Все, що тебе не вбиває, робить тебе сильнішим

Security Research & Implementation працює як окремий міні-підрозділ у складі InfoSec-відділу. Це – команда фахівців, які досліджують доступні на ринку інструменти, порівнюють їх з нашими інструментами та керують налаштуваннями безпеки в цих інструментах. Наприклад, ми налаштували консоль Office 365 таким чином, щоб користувач міг ділитися файлом лише з конкретними адресами, а не надавати посилання, доступ до якого може отримати будь-хто, навіть поза межами нашої компанії. Іншим гарним прикладом є розширені конфігурації наших служб ідентифікації, які автоматично блокують доступ до внутрішніх систем та інформації у випадку кібер-аномалій, таких як підозрілі IP-адреси, нетипова геолокація тощо.

У нас є експерт, який щодня займається процесом управління вразливостями, що включає щоденне сканування та повідомлення про нові виявлені вразливості відповідних відповідальних осіб з різних підрозділів. Також відбувається контроль часу виправлення вразливостей в рамках визначених SLA.

Крім того, в компанії існує спеціальний процес, який передбачає щорічне проведення тестів на проникнення із зовнішніми компаніями для оцінки нашої здатності протистояти атакам. 

Ми практикуємо різні типи тестів відповідно до світових стандартів, включаючи Black box тестування, коли етичні хакери оцінюють наш захист ззовні, не маючи внутрішнього доступу; “red teaming” тести, коли вони мають внутрішній доступ, і “purple teaming”, коли етичні хакери здійснюють діяльність, що схожа за рівнем доступу з внутрішнім операційним центром кібербезпеки (“Blue team”).

Це допомагає нам виявити потенційні вразливості у нашому захисті, співставити кроки атакуючої сторони із реакцією нашого підрозділу та покращити видимість та реакцію.

У нас також є підкоманда, яка використовує Breach Attack Simulation service. Він допомагає постійно запускати симуляцію найновіших атак на наше середовище та виявляти потенційні вразливості на різних рівнях. Ми можемо вибрати, що тестуємо сьогодні, залежно від попередньо визначених сценаріїв: системи електронної пошти, робочі станції або мережі. Ці сценарії не завдають шкоди організації та не мають негативного впливу на нашу інфраструктуру, оскільки вони не мають компонента, що викачує дані. Цей підхід також використовується для оцінки якості та ефективності наших засобів контролю безпеки.

Крім того, у нас є окремий напрямок – Leadership and Coordination, до якого входять кілька координаторів безпеки та бізнес-партнерів InfoSec. Вони керують операційною роботою в команді, реагують та координують діяльність команди у випадку кіберінцидентів, ініціюють розслідування за необхідності та готують звіти про інциденти. Також вони допомагають бізнесу у вирішенні завдань, пов’язаних з безпекою, переглядають та затверджують архітектуру безпеки для нових продуктів, пояснюють клієнтам нашу структуру безпеки та надають підтримку у прийнятті конкретних рішень. Я очолюю цей напрямок і доповідаю про стан безпеки по певних критеріях безпосередньо Раді директорів.

Університетам часто важко утримувати лабораторію з необхідним інструментарієм і всім необхідним програмним забезпеченням, оскільки вони не мають окремого великого ІТ-відділу, який би займався виключно цим. Тому нам зручніше взяти ці рішення на себе. Ми обрали освітню SAAS-платформу RangeForce. Наші спонсори покрили ліцензії для студентів. Їм не потрібно мати надпотужний комп’ютер або ноутбук – достатньо лише доступу до браузера. 

На жаль, в освіті дійсно існує комплекс проблем – однією з найкритичніших є відсутність мотивації у талановитих молодих людей продовжувати кар’єру викладача. В середньому, заробітня плата викладачів які працюють на повну ставку, складає близько 200-300 доларів, що недостатньо для задоволення навіть базових потреб. На мою думку, це неприпустимо. Наразі я не уявляю, як вирішити цю проблему на рівні ІТ-компаній, оскільки вона потребує фундаментальних змін на державному рівні. Приміром для порівняння аналогічні зарплати в Європі як мінімум в 10-20 разів вищі. 

Ми намагаємося по-різному вирішувати цю проблему, наприклад, пропонуючи різні публічні гранти для викладачів, які мають цікаві програми, але не мають змоги їх імплементувати. Наприклад, нещодавно ми пропонували гранти в межах $2,000. Але це були одноразові речі.

Якщо говорити про те, що ми робимо на постійній основі – ми співпрацюємо з міжнародними університетами. Минулого тижня я розмовляв зі шведським університетом, який має гарно розроблену програму з кібербезпеки, і вони погодилися поділитися своїм досвідом і надавати студентам подвійний диплом. Також наших студентів зарахували до шведської студентської команди, де вони взяли участь у змаганні з кібербезпеки Capture the Flag (CTF) для перевірки та розвитку навичок з кібербезпеки.

Ми пропонуємо курси, які поділяються на чотири категорії. Перша категорія – GRC (Governance, Risk management, Compliance), до неї входять курси, які дають загальне розуміння кібербезпеки та ІТ. Ми також вивчаємо такі фреймворки, як ISO27001, ISO27002, NIST 800-53, MITRE ATT&CK та OWASP.

Другий напрямок, SecOps, охоплює програми та інструменти для збору та аналізу логів, сканування, виявлення вразливостей та багато інших технічних рішень для “Blue team”.

Окремим напрямом є тестування на проникнення. Ми навчаємо студентів етичним технікам злому на основі фреймворків Mitre, OWASP, Metasploit та інших. Ми вивчаємо шлях, який проходить хакер по всьому ланцюгу ураження цілі. Зокрема техніку та тактику компрометації систем. Її слід практикувати лише в ізольованому лабораторному середовищі та ніколи не намагатися зламати вебсайти інших компаній, оскільки це може розцінюватися як потенційний злочин. 

Четверта категорія зосереджена на безпечній розробці програмного забезпечення, відомій як життєвий цикл розробки програмного забезпечення. Ми навчаємо програм і методам перевірки безпеки коду, а також різному програмному забезпеченню, яке допомагає у перевірці коду.

Ми включили в навчальну програму максимально можливу кількість предметів. Наступне питання – наскільки ефективно викладачі доносять цю інформацію. За можливості, ми щороку проводимо зустрічі з викладачами, щоб переглянути їхні навчальні плани та надати рекомендації щодо покращення. Я організовую стажування студентів у нашій компанії. У співпраці з нашою SoftServe академією ми допомагаємо в організації лекцій та практичних завдань для них.

Однією з найцікавіших і найпродуктивніших дисциплін є “Командна робота”. Ми запровадили її у співпраці з Львівським ІТ Кластером, який допомагає нам знайти менторів з ІТ-компаній. Наші студенти діляться на групи по п’ять-шість осіб, подібні до команд у технологічних компаніях. Це гарантує, що вони не лише знатимуть певні методології та практики, а й зможуть застосовувати їх в умовах, наближених до реальних. Наприклад, хтось у команді бере на себе роль проєктного менеджера, хтось – QA, хтось – розробника, хтось – аналітика, залежно від поставлених завдань. Разом з ментором студенти працюють над цікавими проєктами та вчаться співпрацювати в команді. Потім вони захищають свої проєкти перед викладачами та представниками технологічної індустрії в офісі техкомпаній.

Також ми організовуємо літні стажування, де студенти проходять активний практичний інтенсив протягом 1-2 місяців зі щоденними завданнями. Талановитих студентів ми беремо на роботу – вони стають аналітиками з кібербезпеки в SecOps або GRC, етичними хакерами, DevOps-ами, розробниками тощо.