Интернет инициирует масштабные изменения в современном обществе и, решая одни проблемы, порождает массу других. В нем как в зеркале отражаются наши качества — от индивидуальных личностных до глобальных межгосударственных.

В беседе с научным редактором PC Week Валерием Васильевым технический директор направления интернет-безопасности компании Trend Micro Дэйв Рэнд рассказал о своем видении современной стадии развития Интернета со всеми ее принципиальными сложностями, вытекающими прежде всего из проблемы выстраивания доверительных отношений в Сети, что тесно связано с обеспечением безопасности на разных уровнях социума.

PC Week: Как вы считаете, на какие опасности, исходящие сегодня из Интернета, обществу следует обратить внимание в первую очередь?

Дэйв Рэнд: На мой взгляд, наряду с первоисточниками киберугроз большую опасность стали представлять атакованные и взломанные компьютеры. Оценить их количество очень сложно. По моим расчетам, основанным на проводимых компанией Trend Micro исследованиях, ежедневно во всем мире на киберпреступников работают 175 млн. компьютеров.

В России ситуация в этом смысле не из лучших. Так, за 2007 г. мы отследили в российском сегменте Интернета 1,5 млн. используемых злоумышленниками компьютеров, а в этом году только в марте их уже было около 800 тыс. К счастью, пока злоумышленники их задействуют не одновременно. На графиках наших отчетов, например, видно, что распространение спама через бот-сети активизируется зимой, причем на активность спамеров накладывается пользовательский спад, связанный с длительными праздниками этого времени года.

Графики отражают и более любопытные ситуации. Например, из-за землетрясения в 2006 г. в Китае был разрушен интернет-канал, и около 3 млн. расположенных в этой стране зомбированных компьютеров за какие-нибудь три минуты оказались отрезанными от Сети. Но буквально через пятнадцать минут их заменили бот-сети Восточной Европы. Мне как специалисту, участвовавшему в создании очень крупных сетей, объяснить это непросто — я бы не сумел за столь короткое время переориентировать такой мощный трафик. Это может свидетельствовать только о том, что киберпреступники прекрасно организованы и контролируют огромное количество компьютеров во всем мире.

PC Week: При таких масштабах и оперативности невольно возникает подозрение, что в организации бот-сетей участвуют очень крупные, в том числе государственные структуры.

Д. Р.: Нужно быть аккуратным в выводах. Да, есть подозрения (но не доказательства), что, скажем, в атаках типа BGP injection замешаны и правительства некоторых стран. Это очень сложные атаки. Как известно, в Интернете нет единого центра, нет структуры, которая в состоянии определить адрес любого его пользователя. И случается, люди злоупотребляют этим, например, вводя в протокол BGP ложную информацию о маршруте того или иного трафика. Такие возможности, увы, заложены в самой архитектуре Интернета, в его основах.

Так, с ноутбука, подключенного к Интернету через Wi-Fi в отеле или в аэропорте, можно захватить управление любым сайтом, просто уводя его пользователей по ложному маршруту на подставной сайт. Чтобы похитить конфиденциальную информацию у клиента банка, можно попробовать установить на его ПК килоггер для перехвата пароля при вводе. Но зачем это делать, если можно на час перехватить управление всем сайтом банка? Люди регистрируются, вводят свои пароли, но наталкиваются на сообщение: “Извините. Сайт на техническом обслуживании. Просим повторить подключение через пятнадцать минут”, -- и откуда им знать, что они при этом пытались подключиться совсем не к сайту своего банка?

Вот конкретный пример атаки типа BGP injection. В компании America Online огромный пул IP-адресов. Преступник атакует крохотный сегмент этого пула, блокируя работу в Интернете пользователей, подключенных по этим адресам. Преступники могут использовать их для рассылки спама, допустим, в течение суток, а потом маршрут рассылки ликвидируют. В результате распространителем этого спама для его получателей предстанет America Online. Но у этого провайдера 25-й порт (SMTP, пересылка электронной почты. – Прим. ред.) всегда заблокирован для клиентов, в чем при необходимости можно убедиться официально. Вот и получается, что предъявлять претензии по поводу распространения спама некому.

Такие атаки предотвратить нельзя. Обнаружить их можно, но только непосредственно в процессе реализации, а не по завершении, предотвратить — нельзя. Это одна из проблем структуры протокола BGP: невозможно установить источник изменения маршрута после завершения сеанса связи — никаких логов не остается. Такова фундаментальная уязвимость Интернета.

PC Week: Но если можно обнаружить такую атаку во время ее реализации, почему бы оператору не предпринять оперативно меры по ее ликвидации хотя бы на этой стадии, не позволяя использовать образовавшуюся брешь на протяжении часов?

Д. Р.: Чтобы ответить, приведу еще один пример. Некоторое время тому назад одна из стран заблокировала на своей территории использование устройств компании YouTube. Казалось бы, все законно, все по правилам рынка. Но сразу после введения этих мер серверы YouTube на много часов перестали работать во всем мире. То есть даже зная, что происходит с ее сетью, кто ввел изменения в маршрутизацию и к кому по этому поводу следовало обращаться, компания потратила более суток на восстановление корректной маршрутизации.

PC Week: Что ж, приходится констатировать, что с принципиальными уязвимостями Интернета специалисты бороться сегодня не в состоянии. Но глобальная сеть развивается, уже внедряются технологии Интернет-2, основу которых составляет IPv6. Устранены ли там основные уязвимости?

Д. Р.: Я уже много лет работаю в области интернет-безопасности, и на мой взгляд, чтобы Сеть обезопасить полностью, есть единственное радикальное решение — превратить ее в централизованную систему. А это невозможно, никто не хочет, чтобы это случилось. Нам нужно использовать другие подходы — веб-доверие. Мы пытаемся применять цепочку сигнатур, выстроить доверенное пространство. Это суть подхода — обеспечить доверие, уверенность в том, что мой коллега по коммуникациям ничего плохого ни мне, ни окружающим не сделает.

На заре Интернета проблемы доверия не было, поскольку его создавал узкий круг энтузиастов-единомышленников. Но сегодня все гораздо сложнее, и “виноваты” в этом мы сами, потому что все вместе создали нынешний Интернет таким, каков он есть. Мы ищем решение проблемы доверия, но его пока нет. При этом важно понимать масштабность проблемы: сегодня в Интернете ежедневно регистрируется по нескольку сотен инцидентов.

PC Week: Как можно оценить ущерб от этих инцидентов?

Д. Р.: Некоторые атаки почти “безобидны”, как, например, в случае с компанией YouTube. Скорее всего там была допущена ошибка, а не организована диверсия, во всяком случае, мотивы такой диверсии не очевидны. Однако полностью оценить ущерб от инцидентов невозможно, в том числе и потому, что, некоторые кибератаки, насколько мне удалось отследить, организуются правительствами стран — сюда относятся подключения к определенным базам данных, перехват определенных паролей, хотя, повторяю, доказать это очень сложно.

Сегодня в мире действует около 25 тыс. крупных интернет-провайдеров, и каждый из них поддерживает протокол BGP. Провайдеры помельче обходятся и без него — они ограничиваются работой внутри выделенного им адресного пространства, в то время как крупные обязаны обмениваться информацией об адресах подключений. Но как узнать, кому из них можно доверять, а кому нет?

PC Week: И все-таки, как можно организовать доверительные отношения в Интернете?

Д. Р.: Мы в организации IETF [Internet Engineering Task Force] активно занимаемся этим, но проблема здесь не технологическая, а социальная. Уже в начале 90-х годов, когда я занимался построением одной из первых репутационных систем в Интернете, стало ясно, что понятия реального мира нужно переносить в мир цифровой, чтобы наладить и поддерживать долгосрочные доверительные отношения. Взаимодействуя с людьми, вы уже на подсознательном уровне решаете, можно им доверять или нет. Со временем у вас появляются опыт и информация. То же самое мы планируем реализовать и в Интернете.

PC Week: Так что же получается, никакие электронные подписи, шифрование и т. п. не в состоянии помочь нам в этом?

Д. Р.: Ну давайте предположим, что у нас появился новый способ анонсирования маршрутов — “безопасный BGP” (который сейчас находится в стадии разработки). Чтобы объявить маршрут безопасным, нужно использовать сертификат с цифровой подписью. Но кем должен быть подписан этот сертификат? “Центральным органом Интернета”, которого, как мы выяснили, нет и быть не может? Это ключевая проблема. Но есть и другие.

Сигнатуры создаются людьми, а люди всегда уязвимы. Из-за афер в Интернете они ежегодно теряют около 16 млрд. долл. А сколько стоит подкупить инженера, от которого зависит корректное интернет-подключение, — десять тысяч долларов, сто тысяч, миллионы? В информационные технологии включились настоящие криминальные профессионалы, и счет в киберпреступлениях идет не только на деньги, но и на человеческие жизни.

Мы можем решить технические проблемы между компьютерами, но криминальные намерения людей предотвратить гораздо труднее. Сейчас вот стали популярны цифровые фоторамки — прекрасный современный способ использования фотоизображений. Но, к сожалению, среди этих устройств обнаружены такие, которые поставляются прямо с заводов с внедренным очень сложным вредоносным кодом, и при подключении к компьютеру они заражают его.

PC Week: Как он там оказался, этот код?

Д. Р.: Похоже, это попытка киберпреступников подобраться к тем компьютерам, которые пока не подключены к Интернету. Реализовали они ее либо из-за халатности инженера, либо при прямом его участии. Этот код оказался очень сложным, подобрать средства противодействия ему было очень непросто.

PC Week: Что же, те антивирусы, которые сегодня установлены практически на каждом ПК, оказались не в состоянии распознать и нейтрализовать такое заражение?

Д. Р.: Да, это совершенно новый, очень сложный вид атак, для них еще не успели даже придумать названия. Он внедрен в фабричную прошивку флэш-памяти устройства. Мне также знаком вариант заражения BIOS, к счастью, существующий пока только как демонстрация нового вида заражения, но не массовая реализация. Такое заражение тоже возможно только у производителя, на заводе. Имеются также средства взлома подключенных к сети компьютеров, внедренные в чип сетевых контроллеров. Как видим, угрозы проникают настолько глубоко, насколько это только можно себе представить.

PC Week: А если усовершенствовать контроль безопасности на производстве, можно ли снизить опасность таких угроз? Как специалист в этой области, что вы могли бы рекомендовать для борьбы с ними?

Д. Р.: Ну, прежде всего производители устройств должны усвоить, что такие угрозы уже существуют. Затем следует ввести наказание для тех из них, кто выпускает зараженные продукты. Работу в этом направлении нужно вести на высоком уровне — в общественных и государственных институтах. Надо организовать независимую, исключающую влияние производителей проверку продукции. В Канаде, например, действует организация CSA, контролирующая безопасность выпускаемой аппаратуры. Должна быть создана аналогичная структура и по предотвращению появления в продаже зараженной вредоносным кодом электронной продукции.

Кроме компаний, специализирующихся на вопросах ИБ, о масштабах обсуждаемых проблем хорошо осведомлены интернет-провайдеры, но они предпочитают о них умалчивать. Нужно изменить такую практику.

PC Week: Каким образом это можно сделать?

Д. Р.: Современный мир находится в переходном состоянии: цифровые информационные активы начинают перевешивать физические. Потеря базы данных (например, из-за заражения вредоносным кодом) может иметь катастрофические последствия для различного рода структур — для правительства, компании, частного лица. Зачастую провайдеры располагают информацией, ставшей причиной такой утраты. Почему бы им не разделить ответственность за понесенный ущерб? Нужно искать баланс между риском и ответственностью. Над этим приходится работать на самых разных уровнях.

Я предлагаю обязать провайдеров следить за конечными точками в сети и в случае выявления признаков необычного поведения по меньшей мере уведомлять об этом пользователей данной точки. Сегодня в OECD (Организация экономического сотрудничества и развития. – Прим. ред.) мы пытаемся добиться этого, разрабатываем рекомендации для законов, регулирующих межгосударственное взаимодействие.

На примере спама можно убедиться, что это совсем не просто. Скажем, спам, предлагающий виагру, с компьютеров в Канаде адресуется пользователям Великобритании; сайт, на котором можно разместить такой заказ, находится в Китае; DNS-сервер, обслуживающий этот сайт, расположен на Тайване; обработка финансовых транзакций — на Каймановых островах, а продукт поставляется из Индии. Наша задача -- показать законотворцам разных стран, с чего начинать в таких ситуациях. И, поверьте, это весьма сложно. Но несомненно, что ответственность может быть возложена и на провайдеров, которые в состоянии контролировать такие инциденты, нужно обязать их завоевывать репутацию и доверие.

Сегодня только один провайдер в России за день может разослать сотни миллионов спамерных писем. И это не худший случай в мире, потому что другой, правда не российский, в состоянии справиться уже с несколькими миллиардами в день. У разработчиков есть средства контроля такого поведения провайдеров, но пока оно регламентируется только моралью, но не законом. Однако моральные регламенты, как видим, не всегда эффективны.

PC Week: Значит, провайдеры делают это сознательно?

Д. Р.: Да, они просто закрывают на это глаза. Но если мы обяжем их уведомлять пользователей об обнаруженных странностях в поведении их устройств, нужно учесть, что это тоже услуга, которая стоит каких-то денег. Я считаю, что плату за Интернет можно чуточку увеличить, чтобы покрыть эти дополнительные расходы провайдеров.

PC Week: Ощущают ли провайдеры тех стран, где Интернетом пользуется большая часть населения, давление со стороны общественных и государственных институтов, заставляющее их двигаться в этом направлении?

Д. Р.: Очень слабое даже в самых развитых странах. Ведь многие пользователи уверены в том, что, купив некоторый набор устройств, они решат задачи своей информационной безопасности, забывая, что ИБ — это не устройство, а процесс, неотъемлемой частью которого являются организационные меры.

PC Week: Получается, что вера во всемогущие устройства защиты жива?

Д. Р.: Наши данные свидетельствуют о том, что совсем скоро каждое компьютерное заражение будет уникальным. Это означает, что такие стандартные технологии защиты, как сигнатурный анализ, окажутся бесполезными. Индустрия ИБ должна ориентироваться на анализ поведения и изоляцию источников угроз — это станет основой будущих средств безопасности, и на этом следует сосредоточить усилия специалистам.

PC Week: Благодарю за беседу.