Мысли о защите безопасности после того, как Google подвергся атаке APT

Следующее адаптировано из встречи, проведенной 19 июля 2022 года Кентом Уокером, президентом по международным вопросам.2022 годинформационная безопасностьна международных конференцияхречь.

Благодарим вас за возможность принять участие в этом важном разговоре о кибербезопасности.

Мы в Google с гордостью можем сказать, что обеспечиваем безопасность в Интернете большему количеству людей, чем кто-либо другой в мире. Но это не всегда так.

Итак, позвольте мне начать с рассказа о том, как мы ошиблись, и о двух вещах, которые мы все можем извлечь из этого опыта. Мой папа всегда говорил мне, что дешевле всего учиться на чужих ошибках. Итак, позвольте мне рассказать вам об одном из наших.

Некоторые из вас, возможно, помнят, что в конце 2009 года компания Google стала жертвой крупной кибератаки под кодовым названием Операция Аврора.

У нас уже давно есть одни из самых подвергаемых атакам веб-сайтов в мире. Но Аврора особенная.

Aurora — это атака, инициированная правительством Китая, которая стала серьезным инцидентом безопасности, приведшим к краже интеллектуальной собственности Google.

Но «Аврора» — это не просто инцидент, связанный с безопасностью. Речь идет не только о Google.

В ходе расследования мы обнаружили, что подобным атакам подверглись еще несколько известных компаний. Другие компании либо не обнаружили атак, либо не захотели их раскрывать. Когда я был федеральным прокурором и специализировался на преступлениях в сфере технологий, одной из самых больших проблем, с которыми мы столкнулись, было заставить компании выйти на биржу или даже получить помощь от властей.

Поэтому мы считаем важным поговорить об этой атаке, рассказать миру о ее последствиях.хакерподход и сектора, подверженные риску.

Мы работаем с правительством США, чтобы поделиться векторами угроз и уязвимостями.

Мы не остановились на достигнутом: после Aurora мы запустили целую команду под названием Project Zero, чтобы обнаруживать и оперативно раскрывать ранее не обнаруженные уязвимости нулевого дня в нашем собственном и программном обеспечении других компаний, поднимая планку безопасности каждого.

Сегодня группа анализа угроз Google (TAG) работает над устранением целого ряда постоянных угроз: от злоумышленников, поддерживаемых правительством, до коммерческих поставщиков средств наблюдения и преступников. TAG регулярно публично раскрывает информацию об атаках иностранных злоумышленников, в том числе предпринимает сложные попытки установления личности.

Поэтому я бы сказал, что первым долгосрочным уроком атаки на «Аврору» является необходимость внедрить открытость и прозрачность в структуру реагирования на кибербезопасность. Это не всегда комфортная работа — на этом пути нам пришлось провести несколько трудных переговоров с партнерами и нашими собственными командами — но необходимо двигать отрасль вперед и обеспечивать быстрое исправление ошибок, прежде чем они смогут использовать их в реальных условиях.

В последующие годы мы разработали некоторые принципы, гарантирующие, что мы сможемОтветственно, прозрачно и полезноДелитесь информацией об уязвимостях с общественностью, нашими партнерами и правоохранительными органами,Сетевые атаки(например, нападения на выборы) и знание кампаний по дезинформации.

В свою очередь, правительство США разработало свои собственные процессы для облегчения обмена информацией с отраслевыми партнерами, чтобы ускорить выпуск исправлений, которые защитят нас всех.

Но ценность прозрачности – не единственная причина, по которой я упомянул историю Авроры.

Аврора не только научила нас необходимости обеспечивать прозрачность, но и преподала нам второй, еще более важный урок: что работает, а что нет, когда дело касается архитектуры безопасности.

Возможна только чрезмерная индексация обмена информацией.

В некотором смысле, сосредоточение внимания на основах безопасности программного обеспечения даже более важно для того, чтобы вывести нас всех за пределы того уровня незащищенности, который мы наблюдаем сегодня.

Мы курируем и используем аналитику угроз для защиты миллиардов пользователей — и делаем это уже некоторое время. Но вам нужно больше, чем просто интеллект, и вам нужно больше, чем просто продукты безопасности — вам нужны продукты безопасности.

Безопасность должна быть встроенной, а не просто обеспеченной.

Аврора показывает нам, что мы (и многие в отрасли) поступаем неправильно, когда дело касается кибербезопасности.

В те времена безопасность обычно была «хрустящей снаружи и жевательной внутри». Отлично подходит для шоколадных батончиков, но не очень хорош для предотвращения атак. Мы строим высокие стены, чтобы не допустить злоумышленников, но если они преодолеют эти стены, у них появится широкий доступ внутрь.

Эта атака помогла нам осознать, что наш подход необходимо изменить — нам нужно было удвоить безопасность по замыслу.

Нам нужна сеть, ориентированная на будущее, которая отражает открытость, гибкость и функциональную совместимость Интернета, а также то, как люди и организации уже все чаще работают.

Короче говоря, мы знали, что нам нужно перепроектировать безопасность облака.

Поэтому мы запустили внутреннюю программу под названием BeyondCorp, которая впервые реализовала концепции нулевого доверия и глубокой защиты и позволила каждому сотруднику работать в ненадежных сетях без использования VPN. Сегодня организации по всему миру применяют тот же подход, перенося контроль доступа с периметра сети на отдельных лиц и данные.

Если вы перенесетесь в современные гибридные облачные среды, нулевое доверие станет обязательным.

В основе Zero Trust лежит идея о том, что безопасность не имеет четких границ. Он путешествует с пользователями и данными. Например, поскольку правительства настаивают на многофакторной аутентификации для правительственных систем, мы автоматически регистрируем пользователей для двухэтапной проверки, чтобы подтвердить, что это действительно они, нажав на свой телефон, когда они входят в наши продукты.

На практике это означает, что сотрудники могут работать из любой точки мира, получая доступ к наиболее конфиденциальным внутренним службам и данным через Интернет без ущерба для безопасности. Это также означает, что если злоумышленнику удастся взломать защиту, он не будет иметь полного доступа к внутренним данным и сервисам.

Самое эффективное, что компания, организация или правительство могут сделать для защиты от кибератак, — это обновить свою устаревшую архитектуру.

Всегда ли это легко? Нет, но оно того стоит, если учесть, что устаревшие архитектуры с миллионами строк проприетарного кода содержат тысячи ошибок, каждая из которых представляет собой потенциальную уязвимость.

Помимо замены существующих труб, Нам также необходимо подумать о следующей задаче и использовать новейшие инструменты.

В то время как мир стремится усовершенствовать шифрование, чтобы противостоять угрозе квантового дешифрования, нам необходимо инвестировать в передовые технологии, которые помогут нам опережать все более сложные угрозы.

Хорошей новостью является то, что инструменты кибербезопасности быстро развиваются: от возможностей искусственного интеллекта до продвинутой криптографии и квантовых вычислений.

Если сегодня мы говорим о безопасности по замыслу, то следующим будет безопасность через инновации – проектирование с учетом безопасности с использованием искусственного интеллекта и машинного обучения – с целью использования новых инструментов для борьбы с злоумышленниками, чтобы обойти фильтрующие серверы, взломать зашифрованные сообщения и создать индивидуальные настройки. фишинговые письма.

У нас есть одни из лучших разработок в области искусственного интеллекта в отрасли, и мы тестируем новые методы и используем некоторые из наших ведущих инструментов искусственного интеллекта для обнаружения вредоносных программ и фишинга в больших масштабах. Искусственный интеллект позволяет нам быстрее обнаруживать больше угроз, сокращая при этом человеческие ошибки. Искусственный интеллект, анализ графов и прогнозная аналитика могут значительно улучшить нашу способность выявлять и блокировать фишинг, вредоносные программы, оскорбительные приложения и вредоносный код веб-сайтов.

Мы с нетерпением ждем возможности поделиться нашими выводами, чтобы организации и правительства могли подготовиться. В конце концов, сейчас не время ограничивать обучение или методы достижения успеха. Злоумышленники не просто ищут способы использовать ваши неизвестные уязвимости. Подобно Hafnium и SolarWinds, они ищут слабые звенья в цепочке безопасности, которые позволяют им переходить от одной атаки к другой. Нарушение в одной организации может нанести ущерб целым отраслям и инфраструктуре.

Кибербезопасность — это командный вид спорта, и нам всем нужно вместе становиться лучше, наводя мосты не только внутри сообщества безопасности, но также между сообществом национальной безопасности, научными кругами и Кремниевой долиной.

Начав с одной истории, позвольте мне рассказать вам другую — кибербезопасность и война России на Украине.

Наш подход сильно изменился со времен «Авроры». Возможно, нет лучшего примера такого изменения, чем наша реакция на войну в Украине.

Вторжение России спровоцировало не только военную и экономическую войну, но также кибервойну и информационную войну. В последние месяцы мы стали свидетелями увеличения числа субъектов угроз — государственных структур и преступных сетей — использующих войну в качестве приманки для кампаний по фишингу и вредоносному ПО, занимающихся шпионажем и попытками распространения дезинформации.

Но на этот раз у нас есть современная инфраструктура и процессы для мониторинга и реагирования на угрозы по мере их возникновения.

Мы отправили тысячи предупреждений пользователям, на которых нацелены иностранные субъекты — практику, которую мы впервые применили после «Авроры». В подавляющем большинстве случаев мы блокировали атаки.

Мы запустили Project Shield, чтобы объединить не только журналистов, но и уязвимые веб-сайты в Украине под эгидой безопасности Google для защиты от DDOS-атак. Хотя вы можете атаковать небольшой веб-сайт, DDOS-атака на Google оказалась очень сложной задачей. Мы сорвали фишинговую кампанию актера из Беларуси Ghostwriter. Мы также помогли украинскому правительству модернизировать свою киберинфраструктуру и укрепить ее способность противостоять атакам.

Мы гордимся тем, что являемся первой компанией, получившей Специальную премию мира от правительства Украины в знак признания этих усилий.

Но работа далека от завершения.

Даже сейчас мы видим сообщения о том, что Кремль, возможно, планирует активизировать атаки и координировать кампании по дезинформации в Восточной Европе и за ее пределами, пытаясь разделить и подорвать поддержку Украины Западом. Фактически, только сегодня наша команда TAG опубликовала новый отчет о деятельности группы угроз, связанной с Федеральной службой безопасности России, ФСБ и субъектами угроз, использующими фишинговые электронные письма для нападения на правительственных и оборонных чиновников, политиков, НПО, аналитические центры и журналисты.

И, глядя за пределы России и Украины, мы видим растущую угрозу со стороны Ирана, Китая и Северной Кореи.

Google — гордая американская компания, которая стремится защищать демократию, а также безопасность и безопасность людей во всем мире.

Мы считаем, что кибербезопасность является одной из наиболее важных проблем, с которыми мы сталкиваемся.

Вот почему мы инвестируем 10 миллиардов долларов в течение следующих пяти лет в укрепление кибербезопасности, включая расширение инициатив нулевого доверия, помощь в защите цепочки поставок программного обеспечения и повышение безопасности с открытым исходным кодом.

Вот почему мы только что создали новое подразделение — Google Public Sector — которое занимается поддержкой работы с правительством США. Именно поэтому мы всегда открыты для новых партнерских отношений и проектов с государственным сектором.

В последние годы мы работали с Целевой группой ФБР по иностранному влиянию над выявлением и противодействием операциям иностранного влияния, направленным на Соединенные Штаты. Мы работаем с Центром сотрудничества в области кибербезопасности АНБ. Мы присоединились к Объединенному коллективу по киберзащите, чтобы помочь защитить критически важную инфраструктуру и улучшить наше коллективное реагирование на инциденты по всей стране.

Крайне важно поддерживать всю нашу цифровую экономику на переднем крае. И был достигнут некоторый обнадеживающий прогресс. Например, мы были рады видеть, что в отчете Совета по обзору кибербезопасности на прошлой неделе были подробно рассмотрены уязвимости log4j и даны важные рекомендации о том, как улучшить экосистему.

Нам нужно больше.

В будущем наша коллективная способность предотвращать кибератаки будет зависеть не только от прозрачности, но и от приверженности укреплению нашей защиты — отходу от устаревших технологий, модернизации инфраструктуры и инвестициям в передовые инструменты для обнаружения и предотвращения будущих проблем.

Мы не можем победить завтрашние угрозы с помощью вчерашних инструментов. Нам нужны коллективные действия для укрепления нашей цифровой защиты. Но, используя коллективные возможности и сильные стороны Америки, мы можем достичь более высокого уровня коллективной безопасности для всех нас.

Спасибо.