Киберқауіптер бойынша ұлттық білім қоры.
Қауіптерді талдау, бақылау парақтары және ден қою алгоритмдері. Практиктерге жазамыз: маркетингсіз, нақты әрекеттермен және не істеуге болмайтынын көрсете отырып.
Бұзуды анықтағаннан кейінгі алғашқы 15 минут
Оқиғаның ең қымбат кезеңі. Дәлелдердің көбін шабуылдаушы емес, қорғанушы жояды — ең жақсы ниетпен.
Неге машинаны өшіруге болмайды
Әкімшінің алғашқы рефлексі — серверді өшіру. Бұл қате. Жедел жадта шифрлау кілттері, шифры ашылған конфигурациялар, белсенді желілік қосылымдар, дискіде файлы жоқ процестер және файлсыз шабуыл іздері сақталады. Өшіру мұның бәрін қайтарымсыз жояды, тергеу дәлелдердің жартысынсыз қалады.
Дұрыс әрекет — өшірмей желіден оқшаулау: коммутаторда сегментті ажырату, VLAN-ды алып тастау, кабельді физикалық суыру. Шабуылдаушы басқаруды жоғалтады, жады тірі қалады.
Әрекеттер тәртібі
- 00:00
Уақытты тіркеу
Анықталған нақты уақыт, кім тапты, қандай белгі бойынша. Бұзылған жүйеден тыс жазу — қағазға немесе басқа контурға. Зақымданған жүйеде жазылғанның бәрі сенім тудырмайды.
- 00:02
Өшірмей оқшаулау
Сегментті желіден ажырату. Қайта жүктемеу, күдікті процестерді тоқтатпау, файлдарды жоймау.
- 00:05
Жады бейнесін алу
Кез келген басқа әрекеттен бұрын жедел жады дампы. Содан кейін — диск бейнесі. Бейне хештерін бірден тіркеу керек, әйтпесе дәлелдік құндылығы жоғалады.
- 00:10
Журналдарды сақтау
Жүйе, қосымшалар, желілік жабдық және қорғау құралдарының логтарын сыртқы тасығышқа көшіру. Логтар жиі ротацияланады — бір тәуліктен кейін олар болмауы мүмкін.
- 00:12
Хабарлау
Ұйымның жауапты тұлғасы және МТҚ. Цифрлық кодекс бойынша дербес деректердің ағуы туралы хабарлау мерзімі сағатпен өлшенеді — санақ басталып кетті.
- 00:15
Периметрді белгілеу
Зақымданғанмен желілік байланысы болған және сол тіркелгі деректері қолданылған басқа қандай жүйелер бар екенін анықтау. Бұзылған тіркелгі — ол жұмыс істеген барлық жүйе бұзылған дегенді білдіреді.
Не істеуге болмайды
Бейнелер алынғанға дейін антивируспен «емдемеу» — ол зиянды код үлгілерін жояды. Жүйені қайта орнатпау: бұл қалпына келтіру емес, дәлелдерді жою. Журналдарды тазаламау. Бұзылған машинада парольдерді ауыстырмау — жаңа пароль бірден шабуылдаушыға кетеді; таза контурдан ауыстыру керек. Оқиға туралы ортақ жұмыс чаттарында хабарламау: егер шабуылдаушының хат-хабарға қолжетімділігі болса, сіз оған іздерді жасыру туралы белгі бересіз.
Посткванттық криптография: неге қазір дайындалу керек
RSA-ны бұза алатын кванттық компьютер әзірге жоқ. Бәрібір дайындалу керек — міне неге.
«Қазір жинап ал, кейін шифрын аш» шабуылы
Негізгі уәж шифрлау ертең бұзылатынында емес. Бүгін ұсталып, сақталған трафик он-он бес жылдан кейін, жеткілікті қуатты кванттық машина пайда болғанда шифры ашылуы мүмкін. Осы мерзімнен ұзақ құпия болуға тиіс нәрсенің бәрі — мемлекеттік құпиялар, дербес деректер, медициналық жазбалар, банк құпиясы — беру сәтінде-ақ осал.
Бұл мәселенің қойылуын өзгертеді: сұрақ «қашан бұзылады» емес, «деректеріңіз қанша уақыт жабық болуы керек». Егер жауап он жылдан асса, көшу бүгін қажет.
Нақты не бұзылады
Шор алгоритмі факторлауға және дискретті логарифмге негізделген ашық кілтті криптографияны құнсыздандырады: RSA, DSA, эллипстік қисық схемалары. Симметриялы шифрлар аз зардап шегеді: Гровер алгоритмі олардың төзімділігін шамамен екі есе төмендетеді, бұл кілт ұзындығын екі есе арттырумен өтеледі. AES-256 қолайлы болып қалады, AES-128 — жоқ.
Неден бастау керек
- 01
Криптографиялық түгендеу
Тізбе жасау: қай жерде және қандай алгоритмдер қолданылады, кілт ұзындығы қандай, қай жерде жабдыққа тігілген және темірді ауыстырмай жаңартылмайды. Ұйымдардың көбі жауапты білмейді — бұл бірінші мәселе.
- 02
Деректердің өмір сүру мерзімін бағалау
Деректердің әрбір класы үшін олар қанша жыл жабық болуы керегін айқындау. Бұл көшу кезектілігін белгілейді.
- 03
Криптоикемділік
Жүйелерді алгоритмді қосымшаны қайта жазбай ауыстыруға болатындай жобалау. Қатаң тігілген алгоритм — кез келген көшудегі басты қарыз.
- 04
Гибридті схемалар
Өтпелі кезең классикалық және посткванттық алгоритмді бір мезгілде қолдануды көздейді: біреуі әлсіз болып шықса да қорғаныс сақталады.
Институт посткванттық криптографиялық алгоритмдер бойынша ұлттық стандарт жобасын әзірлеп жатыр. Мәртебесін қадағалау — «Стандарттар».
ЖИ екі жақта да: ол шын мәнінде нені өзгертті
Екі жағына да асыра сілтеусіз. Шабуыл мен қорғаныста шын мәнінде не өзгерді, не сол күйінде қалды.
Шабуылда не өзгерді
Басты өзгеріс — жаңа шабуыл түрлерінің пайда болуында емес, ескілерінің құны мен орындалу сапасында. Сауатты қазақ немесе орыс тіліндегі, дұрыс іскерлік стильдегі және нақты ұйым контекстіндегі фишингтік хат бұрын уақыт пен тіл білуді талап ететін. Енді бұл жаппай жасалады. «Мәтіннен қате іздеңіз» деген классикалық кеңес жұмыс істемей қалды.
Екіншісі — дауысты клондау. Басшы дауысының сенімді имитациясы ашық дереккөздерден алынған бірнеше секундтық жазба бойынша жасалады. «Директор қоңырау шалды, шұғыл аударыңыз» сызбасы сапалы жаңа деңгейге жетті. Мұндағы қорғаныс техникалық емес, процедуралық: операцияларды тәуелсіз арна арқылы растау, лауазымына қарамастан бәріне міндетті.
Үшіншісі — барлау мен эксплойт жазуды жеделдету. Кіру шегі төмендеді: бұрын біліктілікті талап еткен нәрсе аз дайындалған шабуылдаушыларға қолжетімді болды.
Не өзгерген жоқ
Бастапқы ену векторы бұрынғыдай қалды: ұрланған тіркелгі деректері, жаңартылмаған периметр, ашық RDP, конфигурация қатесі. ЖИ базалық гигиенаны жоққа шығарған жоқ, ол тек оның жоқтығын айналып өтуді арзандатты. Көпфакторлы аутентификациясы және жаңартуларды басқаруы жоқ ұйым шабуылдаушы нейрожелі қолданды ма, жоқ па — бәрібір бұзылады.
Жаңа шабуыл беті
ЖИ-ді өзінде енгізе отырып, ұйым бұрын болмаған қауіптерге ие болады: модель өңделетін құжаттағы нұсқауларды орындайтын промпт-инъекция; оқыту деректерін уландыру; қызметкерлердің промпттары арқылы құпия ақпараттың сыртқы сервистерге ағуы. Ішкі жүйелерге қолжетімділігі бар модель — құқықтары бар тіркелгі, оған сәйкесінше қарау керек.
Қорғаныстағы ЖИ
Оқиғалардың үлкен ағынынан ауытқуды табу керек жерде жұмыс істейді: мінез-құлық аналитикасы, дабылдарды басымдау, бірінші желі рутинасын қысқарту. Маманның орнын баспайды — контекстті түсінетін адамсыз жүйе не шу, не жалған тыныштық береді.
OSINT: ұйымыңыз сырттан қалай көрінеді
Талдау дайындалуда: ұйым сертификаттар, DNS, құжат метадеректері, бос орындар мен қызметкерлер профильдері арқылы өзі туралы қандай деректерді ашады.
Білім қорының алдағы жаңартуларында пайда болады.
Өзін-өзі тексеру бақылау парақтары
Тексеру келгенге дейін өтіңіз. Жүктеуге арналған файлдар нысандар бекітілгеннен кейін пайда болады.
Құжаттар, қауіп моделі, регламенттер және журналдар — иелері үшін КМЦО. Тәртібі — FAQ.
Өңдеу негіздері, сақтау мерзімдері, Цифрлық кодекс бойынша субъект құқықтары.
Регламент бар ма, жауаптылар тағайындалған ба, сценарий практикада пысықталған ба.
Қолданылатын алгоритмдер тізбесі және деректердің өмір сүру мерзімін бағалау.