Хакерская атака парализовала деятельность крупного российского производителя стройматериалов. Как защититься от подобных угроз?

Чем больше российскую строительная отрасль принуждают идти в прекрасное цифровое далёко, тем серьёзнее становятся связанные с этим продвижением риски. Показательным примером стала кибератака на информационную инфраструктуру холдинга «Металлист», который известен под брендом Grand Line.

В ночь на 18 мая сего года компьютерные сети компании подверглись масштабной целенаправленной атаке со стороны хакерской группировки Cyber Anarchy Squad. Преступникам удалось зашифровать более 3.000 серверов, что фактически лишило компанию основной вычислительной мощности и привело к остановке критических бизнес-приложений. Помимо этого, были выведены из строя 700 виртуальных машин, функционировавших под управлением VMware, что существенно осложнило работу территориально распределённой инфраструктуры.

Наиболее критичным оказалось уничтожение 100 Тб резервных копий, которое лишило компанию возможности быстрого восстановления данных из бэкапов, превратив инцидент из временной проблемы в затяжной кризис. Дополнительным фактором поражения стала утечка 650 Гб внутренней информации, включая финансовые документы, инженерные чертежи и персональные данные сотрудников.

Как это сделали?

Атака не являлась результатом спонтанного взлома или эксплуатации свежеобнаруженной уязвимости. Злоумышленники действовали методично и терпеливо, на протяжении нескольких месяцев находясь внутри корпоративной сети в режиме скрытого наблюдения. За это время они досконально изучили сетевую архитектуру, протоколы взаимодействия между системами, графики работы пользователей и технических специалистов, а также выявили слабые звенья в существующей системе защиты. Финальный этап внедрения шифровальщика ClearWater занял относительно короткий промежуток времени – от двух до трёх недель.

Ключевая уязвимость, которая сыграла роковую роль заключалась в отсутствии у компании эффективной системы мониторинга внутреннего трафика и аномального поведения пользователей. Поэтому проникновение злоумышленников долгое время оставалось незамеченным службой безопасности, и к моменту обнаружения вторжения ущерб уже был колоссальным. Отсутствие инструментов поведенческого анализа позволило хакерам легализоваться в сети под видом рядовых сотрудников, использовать штатные средства администрирования для перемещения между сегментами и готовить почву для развёртывания шифровальщика без возникновения подозрений.

Холдинг «Металлист», управляющий брендом Grand Line, является крупным игроком на рынке строительных материалов, в состав которого входят 13 заводов, 15 региональных складов и 75 офисов продаж. Помимо производства металлопроката, структура включает торговые центры, жилые комплексы и сеть фитнес-клубов, а общая численность персонала достигает 5.000 человек.

В публичных заявлениях компания Grand Line охарактеризовала проблему как временный технический сбой, однако реальная ситуация оказалась гораздо серьёзнее и продолжает отражаться на операционной деятельности. Дилеры и контрагенты фиксируют массовые срывы поставок и задержки отгрузок металлопроката, что напрямую бьёт по репутации бренда и его позициям на конкурентном рынке. Невозможность своевременной отгрузки продукции влечёт за собой не только прямые финансовые потери от штрафных санкций по контрактам, но и долгосрочные репутационные издержки, которые в перспективе могут обойтись дороже самого восстановления инфраструктуры.

Строим цифровую крепость

Кибератаки не были проблемой для компаний старого типа, где бизнес-процессы строятся на обмене звонками и факсами, а максимальный уровень цифровизации – это таблички в Экселе у складских работников да 1С для бухгалтерии. Однако современные холдинги, особенно с разветвлённой сетью филиалов, сложными корпоративными ERP и CRM системами, облачными решениями и точками выхода в глобальную сеть, уязвимы по определению. 

На что стоит обратить внимание руководителям строительных компаний уже сегодня?

• Во-первых, актуальным становится внедрение специализированных систем мониторинга аномалий и контроля внутреннего трафика, которые позволяют выявлять подозрительную активность на ранних стадиях.

Современные программы аналитики настроены на поведенческий анализ, способный зафиксировать нетипичные для конкретного пользователя или рабочей станции действия. Например, если инженер из отдела разработки внезапно начинает массово копировать файлы с финансового сервера в ночное время, система должна зафиксировать это отклонение и заблокировать операцию до выяснения обстоятельств. Кроме того, все подозрительные события должны немедленно агрегироваться в единый центр управления безопасностью для оперативного реагирования дежурной сменой аналитиков.

• Во-вторых, компаниям необходимо проводить регулярное тестирование на проникновение (пентесты).

В зависимости от возможностей этой работой могут заниматься как собственные спецы, так и «белые хакеры» специализированных компаний со стороны. Особое внимание при таких проверках стоит уделять не только техническим дырам в программном обеспечении, но и человеческому фактору, поскольку именно социальная инженерия остаётся самым эффективным инструментом для первоначального проникновения. Результаты каждого теста должны быть задокументированы, а выявленные уязвимости устранены в строго определённые сроки с последующей повторной проверкой закрытия дефектов.

• В-третьих, есть смысл подумать над сегментацией сети – это позволит ограничить распространение атаки и локализовать её последствия в пределах одного сегмента, не позволяя злоумышленникам перейти к ключевым активам компании.

В случае с Grand Line, если бы сеть была правильно сегментирована и разделена на производственную, финансовую и административную зоны со строгими межсетевыми экранами, шифровальщик не смог бы одномоментно поразить тысячи серверов по всей инфраструктуре. Принцип минимального доступа должен применяться ко всем сотрудникам без исключения, чтобы каждый пользователь имел доступ только к тем ресурсам, которые необходимы ему для выполнения прямых должностных обязанностей.

• В-четвёртых, стратегия резервного копирования заслуживает отдельного и самого пристального внимания.

В уже описанном случае уничтожение бэкапов оказалось тем фактором, который превратил инцидент в катастрофу. Резервные копии должны защищаться не менее тщательно, чем основные данные, а доступ к ним должен быть жёстко регламентирован и многофакторно подтверждён. Хорошей практикой будет хранить как минимум одну копию бэкапов на физически изолированном носителе или в облачном хранилище, не имеющем прямой сетевой связности с основной инфраструктурой.

• И последнее по порядку, но не по значимости – обучение сотрудников основам информационной безопасности остаётся важнейшим элементом защиты!

В 9-ти из 10-ти случаев успех хакерской атаки объясняется не исключительными талантами злоумышленников, а откровенным разгильдяйством сотрудников или даже «сливом данных» на сторону. По статистике, подавляющее большинство успешных вторжений начинаются с фишингового письма или звонка, в результате которых сотрудник добровольно передаёт свои учётные данные или запускает вредоносное вложение.

Вывод очевиден – поскольку цифровизация является неизбежностью и перейти на сложную компьютерную инфраструктуру рано или поздно придётся всем, остаётся только принимать меры, чтобы максимально обезопасить свою работу.

Искренне Ваш,
За-Строй.РФ

Подписывайтесь на За-Строй.РФ в МАХ 

При полном и/или частичном копировании данного материала, для последующего размещения его на стороннем ресурсе, обратная, индексируемая ссылка на источник обязательна!