Интернетмагазин

КИБЕРРАЗВЕДКА
Март 2017
Май 2017
Субъекты угрозы
Эксплойт 
External Blue
Противники 
и мотивация
Выпущено
обновление
MS17-010
Массовое
распространение 
WannaCry 
Синяя команда получает 
информацию об опасности 
Eternal Blue и важности патча
Синяя команда
Рис. 12.1
Обратите внимание, что киберразведка получает соответствующую ин-
формацию об этой угрозе на ранних стадиях, даже когда эксплойт EternalBlue 
(первоначально обнаруженный АНБ) просочился в сеть (апрель 2017 г.) «благо-
даря» хакерской группе, называющей себя 
The Shadow Brokers. Члены этой 

---

236  Киберразведка 
группы не были новичками, а это означает, что была информация, связанная 
с работой, которую они делали в прошлом, и их прежними мотивами. Примите 
все это во внимание, чтобы предсказать, каким будет следующее движение ва-
шего противника. Располагая этой информацией и зная, как работает Eternal-
Blue, теперь остается лишь ждать, пока поставщик (в данном случае Microsoft) 
выпус тит исправление, что и произошло в марте 2017 г. На данный момент 
у Синей команды достаточно информации для определения важности этого 
патча для бизнеса, который они пытаются защитить.
Многие организации не до конца осознали влияние этой проблемы и вмес-
то исправлений просто отключили доступ по SMB-протоколу из интернета. 
Хотя это был приемлемый обходной путь, он не устранил основную причину 
проблемы. В результате в июне 2017 г. произошло массовое распространение 
еще одного вируса-вымогателя. На этот раз это был Petya. Этот вирус использо-
вал EternalBlue для дальнейшего распространения по сети. Другими словами, 
скомпрометировав один компьютер во внутренней сети (видите, ваше правило 
брандмауэра больше не имеет значения), он собирался эксплуатировать уязви-
мости других систем, где не было установлено исправление MS17-010. Как вид-
но, здесь существует определенный уровень предсказуемости, поскольку часть 
действий Petya была успешно реализована после использования эксплойта, 
подобного тому, что использовался предыдущей программой-вымогателем.
Вывод из всего этого прост: зная своих противников, вы сможете принимать 
более эффективные решения для защиты своих ресурсов. При этом также спра-
ведливо отметить, что нельзя рассматривать киберразведку как инструмент 
IT-безопасности, ведь она выходит за рамки этого. Вы должны рассматривать 
киберразведку как инструмент, который помогает принимать решения отно-
сительно защиты организации, помогает менеджерам решать, как им следует 
инвестировать средства в безопасность, и помогает руководителям отдела IT-
безопасности упорядочить ситуацию с высшим руководством. Информацию, 
которую вы получаете в ходе киберразведки, можно использовать в различных 
областях (рис. 12.2).
КИБЕРРАЗВЕДКА
ТЕХНИЧЕСКАЯ 
ОБЛАСТЬ
ТАКТИЧЕСКАЯ
ОБЛАСТЬ
ОПЕРАТИВНАЯ
ОБЛАСТЬ
СТРАТЕГИЧЕ-
СКАЯ ОБЛАСТЬ
Организация