. Это обусловлено тем, что где-то в сторонних компонентах могут появиться закладки, связанные с ситуацией в геополитике. Поэтому многие стараются без лишней необходимости не обновляться.

Примеров успешных кибератак на слуху пока что не было, но это не значит, что их не будет. Тем более, что топ угроз OWASP – это еще и прямая инструкция для хакеров, в какую сторону смотреть.

Сам проект OWASP пару лет назад вышел из многолетней спячки и сейчас делает очень много правильных вещей, которые можно отнести к самым базовым понятиям о сетевой безопасности. Очень хорошо, что они посмотрели еще и в сторону Kubernetes.

Какие добавлены льготы?​

Налог на прибыль обнулен до 31 декабря 2024. Страховые взносы составляют 7,6 процента. При этом перечень компаний, которые могут пользоваться налогом на прибыль в 0 процентов и тарифами страховых взносов в 7,6 процента расширился. Количественный критерий по доле ИТ-выручки, который позволяет получить налоговые льготы, снизился с 90 до 70 процентов. Также исключен критерий по количеству сотрудников организаций -минимум семь человек - для получения льгот.

Перечень видов ИТ-деятельности, доходы от которой учитываются в ИТ-выручке и позволяют компании получать льготы, расширен. Например, услуги по внедрению российских продуктов теперь будут относиться к профильной выручке.

Поставщики, которые предоставляют SaaS-решения, через закрытые сети также смогут получить льготы.

Все эти пункты вступают в силу с 1 января 2022 года, так как акты законодательства о налогах и сборах могут иметь обратную силу, если они улучшают положение налогоплательщиков.

Льготы распространились на компании, получающие доходы от:

• услуг по доработке, внедрению и поддержке любого российского ПО;

• продажи онлайн рекламы на своих платформах;

• размещения объявлений на классифайдах;

• предоставления платного доступа к контенту (фильмам и музыке), в том числе по подписке;

• оказания образовательных услуг с использованием онлайн платформ;

• разработки и продажи российских программно-аппаратных комплексов.

При этом стоит учитывать, что компании, которые проведут реорганизации после 1 июля 2022 года или будут созданы в результате реорганизации (за исключение преобразования), не смогут воспользоваться льготой. Исключение будет касаться реорганизованных компаний, которые получали льготу по налогу на прибыль до 1 июля 2022 года (такие компании продолжат пользоваться льготным налогом на прибыль), а также компаний, которые получали льготу по страховым взносам в 2022 году (они смогут получать эту льготу и дальше).

Организации, в которых прямо и (или) косвенно участвует государство, и доля такого участия составляет не менее 50 процентов, не смогут воспользоваться льготой по налогу на прибыль, если не получали ее до 1 июля 2022 года. Также они не смогут воспользоваться льготой по страховым взносам, если не получали ее в 2022 году.

До 1 августа будет изменен порядок аккредитации ИТ-организаций для того, чтобы учесть изменения видов деятельности, отнесенных новым законом к ИТ-деятельности для целей получения льгот.

На кого распространяются льготы?​

Операционный директор компании "МУЛЬТИФАКТОР" Виктор Чащин считает, что новые льготы, затрагивают, прежде всего, крупные компании.

"Они дадут компаниям возможность сэкономить на расходах, даже в случае уменьшения выручки и доходов. Но это не льготы для работников ИТ, это льготы именно для компаний, чтобы они могли эффективнее переживать момент падения доходов из-за ухода зарубежных решений", - отмечает эксперт в разговоре с "РГ". Он добавляет, что людей можно удержать либо деньгами, либо идеологией. "Второе слабо влияет на "айтишников", значит, вариант только один - давать возможность зарабатывать больше, чем за рубежом", - говорит Виктор Чащин.

Председатель правления Ассоциация разработчиков программных продуктов «Отечественный софт» (АРПП) Наталья Касперская написала письмо премьер-министру РФ Михаилу Мишустину. От лица отрасли она просит не допустить упрощения процедуры включения ПО в реестр. Участники рынка говорят о рисках проникновения в перечень иностранных продуктов под видом отечественных, что усложнит развитие отрасли. О том, какие подводные камни видят российские компании и готово ли Минцифры слышать рынок, – в материале RSpectr.

ПРЕДЛОЖЕНИЯ МИНЦИФРЫ​

В июне, выступая на форуме CNews, министр цифрового развития, связи и массовых коммуникаций Максут Шадаев заявил, что ведомство планирует изменить критерии включения IT-решений в реестр российского ПО.

Первое предложение Минцифры – упростить процесс. Как пояснил М.Шадаев,

СЕЙЧАС ВКЛЮЧЕНИЕ В РЕЕСТР ПО – ДОСТАТОЧНО ДЛИТЕЛЬНАЯ ПРОЦЕДУРА, КОТОРАЯ ПРЕДПОЛАГАЕТ ОПРЕДЕЛЕННУЮ ЭКСПЕРТИЗУ, ПРОВЕРКИ НА НАЛИЧИЕ ИНОСТРАННОГО СОФТА, ИСПОЛЬЗУЕМОГО В ТОМ РЕШЕНИИ, КОТОРОЕ ПРЕДЛАГАЕТСЯ ВКЛЮЧИТЬ

«Мы хотим эту процедуру поменять. Сначала включаем, а потом уже, если результаты экспертизы показывают, что иностранные компоненты есть, будем исключать. Это для того, чтобы ускорить процесс. Российское ПО, я напомню, продается у нас без НДС. Это дополнительная льгота для российских разработчиков», – заявил М.Шадаев.

Второе предложение министра – включать в реестр продукты компаний, в которых российским владельцам принадлежит не 50%, а 25% акций и более.

Максут Шадаев, Минцифры:

– Много классных российских компаний, где нет 50+ процентов у российских граждан, но при этом они по факту контролируют деятельность компаний. То есть у них есть 25% и более, а у других инвесторов таких пакетов нет. Поэтому здесь тоже предполагаем эти критерии менять, и сейчас мы это как раз обсуждаем с рынком.

Третье предложение касается ввода требования совместимости с российскимиОС. «У нас есть такие планы, они будут ориентированы на трех-, пятилетнюю перспективу. Будем поэтапно основные востребованные классы ПО делать совместимыми с российскими операционными системами», – сказал М.Шадаев.

С рядом тезисов представители IT-отрасли не согласились.

Н.Касперская от лица АРПП, которая объединяет 226 российских производителей ПО, написала письмо М.Мишустину. В нем она сообщила о консолидированной отраслевой позиции, которая выражается в том, чтобы не допустить изменения процедуры включения в реестр на заявительный порядок, а также ослабления требований к доле владения в компании с «50% +1 акция» на «25% +1 акция».

РАБОТАЮЩИЙ МЕХАНИЗМ

В своем обращении Н.Касперская напомнила о том, что в мае этого года с подобным предложением выступили такие компании, как Ozon, «Авито», Cian, HeadHunter, Тинькофф и «ВымпелКом». По словам Н.Касперской, их коммерческая деятельность и интересы лишь косвенно связаны с IТ-отраслью, но они «хотят любым способом успеть “впрыгнуть в поезд” и поучаствовать в распределении “пирога” поддержки, на которую государство в крайне непростые для себя времена выделило действительно огромные ресурсы».

В письме отмечается, что сейчас включение продуктов в реестр происходит после их проверки Центром компетенций по импортозамещению в сфере ИКТ и Экспертным советом при Минцифры.

ДЕЙСТВУЮЩИЙ МЕХАНИЗМ УЖЕ ДОКАЗАЛ СВОЮ ЭФФЕКТИВНОСТЬ И ПОЗВОЛИЛ УСПЕШНО СФОРМИРОВАТЬ РЕЕСТР, КУДА ВОШЛИ ОКОЛО 14 ТЫС. ПРОДУКТОВ

Н.Касперская обращает внимание на то, что до сих пор нет ответственности правообладателя, что не очень критично, пока эксперты смотрят заявки «на входе». Но станет критичным в случае введения упрощенного порядка, полагает Н.Касперская, «поскольку в этом случае в реестр попытаются пролезть недобросовестные компании, желающие таким образом получить льготу по НДС».

Заявительный порядок станет лазейкой для попадания туда прямых клонов зарубежного и видоизмененного свободного ПО с минимальным вкладом по доработке, предупреждают в АРПП.

Отмена процедуры проверки ПО на этапе вхождения, но с возможностью последующего исключения подорвет доверие к реестру, осложнит для заказчиков ситуацию с закупкой ПО и взаимодействием с ФНС, отмечается в письме. Н.Касперская подчеркивает, что примерно половина подаваемых сейчас заявок отклоняется на этапе проверки.

Наталья Касперская, АРПП:

– Продолжающееся наращивание санкционного давления на Российскую Федерацию и постоянно растущее количество атак на отечественную ИКТ-инфраструктуру по-прежнему несут угрозу обеспечения технологической независимости нашего государства. В связи с этим процедуру включения в реестр, по нашему мнению, необходимо скорее ужесточать, а не смягчать.

АРПП также не признает конструктивным и полезным предложение снизить контролирующий пакет акций до блокирующего

«Имея блокирующий пакет в “25%+1 акция” практически можно только отменить решения совета директоров, но не принимать стратегические решения о судьбе предприятия и его продукции», – указывается в письме.

Н.Касперская добавляет, что если такие компании, как Ozon, «Авито», Cian, HeadHunter, Тинькофф и «ВымпелКом», хотят претендовать на получение налоговых и иных льгот и мер поддержки по линии IТ, то им следует выделить своих IТ-разработчиков в особые юридические лица.

ОСТАЮТСЯ ПРОБЕЛЫ

В пресс-службе Минцифры RSpectr сообщили, что

В НАСТОЯЩИЙ МОМЕНТ ИДЕТ ПРОРАБОТКА ВОПРОСА И ПЛАНИРУЕТСЯ ДАЛЬНЕЙШЕЕ ОБСУЖДЕНИЕ С ОТРАСЛЬЮ

На рынке есть компании, которые поддерживают позицию министерства. «Снижение требований к доле владения в компании-заявителе с “50% +1 акция” на “25% +1 акция”, на наш взгляд, это скорее плюс, поскольку такая мера позволит убрать ограничения для иностранных инвестиций в отечественную IT-отрасль», – рассказал RSpectr директор IT-компании «ТехЛАБ» Александр Шаповалов.

Он также обращает внимание на то, что в течение нескольких последних месяцев темпы прироста новых программ в реестре ускорились. При этом в Экспертный совет по ПО при Минцифры входит всего 28 человек.

По мнению А.Шаповалова,

ЗНАЧИТЕЛЬНЫЙ РОСТ ЧИСЛА ЗАЯВИТЕЛЕЙ МОЖЕТ ПРИВЕСТИ К ФОРМАЛИЗАЦИИ ПРОЦЕДУРЫ ПРИЕМА

Эксперт уточняет, что в этом случае крайне важна возможность последующего исключения правообладателя или ПО. «Однако в последние годы была проведена работа по документированию процессов для самих заявителей, и заинтересованные участники отрасли следят за соблюдением требований», – отмечает А.Шаповалов.

Александр Шаповалов, «ТехЛАБ»:

– Есть и незатронутые пробелы – это изменение софта: когда вносится одно ПО, а в следующих его версиях требования реестра нарушаются, при этом новые варианты никакой процедуры проверки не проходят. Но для этого нужны уже механизмы на стороне государственного органа – заказчика такого ПО.

НЕ ДОПУСТИТЬ ХАОСА​

Исполнительный директор АРПП «Отечественный софт» Ренат Лашин в комментарии для RSpectr подчеркнул, что процедура вхождения в реестр продуктов составляет не более 30 рабочих дней. По его словам, существующая процедура прохождения заявок через Экспертный совет полностью отлажена и устраивает разработчиков ПО формально и по срокам.

Р.Лашин предупреждает, что предлагаемый упрощенный механизм может создать проблемы с налогообложением IТ-компаний. В случае отмены проверок количество подаваемых заявок кратно возрастет, а ситуации с реализацией софта, который позже будет исключен из реестра, участятся. Это приведет к коллизиям с НДС и конфликтам с ФНС России, а также усложнит ситуацию с закупками ПО для заказчиков.

По мнению заместителя директора департамента консалтинга ГК Innostage Данияра Исхакова,

ПРОЦЕДУРА УПРОЩЕНИЯ НЕГАТИВНО СКАЖЕТСЯ НА КОМПАНИЯХ, КОТОРЫЕ ОСОЗНАННО РЕШИЛИ ВЛОЖИТЬСЯ В СОЗДАНИЕ СВОИХ IT-РЕШЕНИЙ

Данияр Исхаков, ГК Innostage:

– В случае ослабления требований намного выгоднее делать адаптации иностранных продуктов или Open Source решений, чем вкладываться в полностью собственную разработку. Соответственно, ослабление требований приведет к ухудшению ситуации для уже вложившихся в разработку своих продуктов и негативно скажется на импортонезависимости от иностранных продуктов.

Операционный директор компании «Мультифактор» Виктор Чащин поддерживает позицию АРПП.

По его словам, текущий механизм модерации регистрируемого программного обеспечения эффективен. Более того, для контрагентов разработчика факт включения в реестр зачастую является юридически значимым подтверждением обладания правами на ПО.

В.Чащин также указал, что есть еще один риск, про который прямо не сказано в письме. Он заключается в том, что в случае упрощения процедур реестр превратится буквально в магазин приложений, наподобие Google Play или AppStore.

Виктор Чащин, МУЛЬТИФАКТОР:

– Я не вижу проблем в том, чтобы удалять какое-либо ПО из реестра, но стоит вспомнить эпидемии, охватывавшие вышеназванные магазины: приложения с обоями, фальшивые банки, игры, призванные показывать рекламу, клоны или даже буквальные копии аппы других разработчиков. Вот этот хаос, в котором потонут действительно хорошие решения, отобранные буквально вручную, и является самым большим риском.

Караул! Все пропало!​

Константин Ян, генеральный директор «МУЛЬТИФАКТОР»

Рынок начал оживать и становится гибким. Мы можем дать три основных завета для адаптации компаний к новым условиям: внедряй, поддерживай, без паники! Это касается не только периода кризиса, каждая компания должна понимать, что этих трех столпов необходимо придерживаться на протяжении всего жизненного цикла организации, тогда вы будете готовы к любым непредвиденным ситуациям на рынке.

Доколе?

Юрий Родный прогнозирует, что «мы придем в состояние равновесия спроса и поставок к концу первого квартала 2023 года. Под поставками в этом случае я имею в виду не логистические цепочки и финансовые каналы (с ними и сейчас все более или менее нормально), а получение товара от производителя или посредника». Роман Башкатов, коммерческий директор «МУЛЬТИФАКТОР», вовсе не считает, что на рынке была паника: «Для компании, ориентированной на внутренний рынок, внешние зависимости не рухнули. На рынке не было сильной паники, поскольку российским софтом можно перекрыть все уязвимые места. Для этого, конечно, нужно искать, смотреть и анализировать отечественные решения, и нет смысла ждать возвращения компаний, которые повели себя некорректно по отношению к своим заказчикам».

Почем сервер, брат?​

Возможно ли удерживать цены на докризисном уровне и нужно ли это делать? Для Романа Башкатова ситуация максимально проста: «Компания «МУЛЬТИФАКТОР» является на 100% российским разработчиком решения для многофакторной аутентификации MULTIFACTOR и нацелена на отечественный рынок, поэтому спрос на продукт и услуги только растет. Мы уважаем наших заказчиков и держим цены на прежнем уровне». Юрий Родный же считает, что ценники снизятся сами собой: «Не нужно удерживать цены. Снижение стоимости финансирования и уменьшение курса валют должно привести к уменьшению цены товара».

2022-я параллель

Каковы пути решения нынешних проблем? К сожалению, сегодня полностью заменить ушедшие продукты российские компании в полном объеме не могут. Параллельный импорт нам поможет?

Роман Башкатов, коммерческий директор «МУЛЬТИФАКТОР»

Если смотреть с точки зрения развития бизнеса, то находиться на рынке без конкурентов как минимум не спортивно и даже неинтересно. Конкуренция — двигатель прогресса. У Правительства РФ есть четкий курс на полное импортозамещение, поэтому в части программного обеспечения параллельного импорта не будет.

«Компаниям, намеренным не сдаваться и бороться за клиентов, следует обратить внимание на технологичные решения, позволяющие быстро адаптироваться к новым условиям. Как показала практика, иностранные поставщики ИТ-решений могут остановить свою работу в России. Поэтому следует внимательно посмотреть на российские разработки и решения с открытым исходным кодом, которые помогут компаниям добиться импортонезависимости, избежать угроз остановки бизнес-процессов и обеспечить информационную безопасность критичных систем. Переходя на российское и открытое ПО, заказчики могут столкнуться с тем, что не всегда готовые решения способны закрыть все потребности бизнеса. Разработка индивидуальных решений, с учетом специфических требований заказчика, регуляторов, а также необходимой интеграции становится оптимальным вариантом», — убежден Алексей Строгов. «Для решения этой задачи у бизнеса есть два пути. Все делать своими силами, а значит, увеличивать штат и издержки, или найти надежного российского партнера, специализирующегося на заказной разработке ПО и имеющего в штате достаточно квалифицированных инженеров. Практика показывает, что партнер решает проблему заказной разработки быстрее и эффективнее. Наращивание же собственных ИТ-компетенций — долгий и затратный процесс», — продолжает Алексей.

Как видим, игроки рынка настроены вполне оптимистично. Да, работать придется больше, но согласитесь, не в первый раз, да и наверняка не в последний. На веку IT News был и дефолт, и мировые кризисы. И все эти годы мы с вами были и будем впредь. Так что будем жить, коллеги!

Облачный провайдер T1 Cloud запустил инструмент для надёжной аутентификации сотрудников организаций и внешних пользователей при доступе к корпоративным ресурсам на основе МУЛЬТИФАКТОР – системы двухфакторной аутентификации и контроля доступа для любого удаленного подключения.

Услуга предполагает аутентификацию пользователей вторым фактором при доступе к любым корпоративным ресурсам (VPN, VDI, Windows и Linux-инфраструктура, облачные приложения) с поддержкой технологии единого входа (SSO). Внедрение услуги в организации занимает от 2-х часов.

Инструмент для надёжной аутентификации пользователей обеспечивает безопасность доступа к информационным ресурсам и сетевой инфраструктуре компании, снижает риск неавторизованного доступа на 99%, не создавая новых рисков, предотвращает кражу учетных записей, утечку данных и сетевые атаки, а также защищает любые ресурсы независимо от их типа.

Среди ключевых преимуществ услуги можно выделить создание дополнительного уровня безопасности помимо основного метода аутентификации, комфортный доступ внешних пользователей к корпоративным ресурсам без ущерба для безопасности, непрерывности и целостности бизнес-процессов, а также оптимизацию затрат на IT-поддержку и процессы управления доступом.

«Многофакторная аутентификация T1 Cloud» позволяет защитить средства коммутации, аппаратные и программные межсетевые экраны (Check Point, Cisco, UserGate, Citrix Gateway), средства облачной виртуализации (VMware vCloud, Huawei Cloud), удалённые рабочие станции и VDI (Citrix, RDP, VMware Horizon), облачные приложения (GSuite, Trello, SalesForce, Slack), Windows инфраструктуру (Outlook Web Access, Windows VPN, NPS, Remote Desktop Gateway) и Linux инфраструктуру (OpenVPN, SSH, Sudo).

Услуга «Многофакторная аутентификация T1 Cloud» также предоставляет возможность настроить групповые политики доступа, например, способы аутентификации, информационные ресурсы и объекты доступа, а также ограничить доступ по IP-адресу, диапазону адресов или по дням недели и времени.

«МУЛЬТИФАКТОР – российский разработчик системы IAM, преимуществом которого является использование модели Software-as-a-Service, что минимизирует затраты на развертывание и поддерживание локальной инфраструктуры. Используемая модель распространения ПО не создает новых рисков за счет разделения первого и второго фактора: пароли циркулируют там же, а дополнительный уровень защиты устанавливается поверх старой архитектуры. Особенностью проекта являются современные способы проверки второго фактора: собственное мобильное приложение, телеграм-бот, биометрия, аппаратные OTP и FIDO2 токены, а также традиционные смс, звонки и приложения с OTP, – комментирует Константин Ян, генеральный директор ООО «Мультифактор». – Мы рады началу сотрудничества и уверены в плодотворной работе с компанией T1 Cloud».

«Реализация кибер-риска в компаниях становится лишь вопросом времени, если превентивно не принять мер защиты подключений к корпоративным ресурсам. Игнорирование рисков может привести к финансовым потерям, ущербу репутации, краже интеллектуальной собственности и коммерческой тайны. Услуга «Многофакторная аутентификация T1 Cloud» – простое, легковесное, не требующее дополнительных капитальных затрат на инфраструктуру и лицензии сторонних вендоров гибридное решение, которое поможет нивелировать эти риски», – отмечает Михаил Авсеенко, руководитель направления продуктов информационной безопасности T1 Cloud.

Работы по анализу защищенности со стороны внешнего злоумышленника, проведенные экспертами Positive Technologies, показывают, что гипотетический злоумышленник может преодолеть сетевой периметр в 93% случаев даже без использования методов социальной инженерии. Основным способом проникновения в корпоративную инфраструктуру является подбор учетных данных. И в первую очередь это связано с тем, что сотрудники любят устанавливать простые пароли, в том числе для учетных записей, используемых для администрирования систем. А отсутствие второго фактора аутентификации позволяет получить доступ к системам с подобранной учетной записью. Поэтому использование средств мультифакторной аутентификации является сегодня насущной необходимостью, особенно в условиях организованного удаленного доступа.

Интеграция Multifactor позволила защитить все виды удаленных подключений к инфраструктуре компании дополнительным фактором доступа, а также реализовать безопасный single sign-on (SSO, единый вход) в корпоративных приложениях. Это позволило гарантировать невозможность доступа потенциального злоумышленника к переписке от имени конкретного пользователя даже при наличии у него реального логина и пароля. Сегодня решение используют все сотрудники компании.

В Positive Technologies отмечают высокую технологичность и удобство мультифакторной аутентификации (MFA) и SSO Multifactor, по функциональности и безопасности находящихся на одном уровне с лучшими решениями зарубежных производителей. В рамках проекта по внедрению эксперты Positive Technologies провели анализ безопасности программного продукта и выдали набор рекомендаций по повышению уровня защищенности, которые были оперативно добавлены в продукт.

Один из ключевых принципов внедрения мер безопасности в Positive Technologies — это удобство пользователей: средства защиты не должны мешать продуктивной работе сотрудников. Multifactor обеспечил непрерывность и целостность бизнес-процессов без ущерба для безопасности, не создавая при этом дополнительной нагрузки на службу технической поддержки, — прокомментировал директор по информационным технологиям Positive Technologies Александр Аксютик.

Мы очень рады взаимному сотрудничеству с Positive Technologies. Это яркая иллюстрация смещения фокуса заказчиков с on-prem на гибридные и облачные модели предоставления услуг в информационной безопасности. Надеемся на долгое и плодотворное сотрудничество, — прокомментировал Константин Ян, генеральный директор компании «Мультифактор».

Эффективность системы защиты Positive Technologies подтверждена на практике: в 2021 году компания провела серию киберучений на собственной инфраструктуре. Команды высококвалифицированных этичных хакеров были нацелены на реализацию недопустимых для компании событий, но не смогли их реализовать даже в случае успешного подбора паролей к учетным записям. Удаленный доступ был надежно защищен. Публичные киберучения прошли в ноябре 2021 года; за их ходом во время The Standoff Moscow 2021 в онлайн-режиме мог наблюдать любой желающий.

Компания «МУЛЬТИФАКТОР» намерена поддерживать и развивать продукт в рамках сотрудничества.