«Уютные разговоры про кибербез».

Спикер: Дмитрий Найденов, директор Технического директората ЗАО «Группа компаний S7».
Ведущая: Марина Усова, руководитель управления корпоративных продаж «Лаборатории Касперского».

Марина Усова:
Пожалуйста, расскажи из своего опыта какой-нибудь интересный случай, который, относится к инфобезу. 

Дмитрий Найденов:
Все мы знаем, что авиаотрасль находятся под перманентным ударом прозападных группировок, и не буду сейчас называть те компании, которые попали под удар, не только авиационные отрасли, но и других отраслей. К сожалению, мы не знаем и никогда не узнаем действительно объем этих атак, и какие еще компании были под ударами. Если мы говорим про национального перевозчика, который попал под удар в июле, если не ошибаюсь, 2025 года, то после этого еще как минимум две авиакомпании попали под удар.

Марина Усова:
А там то же самое было или что-то другое?

Дмитрий Найденов:
То же самое, но с меньшими потерями. И еще несколько предприятий в авиаотрасли попали под полное шифрование.

Марина Усова:
А скажи, почему? Вот был такой критичный случай, который знает весь рынок, не секрет, да? Почему все остальные не подготовились, не защитились? Это невозможно?
Или не обменялись данными? Настолько закрыта информация была?

Дмитрий Найденов:
На самом деле очень хороший вопрос. Меня тоже всегда удивляет, когда мы видим такой фатальный пример, что происходит с инфраструктурой, с бизнес-процессом, и все мы гарантированно понимаем и видели, как эта компания выходила из этого кризиса.

Честно говоря, ни для кого не секрет, что необходимо на чужих ошибках опыт получать. Но, к сожалению, все мы сами себе злобные Буратино, мы должны сами пройти по нужным гроблям, которые мы разложили.

Марина Усова:
Все-таки уточню, вы не обменялись данными? Нет никакого сообщества авиаотрасли? 

Дмитрий Найденов:
К сожалению, было бы неплохо, чтобы регуляторы взяли на себя роль, которая хотя бы в профильном сообществе делится этой информация оперативно. Нам приходилось через знакомых узнавать по айокам, индикаторам компрометации, что именно происходило, через что заходили, какие сервисы были первично скомпрометированы. В том числе и в компаниях, которые помогали локализовать этот инцидент, работали с ними.

Но даже компания говорит, извините, мы подписали NDA, мы к вам хорошо относимся, мы вас знаем, но мы не можем вам это рассказать, потому что сейчас идут различные следственные мероприятия.

Очень бы хотелось, чтобы в рамках нашего взаимодействия, государственного частного партнерства, те регуляторы, которые непосредственно принимают участие в локализации и расследовании инцидента, оперативно делились бы этой информацией.
Ни для кого не секрет, что по специфическим для России сервисам действует много хакерских группировок. Что это за сервисы или технологический стэк? Это Битрикс, TrueConf. Из того, что на поверхности сейчас. Битрикс существует давно, и мы видели на закрытых форумах и закрытых комьюнити прозападных, там просто набирали людей, которые разбираются в 1С. Платили очень хорошо.

Марина Усова:
Серьезно? Прямо целенаправленно для России собирали людей?

Дмитрий Найденов:
Прямо набирали людей, кто разбирается в 1С документообороте, 1С зарплате и кадрах 1С Битрикс - это самые высокие зарплаты. Потому что, во-первых, он гарантированно торчит в интернет зачастую, и на Битриксе очень много что сделано.
Почему TrueConf? TrueConf это один из самых распространенных On-premise решений на конец года в виде видеоконференции и связей. Это самое старое решение на рынке Российской Федерации, честно говоря. И в одну из компаний авиаотрасли зашли через как раз непропатченные TrueConf. К TrueConf нет никаких претензий. Они оперативно выпустили все патчи безопасности.
Опять же вспомним, когда у нас уязвимость была по WannaCry, и только через 2,5 месяца пошли массовые атаки. Что 2,5 месяца компании делали? Да ничего, никто не собирался ничего патчить, никакие обновления устанавливать.
Вот так же и здесь. Какая-то безалаберность, скорее всего, и здоровый пофигизм. Русский авось, иными словами. И компании получают то, что получают.

К сожалению, цепочка поставок чем плоха, плоха тем, что, с одной стороны, у всех компаний нет 100% ресурсов, чтобы развернуть и поддерживать необходимую инфраструктуру. Компания покупает новый сервис, который раньше не эксплуатировал. Она не знает, как его настраивать. Она не собирается плодить компетенции по установке, настройке этого сервиса. Потому что делается один раз, а дальше поддержка гораздо проще. Что она делает? Она нанимает интегратора, партнера, который помогает первоначально произвести настройку, интеграцию и так далее. Обучить с точки зрения поддержки.

Что такое партнер или интегратор? Это компания, которая обладает нужными компетенциями в идеальном мире. Они имеют определенные сертификаты. Золотой, бронзовый, платиновый. Статус среди вендоров. Но вот в конкретно проекте по внедрению какого-то отечественного сервиса в конкретно другую компанию мы можем гарантировать, что будут участвовать самые компетентные сотрудники этой компании? Компания тоже борется за определенные минимизации расходов. Они нанимают в том числе и тому студентов и менее квалифицированных персонал. И в том числе и дают работать с личной техникой.
Что мы недавно увидели? Что у нас в компании партнера был вскрыт ноутбук. У сотрудника личный ноутбук. Компания партнера допускает работу не со своей инфраструктурой, да и со своей тоже, с личного ноутбука. Что такое личный ноутбук? Это недоверенное устройство для нас. У нас вроде была работа не напрямую. Через VDI, через второй фактор. С очень небольшой продолжительностью сессии. Но злоумышленник успел в эту небольшую продолжительность сессии, влезть и установить ВПО на несколько серверов, торчащих в интернет у нас. По одному сервису.

Слава богу, и мы, и коллеги из другой инфраструктуры, увидели подозрительный трафик и мы оперативно прореагировали и локализовали. Во-первых, это и было в DMZ. Там никуда уже не пройдешь. Но мы локализовали эти два сервера и провели с ними все работы.
Когда я попросил соединить меня с коллегами из нашего интегратора, я говорю, дайте мне руководство из IT и из информационной безопасности. Ну, пришел руководитель проекта, какой-то инженер из IT, внедренец и специалист по ИБ. Даже без должностей. Я говорю, а где руководство? Спрашивают: Ну, а что произошло? Мы им все рассказываем. Говорят: ну, бывает. Я говорю, что значит бывает? Через вас идут атаки. Вы проверьте, с кем еще этот парень взаимодействует, проверьте свою инфраструктуру. Мы выдали все АЕОКИ, и так далее, и тому подобное.
Но это когда соответствующие регуляторы поинтересовались, да, вот тогда они начали уже у себя вычищать эту инфраструктуру.

К сожалению, я бы сказал, что не у всех и не сразу появляется определенное понимание, что атака через цепочку поставок, она в принципе допустима для любой компании. Даже вроде мы сделали очень много. То есть у нас нельзя работать напрямую с инфраструктурой. Мы даем виртуальную машину, которая гарантированно защищена. Подключение к этой виртуальной машине - логин, пароль, второй фактор. С одной стороны. С другой стороны, время сессии ограничено. Но даже и здесь, оказалось, можно пролезть.
Мы не ожидали, что там время, 3-4 часа на сессию достаточно будет для злоумышленника, чтобы он в легитимной сессии провалился и проработал от подрядчика. Это очень для нас было удивление. Мы ожидали, что мы закрыты от этой угрозы. Но я знаю часть компаний, которые пускают напрямую по VPN с непонятного компьютера к себе поработать с инфраструктурой.

Мне кажется, это определенный уровень зрелости и адекватности понимания угроз, которые сейчас есть, и адекватности понимания, какими средствами защиты можно защититься от этих угроз.
К сожалению, как раз отвечая на твой вопрос, а почему компании вроде бы на примере, на качественном, фатальном примере не поняли, что надо сделать? Да потому что все побоялись или просто подумали, что со мной это не произойдет. Вот вообще не произойдет и все.
Я знаю по другим компаниям в авиаотрасле, почему они менее фатально перенесли этот процесс. Во-первых, они реально были подготовлены к этому. У них очень качественно и быстро сработало оповещение о том, что идет шифрование в инфраструктуре. Они локализовали шифрование и потом просто не стали бороться с злоумышленниками, а потом отключили все, на неделю встали, восстановили все из бэкапов и пошли с чистого листа работать. Да, это бэкап был недельной давности. Ничего страшного. Мы потеряли неделю работы, ну все транзакции. Главное, что все остальное мы не потеряли.

Здесь именно скорость принятия решения очень о многом говорит. Что не надо соревноваться за выживаемость конкретной машины. Необходимо думать полностью всю инфраструктуру и глобальный бизнес-процесс.

Шутка есть такая, что администраторы есть трех видов. Которые не делают бэкапы, которые уже делают и которые начали их проверять. Потому что просто сделать бэкап, это еще полбеды. А реально вы из этого бэкапа развернете эту инфраструктуру или нет? Она вообще читается?
Есть очень эпичный случай. Наверное, Марин, ты знаешь, самый известный провал по бэкапам это история игрушек Pixar. Я могу ошибаться в деталях, но в один момент что-то при создании «Первого Истории игрушек» пошло не так. И разработчики поняли, что у них отснято очень много материала, которое им не пригодится. И чтобы все не переделать, у айтишников говорят, слушайте, отмотайте нам, пожалуйста, по бэкапам на четыре недели назад. Говорят, не вопрос, держите бэкап.
Они отматывают и говорят, слушайте, а есть бэкап, который читается? И вот они выдают еще один бэкап, третий. Говорят, слушайте, а проверьте, там вообще бэкап-то у вас есть? Говорят, у нас все бэкапы лежат, файлы. А объем 47 килобайт. 3D-мультик, 47 килобайт. Это нонсенс.

Что выясняется? Что действительно стояло задание на бэкапирование, но системный администратор даже не смотрел, какие события возникают. Он увидел, что какое-то событие по бэкапам возникает, и все нормально. То есть все ожидают, что бэкапирование прошло успешно, а там была надпись, что не хватает места на диске, бэкапирование не завершено. И так с самого начала, с самого первого бэкапа. 47 килобайт, да, было записано. Дальше все обнулено. И через три месяца, если не ошибаюсь, после работы над мультиком, она началась заново, потому что все было уничтожено.
Это такой эпичный случай, почему бэкапы надо проверять. Информационная система не в вакууме. Это куча взаимосвязей, интеграций. Надо все эти интеграции еще прописать. А кто помнит все интеграции?

Марина Усова:
У тебя по протоколу все записано про бэкапы, и как часто они обновляются, как проверяются. И сейчас ты сказал, что даже в бизнес пускаешь бэкапы.

Дмитрий Найденов:
Мы делаем учение. Мы делаем учение по восстановлению бизнеса. То есть мы допускаем ситуацию, что инфраструктура потеряна, нам надо восстановить критическую инфраструктуру. Она делится на два типа. Инфраструктура, которая обеспечивающая, айтишная: почта, домены и так далее. А есть еще бизнес-критические информационные системы. Для пользователей нашей услуги это сайт, регистрация. Вот эти системы должны быть запущены.

По продажам билетов надо понимать, что это осуществление договорных отношений на будущее. Но мы должны в первую очередь обеспечить выполнение текущих договоров. Это текущие пассажиры не должны почувствовать, что что-то произошло.

Именно поэтому у нас даже бизнес-критикал разделен, что сначала мы восстанавливаем операционную деятельность авиакомпании, обеспечивающую полеты. А потом вторым шагом мы восстанавливаем инфраструктуру по продажам билетов, бронированию билетов и так далее и тому подобное.

Марина Усова:
У меня в практике был пример по бэкапам, что они восстановили бэкапы, все хорошо, из бэкапа восстановились, все связи были сохранены. Но проблема в том, что бэкап был уже заражен тоже. И это невозможно, наверное, или возможно отследить на момент бэкапирования? Потому что когда ты его делаешь, понятно, ты считаешь, что у тебя система в порядке. И, несомненно, надо использовать какие-то средства, чтобы проверять отдельно бэкапы. Делается ли это?

Дмитрий Найденов:
Хороший вопрос. Здесь вопрос проверять на что?

Марина Усова:
На таргетированную атаку скорее всего.

Дмитрий Найденов:
Не всегда. Если мы говорим о проверке, верификации чего-то. Ну, самое обычное, и тебе, и мне известен антивирус Касперского.

Марина Усова:
Если антивирус, он бы проверил сразу. Не все же атаки, к сожалению, детектируются антивирусами.

Дмитрий Найденов:
И Zero-day атаки, о которых средства защиты еще не знают, они не детектируются. Здесь от этого спасет фактически бэкапирование, которое хранится в течение нескольких месяцев. То есть мы говорим, в течение нескольких месяцев мы храним каждую неделю. А вот крайние две недели мы храним каждый день. И здесь мы можем откатывать. Да, это будет медленное восстановление. Мы откатились там на день, развернулись.

Марина Усова:
Но самая длинная атака таргетированная, установленная, почти три года была.

Дмитрий Найденов:
Ты сейчас как бизнес-план всем подсказала, как надо действовать, да, фактически. Но гарантированно за три года мы бэкапы не храним.

Можно несколько подходов делать, что атака Zero-day на момент ее атаки, она действительно была неизвестна. На текущем это она уже известна, и текущие средства защиты уже могут ее детектировать. И тогда мы должны при разворачивании проверять полностью инфраструктуру на определенные айоки, на текущем это уже известные. Мы понимаем, как мы были скомпрометированы. Либо нам кто-то подсказал условно, что злоумышленники оставляют такие-то артефакты, они используют такие-то, предположим, инструменты. Они делают туннель туда-то, по IP-адресам. И мы можем при развертывании системы проверять ее на определенные артефакты злоумышленников. Если мы находим ее, мы считаем, что бэкап этого дня скомпрометирован.

Марина Усова:
Делаете или это ты сейчас придумал?

Дмитрий Найденов:
Да, я сейчас придумал, естественно. Конечно, мы ничего не делаем. Шучу.

Не всегда удобно и правильно, например, на момент восстановления участка, так мы делали тренировки по восстановлению, естественно, мы это не делали, потому что нам надо было просто засечь время, за сколько мы восстановимся с нуля. И по ряду систем это было 8 часов, по ряду систем час. В зависимости от того, насколько большие данные необходимо перекачать. Если там 40 терабайт, и надо еще между сотами это перегнать, естественно, это время затрачивается много.
С другой стороны, не всегда получается быстро развернуть, потому что у нас сейчас работает продуктовый контур, мы разворачиваем, рядом ставим восстановленный, но все интеграционные связи у всех прописаны IPшники, хостнеймы продуктового контура. Что нам надо сделать? Нам надо продуктовый контур выключить, переименовать этот тестовый контур на продуктовый, чтобы все интеграционные связи его подцепили, иначе они его не видят. Это занимает определенное время, приходится гарантированно согласовывать время недоступности с бизнесом для того, чтобы определенным образом проверить, что в принципе система работает, то есть даже до верификации не дошло время, мы должны просто подтвердить, что система из этого бэкапа восстановилась, и мы сделали так, что все интеграционные связи восстановились.

На что бы я еще хотел обратить внимание? Я бы хотел обратить внимание, что бэкапы необходимо хранить на отторгаемых носителей. Ни в коем случае не на тех же серверах, которые и бэкапируются. Есть типичные примеры такого. Удобно очень устанавливать, кстати, когда на этом же сервере очень быстро все происходит.

Во-первых, у нас есть горячий бэкап, и ленточные библиотеки ежедневно списывают определенный бэкап, именно бизнес-критикал систем.
Насколько это удобно? С точки зрения выставления это жутко неудобно, потому что ленточные библиотеки – это механическая протяжка ленты медленно. Это медленно. Но это позволяет хранить очень большие объемы информации, и это отторгаемые носители. То есть кассету вытащили, поставили другую. Каждую неделю меняем мы кассеты. Условно, есть металлический шкаф в ЦОДе, куда мы просто эти кассеты складываем, и там идет цикличная перезапись. Условно, могу ошибаться, 8-10 кассет, и они идут по кругу.

Не секрет, кто делает бэкапы – это коммунитивный, инкрементный, когда мы бэкапируем только изменения информации, и не весь бэкап. То есть раз в неделю вы можете все делать, а каждый день вы просто изменения эти бэкапируете. Это позволяет быстрее.

Но если вам надо откатить на 3 дня назад, вам надо взять кумулятивный, и еще 3 дня инкрементный бэкап, и все последовательно восстановить. Это еще медленнее.

Марина Усова:
Ну, что делать? Зато вроде как правильный путь нащупали.

Дмитрий Найденов:
Да. И я считаю это как антибиотик последней надежды. СЗИ последней надежды – это система бэкапирования.

Марина Усова:
А еще хотела бы, чтобы ты рассказал про свой инновационный проект, который, я знаю, ты делаешь, но уже год-то точно делаешь. Расскажи, пожалуйста, как ты к этому пришел. Ты пришел, бизнес пришел? Зачем вы это делаете? И какие результаты вы уже достигли?

Дмитрий Найденов:
Я бы не сказал, что инновационный. Инновационный может быть в принципе, что пока что мало кто подобные проекты делает. А очень бы хотелось, чтобы эти проекты делались, по крайней мере, по крупным компаниям гарантированно.
Что за проект мы делаем? Это социальный проект по реадаптации ветеранов, инвалидов СВО.
Когда мы вышли с этим проектом, изначально я им занимался, потому что сам служил в армии, я отлично понимал, что после армии очень трудно найти себя. Тем более, если человек стал инвалидом.
С другой стороны, я отлично понимал, что на рынке у нас нет специалистов, которые готовы выполнять рутинную работу. После вузов приходят к нам студенты, они хотят заниматься ML, дата-сатанизмом, какими-то инновациями, ИИшками. Но не искать уязвимости. Не работать с КЕСом, КСМ или КЕСлом или КЕДром. Это рутина. Мы хотим чего-то инновационного.

С третьей стороны, когда человек маломобилен, потерял руку или ногу или другим способом, ему сложно перемещаться каждый день на работу, то наша работа подразумевает удаленный либо гибридный график работы, что для него это большое спасение.

Изначально, как я сказал, с этим проектом ходил по Минобороне, по другим ведомствам, пытался найти понимающих людей, которые поддерживают этот проект. Все поддерживали, но никто не хотел, условно, вкладываться в него. И совершенно случайно акционеры узнали про эту идею и сказали, что мы готовы помогать жителям, гражданам Российской Федерации, которые попали в тяжелые жизненные условия. Мы в этом проекте работаем с партнерами, как государственными, так и частными партнерами. Например, государственные партнеры — это Иркутск, Новосибирская область, Республика Бурятия, Федеральное медико-биологическое агентство, Фонд защитники Отечества, Народный фронт.

В чем суть проекта? В течение трех недель авиакомпания «Сибирь» предоставляет обучение, питание, проживание, трансфер из тех регионов, куда мы летаем, бесплатно для обучающегося.
Что мы требуем взамен? Мы требуем взамен, чтобы человек лечил мышцу, которая в последнее время у него не работала. Это головной мозг. В течение трех недель мы даем интенсивный курс, на котором мы рассказываем про введение в общую безопасность, рассказываем цели, угрозы типовые, текущие, как срывают компании, из чего состоят типичные подразделения информационной безопасности, как они делятся внутри, компетенции по этим подразделениям, какие требуются, и даже примерно зарплаты рассказываем парням, на что можно препятствие надавать.
Потом мы напоминаем два дня про IT. Мы рассказываем про рабочие станции Windows, Linux, причем Linux в том числе и отечественные, типовые команды, что такое событие, рассказываем, как работать с событиями, что туда попадает, что такое тамштамп, что такое юзер-айди.
Дальше в продолжении рабочих станций мы говорим про сети. Сети, типовые протоколы, различные средства, сетевые, которые работают на базе локальной учительной сети.

Марина Усова:
То есть ты учишь, какие-то первоначальные навыки даешь по инфобезу и по IT?

Дмитрий Найденов:
Сначала по IT, я сейчас закончу. И вот как раз в продолжении мы даем немного про межсетевые экраны, в продолжении сетей мы через межсетевые экраны развитие сетей даем. Что такое сегментация сети? Зачем нужна контентная фильтрация?
После этого мы переходим как раз к треку, посвященному Касперскому. На текущий момент мы даем полтора дня, собираемся давать два дня, именно по работе с КСМом, КСом, Кеслом, Кедром.
Парни пробуют накатывать политики, парни там блокируют друг друга. Мы проводим в том числе и на киберполигоне наши там показные учения, что происходит, когда появляется какой-то вирус, как реагировать на него, что можно в карантин положить, что дальше с ним сделать.

Марина Усова:
То есть это не просто лекции даже, это руками еще люди поробуют?

Дмитрий Найденов:
Да, гарантированно мы во главу угла ставим все-таки практическую составляющую. Три недели не подразумевает такой подход канонический к обучению, что есть лекции, есть практика. Мы стараемся через практику давать парням общее понимание о средствах защиты. Он должен понимать, какие угрозы он может закрыть, с каким средством защиты.

В рамках проекта на текущий момент мы провели уже шесть потоков обучения. Выпущено 94 человека. Из них порядка 44 либо перешли с одного направления на ИБ, у себя в компании, либо трудоустроились. Устраиваются у нас в различные компании, и X5, и Redcheck.

Марина Усова:
То есть ты видишь результат своей деятельности? 

Дмитрий Найденов:
Да. И что самое интересное, что наконец-таки к нашему проекту начинают подключаться крупные корпорации, я сейчас не буду называть, собираются совместно проводить обучение на своей базе, интересуются, какие есть нюансы этого проекта. Мы открыты к тому, чтобы компании к нам приходили, мы будем делиться информацией, все, что у нас есть, по методике обучения, какими нюансами столкнутся компании при обучении.

Мы за то, чтобы как можно больше компаний занимались реадаптацией и реинтеграцией парней с инвалидностью, для того, чтобы они стали полноценными членами общества.

Марина Усова:
Спасибо, Дима. Это здорово, приятно слышать. Правда. И гордость за страну, за тебя и за S7. Благодарю тебя за это интервью.