Киберпреступники подобрали идеальный ключ ко всем российским банкам? Мнение эксперта

Поскольку обстоятельства не позволили этому признанному эксперту в сфере информационной безопасности лично присутствовать на мероприятии, портал PLUSworld.ru предложил ему прокомментировать текущую ситуацию в банковском секторе, резюмируя ключевые вопросы состоявшейся дискуссии.

По словам И. Медведовского, «ситуацию с безопасностью в банковской отрасли сегодня едва ли можно назвать даже напряженной – в ряде случаев она откровенно ужасает. Именно сейчас происходит то, о чем мы так много говорили на протяжении последних лет: вектор атак злоумышленников сместился с клиентов банков на сами банки. В результате деньги утекают уже не с клиентских счетов, а со «счетов» самого банка. Откровенно говоря, злоумышленников и раньше привлекали внутренние ресурсы кредитных структур. Единственно, что сдерживало «плохих парней» – закрытость информации о том, как банк работает «внутри», где именно «лежат» деньги, а, главное – как их оттуда вывести. Однако за последние несколько лет закрылось большое количество банков, их сотрудники потеряли работу, а их знания распространились и попали в распоряжение злоумышленников. И схемы захвата контроля над внутренними системами, которые последние пытались отработать ранее, вдруг «ожили», став реальностью. Очевидно, что, попав «внутрь» банковской ИТ-инфраструктуры, злоумышленник обретает широкий спектр возможностей по выводу денег. Здесь и центральная АБС банка, где фактически хранятся все данные о счетах клиентов, и АРМ КБР (автоматизированное рабочее место клиента Банка России), позволяющее перенаправлять деньги между банками, и интерфейс системы SWIFT для взаимодействия с иностранными банками. Мы видим, что атакуют сегодня в основном именно АРМ КБР, что далеко не случайно, поскольку именно эта точка входа более универсальна по сравнению с другими банковскими системами. Так, например, если в той или иной кредитной структуре могут быть установлены различные виды АБС, не говоря уже о тонкостях бизнес-процессов, связанных с конкретным банком, то ПО для АРМ КБР везде одинаково, работа с ним регламентирована. Суть атаки на АРМ КБР достаточно проста: с корреспондентского счета атакуемого банка деньги пересылают на счета в других банках, откуда они впоследствии выводятся. По данным ЦБ РФ, за последний квартал 2015 года таким образом было похищено около 1,5 млрд рублей.

В целом та легкость, с которой реализуются сегодня подобные преступные схемы, мягко говоря, удивляет. Ведь у ЦБ РФ выработаны некие рекомендации по работе с АРМ КБР с точки зрения обеспечения безопасности. Если строго им следовать, можно значительно осложнить жизнь злоумышленникам. Это дает нам основание ожидать, что широкое информирование об угрозе позволит свести подобные инциденты к минимуму.

От себя можем посоветовать банкам три основных практических шага для защиты описанного выше слабого звена. Во-первых, выделите АРМ КБР в отдельный сетевой сегмент и максимально ограничьте к нему доступ на сетевом уровне (в идеале, соединения должны быть разрешены только «от АРМ КБР» и только в определенные места). Во-вторых, выведите хост из корпоративного домена (это крайне важно, так как безопасность домена поддерживать очень непросто). В-третьих, максимально ограничьте происходящее внутри ОС у хоста АРМ КБР: только разрешенное ПО, только разрешенные процессы (групповые политики вам в помощь).

Более того, возвращаясь к общей ситуации с обеспечением ИБ в банковском секторе, отмечу: вполне вероятно, что в ближайшее время какие-либо улучшения здесь могут наблюдаться только в контексте АРМ КБР, поскольку возможностей и каналов по преступному выводу денег остается все еще немало. Например, сценарий, аналогичный вышеописанному, возможно реализовать и в отношении SWIFT-а. Есть и еще один момент, который необходимо иметь в виду: данные из АБС непременно попадают в АРМ КБР. И злоумышленник, захватив контроль над АБС, может подделывать данные о платежных переводах в АБС, а оттуда они будут попадать в АРМ КБР (особенно опасно, когда АРМ КБР работает в автоматическом режиме).

Также полезно порассуждать о том, что есть различные «прямые связи» между банками, системы переводов и платежей, счета конечных клиентов банка, банкоматы и т. д. Поэтому вариаций атак – множество, и оно слишком велико, чтобы сражаться с этими атаками на последнем, «денежном» этапе.

Решать проблему необходимо системно, концентрируясь на грамотном подходе к организации безопасности всей корпоративной сети и практической ИБ. Помните: вам не требуется идеальная защита. Вам необходимо построить такую систему, взлом которой атакующий сочтет слишком затратным предприятием».

По материалам PLUSworld.ru