Блог http://sbsecurity.ru ru http://sbsecurity.ru/blog/6l8bss08i1-there-is-a-first-post-headline http://sbsecurity.ru/blog/hafdbg3hv1-title-of-the-second-sample-post http://sbsecurity.ru/blog/lvyeck63t1-the-third-title-for-the-post http://sbsecurity.ru/blog/it-vs-ib-balans http://sbsecurity.ru/blog/kiberugrozy-msb-checklist http://sbsecurity.ru/blog/kak-zashitit-dengi-biznesu http://sbsecurity.ru/blog/sovremennye-tehniki-obhoda-antivirusov http://sbsecurity.ru/blog/skrytye-ugrozy-kiberbezopasnosti http://sbsecurity.ru/blog/pentest-kompanii http://sbsecurity.ru/blog/ugrozy-informatsionnoy-bezopasnosti http://sbsecurity.ru/blog/social-engineering Конфликт ИБ и ИТ: кто главный? http://sbsecurity.ru/blog/it-vs-ib-balans http://sbsecurity.ru/blog/it-vs-ib-balans?amp=true Thu, 09 Apr 2026 10:46:00 +0300 Филипп Вербов | Руководитель sbsecurity, создатель культуры ИБ в ГК «СофтБаланс» ИТ и ИБ ведут вечное противостояние: скорость против рисков. Когда баланса нет — бизнес теряет миллионы на штрафах и простоях. Разбираем 3 модели взаимодействия, цену бездействия и кто на самом деле должен быть арбитром.

Конфликт ИБ и ИТ: кто главный?

В любой компании, где есть информационные технологии (ИТ) и информационная безопасность (ИБ), рано или поздно возникает напряжение. Одни отвечают за скорость и доступность, другие — за контроль и снижение рисков. Когда баланс не выстроен, страдает бизнес: процессы замедляются, потери растут, а угрозы увеличиваются.

Главный вопрос здесь не в том, кто важнее, а в том, как организовать их совместную работу.

Содержание

·Разные цели — разная логика

·Кейс: ввод нового сотрудника

·Три модели ИТ и ИБ

·Кто принимает решение при разногласиях?

·Цена бездействия

·Как выстроить взаимодействие

Разные цели — разная логика

ИТ и информационная безопасность смотрят на бизнес с противоположных сторон. Суть информационной безопасности часто сводится для ИТ-специалиста к лишним согласованиям, хотя на самом деле это управление рисками. Понятие информационной безопасности включает три базовые цели: конфиденциальность, целостность и доступность. Если обеспечение информационной безопасности начинает мешать доступности, возникает конфликт.

ИТ-специалисты мыслят категориями доступности и непрерывности. Им важно, чтобы серверы не падали, сайт работал быстро, а сотрудники получали доступ к ресурсам в минимальные сроки. Их главные метрики — скорость и стабильность. Сфера информационных технологий для них — это развитие, внедрение современных инструментов, автоматизация бизнес-процессов.

ИБ же мыслит категориями рисков. Область информационной безопасности охватывает не только цифровые активы, но и процессы, персонал, физическую защиту. Поэтому каждый новый доступ или изменение в инфраструктуре они рассматривают как потенциальную угрозу безопасности информационной системы. Их задача — не допустить реализации этой угрозы.

Кейс: ввод нового сотрудника

В компании, где взаимодействие между отделами не выстроено, процесс выглядит так: кадровик направляет запрос в ИТ, специалист создает учетную запись и выдает доступ ко всем общим ресурсам, чтобы не задерживать работу. Сотрудник приступает к обязанностям.

Обеспечение информационной безопасности в такой схеме отсутствует или сводится к формальностям. Не применяются меры информационной безопасности, которые должны начинаться еще до выдачи доступа. Политика информационной безопасности не разделяет, к каким данным имеет доступ каждая должность. Требования информационной безопасности не соблюдаются, а безопасность данных информационных систем не контролируется.

Когда ИТ и информационная безопасность действуют разрозненно, возникают реальные угрозы: утечка баз, несанкционированный доступ, удаление критических данных. Безопасностьсистем держится на энтузиазме, а не на системных мерах.

Грамотный подход предполагает параллельную работу, где подразделения ИТ и ИБ действуют по единому регламенту:

1. ИТ получает заявку от кадровиков.

2. Специалист по ИБ проверяет, соответствуют ли запрашиваемые доступы должностным обязанностям сотрудника

3. Применяются средства информационной безопасности (DLP-система и матрица доступов) начинают контролировать действия новичка, особенно на испытательном сроке.

4. Юридические обязательства (например, NDA) фиксируются заранее.

Конфликт снимается не победой одной из сторон, а наличием правил, утвержденных бизнесом.

Три модели ИТ и ИБ

То, как выстраиваются отношения между ИТ и информационной безопасностью, напрямую зависит от организационной структуры.

ИБ в составе службы безопасности (СБ)

Классическая модель, где информационная безопасность подчиняется руководителю, отвечающему за физическую безопасность и пропускной режим.

● Плюс: жесткая вертикаль и дисциплина.

● Минус: непонимание технологической специфики.

Требования формулируются на языке «запретить и не пускать», что вызывает сопротивление ИТ. Безопасность информационной инфраструктуры страдает от разрыва между режимными мерами и техническими возможностями, которые зачастую приходится подстраивать под появившиеся задачи, что и влечет за собой огромный пласт нарушений в сфере информационной безопасности.

ИБ внутри ИТ

В этом случае отдел безопасности встроен в службу информационных технологий.

● Плюс: безопасники начинают учитывать технологические сроки, проще договариваться о патчах и обновлениях.

● Минус: информационная безопасность не может сказать «нет» своему руководству.

При конфликте между сроками запуска и защитой приоритет отдается скорости. «Запустим, потом защитим» — типичное решение, ведущее к рискам штрафов и утечек. Развитие информационных технологий ускоряется, но нарушение требований к информационной безопасности влечет за собой все более вероятные риски для бизнеса.

ИБ как отдельная вертикаль

Наиболее сбалансированный вариант: информационная безопасность и ИТ находятся на одном уровне и подчиняются первому лицу или совету директоров

● Плюс: независимая оценка рисков, возможность отклонять опасные изменения.

● Минус: при отсутствии выстроенных процессов ИТ и ИБ, четкого регламента взаимодействия между отделами и готовых ролевых моделей ИТ и ИБ подразделений возникает риск эскалации конфликта до полной остановки бизнес-процессов.

Кто принимает решение при разногласиях?

Когда позиции ИТ и информационной безопасности расходятся, арбитром выступает держатель активов — бизнес. Это не абстрактная формула, а конкретный механизм принятия решений.

Пример: компания разработала новый сайт с личным кабинетом. Ожидаемая прибыль от запуска — 10 миллионов рублей. ИТ готовы к запуску, все настроено. Информационная безопасность требует остановиться: сайт не проходил проверку на уязвимости, нет гарантий защиты персональных данных. Потенциальные потери при утечке — 100 миллионов рублей с учетом штрафов и репутационного ущерба.

ИТ аргументируют: каждый день отсрочки обходится в 100 тысяч упущенной прибыли. Они готовы проверять безопасность уже после запуска, в рабочем режиме.

В этой ситуации ни ИТ, ни ИБ не могут навязывать свое решение. Их задача — предоставить бизнесу аргументы за и против, а владелец оценивает риски и принимает взвешенное решение. Например, запустить сайт с условием, что все уязвимости фиксируются и устраняются без остановки сервиса, а ИБ переходит в режим непрерывного мониторинга. Угроза безопасности информационной системы может реализоваться в любой момент, но именно бизнес определяет баланс между потенциальной прибылью и возможными потерями.

Цена бездействия

Среди владельцев малого и среднего бизнеса распространено убеждение: «нас не взломают» или «сначала сделаем, потом наймем безопасника». Это ложное чувство безопасности. Когда компания растет, а процессы не выстроены, стоимость последующего внедрения защиты оказывается многократно выше.

Штрафы от регуляторов (ФСТЭК, Роскомнадзор) за утечку персональных данных или несоответствие требованиям информационной безопасности по 152-ФЗ и 149-ФЗ могут достигать миллионов. А репутационные потери после утечки часто несоизмеримы с любыми прямыми затратами.

Проактивная безопасность, которую внедряет СофтБаланс строится на принципе параллельной работы, а не противостояния ИТ и ИБ. Аудит безопасности информационной структуры проводится до того, как возникли проблемы. Специалист по информационной безопасности анализирует инфраструктуру, проверяет политики и организационно-распорядительные документы (ОРД), оценивает соответствие требованиям, которые предоставляет законодательство, и лучшим практикам рынка.

Для службы информационных технологий такой аудит дает ясную картину:

● какие объекты информационной безопасности защищены недостаточно,

● какие средства защиты информации (иначе СЗИ) требуют донастройки,

● где технически инфраструктура находится на должном уровне.

● Специалисты ИТ и ИБ структур и их процессы начинают работать по единым правилам.

Развитие информационной безопасности становится не статьей расходов, а инвестицией в стабильность. А информационные технологии в профессиональной деятельности получают пространство для развития без постоянных аварийных остановок.

Как выстроить взаимодействие

Чтобы конфликт ИТ и информационной безопасности не мешал бизнесу, необходимы три условия.

1. Четкие границы ответственности

В компании должен действовать регламент взаимодействия подразделений ИБ и ИТ. В нем фиксируется, на каком этапе создания продукта подключается безопасность, какие документы требуются для согласования, кто принимает итоговое решение по тем или иным вопросам. Процессы ИТ и ИБ становятся предсказуемыми для всех участников.

2. Независимая оценка

Когда ИБ находится внутри ИТ, объективная оценка рисков невозможна. Самый эффективный способ — вывести информационную безопасность в отдельную параллельную вертикаль, с аналогичным выходом до уровня первых лиц, которые и должны принимать итоговое решение. Специалист по информационной безопасности из сторонней организации не участвует во внутренних противоречиях и дает объективные рекомендации, понятные и бизнесу, и ИТ.

3. Единые стандарты работы

Инструменты вроде CIS Controls, методологии MITRE ATT&CK, OWASP, PTES позволяют говорить на одном языке. Они упрощают внедрение и подходят для бизнеса любого размера.

Команда сбсекьюрити специализируется на внедрении таких подходов без потери гибкости бизнеса. Наш подход основан на международных стандартах и адаптирован под российский бизнес:

● Надзор в сфере информационных технологий перестает быть проблемой и становится управляемым процессом.

● Департамент информационных технологий получает свободу для развития.

● Информационная безопасность из источника конфликтов превращается в инструмент устойчивости.

Вместо заключения

Вопрос «кто главный» в паре ИТ и ИБ — это ловушка. Если главный ИТ, бизнес работает быстро, но постоянно рискует утечками и штрафами. Если главный ИБ, бизнес задыхается в запретах и теряет гибкость.

Главный — это бизнес. Но не в том смысле, что он может отдать команду и разойтись, а в том, что он создает среду, где информационные технологии и информационная безопасность не конкурируют, а дополняют друг друга. Безопасность встраивается в процессы на этапе проектирования, а не на этапе «все сломалось». Для владельцев малого и среднего бизнеса это означает: не нужно выбирать между скоростью и защитой, достаточно выбрать партнеров, которые умеют обеспечивать и то, и другое одновременно.

]]> Отраслевые киберугрозы и защита от них: спец. чек-лист для МСБ http://sbsecurity.ru/blog/kiberugrozy-msb-checklist http://sbsecurity.ru/blog/kiberugrozy-msb-checklist?amp=true Tue, 03 Mar 2026 14:17:00 +0300 Филипп Вербов | Руководитель сбсекьюрити, создатель культуры ИБ в ГК «СофтБаланс» Усильте защиту своего бизнеса бесплатно! Подготовили отраслевые чек-листы по ИБ для производства, логистики, медицины, ритейла, общепита и онлайн-образования. Закройте уязвимости там, где это действительно важно.

Отраслевые киберугрозы и защита от них: спец. чек-лист для МСБ

Компании малого и среднего бизнеса недооценивают риски, полагаясь на базовые меры защиты или вовсе игнорируя их. Между тем последствия кибератак могут быть критическими: от остановки производственных линий до утечки персональных данных клиентов и штрафов за нарушение законодательства.

Особенность угроз зависит от отрасли:

на производстве критична защита промышленных сетей (АСУ ТП);
в логистике — бесперебойность связи и сохранность данных о грузах;
в медицине — доступность данных о пациентах и защита врачебной тайны;
в ритейле и общепите — безопасность платёжных операций и работа кассового оборудования;
в онлайн‑образовании — защита интеллектуальной собственности и устойчивость к DDoS‑атакам.

Выполнив пункты чек‑листа, вы точечно устраните слабые места — защитите АСУ ТП от атак, обезопасите платёжные транзакции, обеспечите доступность данных при сбоях и т. д.

Производство

Главная боль: Остановка конвейера и порча оборудования из-за атак на промышленные сети (АСУ ТП).

Изоляция производства от интернета: Проверьте, что цеха и станки (сеть АСУ ТП) физически или программно отделены от обычной офисной сети и интернета. Если хакеры зайдут через «фишинг» на бухгалтера, они не должны добраться до станков, чтобы не остановить завод.
Контроль подрядчиков и вендеров: убедитесь, что доступ к промышленным системам есть только у ограниченного круга своих сотрудников. Немедленно отключайте учетные записи пусконаладчиков и подрядчиков после окончания работ.
Резервное копирование «архивов» ПО: Проверьте, сохранены ли где-то в безопасном месте эталонные копии программ для станков (ЧПУ) и контроллеров. Если вирус сотрет прошивку, без этих копий запустить цех будет невозможно неделями.

Транспорт и логистика

Главная боль: Срыв сроков доставки, потеря груза и хаос в цепочке поставок при падении ИТ-систем.

Резервирование каналов связи: Есть ли у вас запасной канал, если основного интернета не станет? Водители и диспетчеры должны иметь возможность связаться, иначе машины встанут, а склады не узнают, что пришло на разгрузку.
Кибергигиена для водителей и кладовщиков: Есть ли у вас правило, что водитель не переходит по ссылкам из СМС и не вставляет личную флешку в планшет с навигацией? Социальная инженерия (обман сотрудника) — самый частый способ взлома. Нужны четкие инструкции «не открывать» и «не вставлять».
Неприкосновенность данных о грузе и клиентах: Убедитесь, что данные в товароучетной системе (WMS/ERP) защищены от изменений извне. Если хакер изменит вес груза или адрес получателя, груз уедет не туда, а фактические потери обнаружатся слишком поздно.

Медицинские клиники

Главная боль: Угроза жизни пациентов из-за недоступности карт и оборудования, а также утечка медицинской тайны и персональных данных.

Живучесть МИС (Медицинской системы): Проверьте, сможет ли клиника принимать пациентов, если «упадет» сеть или серверы. Медсестры и врачи должны иметь мгновенный доступ к распечатанным жизненным показателям и назначениям на бумаге, если компьютер не работает, а сами бумажные варианты не должны покидать территорию клиники.
Контроль съемных носителей: Есть ли железный запрет на вставку флешек в компьютер с томографом или аппаратом МРТ? Вирус с флешки может вывести из строя дорогостоящее оборудование на месяцы.
Доступ к данным строго по необходимости: Проверьте, кто имеет доступ к историям болезней. Доступ администратора на ресепшн к полным данным клиентов — это прямой путь к огромным штрафам за разглашение врачебной тайны и персональных данных.

Ритейл и общепит

Главная боль: Массовая утечка платежных данных клиентов (карт) и остановка касс.

Сегментация кассовой сети: Кассы и терминалы оплаты должны работать в изолированной сети. Если посетитель подключится к гостевому Wi-Fi ресторана, он не должен находиться в одной сети с кассой, через которую проходят тысячи транзакций в день.

Мониторинг подозрительных операций на кассе: Проверьте, настроена ли система так, чтобы сразу заметить необычное поведение: например, массовый пересчет ценников в базе или попытку оформить тысячу возвратов за день (схема хищения денег). Чем быстрее вы увидите странную активность изнутри, тем меньше потеряете.

Защита от сбоев электропитания и связи: Проверьте бесперебойники и резервный интернет. Если свет моргнет, кассы перезагрузятся, а провайдер не переключится — вы потеряете выручку в час пик.

Онлайн-образование

Главная боль: Кража курсов (интеллектуальной собственности) и срыв занятий из-за DDoS-атак.

Защита авторского контента: Есть ли защита от скачивания видеоуроков? Если конкуренты или «пираты» выставят ваши эксклюзивные курсы на торрентах на следующий день после старта продаж, бизнес-модель рухнет.
План действий при DDoS: Есть ли у вас провайдер или техническая возможность отразить атаку, которая направлена на то, чтобы «положить» сайт или платформу для обучения в первый день массовых продаж или экзаменов? Студенты не должны видеть ошибку 404 вместо вебинара.
Защита персональных данных: Проверьте, как хранятся данные (ФИО, телефоны, паспортные данные). Утечка этих данных — это не только штрафы до неприличия больших сумм, но и потеря доверия, уголовные риски.

Регулярно пересматривайте и актуализируйте меры безопасности с учётом развития технологий и появления новых угроз. Используйте предложенные чек‑листы как отправную точку: пройдитесь по пунктам для своей отрасли, оцените текущее состояние и составьте план действий. Даже небольшие шаги способны значительно снизить вероятность успешной атаки. Начните с малого, но начните уже сегодня: информационная безопасность — это инвестиция в стабильность и репутацию вашего бизнеса.

]]> Как защитить деньги, не вникая в код. Готовая инструкция владельцу малого или среднего бизнеса http://sbsecurity.ru/blog/kak-zashitit-dengi-biznesu http://sbsecurity.ru/blog/kak-zashitit-dengi-biznesu?amp=true Tue, 03 Mar 2026 11:42:00 +0300 Филипп Вербов | Руководитель сбсекьюрити, создатель культуры ИБ в ГК «СофтБаланс» Здесь нет сложных терминов и инструкций для программистов. Только понятные шаги. Мы перевели ИБ на язык денег и здравого смысла. Вот 5 базовых шагов, с которых реально начать сегодня и не повторить ошибок, допущенных крупным бизнесом в 2025 году.

Как защитить деньги, не вникая в код. Готовая инструкция владельцу малого или среднего бизнеса

Представьте: ваш цех встал на сутки, потому что инженер перешел по ссылке. Менеджер слил базу клиентов в телеграм-чат. Вирус зашифровал медицинские карты — и клиника не работает. Или хакеры взломали сервер автопарка и грузы стоят. Это не сценарий фильма ужасов. Это новая реальность: мошенники всё чаще переключаются с физических лиц на бизнес. Для предпринимателя это – потеря репутации, клиентов, а самое неприятное – денег, которые могли пойти на развитие.

Содержание

Базовый чек-лист. 5 шагов для любого бизнеса
Три способа не потерять деньги на информационной безопасности (ИБ) и сэкономить главное – время.
Как собственнику проконтролировать специалиста, не вникая в дебри кода?

Базовый чек-лист. 5 шагов для любого бизнеса

Шаг 1. Люди: наведите порядок в доступах

Проверьте, кто и к чему имеет доступ. Это бесплатно, но закрывает большую часть проблем.

Что нужно сделать сейчас:

Удалите доступы уволенных сотрудников. «Мертвые души» в системе – открытые ворота для атак.
Включите двухфакторную аутентификацию (2FA), везде, где возможно. Особенно важно активировать её в онлайн — сервисах, например в почте или VPN. Даже в случае кражи пароля сотрудника, злоумышленник не сможет просто так попасть внутрь ваших систем. 2FA предполагает, что помимо пароля для входа требуется подтвердить личность дополнительным способом, т.е. когда приходит код в СМС или в виде пуш-уведомления.

Шаг 2. Поставьте защиту на устройства

Все телефоны, ноутбуки, станки, терминалы и служебные машины должны быть под контролем.

Нужно проверить:

Антивирус включен и обновляется;
Операционные системы и программ автоматически обновляются;
Диски зашифрованы (особенно, если ноутбуки выносятся за пределы офиса организации).

Устройства должны быть под контролем специалистов по информационной безопасности (ИБ). Мы часто сталкиваемся в работе с клиентами, что в штате роль ИТ-специалиста и ИБ-специалиста совмещает один и тот же человек. Это отчасти норма, но таит риск.

Представьте, что сантехник сам проектирует сигнализацию. Он может сэкономить на датчиках, чтобы те не мешали ему чинить трубы. Так и ИТ - специалист может отключить антивирус, потому что он тормозит компьютер бухгалтера. Поэтому, если у вас один специалист, важно, чтобы его контролировали хотя бы на уровне регулярных внешних аудитов.

Шаг 3. Делайте копии. Правило «3-2-1»

«3-2-1» — лучшее правило, придуманное человечеством. Оно гласит: у любых данных должно быть три копии на двух разных носителях и одна из копий должна храниться отдельно. Вы задаетесь вопросом, как часто нужно копировать и что?

Ежедневно: критические данные: базы клиентов/CRM/1C, медицинские карты, бухгалтерия.
Еженедельно: остальное.

Копии рекомендуется проверять раз в месяц, а в идеале при каждом создании.

Представьте: у вас сломался сервер или украли данные 25-го числа, восстановить можно только то, что было 1-го числа. Три недели работы — потеряны.

Лайфхак для бизнеса: Настройте автоматическое резервное копирование раз в день в облако или на внешний диск. Процесс займёт 15 минут. Если вы никогда не выполняли эту настройку обратитесь к своему ИТ - специалисту или за инструкциями в интернете.

Шаг 4. Научите сотрудников звать на помощь.

В 2023 году вирус остановил завод в РФ на неделю. Причина — один инженер перешёл по ссылке в письме «Сверка по зарплате», отправленного не с корпоративного ящика компании. Итог: убытки в миллионах.

Сотрудники один из главных каналов угроз, но они же и защита. Они должны знать кого нужно оповестить о произошедшем инциденте и как самостоятельно изолировать проблему.

Алгоритм при подозрительном письме или звонке:

Остановись. Не кликай на письмо отправленного не с корпоративного ящика или с незнакомой почты.
Проверь. Пришло сообщение от «директора» в Telegram, в котором он просил отправить фото чека для предоставления контролирующим органам, позвони ему по номеру, который знаешь, а не отвечай в сообщении.
Сообщи. Если были отправлены любые, особенно конфиденциальные, данные (логин, пароль, документы) — оповести уполномоченного сотрудника, вышестоящее руководство и коллег.

Шаг 5. Внедрите полезные привычки

За основу для проверки себя и своих сотрудников можно взять вопросы от CIS Controls — международной некоммерческой организации, составляющей рекомендации по информационной безопасности.

Проводится ли регулярное информирование сотрудников об актуальных угрозах хотя бы раз в квартал?
Существуют ли простые инструкции для сотрудников на случаи сомнений о подозрительном письме или странном звонке?
Знают ли сотрудники правила обработки конфиденциальной информации?
Внедрена ли и соблюдается ли политика работы с паролями?

Политика «Пяти НЕ»/Простые правила для всех (памятка)

Не используйте один пароль для разных сервисов. Меняйте пароли каждые 180 дней.
Не записывайте пароли на стикерах.
Не пересылайте паспорта и данные клиентов в чаты мессенджеров.
Не загружайте коммерческие документ в нейросети или онлайн—PDF- редакторы.
Не используйте личные флешки для рабочих документов.

Три способа не потерять деньги на ИБ и сэкономить главное – время.

Способ 1. Назначьте ответственного внутри компании (обязательно)

Это не вопрос выбора, это необходимость. Даже если у вас 30 человек и 5 компьютеров.

Главное, чтобы выбранный сотрудник раз в месяц проверял три пункта:

кто в системе
есть ли копии
работает ли антивирус

Используйте бесплатные решения там, где это уместно! Например «Защитник Windows» уже встроен в систему и отлично справляется с базовыми угрозами, бесплатные версии популярных антивирусов, таких как Kaspersky или Avast.

Если вы представляете малый бизнес, подумайте о покупке корпоративного решения: оно поможет снизить риски из—за случайных ошибок сотрудников и при этом не потребует огромных вложений. И не забывайте проверять, что бесплатная защита включена — её отключение может привести к серьезным проблемам.

Способ 2. Поймите, когда внутреннего ресурса мало.

Ваш ответственный – молодец, но он не хакер и не эксперт по безопасности. Его задача следить за базой, которую мы описали выше. А глубокая экспертиза нужна, когда:

Приходят требования от регуляторов (Роскомнадзор, ФСТЭК, ЦБ);
Нужно настроить сложное оборудование или разграничить сети (производство отдельно, офис отдельно);
Вы хотите проверить, нет ли «дыр», которых ваш специалист не видит. (не потому, что плохой, а потому что «глаз замылился»).

Способ 3. Привлекайте внешнего эксперта (Аутсорсинг ИБ)

Покупайте услугу, а не «железо». Для МСБ выгоднее не купить дорогой сервер и лицензии на годы вперед, а взять защиту как услугу, которую выполнят и верно встроят в бизнес-процесс. Это позволяет платить только за то, чем реально пользуешься.

Эксперты автоматизируют рутину: обновление операционной системы и ПО и резервное копирование в облако, тренинги по фишингу для сотрудников, увидят, где «висят бреши» в защите.

Как собственнику проконтролировать специалиста, не вникая в дебри кода?

Вы не обязаны уметь настраивать межсетевые экраны. Но вы обязаны задавать правильные вопросы. Вот шпаргалка для разговора с вашим ИТ- или ИБ-специалистом раз в квартал:

Покажи мне список всех, у кого есть доступ к системам: бухгалтерия, финансовое планирование, корпоративные почты. В нем не должно быть уволенных сотрудников.
Когда мы в последний раз проверяли работу бэкапов? Попросите показать отчет о восстановлении из копии.
Есть ли у нас компьютеры, которые не обновлялись больше месяца?
Если завтра всё выключится, сколько времени нам понадобится, чтобы встать? Ответ должен быть конкретный, в часах.
Кто из сотрудников чаще всех кликает по фишинговым письмам? Если такой мониторинг не ведется, на это стоит обратить внимание.

Главный итог

Информационная безопасность для малого и среднего бизнеса это про порядок, дисциплину и людей. Как часто её проверять? Наш принцип — разумная достаточность.

Базовый чек-лист (для ответственного) — ежемесячно.

Критическое (доступы и резервные копии) — ежедневно.

Внепланово – при любых изменениях: новый сотрудник, смена ПО, открытие филиала, покупка новых станков или машин.

Внешний аудит (привлечение эксперта) — раз в год. Особенно если у вас, медицина, транспорт, производство или есть требования регуляторов. Это дешевле, чем разбирать последствия инцидента.

Мы разобрали базовые шаги, которые защитят ваш бизнес. Теперь вы понимаете, что должен делать ИБ- специалист и какие вопросы задавать. Ваше время как собственника – самый ценный ресурс. И если вы осознали, что разбираться в настройках межсетевых экранов, контролировать каждого сотрудника и следить за обновлениями – это не ваше, пришло время для правильного решения.

]]> Анализ угроз: современные техники обхода антивирусов при разработке вредоносного ПО http://sbsecurity.ru/blog/sovremennye-tehniki-obhoda-antivirusov http://sbsecurity.ru/blog/sovremennye-tehniki-obhoda-antivirusov?amp=true Mon, 09 Feb 2026 16:21:00 +0300 Филипп Вербов | Руководитель сбсекьюрити, создатель культуры ИБ в ГК «СофтБаланс» В этом материале мы рассмотрим актуальные техники, которые используют злоумышленники при создании вредоносного ПО для Windows, и объясним, почему эти методы эффективны.

Анализ угроз: современные техники обхода антивирусов при разработке вредоносного ПО

Методы разработки вредоносного ПО: классические и неклассические подходы

Сегодня существует два основных подхода к разработке вредоносного программного обеспечения. Классический метод создания вредоносного ПО предполагает использование языков C или C++, часто в сочетании с ассемблером. Этот подход остается наиболее популярным благодаря предсказуемости получаемых бинарных файлов и легкодоступности низкоуровневых операций.

Второй подход можно назвать неклассическим методом разработки вредоносного ПО. Его суть заключается в намеренном выборе относительно редкого языка программирования, такого как Forth, D, Go, Rust, Nim, Zig или Crystal. Главное преимущество этого подхода в том, что бинарные файлы, получаемые с помощью компиляторов этих языков, часто содержат много "лишнего" кода, который затрудняет как автоматический, так и ручной анализ. В сочетании с последующей обфускацией бинарного файла, этот подход дает отличные результаты для обхода антивирусов.

Выбор языка для разработки вредоносного ПО

В данной статье мы сосредоточимся на классическом подходе, поскольку он позволяет наиболее наглядно продемонстрировать основные техники обхода защиты, которые применяют современные злоумышленники.

Обход статического анализа антивирусов: ключевые методы

Статический анализ вредоносного ПО — это первый этап проверки, который проводят антивирусные решения. В этом режиме антивирус изучает байтовое представление программы, пытается деобфусцировать и дизассемблировать код, а затем сравнивает его части с известными сигнатурами. При достаточном количестве совпадений, программа считается вредоносной.

Техники обхода сигнатурного анализа

Создание сигнатур для антивирусов часто основано на последовательностях подозрительных вызовов функций. Например, если программа в цикле отправляет запросы на сервер, получает в ответ команды, исполняет их в командной строке и отправляет результаты обратно на сервер — антивирус скорее всего примет ПО за реверс-шелл.

Видимость вызываемых WinAPI функций в таблице импортов

Код функций может находиться либо в самом бинарном файле, либо во внешних динамически-подключаемых библиотеках (DLL). В первом случае единственный способ обойти сигнатурный анализ — полностью переписать функции, что требует значительных усилий. Например, для реверс-шелла это означало бы переписывание таких библиотек, как libcurl и openssl.

О сложности переписывания больших библиотек в шуточной форме на примере libcurl и файла easy.c

Во втором случае, когда код функций находится в DLL, задача упрощается. Нужно лишь скрыть информацию о том, какие библиотеки загружаются и какие функции из них вызываются. Для этого злоумышленники чаще всего используют исключительно WinAPI DLL, поскольку это обеспечивает наилучшую переносимость и стабильность работы на разных версиях Windows, что важно при неизвестном устройстве атакуемой инфраструктуры.

Замена функций стандартной библиотеки языка C на WinAPI аналоги

Сокрытие импортируемых функций

При стандартном подключении DLL через прагму или параметры линковщика, в таблице импортов итогового бинарного файла остается информация об используемых библиотеках и функциях. Анализ таблицы импортов - один из самых простых способов выявить, что ПО является вредоносным.

Видимость библиотеки user32.dll и функции MessageBoxA в таблице импортов структуры Portable Executable (PE)

Чтобы скрыть использование библиотек, злоумышленники применяют отложенную загрузку DLL непосредственно во время выполнения полезной нагрузки ПО. Для этого используются функции LoadLibrary и GetProcAddress. В этом случае таблица импортов не содержит явных упоминаний используемых библиотек, что значительно усложняет статический анализ бинарных файлов.

Базовый пример использование LoadLibrary и GetProcAddress

Шифрование строк для защиты от анализа

Однако, даже при использовании отложенной загрузки DLL, статический анализ может выявить строковые литералы. В том числе, названия библиотек и функций, передаваемые в качестве входящих параметров для LoadLibrary и GetProcAddress. Также могут быть выявлены иные строковые литералы, вероятно содержащиеся в известных сигнатурах. Например, тот или иной IP-адрес, порт, ключевое слово, полный либо частичный путь к файлу или директории, и т.д. Поэтому, современное вредоносное ПО не обходится без шифрования строк.

Про видимость строковых литералов имен входящих параметров LoadLibrary и GetProcAddress

Ключевой принцип — шифрование должно происходить до исполнения программы, а дешифрование — во время выполнения. Ключ, необходимый для расшифровки строковых литералов, может:

Храниться в бинарном файле как не зашифрованный строковый литерал.
Получаться из внешнего источника (например, из HTTP-ответа сервера).
Вычисляться во время исполнения программы

Первый вариант почти бесполезен против современных антивирусов. Второй вариант, напротив, наиболее надежный. Однако он не подходит в случае, когда неизвестна атакуемая инфраструктура (настройки сети и ее доступность как таковая). Третий вариант чуть менее надежен, но может быть использован без знаний об атакуемой инфраструктуре.

Современные техники шифрования строк

Для реализации шифрования строк во время компиляции часто используется C++, так как последние версии этого языка поддерживают вычисления на этапе компиляции. В настоящем вредоносном ПО чаще всего встречаются следующие алгоритмы шифрования: AES, DES, RC4 и TEA. Последний особенно популярен благодаря простоте реализации и высокой скорости работы.

Один из наипростейших шифров, использовавшихся во вредоносном ПО (141 строка)

Самое продвинутое вредоносное ПО всегда использует несколько алгоритмов шифрования, а также разные ключи расшифровки для каждой исходной строки (в C/C++, например, посредством предопределенных макросов компилятора: DATE, FILE, LINE, TIME, COUNTER и др.). Такая техника избыточна для обхода статического анализа, однако является незаменимой при обходе динамического анализа.

Использование шифрования строк во время компиляции с дешифрованием во время исполнения посредством макроса TXT

Противодействие динамическому анализу: обнаружение эмуляции

Динамический анализ вредоносного ПО предполагает эмуляцию выполнения программы в контролируемой среде. Современные антивирусы используют продвинутые системы эмуляции, такие как QEMU или Unicorn Engine. Однако даже они не могут полностью воспроизвести поведение программы на реальном оборудовании.

Шуточное сравнение QEMU, Unicorn Engine и FLOSS

Обнаружение эмуляционной среды

Один из самых эффективных методов — использование недокументированных инструкций процессора. Злоумышленники находят инструкции, которые доступны на целевой архитектуре, но неизвестны или неправильно реализованы в эмуляторах. Сравнивая состояние системы до и после выполнения такой инструкции с ожидаемым поведением на реальном компьютере, программа может определить, что выполняется в эмуляторе.

Github issue, связанный с неправильной эмуляцией инструкции bswap в Unicorn Engine, использовавшийся раньше для обнаружения эмуляционной среды

В случае обнаружения эмуляционной среды вредоносное ПО может перейти на альтернативную, безвредную ветку выполнения или вызвать аварийную остановку. Это приводит к тому, что эмулятор не достигает полезной нагрузки, из-за чего не считает вредоносное ПО таковым.

Пример ассемблерного кода для обнаружения эмуляционной среды, который работал более пяти лет

Пример использования этого распознавания эмулятора в языке C++

Техника API Hammering

Еще один метод обхода динамического анализа — API Hammering. Суть этой техники заключается в использовании функций с большим временем ожидания ввода-вывода (работа с диском, сетью, периферийными устройствами, и т.п.). Множество вызовов таких функций до перехода к полезной нагрузке вредоносного ПО позволяет "переждать" время, отведенное антивирусом на эмуляцию и динамический анализ.

Улучшение примера с обнаружением эмуляционной среды, где бесконечный цикл реализован корректно, через API Hammering.

Важно отметить, что стандартные функции задержки (Sleep) не подходят для этой цели, так как антивирусные эмуляторы обычно пропускают их или ограничивают время ожидания. Также важно отметить, что вместо циклов используются рекурсии или иные решения, которые позволят вызывать соответствующие функции множество раз.

Обход хуков антивируса

Современные антивирусы устанавливают так называемые хуки на ключевые функции. В их числе и LoadLibrary с GetProcAddress. Суть хука в том, что при вызове функции, на которую он установлен, можно выявить входящие в эту функцию параметры. Это практически сводит на нет шифрование строк, поскольку любая функция WinAPI ждет обычный, не зашифрованный строковый литерал. Чтобы противостоять этому, злоумышленники создают собственные реализации ключевых функций или получают их адреса через структуру PEB (Process Environment Block) и LDR.

Современные подходы к обфускации кода

Обфускация вредоносного ПО — это процесс, направленный на затруднение анализа бинарного файла программы. Можно выделить четыре основных подхода:

Обфускация посредством модификации исходного кода (ей и была посвящена большая часть статьи).
Обфускация посредством модификации итогового бинарного файла, осуществляемая специальной программой-обфускатором, которая рекурсивно заменяет одни инструкции на иные, эквивалентные, но более сложные для анализа (доступ к программе-обфускатору чаще всего предлагается как услуга по подписке).
Обфускация посредством модификации компилятора для генерации запутанного бинарного кода (так можно полностью автоматизировать обфускацию посредством модификации исходного кода)
Комбинированный подход (чаще всего подходов 1 и 2).

Комбинированный подход создает наибольшие трудности как для автоматического анализа антивирусами, так и для ручного исследования вирусными аналитиками.

Заключение

Борьба между создателями вредоносного ПО и специалистами по информационной безопасности продолжает усиливаться. Современные техники обхода антивирусов становятся всё более изощренными, включая сложные методы шифрования, обнаружение эмуляционных сред и продвинутую обфускацию кода.

Для эффективного противодействия угрозам компаниям необходимо постоянно отслеживать новые тенденции в области кибербезопасности, внедрять многоуровневые системы защиты и обучать специалистов современным методам анализа и защиты от вредоносного ПО. Только комплексная кибербезопасность (cybersecurity) и многоуровневая защита позволят противостоять развивающимся угрозам в цифровом мире.

Понимание техник, которые используют злоумышленники, — это первый шаг к созданию эффективной защиты. Регулярное обновление знаний и инструментов анализа в сочетании с проактивной позицией в вопросах безопасности необходимы для поддержания надежной киберзащиты в условиях быстро меняющегося ландшафта угроз.

]]> Обеспечение кибербезопасности: скрытые угрозы, о которых не говорят на совещаниях http://sbsecurity.ru/blog/skrytye-ugrozy-kiberbezopasnosti http://sbsecurity.ru/blog/skrytye-ugrozy-kiberbezopasnosti?amp=true Mon, 13 Oct 2025 21:07:00 +0300 Разбираем критически важные вопросы кибербезопасности, которые напрямую влияют на безопасность вашего бизнеса.

Обеспечение кибербезопасности: скрытые угрозы, о которых не говорят на совещаниях

Суть кибербезопасности для современного бизнеса порой бывает ближе к управлению рисками, чем к ИТ-технологиям. Реальная угроза часто скрывается не в темной сети, а в повседневных процессах вашей компании. Правда в том, что стандартный антивирус и сложный пароль — это уже не панацея, а лишь гигиена, как мытье рук. Настоящая защита начинается с понимания нетривиальных слабостей.

В этой статье мы разберем не самые известные, но критически важные вопросы кибербезопасности, которые напрямую влияют на безопасность вашего бизнеса.

Неочевидные угрозы: где на самом деле спрятаны главные риски?

Область кибербезопасности огромна, и пока вы укрепляете парадный вход, злоумышленник может зайти через черный. Давайте посмотрим на три часто упускаемых из вида вектора атаки.

1. «Теневые ИT» (Shadow IT): когда ваши сотрудники создают риски из лучших побуждений.

Что это? Это когда отдел маркетинга использует не одобренное облачное хранилище для обмена файлами, а бухгалтер устанавливает на рабочий компьютер мессенджер, чтобы быстрее получать документы от контрагентов.

В чем опасность? Вы теряете контроль. Эти сервисы не защищены корпоративными правилами, данные могут храниться на ненадежных серверах, и вы даже не узнаете об утечке. Обеспечение кибербезопасности в этой ситуации — не в запретах, а в создании удобных и безопасных альтернатив, о которых сотрудникам известно.

2. Цифровая цепочка поставок: вы не взломаны, но взломан ваш партнер.

Что это? Атаки через уязвимости в программном обеспечении или сервисах ваших поставщиков. Яркий пример — взлом через обновление программы для бухгалтерии или через сервис рассылки писем, который вы используете.

В чем опасность? Вы можете быть идеально защищены, но стать жертвой из-за слабого звена в цепочке. Основы кибербезопасности сегодня требуют проверять не только себя, но и своих ключевых ИТ-партнеров на предмет их политик безопасности.

3. Угроза физического доступа: забытый ключ от серверной.

Что это? Пренебрежение физической защитой. Серверная комната, которая не закрывается на ключ, ноутбук с данными, оставленный без присмотра в кафе, или принтер, на котором остаются распечатанные конфиденциальные документы.

В чем опасность? Любой, кто получит физический доступ к устройству, может обойти большинство программных защит. Правила кибербезопасности должны включать регламенты по обращению с техникой и защите помещений.

Принципы кибербезопасности, которые работают на опережение

Вместо подхода «строить самые высокие стены» эффективнее работает стратегия «предположим, что взлом неизбежен». Вот какие принципы кибербезопасности лежат в основе этой философии.

1. Принцип наименьших привилегий (PoLP).

Суть принципа: Каждый сотрудник и каждая программа должны иметь доступ ровно к тем данным и ресурсам, которые необходимы для выполнения их непосредственных задач. Бухгалтеру не нужен доступ к маркетинговой аналитике, а программе для видеоконференций — к папке с финансовыми отчетами.

Польза: Если учетная запись сотрудника будет скомпрометирована, злоумышленник получит доступ только к небольшому сегменту информации, а не ко всей системе.

2. Эшелонированная защита (Defense in Depth).

Суть принципа: Не полагайтесь на один уровень защиты. Вместо этого необходимо выстраивать систему из нескольких эшелонов обороны, которые взаимно дополняют и страхуют друг друга. К таким эшелонам относятся технические средства (брандмауэр, антивирус, СОВ), организационные меры (обучение сотрудников) и процедуры обеспечения непрерывности (регулярное резервное копирование). Суть в том, чтобы создать серию препятствий для злоумышленника. Даже если он преодолеет брандмауэр, его остановит антивирус. Если проскользнет и туда — его заметит система обнаружения вторжений. А бдительный сотрудник и вовсе не даст атаке начаться. В итоге прорвать такую многослойную защиту становится невероятно сложно.

Польза: Если хакер преодолеет один барьер, его остановит следующий. Это значительно усложняет задачу и увеличивает шансы вовремя обнаружить атаку.

3. Непрерывный мониторинг и готовность к инцидентам.

Суть принципа: Вместо того чтобы надеяться, что атаки не будет, лучше предположить, что она рано или поздно произойдет. Ваша цель — максимально быстро ее обнаружить, локализовать и ликвидировать последствия.

Польза: Компания, у которой есть отработанный план реагирования, теряет в разы меньше времени и денег при реальном инциденте, чем та, что действует в панике.

Правила кибербезопасности, которые меняют культуру компании

Ключевые вопросы кибербезопасности — это не только про технологии, но и про людей. Вот три практических шага, которые помогут сделать безопасность частью корпоративной ДНК.

Говорите на языке бизнеса, а не ИТ. Вместо «нужно обновить ПО из-за уязвимости CVE-2024−12 345» говорите: «Есть риск, что из-за бреши в программе злоумышленники могут похитить базу наших клиентов. Обновление займет 15 минут и устранит этот риск». Так вы донесете понятие кибербезопасности до руководства и получите поддержку.
Внедряйте безопасность на этапе проектирования. Не прикручивайте защиту как заплатку к готовому продукту или процессу. Обсуждайте риски и способы их минимизации при запуске любого нового проекта, закупке ПО или изменении бизнес-процессов.
Создайте атмосферу «без вины». Если сотрудник случайно кликнул на фишинговую ссылку, он должен не бояться наказания, а немедленно сообщить об этом в ИТ-отдел. Так вы быстрее отреагируете на угрозу. Наказывать нужно за сокрытие, а не за ошибку.

Обеспечение кибербезопасности — это постоянный процесс адаптации к новым угрозам и работы над культурой безопасности внутри коллектива. Начиная с внедрения этих неочевидных, но критически важных принципов, вы строите не просто «защиту от вирусов», а устойчивую и зрелую организацию, готовую к вызовам цифрового мира.

Хотите выявить свои «слепые зоны» и построить проактивную систему защиты? Наши эксперты помогут провести социотехническое тестирование, чтобы ваша безопасность была по-настоящему комплексной.

]]> Пентест: как проверяют защиту вашей компании от хакеров http://sbsecurity.ru/blog/pentest-kompanii http://sbsecurity.ru/blog/pentest-kompanii?amp=true Mon, 13 Oct 2025 21:02:00 +0300 Что такое тестирование на проникновение, зачем оно нужно и как помогает избежать реальных cyber-атак.

Пентест: как проверяют защиту вашей компании от хакеров

Каждый день злоумышленники ищут уязвимости в ИТ-системах компаний, чтобы похитить данные, украсть деньги или остановить бизнес. Вы можете быть уверены в своей защите: использовать современные антивирусы, настраивать сложные пароли и регулярно обновлять ПО. Но уверенность — это не то же самое, что реальная безопасность. Единственный способ доказать, что ваши системы действительно надежны — это проверить их на прочность, попытаться взломать самим. Именно для этого существует пентест — профессиональная проверка защиты глазами хакера.

В этой статье мы понятым языком расскажем, что такое тестирование на проникновение, зачем оно нужно и как помогает избежать реальных cyber-атак.

Что такое пентест и какие у него цели?

Пентест (сокращение от английского «Penetration Testing») — это законная и плановая проверка безопасности компьютерных систем. По-русски это называется тестирование на проникновение. Специалисты по безопасности, которых называют этичными хакерами, на время становятся «врагами». Они используют те же методы и инструменты, что и реальные злоумышленники, но с одной главной целью тестирования безопасности: найти уязвимости ДО того, как это сделают преступники.

Основные задачи, которые решает тестирование систем на проникновение, это:

Найти «дыры» в программном обеспечении, настройках сетей и веб-сайтов.
Проверить, насколько сотрудники готовы к фишингу и другим уловкам мошенников.
Оценить, какие данные могут быть украдены в случае успешной атаки.
Понять, насколько быстро ваша команда сможет обнаружить и остановить атаку.
Составить четкий план по устранению найденных проблем.

Проще говоря, тестирование на проникновение — это генеральная репетиция перед реальным боем. Оно показывает не только слабые места, но и то, как ваша защита поведет себя под давлением.

Какие бывают виды тестирования безопасности?

Не все проверки одинаковы. Методы тестирования безопасности выбираются в зависимости от того, что именно нужно проверить и насколько глубоко. Условно все виды тестирования безопасности можно разделить по объему знаний о системе и по объекту атаки.

По уровню информированности специалистов:

«Черный ящик» (Black Box). Специалист не знает ничего о внутреннем устройстве компании. Он действует точно так же, как внешний злоумышленник, который только ищет любую возможность пролезть внутрь. Этот метод хорошо показывает, насколько компания уязвима для атак извне.
«Белый ящик» (White Box). Этичный злоумышленник имеет полную информацию о системе: схемы сетей, исходный код программ, данные о конфигурации. Это глубокое и всестороннее тестирование на проникновение и безопасность, которое помогает найти максимальное количество ошибок, включая самые скрытые.
«Серый ящик» (Gray Box). Самый популярный формат. Специалисту дается частичная информация, например, уровень доступа обычного сотрудника. Это позволяет смоделировать атаку инсайдера или злоумышленника, который уже получил первые данные.

По объекту проверки:

Тестирование веб-приложений: Проверка сайтов, личных кабинетов, интернет-магазинов.
Тестирование сетевой инфраструктуры: Проверка корпоративных серверов, маршрутизаторов, компьютеров сотрудников.
Социальная инженерия: Проверка сотрудников на умение распознать обман (например, с помощью фишинг-рассылки).
Физическое тестирование: Попытка проникнуть в офис или на склад компании обманным путем.

Выбор правильного вида проверки — ключ к получению точных и полезных результатов.

Как проходит тестирование на проникновение: основные этапы

Любое испытание на проникновение — это не хаотичная атака, а строго спланированный процесс. Основы тестирования безопасности состоят из нескольких стандартных этапов.

Разведка и планирование. Сначала специалисты собирают всю доступную публичную информацию о компании (какие технологии используются, какие данные есть в открытом доступе). Определяются цели и правила игры: что можно тестировать, а что — категорически нельзя.
Сканирование. С помощью специальных программ анализируется система, чтобы понять, как она отвечает на различные запросы и где могут быть ее слабые стороны.
Получение доступа (Атака). Это ядро всего пентеста. Используя найденные уязвимости (например, старую версию программы или слабый пароль), специалисты пытаются проникнуть в систему и повысить свои права внутри нее.
Анализ и отчет. После завершения атаки команда безопасности готовит подробный отчет. В нем не просто перечислены найденные «дыры», а дано понятное объяснение: как хакер мог этим воспользоваться, какие данные были под угрозой и, самое главное, — конкретные инструкции по устранению каждой проблемы.

Регулярное тестирование безопасности ИТ-инфраструктуры — это признак зрелости и ответственности бизнеса. Это инвестиция в надежность вашей компании и спокойствие ваших клиентов, которые знают, что их данные находятся в надежных руках.

Хотите узнать, насколько хорошо защищена ваша компания? Наши специалисты проведут комплексное тестирование на проникновение, подробно разберут все находки и помогут вам создать непробиваемую защиту.

]]> Угрозы информационной безопасности — что важно знать каждой компании http://sbsecurity.ru/blog/ugrozy-informatsionnoy-bezopasnosti http://sbsecurity.ru/blog/ugrozy-informatsionnoy-bezopasnosti?amp=true Mon, 13 Oct 2025 20:51:00 +0300 Какие виды угроз безопасности существуют, откуда они исходят и как можно противостоять им.

Угрозы информационной безопасности — что важно знать каждой компании

В современном цифровом мире данные стали главной ценностью. Это финансовая отчетность, персональные данные клиентов, интеллектуальная собственность и коммерческие тайны. Потеря или кража этой информации может нанести бизнесу непоправимый ущерб. Поэтому понимание основных угроз информационной безопасности — это не прихоть ИТ-отдела, а необходимое условие для выживания и успеха любой компании. В этой статье мы простыми словами разберем, какие виды угроз безопасности существуют, откуда они исходят и как можно противостоять им.

Какие угрозы информационной безопасности бывают: внешние и внутренние

Все угрозы информационной безопасности можно разделить на две большие категории, в зависимости от их источника.

1. Внешняя угроза безопасности — это то, что приходит извне. Представьте, что ваша компания — это крепость. Внешние угрозы — это армия противника, которая пытается штурмовать ворота или перебраться через стены. К ним относятся:

Вредоносное программное обеспечение (вирусы, трояны, ransomware-вымогатели): Блокируют работу или шифруют данные с требованием выкупа.
Хакерские атаки: Целенаправленные взломы для кражи информации или вывода систем из строя.
Фишинг и мошенничество: Обманные письма и сайты, которые выманивают у сотрудников логины и пароли.
Спам и DDoS-атаки: Атаки, которые перегружают информационные системы компании, что приводит к сбоям в работе

2. Внутренние угрозы безопасности — часто более опасные, так как исходят изнутри «крепости». Злоумышленнику не нужно ломать стены — он уже внутри. К ним приводят:

Ошибки и халатность сотрудников: Случайное удаление данных, отправка конфиденциальной информации не тому адресату, использование слабых паролей.
Умышленные действия персонала: Недовольный или уволенный сотрудник может намеренно скопировать или удалить важные данные.
Кража устройств: Потеря или кража ноутбука или телефона с корпоративной информацией.

Понимание этой разницы — первый шаг к построению эффективной защиты.

Основные угрозы информационной безопасности: ТОП-5 актуальных рисков

Каждый год актуальные угрозы безопасности меняются, но некоторые остаются постоянными. Вот какие угрозы безопасности наиболее распространены сегодня:

Социальная инженерия (фишинг). Самый популярный метод. Вместо взлома сложных систем злоумышленники взламывают самое слабое звено — человека. Они обманом получают доступ к данным, притворяясь коллегой, банком или техподдержкой.
Ransomware (вымогатели). Эта угроза безопасности сети может парализовать всю компанию. Данные шифруются, и для их возврата требуют деньги. Даже после уплаты выкупа нет гарантии, что данные вернут.
Утечки данных из-за человеческого фактора. Недостаточная обученность сотрудников правилам кибергигиены приводит к постоянным инцидентам.
Атаки на мобильные устройства и «умные» гаджеты. С ростом удаленной работы смартфоны и планшеты стали лакомой целью для злоумышленников.
Уязвимости в программном обеспечении. Неустановленные обновления и «дыры» в популярном ПО дают хакерам возможность проникнуть в систему.

Знание этих рисков помогает сфокусировать ресурсы на самой важной защите.

Как защититься: оценка угроз безопасности информации и построение защиты

Бороться со всеми рисками сразу невозможно и экономически невыгодно. Поэтому необходим системный подход.

Первым делом проводится оценка угроз безопасности информации. Специалисты анализируют:

Объекты угроз безопасности: Что именно мы защищаем? Базы данных, серверы, сайт, финансовые операции?
Источник угроз безопасности: Кто может быть заинтересован в атаке? Конкуренты, хактивисты, собственные сотрудники?
Уровни угрозы безопасности: Насколько вероятна та или иная атака и какой ущерб она может нанести?

На основе этого анализа строится модель угроз информационной безопасности вашей компании. Это подробный план, который описывает все риски и меры по их предотвращению. Такая модель позволяет не действовать вслепую, а выстроить эшелонированную и эффективную защиту.

Что входит в базовые меры защиты?

Обучение сотрудников основам кибергигиены.
Установка и регулярное обновление антивируса и межсетевых экранов.
Организация надежного резервного копирования данных.
Использование сложных паролей и двухфакторной аутентификации.
Регулярное обновление всего программного обеспечения.

Угрозы информационной безопасности будут развиваться с каждым годом, этот процесс не остановить. Задача бизнеса — не игнорировать их, а проактивно выстраивать свою защиту. Профессиональный подход к информационной безопасности — это не статья расходов, а инвестиция в стабильность и репутацию вашей компании.

Готовы провести оценку угроз и построить эффективную систему защиты? Обращайтесь к нашим специалистам — мы поможем вам чувствовать себя в безопасности в цифровом мире.

]]> Социальная инженерия: как человеческий фактор ставит бизнес под удар http://sbsecurity.ru/blog/social-engineering http://sbsecurity.ru/blog/social-engineering?amp=true Tue, 07 Oct 2025 17:25:00 +0300 Почему инженеры по кибербезопасности начинают с проверки сотрудников?

Социальная инженерия: как человеческий фактор ставит бизнес под удар

Почему инженеры по кибербезопасности начинают с проверки сотрудников?

В современном мире злоумышленники все чаще атакуют не системы, а людей. Социальная инженерия, или социотехнические атаки, прочно вошла в арсенал инструментов киберпреступников.

Дело в том, что, человеческий фактор является самым слабым звеном в цепочке корпоративной безопасности. Гораздо проще и быстрее вынудить сотрудников раскрыть пароли, перевести средства или открыть доступ к корпоративным системам, чем взламывать сложные системы защиты. По данным исследований, более 90% успешных кибератак начинаются именно с фишинга — одного из методов социальной инженерии.

Для оценки уровня уязвимости компании к таким атакам, СофтБаланс проводит проверки на фишинг. За это отвечают пентестеры, или тестировщики на проникновение, — это «белые хакеры», которые легально взламывают системы, чтобы обнаружить слабые места в их безопасности. Их цель — помочь организациям устранить риски и защитить информацию от реальных атак. Пентестеры моделируют реальные сценарии атак, отправляя сотрудникам фишинговые письма, чтобы выяснить, насколько персонал готов противостоять манипуляциям. Такие проверки не только помогают выявить слабые места, но и повышают осведомленность сотрудников, что является ключевым элементом защиты от социальной инженерии.

В этой статье мы разберем кейс из нашей практики и наглядно покажем: как социотехнические атаки становятся угрозой для бизнеса, почему человеческий фактор так важен в вопросах безопасности и как компании могут защитить себя от злоумышленников.

Реальный кейс: почему хакеры начинают взламывать бизнес через сотрудников?

Наши специалисты проводили комплексную проверку защищенности бизнеса клиента от хакерских атак. Один из этапов как раз заключался в проверке действий сотрудников во время фишинговой атаки.

Всем сотрудникам компании были отправлены письма, замаскированные под корпоративные, с требованием ознакомиться с изменениями в полисе ДМС. Чтобы открыть файл сотруднику предлагалось ввести свой пароль и логин на поддельном ресурсе, который был замаскирован под интерфейс почтового клиента Outlook.

Поддельный ресурс, имитирующий почтовый клиент Outlook

В результате рассылки один из руководителей предоставил свои данные.

Таким образом, если бы рассылка проводилась настоящими хакерами — они бы смогли прочитать всю корпоративную переписку руководителя отдела.

Дальнейшая проверка защищенности внутренней сети показала, что одной почтой злоумышленники бы не ограничились. Полученная учетная запись имела административный доступ на несколько устройств (что уже само по себе представляет риск). С одного из таких компьютеров специалистам удалось произвести выгрузку хешей из SAM — базы данных, хранящей пароли пользователей.

Примечательно, что Kaspersky Endpoint Security способен предотвращать такие атаки. Однако, на устройстве с которого была произведена выгрузка хешей Kaspersky Endpoint Security установлен не был.

Среди выгруженных данных был обнаружен хеш пароля администратора Active Directory. Поскольку ранее данная учётная запись использовалась для подключения к устройству.

С новым хешем удалось получить права администратора домена, после чего были выгружены все учётные записи в домене, а также пароли, сохраненных в браузерах пользователей. С помощью добытых учетных записей специалистами был получен доступ к панели управления Kaspersky Security Center, что, в случае реальной атаки, позволяет загрузить вредоносное ПО на все устройства, где установлен Kaspersky Endpoint Security. В результате, злоумышленник мог бы получить доступ к любому устройству в домене.

Наши специалисты выделили 2 наиболее вероятных вектора атаки:

Полная компрометация партнёрских порталов и внешних ресурсов

Получение УЗ руководителя с административным доступом
Подключение к устройству с помощью административного доступа
Выгрузка хешей паролей из SAM
Получение УЗ администратора Active Directory
Выгрузка хешей паролей из NTDS. dit
Доступ к контроллеру домена
Сбор локально сохранённых паролей с рабочих станций
Полный доступ ко всем внешним ресурсам компании

Вектор №1: полная компрометация

Шифрование информационных активов компании

Получение УЗ руководителя с административным доступом
Подключение к устройству с помощью административного доступа
Выгрузка хэшей паролей из SAM
Получение УЗ администратора Active Directory
Выгрузка хешей паролей из NTDS. dit
Доступ к контроллеру домена
Выгрузка административной УЗ из LSA
Доступ к Kaspersky Security Center
Добавление вредоносного ПО в белый список и его удалённая установка
Шифрование всех информационных активов компании

Вектор №2: шифрование активов

Таким образом, тестирование на проникновение показало, что в случае фишинговой атаки в руках хакера могли бы оказаться: сервер виртуализации, Kaspersky Endpoint Security и внешние партнёрские платформы, например, личный кабинет партнёра 1С.

Практика показывает, чаще всего администратор домена Active Directory является администратором всей корпоративной сети. А значит, завладев подобной учетной записью, хакер может легко получить самые высокие права в сети компании подключившись к рабочим станциям других сотрудников или серверам.

Потенциальные последствия

Административный доступ к Active Directory позволяет зашифровать данные на всех корпоративных устройствах, украсть корпоративные и партнёрские аккаунты, что в свою очередь может привести к полной остановке работы.

Как правило, после такого злоумышленники требуют огромный выкуп за данные, однако на порядочность хакеров надеяться не стоит — перевод денег никоим образом не гарантирует восстановление данных.

Устранение последствий атаки дело не быстрое, и всё это время бизнес может простаивать, что влечет за собой: срыв договоров, подрыв доверия клиентов и партнёров и другие неприятные последствия.

Но если клиенты могут прийти и уйти, то вот от регулирующих органов не спрятаться. Например, довольно часто хакеры шифруют базы 1С: и по очевидным причинам компания не сможет вовремя сдать бухгалтерскую отчетность и корректно рассчитать налоги, за что ей грозит штраф.

Важно понимать, что взломом вашей компании злоумышленники могут не ограничиться и прийти уже к вашим клиентам. Не говоря уже о том, что законодательство в сфере персональных данных постоянно ужесточается и за подобную утечку может грозить крупный штраф.

К счастью, в рассматриваемом кейсе сценарий пошел по другому пути. А всё потому, что дыру в безопасности обнаружили не преступники, а инженеры СофтБаланс. В конечном итоге были разработаны рекомендации, позволяющие минимизировать шанс возникновения ситуации, описанной выше.

Почему фишинг остается самым популярным методом атак?

Итоги 2024 года показали, что рост атак на российские компании в следующие несколько лет будет только увеличиваться, что в свою очередь уже успело привести к существенному повышению спроса на услуги в сфере информационной безопасности.

Количество инцидентов связанных с фишингом бьет все рекорды:

Выводы ведущих компаний в данной сфере совпадают: доля атак с использованием социальной инженерии в 2024 году составила 51%.
ТАСС сообщает об увеличении количества фишинговых атак в РФ на 425% в 2024 году.
Solarотмечает расцвет фишинга — число выявленных поддельных ресурсов за I-III кварталы 2024 года выросло на 116% в сравнении с тем же периодом прошлого года.
По данным Positive Technologies за 2023 и 2024 года в 48% атак на организации и в 92% атак на частных лиц использовались методы социальной инженерии. Используемые злоумышленниками каналы социальной инженерии:

Какие каналы социнженерии чаще всего используют злоумышленники: статистика

Фишинг один из самых опасных видов атак, поскольку не требует сложных технических навыков — он основан на манипуляции человеческими эмоциями. Часто подобная атака — это лишь первое звено в цепочке, поскольку ее легко масштабировать. Даже если сработает лишь небольшой процент, этого достаточно для успешного взлома.

Осложняет ситуацию и то, что вариаций подобных атак уйма: от мошеннических сайтов и телефонных звонков до писем и флешек с вредоносными файлами.

К сожалению, даже высококвалифицированные сотрудники могут быть обмануты, если письмо выглядит убедительно и вызывает доверие. И поэтому особенно важно проводить регулярные проверки сотрудников, чтобы оценить, как они себя поведут в подобной ситуации. Защита системы — это комплексный подход, и не стоит забывать, что люди тоже ее часть.

Чтобы минимизировать риски фишинговых атак, компаниям необходимо:

Обучать сотрудников

Регулярное обучение: проводите тренинги по кибербезопасности, чтобы сотрудники умели распознавать фишинговые письма, подозрительные ссылки и вложения.

Симуляции фишинга: организовывайте тестовые фишинговые атаки для сотрудников, чтобы оценить их готовность и улучшить навыки распознавания угроз.

Информирование о новых угрозах: держите сотрудников в курсе новых методов фишинга.

Использовать технические меры защиты

Фильтрация входящей почты: используйте антиспам-решения и системы анализа почты для блокировки подозрительных писем (например, DMARC, SPF, DKIM, rspamd, Proxmox Mail Gateway).

Защита от вредоносных ссылок и вложений: внедрите решения для проверки URL и файлов (например, песочницы для анализа вложений).

Двухфакторная аутентификация (2FA): обязательно используйте 2FA для всех критически важных систем, чтобы даже при утечке паролей злоумышленники не смогли получить доступ.

Обновление ПО: регулярно обновляйте операционные системы, браузеры и антивирусные программы, чтобы закрыть известные уязвимости.

Хранение паролей: исключите возможность хранения паролей в браузере, вместо этого используйте корпоративное хранилище паролей.

Антивирусное ПО: установите и постоянно обслуживайте антивирусное программное обеспечение на всех устройствах в корпоративной сети.

Внедрить организационные меры

Политика безопасности: разработайте и внедрите политику кибербезопасности, которая включает правила работы с почтой, ссылками и вложениями.

Ограничение прав доступа: применяйте принцип минимальных привилегий, чтобы ограничить доступ сотрудников к критически важным данным и системам.

Процедуры реагирования: создайте четкий план действий на случай успешной фишинговой атаки, включая изоляцию зараженных систем и уведомление ответственных лиц.

Мониторить и анализировать

Логирование и анализ: ведите журналы активности пользователей и анализируйте подозрительные действия (например, массовые отправки писем или попытки доступа к защищенным ресурсам).

Ввести культуру безопасности

Поощрение бдительности: создайте культуру, в которой сотрудники не боятся сообщать о подозрительных письмах или действиях.

Регулярные проверки: проводите пентесты и аудиты, чтобы выявить слабые места и улучшить защиту.

Работать с внешними угрозами

Защита доменов: регистрируйте похожие доменные имена, чтобы злоумышленники не могли использовать их для фишинга.

Заключение

Социальная инженерия — как никогда актуальная угроза, с которой уже успели столкнуться многие компании. Но этой угрозе можно и нужно противостоять: регулярное проведение пентестов, обучение сотрудников и создание системы управления информационной безопасностью — помогают сохранить бизнес и сосредоточиться на его развитии.

Легче предотвратить инцидент, чем разбираться с его последствиями. Доверьте безопасность вашего бизнеса профессионалам!

Направление информационной безопасности СофтБаланс поможет вам выявить уязвимости, усилить защиту и минимизировать риски. Не ждите, пока проблема станет критической — действуйте на опережение!

Пройдите тестирование безопасности в этом году!

Оставьте заявку — и наши эксперты подберут для вас оптимальное решение с учетом ваших потребностей и бюджета.

Ваша безопасность — наш приоритет!

]]>