Второй день The Standoff завершен. Собрали интересные цитаты из сегодняшних выступлений. Отчетный ролик — сразу следом 😎

«Киберучения на инфраструктуре Positive Technologies. Как ломают кибербез-компанию»
▫️ Алексей Новиков, директор экспертного центра безопасности Positive Technologies: «В первый раз мы наблюдали атаку типа supply chain (атаку на цепочку поставок) примерно четыре года назад. Сегодня это тренд: из года в год такие атаки набирают обороты, их будет все больше. Мы считаем, что к этой проблеме должны серьезно относиться все разработчики: проверять, насколько легко, например, в их дистрибутиве что-то поменять».

«Роль комплексных решений ИБ для промышленных предприятий»
▫️ Дмитрий Даренский, руководитель направления по развитию продуктов промышленной кибербезопасности Positive Technologies: «В рамках каждого второго пентеста мы находим следы эксплуатации уязвимостей и присутствия атакующих. Важно понимать, что, когда мы говорим о безопасности промышленного предприятия, мы имеем в виду не только защиту АСУ ТП или технологической сети. Ведь атаки на корпоративные системы — системы управления производством или бизнес-системы — точно так же могут остановить производство».

▫️ Антон Шипулин, менеджер по развитию решений промышленной кибербезопасности Kaspersky: «Специалисты по информационной безопасности — параноики по своей сути: мы показываем бизнесу возможные риски и предупреждаем о худших вариантах развития событий, говоря, что при должных усилиях и инвестициях действия хакеров могут привести к самым страшным последствиям: ущербу жизни и здоровью человека».

«Изменения рынка дистрибуции. Как поживают компании этого рынка»
▫️ Дмитрий Крайненко, руководитель направления ИБ компании Fortis: «В феврале 2022 года дистрибуторы одними из первых столкнулись с финансово-логистическими сложностями и почувствовали последствия санкций, ведь рынок IT и ИБ на 70% формировался за счет импорта. Приняв первый удар на себя, мы в кратчайшие сроки нашли способы, как с этим работать».

▫️ Надежда Пчелинцева, директор департамента «Сети и телекоммуникации», «Марвел-Дистрибуция»: «До 24 февраля в портфеле моего департамента было 65 вендоров. К 1 апреля — после того, как ряд производителей приостановили работу, — их осталось 29, то есть чуть больше половины ушли. При этом к 1 мая у нас в портфеле опять 66–67 контрактов: мы быстро смогли подписать контракты с производителями из Китая, Индии, Южной Кореи, Израиля и России. Процесс уже не остановить: в работе еще около 20 контрактов».

«Кибербез финтеха в новой реальности»
▫️ Алексей Юдин, директор по информационной безопасности и противодействию мошенничеству QIWI: «Чтобы поддерживать уровень безопасности, мы будем смотреть на российские продукты, а также изучать возможности параллельного импорта. К концу года станет понятно, удастся ли обойти санкции и заместить какую-то часть своих продуктов».

«MaxPatrol O2: как развивается автопилот в мире кибербеза»
▫️ Михаил Помзов, директор метапродукта MaxPatrol O2, Positive Technologies: «По сути аналитик в SOC работает с отдельными событиями, и этих событий большое количество. При разработке MaxPatrol О2 мы решили, что попробуем посмотреть на всю картину целиком: событий много, нужно выявить в них систему. Хакер оставляет много следов. Задача MaxPatrol О2 — собрать события в цепочки. Таких цепочек гораздо меньше, чем событий, и это облегчает аналитику работу».

▫️ Евгений Зубов, директор по поддержке продаж в ключевых клиентах, Positive Technologies: «Мы представляли MaxPatrol О2 как систему, которая способна обнаруживать и останавливать хакера на любом этапе продвижения к реализации неприемлемого события. Сейчас мы работаем над визуализацией цепочек атак и разрабатываем по-настоящему потрясающую функцию — плеер, ползунок, с помощью которого можно «откатить» атаку, посмотреть на нее от начала до конца».

The Standoff. День 2. Итоги

Недопустимые события
17 мая еще четыре команды атакующих реализовали недопустимое событие в транспортной компании Heavy Logistics, вмешавшись в работу веб-приложения для покупки билетов. А в середине второго дня команда True0xA3 нанесла серьезный ущерб IT-инфраструктуре компании Tube, распространив вирус-шифровальщик. В своей атаке команда использовала методы социальной инженерии.
В общей сложности за два прошедших дня реализовано 14 недопустимых событий в двух компаниях — Heavy Logistics и Tube, из них уникальных — 3.

Отчеты об атаках
Разведка закончилась, атакующие перешли в фазу активного наступления, о чем свидетельствует увеличение доли тактики TA0002 Execution в отчетах об инцидентах, предоставляемых защитниками. Всего за два дня учений «синие» сдали 120 отчетов об инцидентах. Больше всего отчетов на счету защитников банковских систем, на втором месте — защитники нефтегазовой компании Tube.
Отчетов о расследовании недопустимых событий пока не поступало, хотя команда ZoneZone очень старается. Кажется, уже совсем скоро мы сможем заявить о первом таком расследовании.

Уязвимости
От атакующих во второй день киберучений было принято 80 отчетов об уязвимостях, большая часть из них — о применении SQL-инъекций. Лидерами по количеству сданных отчетов остаются DeteAct, их стремительно догоняют TSARKA, а замыкает тройку лидеров команда Codeby. Нельзя не отметить эффективность атакующих на этих киберучениях: к примеру, на ноябрьском The Standoff за второй день учений было принято лишь 20 отчетов об уязвимостях.

PHDays начинается! 💥

Смотрите открытие на сайте https://event.phdays.com/ru

🌍 В кибербитве The Standoff принимают участие ИБ-специалисты из разных стран.

⚡️ Французская команда Baguette2Pain участвует впервые, но уже вчера успела реализовать первое недопустимое событие — распространение вируса-шифровальщика в компании, которая занимается электроэнергетикой.

👏 Поздравляем «красных» и желаем команде новых успехов!

Кстати, в прошлом году похожая атака произошла в Китае