Официальное сообщение Алексея Лукацкого по поводу возможной дестабилизации финансовой системы РФ

Федеральная служба безопасности РФ выпустила сообщение о том, что получена информация о подготовке иностранными спецслужбами масштабных кибератак, целью которых является дестабилизация финансовой системы РФ, включая деятельность ряда крупнейших российских банков. Ожидается, что кибернападения будут сопровождаться массовыми рассылками SMS-сообщений и публикациями провокационного характера в социальных сетях (в отношении кризиса кредитно-финансовой системы России, банкротства и отзыва лицензий у ведущих банков).Я считаю, что данные в Интернете редкие рекомендации не имеют никакого отношения к действительности, так как исходят из привычной парадигмы «банк может быть атакован хакером, цель которого украсть деньги». В данном случае речь идет о совершенно иной мотивации у тех, кто стоит за планируемыми атаками, и хищения средств, скорее всего, не предвидится. Также малореализуемы и неконкретные рекомендации банкам по присоединению к ГосСОПКЕ, обращению в FinCERT, чтению отраслевых стандартов или реализации правил разработки безопасных приложений. Если вы этого не делали раньше, то сейчас уже поздно. Более того, когда федеральный орган исполнительной власти, уполномоченный в области национальной безопасности страны, публикует свою новость перед выходными и у целевой аудитории остается меньше суток на принятие каких-либо мер, то рекомендации должны быть очень конкретными и понятными.

Читая очень неконкретное сообщение ФСБ я бы предположил, что речь может идти о трех типах атак:

• Распределенные атаки «отказ в обслуживании» (DDOS) на финансовые учреждения
• Рассылка клиентам по SMS
• Публикации в социальных сетях и форумах, рассчитанные на широкий круг лиц.

Причем эти рекомендации будут совершенно разноплановыми и как повторять то, что уже написано в том же СТОБР или 382-П (но более простым языком), так и быть совсем новыми (для тех же СМИ или клиентов, которым ни ЦБ, ни тем более ФСБ не уделяют пока должного внимания). В последнем случае очень не хватает «Основ госполитики в области формирования культуры ИБ», которые готовились в Совете Безопасности несколько лет назад.

Какие советы могут попасть в такой список? Не претендуя на полноту и охват, я бы включил следующие (советы СМИ давать не буду — все равно не следуют):

• для банков:
  • до:
    • подготовить соответствующий пресс-релиз для клиентов, акционеров, СМИ (в случае если атака окажется успешной и на какое-то время инфраструктура банка окажется недоступной)
    • предварительно разослать клиентам SMS и e-mail с описанием ситуации и просьбой не паниковать раньше времени, а также указанием номеров и адресов, с которых могут приходить официальные сообщения банка по SMS и электронной почте
    • убедиться в способности своего Call Center работать при пиковых нагрузках и возможно увеличить на время число телефонных линий
    • провести краткое обучение персонала (операционистов и Call Center) для умения правильно отвечать на запросы клиентов
    • подготовить памятку для персонала с возможными вопросами клиентов и ответами на них (FAQ)
    • настроить сетевое оборудование для отражения базовых атак
    • проверить наличие резервного подключения в Интернет
    • зарезервировать ликвидность на непредвиденный случай (вот такой вариант, на мой взгляд, излишен)
    • взаимодействовать с FinCERT для получения рекомендаций от отраслевого регулятора
    • проверить настройки системы (систем) мониторинга ИБ и сети для обнаружения первых признаков DDoS-атак на банк
  • во время
    • не паниковать и не делать опрометчивых поступков
    • при первых признаках подключить услугу по отражению DDOS (по возможности)
    • сообщить в FinCERT (независимо от вашего подключения к нему)
  • после (не забывайте извлекать уроки из атак — это бывает не всегда)
    • подключиться к FinCERT (если вы этого еще не сделали) — это просто и бесплатно
    • проработать подключение услуги по отражению DDOS или приобрести оборудование для отражения DDOS и обучить персонал по работе с ним
    • проработать подключение услуги по мониторингу репутации в Интернет или приобрести соответствующее ПО и обучить персонал по работе с ним
    • быть готовым в следующий раз выполнить все, что написано в секции «до»
    • сформулировать и следовать стратегии общения с внешним миром, если атака против вас оказалась успешной
    • собрать цифровые доказательства атак на вас (номера телефонов из SMS, логи средств защиты с IP-адресами атакующих, иные артефакты) и передать их в FinCERT и, возможно, в правоохранительные органы (ЦБ скоро должен выпустить новую РС по сбору доказательств, где будут даны конкретные рекомендации по процедуре и инструментарию для решения этой задачи)
• для клиентов
  • не паниковать и не поддаваться на провокации в соцсетях и SMS
  • заранее узнать контакты своего банка и способы, которые банк официально использует для коммуникаций с клиентами
  • не планировать серьезные покупки на день атаки (чтобы не было больно пролететь из-за недоступности платежного сервиса).

А вот уже по не столь публичным каналам (FinCERT или ГосСОПКУ, работающую с банками через корпоративные центры) можно рассылать соответствующие IOCи с IP-адресами и номерами автономных систем той же BlazingFast для использования их в системах и сервисах защиты.

А надо ли читать отраслевые стандарты, внедрять SDLC в процесс разработки, читать методические рекомендации и т.п.? Надо, только не во время атаки, когда заниматься самообразованием уже поздно. Тут уместно вспомнить заметки про цикл Бойда и несовершенство PDCA, которые я написал больше полугода назад. Цикл Бойда помогает во время атаки (что нам сейчас и надо), а PDCA — до нее, когда надо выстроить систему ИБ на предприятии. Стандарты, SDLC, методички, политики, выстраивание взаимодействия с SOCами… это все в области размеренного PDCA, а не петли Бойда.

В заключение хочу повторить то, что я писал полгода назад о том, что регуляторам стоит поменять отношение к PR своей деятельности. И вот новый пример того, как не стоит сообщать всей стране о киберугрозах, заставляя всю страну в панике додумывать, что же имела ввиду ФСБ. В прошлый раз не очень удачный PR по свершившемуся кибер-преступлению, а в этот — по еще не начавшемуся. Кстати, на сайте МВД или ЦБ ни слова об этой угрозе. И если с МВД еще можно это как-то объяснить, то молчание сайта финансового регулятора выглядит странно 🙁

ЗЫ. Интересно, что не все поставщики услуг отражения DDOS позволяет легко подключиться к своему сервису и не используют ту возможность, которую им предоставила ФСБ со своей страшилкой. Например, тот же Qrator заявляет о подключении всего за 20 минут и описывает процедуру, а вот у ЛК на сайте только маркетинговое описание услуги и нет кнопки «Я под атакой! Помогите!». Читать во время атаки листовки будут не все 🙂

ЗЗЫ. А вот интересная реакция ЦБ на последние события с хищениями средств — массовые проверки и обязательная сертификация ДБО по требованиям безопасности.