Эксперты рассказали, как антивирусные компании защищаются от хакеров

Источник материала:

Работа в сфере инфобезопасности — это своего рода вредное производство: квалифицированные программисты ежедневно сталкиваются с соблазном заработать очень приличные деньги "по ту сторону закона". РИА "Новости" узнало, как антивирусные компании защищаются от появления хакеров-инсайдеров среди своего персонала.

В крупнейшей российской антивирусной компании "Лаборатория Касперского" потенциальных киберпреступников стараются вычислить еще на этапе подбора. Претенденты на место в компании проходят суровые испытания.

Первый этап отбора не отличается от стандартной процедуры в любой другой серьезной компании: сотрудник отдела кадров проводит интервью с кандидатом, а его документы отправляются в службу безопасности для проверки указанных в резюме данных.

Но уже на втором этапе кандидату устраивают "головомойку" — руководитель подразделения намеренно унижает кандидата.

"Если кандидат сутул, его сравнивают с Квазимодо, если он в очках, то он "не видит дальше собственного носа" и так далее. На протяжении всего этого действия его постоянно спрашивают, кто он такой, зачем он сюда пришел: "Денег хочешь? Славы?". Если через полчаса такого прессинга кандидат всё еще хочет устроиться на работу, его передают на тестирование профессиональных навыков", — рассказал ведущий антивирусный эксперт "Лаборатории Касперского" Сергей Голованов.

На третьем этапе кандидату предлагают математические и логические задачи и выдают компьютер для анализа программ.

"Задачи и задания даются до тех пор, пока кандидат не начнет ошибаться", — рассказывает Голованов. По его мнению, к такой проверке практически невозможно подготовиться заранее, а само тестирование проводится будущими коллегами, которые в перерывах между заданиями пытаются выяснить у кандидата, кто он такой, чем занимался, какие программы писал и не делал ли вирусов.

На протяжении всех этапов тестирования кандидат не знает о своих результатах. На последнем этапе, когда соискатель физически и морально измотан, ему сообщается, что он не прошел проверку и у него есть последний шанс убедить руководство дать ему эту должность. Ему дается пять минут, чтобы честно рассказать о себе, о том, что он думает о компании, работе, начальстве. После этого все задействованные в процедуре приема на работу сотрудники компании собираются и выносят окончательный вердикт. Если все "за", то кандидату называют дату выхода на новую работу.

В столь жесткие условия кандидатов на "программистские" должности в "Лаборатории" ставят неспроста: в истории компании был как минимум один прецедент, связанный с неблагонадежностью сотрудника. В январе 2011 года в Сети появилась часть исходного кода "Антивируса Касперского". Как выяснилось, в открытый доступ эти данные попали из-за бывшего сотрудника компании, который, уволившись, решил продать ценные данные на черном рынке. В компании заявили, что выполнить задуманное злоумышленнику не удалось, хотя часть кода он успел опубликовать.

Тотальный контроль

В компании Group-IB, которая занимается в том числе расследованиями крупных хищений денег из систем дистанционного банковского обслуживания, к приему на работу и проверке персонала относятся скрупулезней, чем где бы то ни было.

В структуре Group-IB функционирует отдел собственной безопасности, в задачу которого входит не только защита и проверка действующих сотрудников, но и выявление возможных инсайдеров, а также проверка кандидатов.

"Кандидатам предлагается пройти тест на детекторе лжи. Также вся информация отправляется в группу аналитики, которая помогает службе безопасности выяснить, является ли кандидат активным участником хакерских форумов", — рассказал генеральный директор компании Илья Сачков.

Кроме того, тест на полиграфе два раза в год должны пройти все действующие сотрудники компании. По словам Сачкова, как раз сейчас идет очередная ежегодная проверка. Пока положительных результатов не было.

И все же подход, который непосвященному наблюдателю может показаться параноидальным, уже не раз оправдывал себя.

По словам Сачкова, один раз аналитики, проверяющие "хакерское" прошлое кандидатов, выявили, что на момент проверки один из них состоял в группе, которая специализировалась на хищениях в системах интернет-банкинга. В другом случае доскональная проверка помогла предотвратить прием на работу в Group-IB инсайдера.

"У нас был случай, когда на административную позицию, которая предусматривала доступ к конфиденциальной информации, претендовала одна девушка. Очень красивая, модельной внешности. Пыталась всячески убедить, что ей срочно нужна эта работа. В ходе проведенной службой безопасности проверки выяснилось, что она работает в дорогих барах Москвы консуматором и оказывала услуги эскорта", — рассказал Сачков.

Он добавил, что в московских барах услуги претендентки оценивались в 30 тысяч евро, что в разы превышало предлагаемый в Group-IB оклад. Разница в реальном заработке девушки-претендентки с тем уровнем доходов, что могла предложить ей Group-IB, навела аналитиков компании на мысль о том, что девушка пытается попасть в компанию не ради зарплаты.

Group-IB к тому времени уже способствовала аресту как минимум двух крупных киберпреступных групп, и в компании сочли, что претендентка с большой степенью вероятности действовала по указанию недоброжелателей. В итоге девушке было отказано в трудоустройстве.

Воспитание

В сфере услуг по обеспечению информационной безопасности есть области, которые требуют от экспертов хакерских навыков. Например, для тестов на проникновение (penetration test, pentest) — коммерческих услуг, в рамках которых эксперты по информационной безопасности по заказу компании атакуют ее компьютерную инфраструктуру с целью найти и устранить бреши в безопасности. Компании, занимающиеся оказанием подобных услуг, регулярно сталкиваются с недоверием со стороны клиентов и потому неохотно комментируют вопросы борьбы с хакерами.

Как следует из рассказа пожелавшего остаться анонимным топ-менеджера одной из крупных российских компаний, занимающихся в том числе тестами на проникновение, опасения клиентов таких компаний не беспочвенны.

"Крылья" у наших парней отрастают регулярно. Например, при работе с крупными компаниями IT-отделы часто "уходят в отказ", увидев, что мы нашли недочет в безопасности. Их профессиональная гордость уязвлена, и они говорят, что ошибок, которые мы обнаружили, на самом деле нет. Наши ребята иногда пытаются восстановить справедливость, задействовав какую-нибудь уязвимость у клиента", — рассказал эксперт.

Еще один вид нарушений связан с неумеренной личной гордостью специалиста.

"Это когда у специалиста возникает личная гордость за обнаружение уязвимости в каком-нибудь продукте, и он слишком активно старается рассказать всем об этом и даже показать, как ее использовать", — пояснил топ-менеджер.

С предотвращением таких инцидентов в компании борются несколькими способами - помимо обычной административной меры в виде договора о неразглашении применяются технические средства: во время тестов ведется запись всего, что делает специалист компании. Сами специалисты работают только с контролируемых рабочих мест, а заказчик по своему желанию может осуществить дополнительный контроль действий "пентестера".

Но, как считает собеседник РИА "Новости", лучшим способом отвратить талантливых компьютерных специалистов от пути киберпреступника является этическое воспитание экспертов-взломщиков.

"Ты сидишь, занимаешься любимым делом, получаешь премии за то, что хорошо работаешь — находишь опасные дырки в системах, чтобы их закрыли, а не бегаешь и пытаешься их кому-нибудь перепродать. При этом у тебя чистая совесть, спокойная душа, и за тобой не гоняется полиция. Это большое счастье", — пояснил эксперт.

Другие методы

В американской Symantec — крупнейшем мировом игроке на рынке информационной безопасности — говорят, что сотрудники компании ни разу не попадались на создании вредоносного ПО или кибератаках. Однако возможность таких инцидентов в Symantec не исключают и на этот случай используют систему расследования внутренних инцидентов Clearwell собственной разработки.

Например, если сотрудник компании взломал какой-то сайт с корпоративного компьютера — система позволит собрать юридически значимые цифровые доказательства преступления. С помощью Clearwell специалисты запротоколируют логи атаки, а юристы оформят для принятия судом в качестве доказательств. Как сообщили в пресс-службе Symantec, эту же систему для расследования киберпреступлений использует ФБР.

В российской InfoWatch также пользуются собственной продукцией — системой для предотвращения утечек информации через почтовый и интернет-трафик. Прецедент был: в 2007 году группа сотрудников создала конкурирующую компанию, похитив у InfoWatch практически всю интеллектуальную собственность — от кода программ до дизайна сайта и рекламных буклетов.

Стороны урегулировали спор во внесудебном порядке, но, как рассказал представитель InfoWatch, после этого случая в компании в течение определенного времени хранят и индексируют весь трафик для внутренних расследований, если они понадобятся.

В антивирусной компании ESET, помимо стандартной проверки службой безопасности, на собеседовании с кандидатом на программистскую должность присутствует психолог. Его задача — выявить возможную ложь или умалчивание кандидатом каких-то фактов из своей биографии. Кроме того, соискателей проверяют "по своим каналам" — эксперты компании следят за подпольными хакерскими форумами, число участников которых весьма ограничено. Замеченных в противоправных действиях на работу не берут.