Кибератака (или кибератака) происходит , когда происходит несанкционированное действие против компьютерной инфраструктуры, которое ставит под угрозу конфиденциальность, целостность или доступность ее содержимого.
Растущая зависимость от все более сложных и взаимосвязанных компьютерных систем в большинстве сфер жизни является основным фактором, который вызывает уязвимость к кибератакам, поскольку практически все компьютерные системы имеют ошибки , которые могут быть использованы злоумышленниками. Хотя невозможно или непрактично создать абсолютно безопасную систему, существует множество защитных механизмов, которые могут сделать систему более трудной для атаки.
Виновниками кибератаки могут быть преступники, хактивисты или государства. Они пытаются найти слабые места в системе, использовать их и создать вредоносное ПО для достижения своих целей и доставить его в целевую систему. После установки вредоносное ПО может иметь различные последствия в зависимости от его цели. Обнаружение кибератак часто отсутствует или задерживается, особенно когда вредоносное ПО пытается шпионить за системой, оставаясь необнаруженным. Если оно обнаружено, целевая организация может попытаться собрать доказательства об атаке, удалить вредоносное ПО из своих систем и закрыть уязвимость, которая позволила осуществить атаку.
Кибератаки могут нанести разнообразный вред отдельным лицам, организациям и правительствам, включая значительные финансовые потери и кражу личных данных . Они обычно незаконны как метод преступления и ведения войны , хотя правильное определение источника атаки затруднительно, а виновные редко привлекаются к ответственности.
Кибератаку можно определить как любую попытку отдельного лица или организации «использовать один или несколько компьютеров и компьютерных систем для кражи, раскрытия, изменения, отключения или устранения информации или взлома компьютерных информационных систем, компьютерных сетей и компьютерных инфраструктур». [1] Определения различаются по типу требуемого взлома — например, требование, чтобы система выдавала неожиданные ответы или наносила травмы или ущерб имуществу. [2] Некоторые определения исключают атаки, осуществляемые негосударственными субъектами, а другие требуют, чтобы целью было государство. [3] Обеспечение безопасности системы зависит от поддержания триады ЦРУ : конфиденциальность (отсутствие несанкционированного доступа), целостность (отсутствие несанкционированного изменения) и доступность. [4] Хотя доступность менее важна для некоторых веб-сервисов, она может быть наиболее важным аспектом для промышленных систем. [5]
За первые шесть месяцев 2017 года два миллиарда записей данных были украдены или затронуты кибератаками, а выплаты за вымогательство достигли 2 миллиардов долларов США , что вдвое больше, чем в 2016 году. [6] В 2020 году, с ростом удаленной работы в результате глобальной пандемии COVID-19, статистика кибербезопасности показывает огромный рост взломанных и украденных данных. [7] Прогнозируется, что мировой рынок информационной безопасности достигнет 170,4 миллиардов долларов США в 2022 году. [8]
Со временем компьютерные системы занимают все большую часть повседневной жизни и взаимодействия. В то время как растущая сложность и связанность систем повышает эффективность, мощность и удобство компьютерных технологий, это также делает системы более уязвимыми для атак и ухудшает последствия атаки, если она произойдет. [9]
Несмотря на то, что разработчики стремятся создать продукт, который работает полностью так, как задумано, практически все программное обеспечение и оборудование содержат ошибки. [10] Если ошибка создает риск для безопасности, она называется уязвимостью . [11] [12] [13] Часто выпускаются исправления для исправления выявленных уязвимостей, но те, которые остаются неизвестными ( нулевые дни ), а также те, которые не были исправлены, по-прежнему подлежат эксплуатации. [14] Поставщик программного обеспечения не несет юридической ответственности за расходы, если уязвимость используется в атаке, что создает стимул для создания более дешевого, но менее безопасного программного обеспечения. [15] Уязвимости различаются по своей способности использоваться злоумышленниками . Наиболее ценные позволяют злоумышленнику внедрять и запускать свой собственный код (называемый вредоносным ПО ), без ведома пользователя. [11] Без уязвимости, обеспечивающей доступ, злоумышленник не может получить доступ к системе. [16]
Архитектура и проектные решения системы играют важную роль в определении того, насколько безопасной она может быть. [17] Традиционный подход к повышению безопасности заключается в обнаружении систем, уязвимых для атак, и укреплении этих систем, чтобы сделать атаки более трудными, но он эффективен лишь отчасти. [18] Формальная оценка риска компрометации очень сложных и взаимосвязанных систем нецелесообразна [19], а связанный с этим вопрос о том, сколько тратить на безопасность, трудно ответить. [20] Из-за постоянно меняющейся и неопределенной природы киберугроз оценка риска может создавать сценарии, которые являются дорогостоящими или недоступными для смягчения. [21] По состоянию на 2019 год [обновлять]не существует коммерчески доступных, широко используемых систем активной защиты для защиты систем путем преднамеренного увеличения сложности или изменчивости систем, чтобы затруднить атаку. [22] Подход к киберустойчивости , с другой стороны, предполагает, что нарушения будут происходить, и фокусируется на защите основных функций, даже если части скомпрометированы, используя такие подходы, как микросегментация , нулевое доверие и планирование непрерывности бизнеса . [23]
Большинство атак можно предотвратить, обеспечив полное исправление всего программного обеспечения. Тем не менее, полностью исправленные системы по-прежнему уязвимы для эксплойтов, использующих уязвимости нулевого дня . [24] Самый высокий риск атаки возникает сразу после того, как уязвимость была публично раскрыта или выпущен патч, поскольку злоумышленники могут создавать эксплойты быстрее, чем патч может быть разработан и развернут. [25]
Программные решения направлены на предотвращение несанкционированного доступа и обнаружение вторжения вредоносного программного обеспечения. [26] Обучение пользователей может предотвратить кибератаки (например, не нажимать на подозрительную ссылку или вложение электронной почты), особенно те, которые зависят от ошибки пользователя. [4] [27] Однако слишком много правил могут привести к тому, что сотрудники будут игнорировать их, сводя на нет любое улучшение безопасности. Некоторые внутренние атаки также можно предотвратить с помощью правил и процедур. [27] Технические решения могут предотвратить многие причины человеческих ошибок, которые делают данные уязвимыми для злоумышленников, такие как шифрование всех конфиденциальных данных, предотвращение использования сотрудниками небезопасных паролей, установка антивирусного программного обеспечения для предотвращения вредоносного ПО и внедрение надежной системы исправлений, чтобы гарантировать, что все устройства поддерживаются в актуальном состоянии. [28]
Существует мало доказательств относительно эффективности и экономической целесообразности различных мер по предотвращению кибератак. [26] Хотя внимание к безопасности может снизить риск атаки, достижение идеальной безопасности для сложной системы невозможно, и многие меры безопасности имеют неприемлемые недостатки с точки зрения стоимости или удобства использования. [29] Например, снижение сложности и функциональности системы эффективно для сокращения поверхности атаки . [30] Отключение систем от Интернета является одной из действительно эффективных мер против атак, но это редко осуществимо. [19] В некоторых юрисдикциях существуют юридические требования по защите от атак. [31]
Цепочка киберубийств — это процесс, посредством которого преступники осуществляют кибератаки. [32]
После установки вредоносного ПО его активность сильно варьируется в зависимости от целей злоумышленника. [38] Многие злоумышленники пытаются прослушивать систему, не влияя на нее. Хотя этот тип вредоносного ПО может иметь неожиданные побочные эффекты , его часто очень трудно обнаружить. [39] Ботнеты — это сети взломанных устройств, которые могут использоваться для рассылки спама или проведения [40] атак типа «отказ в обслуживании» — переполнения системы слишком большим количеством запросов, чтобы система могла обработать их одновременно, что делает ее непригодной для использования. [34] Злоумышленники также могут использовать компьютеры для майнинга криптовалют , таких как биткойн , для собственной выгоды. [41]
Ransomware — это программное обеспечение, используемое для шифрования или уничтожения данных; злоумышленники требуют плату за восстановление целевой системы. Появление криптовалюты, позволяющей проводить анонимные транзакции, привело к резкому увеличению числа запросов на Ransomware. [42]
Стереотип хакера — это человек, работающий сам на себя. Однако многие киберугрозы представляют собой команды хорошо обеспеченных экспертов. [43] «Растущие доходы киберпреступников приводят к увеличению числа атак, повышению профессионализма и узкоспециализированным злоумышленникам. Кроме того, в отличие от других форм преступлений, киберпреступность может осуществляться удаленно, а кибератаки часто хорошо масштабируются». [44] Многие кибератаки вызваны или поддерживаются инсайдерами, часто сотрудниками, которые обходят процедуры безопасности, чтобы выполнять свою работу более эффективно. [45] Злоумышленники сильно различаются по своим навыкам и изощренности, а также по своей решимости атаковать конкретную цель, в отличие от выбора легкодоступной цели. [45] Уровень навыков злоумышленника определяет, какие типы атак он готов осуществить. [46] Самые изощренные злоумышленники могут оставаться незамеченными в защищенной системе в течение длительного периода времени. [45]
Мотивы и цели также различаются. В зависимости от того, является ли ожидаемая угроза пассивным шпионажем, манипуляцией данными или активным захватом, могут потребоваться различные методы смягчения. [39]
Поставщики программного обеспечения и правительства в основном заинтересованы в нераскрытых уязвимостях ( нулевого дня ) [47] , в то время как организованные преступные группы больше заинтересованы в готовых к использованию наборах эксплойтов , основанных на известных уязвимостях [48] [49], которые намного дешевле. [50] Отсутствие прозрачности на рынке вызывает проблемы, такие как невозможность покупателей гарантировать, что уязвимость нулевого дня не была продана третьей стороне. [51] И покупатели, и продавцы размещают рекламу в даркнете и используют криптовалюту для неотслеживаемых транзакций. [52] [53] Из-за сложности написания и поддержки программного обеспечения, которое может атаковать самые разные системы, преступники обнаружили, что могут заработать больше денег, сдавая свои эксплойты в аренду, а не используя их напрямую. [54]
Киберпреступность как услуга, когда хакеры продают предварительно упакованное программное обеспечение, которое может быть использовано для совершения кибератаки, становится все более популярной как менее рискованная и более прибыльная деятельность, чем традиционный взлом. [53] Основной формой этого является создание ботнета из взломанных устройств и сдача его в аренду или продажа другому киберпреступнику. Различные ботнеты оснащены для различных задач, таких как DDOS-атаки или взлом паролей. [55] Также можно купить программное обеспечение, используемое для создания ботнета [56], и ботов , которые загружают вредоносное ПО покупателя на устройства ботнета. [57] DDOS как услуга, использующая ботнеты, удерживаемые под контролем продавца, также распространена и может быть первым киберпреступностью как продуктом услуги, а также может быть совершена путем рассылки SMS-сообщений в сотовой сети. [58] Вредоносное ПО и программы-вымогатели как услуга сделали возможным для лиц без технических возможностей проводить кибератаки. [59]
Целями кибератак могут быть как отдельные лица, так и корпорации и государственные учреждения. [9] Многие кибератаки предотвращаются или оказываются неудачными, но те, которые оказываются успешными, могут иметь разрушительные последствия. [19] Понимание негативных последствий кибератак помогает организациям гарантировать, что их стратегии предотвращения являются экономически эффективными. [26] В одной из статей вред, причиненный кибератаками, классифицируется по нескольким направлениям: [60]
Каждый день у людей похищаются тысячи записей данных . [9] Согласно оценке 2020 года, 55 процентов утечек данных были вызваны организованной преступностью , 10 процентов — системными администраторами , 10 процентов — конечными пользователями , такими как клиенты или сотрудники, и 10 процентов — государствами или связанными с государством субъектами. [65] Оппортунистические преступники могут вызывать утечки данных — часто используя вредоносные программы или атаки социальной инженерии , но они, как правило, уходят, если уровень безопасности выше среднего. Более организованные преступники имеют больше ресурсов и более сосредоточены на своих целях на конкретных данных . [66] Оба они продают полученную информацию для получения финансовой выгоды. [67] Другим источником утечек данных являются политически мотивированные хакеры , например, Anonymous , которые преследуют определенные цели. [68] Спонсируемые государством хакеры нацелены либо на граждан своей страны, либо на иностранные организации, в таких целях, как политические репрессии и шпионаж . [69]
После утечки данных преступники зарабатывают деньги, продавая данные, такие как имена пользователей, пароли, информацию об аккаунтах социальных сетей или лояльности клиентов , номера дебетовых и кредитных карт [67] и личную информацию о состоянии здоровья (см. утечка медицинских данных ). [70] Эта информация может использоваться для различных целей, таких как рассылка спама , получение продуктов с информацией о лояльности или платежах жертвы, мошенничество с рецептурными препаратами , мошенничество со страховкой [71] и особенно кража личных данных . [41] Потери потребителей от утечки обычно являются негативным внешним эффектом для бизнеса. [72]
Критическая инфраструктура — это то, что считается наиболее важным, например, здравоохранение, водоснабжение, транспорт и финансовые услуги, которые все больше управляются киберфизическими системами , функциональность которых зависит от доступа к сети. [73] [74] В течение многих лет авторы предупреждали о катастрофических последствиях кибератак, которые не материализовались по состоянию на 2023 год [обновлять]. [75] Эти экстремальные сценарии все еще могут произойти, но многие эксперты считают, что маловероятно, что проблемы с нанесением физического ущерба или распространением террора будут преодолены. [75] Регулярно происходят менее масштабные кибератаки, иногда приводящие к прерыванию основных услуг. [76]
Существует мало эмпирических доказательств экономического вреда (например, репутационного ущерба ) от нарушений, за исключением прямых затрат [77] на такие вопросы, как юридические, технические и PR-восстановление. [78] Исследования, которые пытались соотнести кибератаки с краткосрочным падением цен на акции, обнаружили противоречивые результаты: некоторые обнаружили скромные потери, другие не обнаружили никакого эффекта, а некоторые исследователи критикуют эти исследования по методологическим основаниям. Влияние на цену акций может различаться в зависимости от типа атаки. [79] Некоторые эксперты утверждают, что доказательства свидетельствуют о том, что прямых затрат или репутационного ущерба от нарушений недостаточно, чтобы в достаточной степени стимулировать их предотвращение. [80] [81]
Правительственные веб-сайты и службы относятся к числу тех, которые подвергаются кибератакам. [76] Некоторые эксперты предполагают, что кибератаки ослабляют общественное доверие или доверие к правительству, но по состоянию на 2023 год [обновлять]эта теория имеет лишь ограниченные доказательства. [75]
Быстрое реагирование на атаки является эффективным способом ограничения ущерба. Реагирование, вероятно, потребует широкого спектра навыков, от технического расследования до юридических и общественных связей. [82] Из-за распространенности кибератак некоторые компании планируют свое реагирование на инциденты до того, как будет обнаружена какая-либо атака, и могут назначить группу реагирования на компьютерные чрезвычайные ситуации , которая будет готова справиться с инцидентами. [83] [84]
Многие атаки никогда не обнаруживаются. Из тех, которые обнаруживаются, среднее время обнаружения составляет 197 дней. [85] Некоторые системы могут обнаруживать и отмечать аномалии, которые могут указывать на атаку, используя такие технологии, как антивирус , брандмауэр или система обнаружения вторжений . Как только возникает подозрение на подозрительную активность, следователи ищут индикаторы атаки и индикаторы компрометации . [86] Обнаружение происходит быстрее и более вероятно, если атака направлена на доступность информации (например, с помощью атаки типа «отказ в обслуживании» ), а не на целостность (изменение данных) или конфиденциальность (копирование данных без их изменения). [87] Государственные субъекты с большей вероятностью сохранят атаку в тайне. Сложные атаки, использующие ценные эксплойты, с меньшей вероятностью будут обнаружены или объявлены, поскольку преступник хочет защитить полезность эксплойта. [87]
Сбор доказательств осуществляется немедленно, при этом приоритет отдается нестабильным доказательствам, которые, скорее всего, будут быстро стерты. [88] Сбор данных о нарушении может облегчить последующее судебное разбирательство или уголовное преследование, [89] но только если данные собираются в соответствии с правовыми стандартами и сохраняется цепочка хранения . [90] [88]
Сдерживание затронутой системы часто является высоким приоритетом после атаки и может быть реализовано путем отключения, изоляции, использования системы-песочницы, чтобы узнать больше о противнике [88], исправления уязвимости и восстановления . [91] После того, как точный способ, которым система была скомпрометирована, идентифицирован, как правило, остается только одна или две технические уязвимости, которые необходимо устранить, чтобы сдержать нарушение и предотвратить его повторное возникновение. [92] Затем тест на проникновение может подтвердить, что исправление работает так, как ожидалось. [93] Если задействовано вредоносное ПО , организация должна расследовать и закрыть все векторы проникновения и эксфильтрации, а также найти и удалить все вредоносное ПО из своих систем. [94] Сдерживание может поставить под угрозу расследование, а некоторые тактики (например, отключение серверов) могут нарушить договорные обязательства компании. [95] После того, как нарушение полностью локализовано, компания может работать над восстановлением всех систем до рабочего состояния. [96] Для улучшения восстановления используются резервное копирование и протестированные процедуры реагирования на инциденты. [23]
Приписывание кибератаки является сложным и представляет ограниченный интерес для компаний, которые подвергаются кибератакам. Напротив, секретные службы часто имеют настоятельный интерес в выяснении того, стоит ли за атакой государство. [97] В отличие от атак, совершенных лично, определение субъекта, стоящего за кибератакой, является сложным. [98] Еще одной проблемой при приписывании кибератак является возможность атаки под ложным флагом , когда фактический преступник создает видимость того, что атаку совершил кто-то другой. [97] Каждый этап атаки может оставлять артефакты , такие как записи в файлах журналов, которые могут быть использованы для определения целей и личности злоумышленника. [99] После атаки следователи часто начинают с сохранения как можно большего количества артефактов, которые они могут найти, [100], а затем пытаются определить злоумышленника. [101] Правоохранительные органы могут расследовать киберинциденты , [102] хотя ответственные за это хакеры редко пойманы. [103]
Большинство государств согласны с тем, что кибератаки регулируются законами, регулирующими применение силы в международном праве , [104] и поэтому кибератаки как форма ведения войны, вероятно, нарушают запрет агрессии. [105] Следовательно, они могут преследоваться как преступление агрессии . [106] Существует также согласие с тем, что кибератаки регулируются международным гуманитарным правом , [104] и если они направлены на гражданскую инфраструктуру, они могут преследоваться как военное преступление , преступление против человечности или акт геноцида . [106] Международные суды не могут применять эти законы без обоснованного установления виновности атаки, без которого контрмеры со стороны государства также не являются законными. [107]
Во многих странах кибератаки преследуются по различным законам, направленным на борьбу с киберпреступностью . [108] Приписывание атаки обвиняемому вне разумных сомнений также является серьезной проблемой в уголовном судопроизводстве. [109] В 2021 году государства-члены Организации Объединенных Наций начали переговоры по проекту договора о киберпреступности. [110]
Во многих юрисдикциях действуют законы об уведомлении об утечке данных , которые требуют от организаций уведомлять людей, чьи персональные данные были скомпрометированы в результате кибератаки. [111]