Линия защиты: как Минцифры хочет развивать кибербезопасность в России до 2035 года
Forbes ознакомился с предварительной версией «Стратегии развития отрасли связи в РФ на 2024-2035 годы». Кибербезопасность — в числе сегментов, для развития которых предлагается целый ряд инициатив. Впрочем, сначала «Стратегия» описывает текущий статус индустрии, подсвечивая проблемные места.
В частности, единая сеть электросвязи в целом не является устойчивой к современным информационным угрозам, говорится в документе: увеличивается не только число ИБ-инцидентов, но и усложняется их техническая структура и повышается скоординированность атак. «Современные угрозы в сфере ИБ исходят в том числе от спецслужб иностранных государств, экстремистских и террористических организаций, — следует из текста «Стратегии 2035». — Такие действия направлены на выведение полностью или частично из строя объектов критической информационной инфраструктуры, причинение ущерба государственному управлению, а также нарушение устойчивости экономики в целом».
Рост производительности и пропускной способности телекоммуникационного оборудования (ТКО), объемов передаваемого трафика повышает роль ИБ и усложняет ее обеспечение, а иностранное ТКО, софт и криптография являются источниками серьезных угроз информационной безопасности, следует из общего анализа текущего состояния российского сектора ИБ. Согласно тексту стратегии, отечественные алгоритмы и средства криптографической защиты информации не представлены в международных стандартах телекоммуникационных протоколов, что сокращает их экспортный потенциал. Кроме того, текущие средства защиты информации снижают свою эффективность, а число атак на организации телекоммуникационного сектора «значительно растет».
Также дефицит кадров для научных исследований, производственной базы и отсутствие системы определения «доверенного» ТКО, электронной компонентной базы (ЭКБ) и ПО затрудняют переход отрасли связи на отечественные «доверенные» разработки. Наконец, по мнению авторов документа, инструменты практической оценки защищенности предприятий и организаций отрасли связи используются редко: «Отсутствует институциональная среда, способствующая реализации практических аспектов обеспечения информационной безопасности в отрасли связи».
Современные тренды и текущее состояние отрасли формулируют следующие угрозы для российской отрасли связи: нарушение ее бесперебойного и устойчивого функционирования и потеря контроля над функционированием единой сети электросвязи России, абонентскими устройствами, российским сегментом интернета. Отсюда и цели на период до 2035 года: обеспечение бесперебойного и защищенного функционирования сетей связи и Рунета, безопасной среды оборота достоверной информации и «предотвращение несанкционированного контроля над функционированием объектов сетей связи, включая абонентские терминалы».
Требуют обсуждения
«Стратегия развития отрасли связи в РФ на 2024–2035 годы» разрабатывается по поручению Владимира Путина. «Документ еще разрабатывается, поэтому в текст в настоящий момент вносятся корректировки, — подчеркивают в Минцифры. — Перечисленные инициативы — это предложения от рабочей группы по информационной безопасности. Они требуют обсуждения, после чего будет принято решение по их включению в итоговый документ». В июне проект стратегии будет вынесен на защиту перед премьер-министром и после отработки возможных замечаний представлен президенту, заключают в министерстве.
По оценке Центра стратегических разработок, если в 2021 году объем рынка решений для ИБ составлял 186 млрд рублей, то к 2026 году он может вырасти в 2,5 раза, до 469 млрд рублей. Одним из драйверов станет уход зарубежных вендоров (IBM, Cisco, Fortinet, ESET и др.), их доля на отечественном рынке сократится с 73 млрд рублей в 2021 году до 23 млрд рублей в 2026 году, а российских — вырастет со 113 млрд до 446 млрд рублей соответственно.
Инициативная группа
Чтобы ликвидировать угрозы и обеспечить ИБ отрасли связи, авторы стратегии предлагают обширный перечень мер. Среди них — создание на базе ТСПУ (технические средства противодействия угрозам — оборудование, которое Роскомнадзор размещает в рамках закона о «суверенном интернете» на сетях связи операторов и позволяет ему фильтровать трафик и блокировать запрещенные в России интернет-ресурсы) национальной системы противодействия DDoS-атакам.
По данным «Лаборатории Касперского», в 2022 году в России наблюдался существенный рост DDoS-атак по сравнению с показателями 2021-го, их количество увеличилось примерно на 60-70%. Самая мощная DDoS-атака 2022 года достигла 760 Гбит/с, что почти в два раза превышает самую мощную атаку предыдущего года, а самый продолжительный DDoS длился 2000 часов, то есть почти три месяца, рассказывали Forbes в «РТК-Солар».
Еще авторы документа предлагают создать центр мониторинга и реагирования на компьютерные инциденты (TelcoCERT), отраслевой центр компетенций обеспечения ИБ и систему раннего предупреждения об угрозах и защиты от противоправных действий с использованием информтехнологий. Также предлагается подключать к ГосСОПКА (государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак для защиты критической информационной инфраструктуры) средства защиты информации и точки трансграничного перехода и обмена трафиком. В списке инициатив — завершение создания информационной системы «Антифрод» для исключения подмены номера в российских телефонных сетях.
Кроме того, на базе Автоматизированной системы обеспечения безопасности Рунета (АСБИ, управляет ТСПУ, которые Роскомнадзор установил на сетях связи операторов) предлагается ограничить «сканирование российских информационных систем из-за рубежа, а также создать доверенный сервис проведения аудита ИБ, корректности настроек сертификатов безопасности сайтов, DNS и почтовых серверов». В числе других мер — появление информационной системы, проверяющей страновую принадлежность (гео-IP-локация) сетей и операторов связи как на территории России, так и за ее пределами, а также механизма проверки корректности маршрутизации с использованием реестра адресно-номерных ресурсов Рунета (РАНР, предназначен для поиска информации о сетевых адресах, автономных системах, их взаимосвязях и владельцах), в том числе на основе инфраструктуры открытых ключей, и обеспечение их использования операторами связи.
Экспертиза набросков
Глава департамента информационно-аналитических исследований компании T.Hunter Игорь Бедеров предполагает, что для создания системы противодействия DDoS-атакам будет расширено применение технологии DPI (Deep Packet Inspection, глубокое пакетное исследование трафика). По его словам, в прошлом году эта технология позволила перейти от веерной блокировки IP-адресов, с помощью которых производят DDoS-атаки, к точечному выявлению атакующих IP-адресов. Кроме того, DPI рассматривается и в качестве средства блокировки доступа к веб-ресурсам (включая Telegram-каналы), которые распространяют запрещенный или нежелательный контент в России, знает Бедеров.
Сканирование российских информационных систем, в том числе из-за рубежа, позволит отключать любую нецелевую аудиторию ресурса при DDoS-атаке на него, поясняет независимый IT-эксперт Филипп Кулин: «Например, если трафик на сайт идет из другой страны, а ресурс рассчитан на российскую аудиторию. Однако есть вероятность, что этот механизм будут использовать для препятствования просмотру российских интернет-ресурсов из-за рубежа. В таком случае без российского VPN просмотреть их не получится», — поясняет Кулин.
Сканирование российских информационных систем из-за рубежа также может быть реализовано с помощью DPI и позволяет выявить типичные действия, чтобы выявлять и предупреждать атаки, продолжает Игорь Бедеров. «Вопрос только в наличии достаточных вычислительных мощностей, чтобы развернуть такое детектирование в масштабах страны или хотя бы госсектора, госкорпорации», — отмечает эксперт.
Руководитель отдела продвижения продуктов «Кода безопасности» Павел Коростелев выделяет из числа инициатив создание информационной системы по страновой принадлежности — единой базы соответствия IP-адресов и стран. По его мнению, такая база необходима, потому что сейчас каждый вендор ведет свои собственные базы, из-за чего возможны ошибки. Гео-IP-локация сетей и операторов связи в общем-то не нужна в мирной ситуации, однако в условиях «спецоперации»* обретает свой смысл, так как позволяет локализовать весь трафик на территории России, считает Филипп Кулин. С одной стороны, такая локализация, по его словам, благоприятна для рынка, так как экономит ресурсы на пропуск трафика. «С другой стороны, только весьма небольшая часть трафика Рунета посещает зарубежные серверы и сети, и нет необходимости тратить ресурсы на проверку маршрутов ради крох трафика, который заходит на зарубежные сети и серверы», — заключает он.
Система гео-IP-локации сетей связи уже есть, специалисты пользуются ею для отслеживания перемещений киберпреступников, отмечает Игорь Бедеров. В качестве примера он указал работу картографических автомобилей Google и «Яндекса», которые не только делали фотосъемку улиц, но и фиксировали MAC-адреса беспроводных сетей и роутеров с точностью до конкретного здания. По мнению эксперта, с помощью создания такой системы, скорее всего, планируется вычислять более точную геопозицию сетей.
Проверка корректности маршрутизации с использованием РАНР должна подтверждать связку доменного имени и фактического IP-адреса, на которой непосредственно находится веб-ресурс, указывает Бедеров. «Вспомним проблему 2021 года, когда пользователи не смогли зайти на Facebook (принадлежит компании Meta, которая признана экстремистской и запрещена). Это произошло в результате сбоя данных DNS. DNS используется именно для того, чтобы мы могли зайти на сайт facebook.com, не вводя его точный IP-адрес. Ключи шифрования — это второй важный момент, поскольку использование иностранных ключей шифрования между браузером и веб-ресурсами опасно возможностью утечки данных или их подмены», — поясняет он.
В «Ростелекоме», МТС, «Мегафоне», «Билайне», Tele2 отказались от комментариев.
* Согласно требованию Роскомнадзора, при подготовке материалов о специальной операции на востоке Украины все российские СМИ обязаны пользоваться информацией только из официальных источников РФ. Мы не можем публиковать материалы, в которых проводимая операция называется «нападением», «вторжением» либо «объявлением войны», если это не прямая цитата (статья 57 ФЗ о СМИ). В случае нарушения требования со СМИ может быть взыскан штраф в размере 5 млн рублей, также может последовать блокировка издания.