Ali moram fotoaparat lepiti na prenosnik? Vas pametni telefon prisluhne? Kako se zaščititi pred uhajanjem osebnih podatkov? Zaposleni v oddelku za kibernetsko varnost odgovarja na pereča vprašanja našega časa in govori o delu.
Kako postati "beli heker", globe in IT feminizem
Kako si se zaposlil v tej službi?
Študiral sem na univerzi na eni od posebnosti, povezanih s kompleksno informacijsko varnostjo v organizaciji. Naučili so nas, kako zaščititi organizacijo kot celoto, od dokumentacije - politike, predpisov in tako naprej, do tehnične komponente - video kamere, sistemov za nadzor dostopa in upravljanja. Bilo je več tečajev kriptografije, tečaj računalniške varnosti - prav to področje me je zanimalo.
Okrog ekvatorja študija na univerzi, ki sem iskal zaposlitev za krajši delovni čas, sem končal v zelo dobrem podjetju, kjer sem vzporedno s študijem delal in vrsto let pozneje.
Kakšna je vaša specializacija?
Ne morem imenovati konkretnega, sem eden izmed strokovnjakov za preučevanje različnih vrst kibernetskih napadov. Preučujemo njihove mehanizme in funkcionalnost ter ugotovimo, kako jih preprečiti.
Promocijski video:
Torej ste beli heker?
Nikoli me niso imenovali beli heker, črn ali siv. Bolj mi je všeč gradacija "specialist za kibernetsko varnost" - "kiberkriminalec". Sem na svetli strani sile, to je dovolj.
Ali delaš na daljavo ali greš v pisarno?
Številni strokovnjaki za informacijsko varnost delajo v velikih znanih organizacijah, skoraj vsi pa delajo v pisarni. Vključno z mano. Ni rutina kot taka, pridem ob desetih in delam do sedmih. Nekdo pride ob eni uri in odide ob devetih ali desetih zvečer. Glavna stvar je rezultat. Vedno lahko delate od doma - vsi so povezani z prenosnikom.
Naše pisarne so precej udobne s številnimi prijetnimi žemljicami, kot so kavni avtomati, avtomati in drugi atributi sodobne pisarne.
Ali so naprave plačane?
Seveda so plačani. Obstajajo tudi kuhinje - v organizacijah, ki se spoštujejo, je to vse privzeto.
Ali obstajajo nočne izmene?
Večina podjetij ima razpored izmene. Zamenjave ne delam že dolgo, sem pa začel z razporedom izmen. Nato sem prešel na področje, ki me zanima.
Ali so v poklicu dekleta?
V kibernetski varnosti je veliko deklet, tudi v Rusiji. Obstajajo svetovno priznani strokovnjaki, ki so najboljši ali nekateri najboljši na določenih področjih.
Je to industrija, v kateri je zmagal feminizem?
Ne, na tem področju je glavna stvar znanje. Sodelovala sem z več analitikami žensk, bile so zelo kul strokovnjaki. V zvezi s tem je v IT vse odprto. Na enak način ženske programerke zdaj nikogar ne presenečajo. Spet je glavna stvar znanje in spretnosti, ne spol.
Ali obstajajo norme KPI? Če dela ni, potem dobro delate?
Delo je vedno in vedno je treba kaj storiti. Kolikor vem, ima veliko podjetij določene meritve za delavce v izmeni. Tisti, ki prosto plavajo, morda nimajo takšnih kazalnikov, ker lahko v nekaterih situacijah študija enega cyberatka traja tedne ali mesece.
Zakaj jih lahko odpustijo ali kaznujejo?
Za vse enako kot v vsakem drugem podjetju. Med značilnostmi - podjetja, ki se ukvarjajo z varovanjem informacij, ne bodo najela osebe z oškodovanim ugledom na našem območju, pa tudi osebe, ki so storile kazniva dejanja iz členov 272, 273 in 274 Kazenskega zakonika Ruske federacije: nezakonit dostop do računalniških informacij; ustvarjanje, uporaba in distribucija zlonamernih računalniških programov; kršitev pravil za delovanje skladišč, obdelavo ali prenos računalniških informacij ter informacijsko in telekomunikacijskega omrežja.
To je takoj črna znamka. Naš svet je ozek - malo je verjetno, da se bo človek odpeljal kamor koli.
Korporativni dogodki, plače in rast kariere
Kako ste s korporativnimi zabavami?
Dolgo sem delal v enem velikem podjetju, tam je bilo zelo zabavno in prijetno. Pogosto smo se udeleževali različnih specializiranih konferenc, vedno je bilo veliko priložnosti za samorazvoj. In ekipa je bila takrat zelo prijazna.
Seveda niso prišli na korporativne zabave System of a Down, vendar so z nami nastopili Bi-2, Mumiy Troll, Spleen in druge ruske rock zvezde. Bi-2 se je na primer izkazal za povsem preproste fante - po koncertu je Leva k nam izstopila z besedami: "Fantje, dajte mi vžigalnik." Kadili smo z njim, bilo je zabavno. Kot številna druga podjetja imamo dve svetovni podjetniški zabavi - novo leto in rojstni dan podjetja. Hodimo enkrat na šest mesecev.
Vendar to ni samo pri nas - katera koli druga organizacija, kot je isti Google, gre dobro v zvezi s korporativnimi dogodki, delovnimi pogoji in različnimi dobrotami. Znajo zadržati zaposlenega.
Ali obstaja poklicni dopust?
Zdi se, da je tam, vendar se ne spomnim, da bi ga kdo proslavil. Tega ni na dan letalskih sil ali na dan mejne straže. Rojstni dan podjetja praznujemo v veliko večjem obsegu kot dan IT strokovnjaka.
Koliko zasluži strokovnjak za kibernetsko varnost?
Dober specialist dobro zasluži. Vse je odvisno od izkušenj in obsega, od vaše edinstvenosti. V Moskvi lahko dobite 200.000 rubljev. Največ - no, nekaj sto. Na najvišji ravni menedžerja. To je seveda nad državnim povprečjem.
Pred približno desetimi leti sem na preizkusni dobi prejel 20.000 rubljev. Imela sem si prostor za življenje, nikoli nisem ničesar plačala in zame je bilo oh *** kakšen denar. Zdaj je pripravnikov malo več - kriza, inflacija -, pa žal ne vem zagotovo.
Zaslužim od 150.000 rubljev. Jaz pa delam - nihče ne bo ničesar plačal za nič. Vsi so primerni, vsi štejejo denar in poslujejo.
Obstajajo neodvisni strokovnjaki. Delajo tisto, kar jih zanima, delajo od doma in lahko sodelujejo s kom.
V kolikšni meri so takšni strokovnjaki povpraševani?
Kadrov vedno primanjkuje. V ekipi nimam enega ali dveh teh. Skupina je lahko geografsko razdrobljena, vsak pa ima določeno nalogo. V sobi je približno deset ljudi. Konkurence ni - vsi delamo eno stvar.
Obstaja poseben oddelek, ki obdeluje aplikacije.
Prijave organizacij?
Da. Velika podjetja imajo oddelke, ki se na primer ukvarjajo s čisto industrijsko varnostjo. Zdaj se navsezadnje vse postopoma digitalizira - tovarne, industrijska podjetja. Njihova ideja o zaščiti je morda zastarela - zato je treba zaščititi vse sisteme za nadzor procesov.
Ključni trenutek, ki je v prihodnjih letih spremenil celotno industrijo, je bilo odkritje gliste Stuxnet leta 2010. Ustvarjen je bil zato, da je preprečil razvoj iranskega jedrskega programa. Devet let kasneje se Stuxneta še danes spominjamo.
Kibernetske napade lahko danes stanejo veliko denarja, zato se s tem ukvarjajo profesionalni kiber kriminalci. No, ali posebne kibernetske enote držav.
Koliko zasluži strokovnjak za kibernetsko varnost?
Dober specialist dobro zasluži. Vse je odvisno od izkušenj in obsega, od vaše edinstvenosti. V Moskvi lahko dobite 200.000 rubljev. Največ - no, nekaj sto. Na najvišji ravni menedžerja. To je seveda nad državnim povprečjem.
Pred približno desetimi leti sem na preizkusni dobi prejel 20.000 rubljev. Imela sem si prostor za življenje, nikoli nisem ničesar plačala in zame je bilo oh *** kakšen denar. Zdaj je pripravnikov malo več - kriza, inflacija -, pa žal ne vem zagotovo.
Zaslužim od 150.000 rubljev. Jaz pa delam - nihče ne bo ničesar plačal za nič. Vsi so primerni, vsi štejejo denar in poslujejo.
Obstajajo neodvisni strokovnjaki. Delajo tisto, kar jih zanima, delajo od doma in lahko sodelujejo s kom.
V kolikšni meri so takšni strokovnjaki povpraševani?
Kadrov vedno primanjkuje. V ekipi nimam enega ali dveh teh. Skupina je lahko geografsko razdrobljena, vsak pa ima določeno nalogo. V sobi je približno deset ljudi. Konkurence ni - vsi delamo eno stvar.
Obstaja poseben oddelek, ki obdeluje aplikacije.
Prijave organizacij?
Da. Velika podjetja imajo oddelke, ki se na primer ukvarjajo s čisto industrijsko varnostjo. Zdaj se navsezadnje vse postopoma digitalizira - tovarne, industrijska podjetja. Njihova ideja o zaščiti je morda zastarela - zato je treba zaščititi vse sisteme za nadzor procesov.
Ključni trenutek, ki je v prihodnjih letih spremenil celotno industrijo, je bilo odkritje gliste Stuxnet leta 2010. Ustvarjen je bil zato, da je preprečil razvoj iranskega jedrskega programa. Devet let kasneje se Stuxneta še danes spominjamo.
Kibernetske napade lahko danes stanejo veliko denarja, zato se s tem ukvarjajo profesionalni kiber kriminalci. No, ali posebne kibernetske enote držav.
Kaj pa karierna rast?
Če dobro delaš, dobro rasteš. Nekdo se želi ukvarjati samo z eno smerjo in imeti vodoravno rast, nekdo pa odrašča. Pred nekaj leti sem prešel na sorodno področje, povezano s svetovanjem - izkazalo se je, da je rast diagonala.
Ali potrebujem antivirus in zakaj prilepim kamero na prenosnik
Ali obstaja uporaba protivirusnega programa?
Seveda.
Kaj je najboljše?
Obstaja več zelo cenjenih podjetij, ki preizkušajo varnostne izdelke: AV-Primerjalniki, AV-TEST in Virus Bilten. Pokažejo bolj ali manj resnične rezultate.
Vsa družina in jaz imamo Kaspersky Internet Security. Zvok prašiča, mimogrede, ko odkrijemo virus, že dolgo ne uporabljamo:)
Je Mac varnejši od osebnega računalnika?
Za Mac obstaja tudi veliko virusov in protivirusov. In ko Yabloko rečejo, da jim gre dobro, jim ne gre dobro. Ta neprevidnost je potem plod kibernetskih kriminalcev.
Pri iPhonih je težje - zanje je težko razviti zlonamerno programsko opremo. Pravzaprav je izredno težko zagnati neko kodo zunaj App Store. Izhodne poti obstajajo, vendar ni ogromnih napadov na končne uporabnike. A v resnici - če hočejo kaj srušiti, bodo karkoli zasvojili.
Cilj vsakega informacijskega varnostnega sistema ni le preprečiti napade, ampak tudi ta, da bi bilo taki napadi čim težji in dražji za kibernetske kriminalce.
Kaj pa android?
Android mora biti nameščen tudi z varnostno programsko opremo. Obstaja mnenje, da je android najbolj nezaščiten. Leta 2014, ko je pod njim že obstajalo več sto tisoč zlonamernih programov, so njihovi predstavniki govorili nekaj neumnosti, da zlonamernih programov ni, obstajajo le potencialno nevarni. IOS je varnejši od mobilnih operacijskih sistemov.
Govori se, da lahko nekatere velike korporacije s sedežem v Ameriki prek aplikacij prisluhnejo vaš telefon brez vaše vednosti. Toda danes ni neposrednih dokazov za to, hkrati pa obstaja veliko dejstev, ki igrajo proti tej teoriji.
Kaj pa, če je telefon izklopljen?
Verjetno ne. Spet govorice gredo, ampak to so govorice. Če se paranoja zvije, jo lahko izklopite. Toda potem ga morate še vedno vklopiti.
In prilepite kamero na prenosnik?
Priporočljivo je, da kamero lepite. Obstaja veliko zlonamernih programov, ki lahko na skrivaj prenašajo video in zvočne podatke hekerjem.
Kako zavarujem svoje podatke?
Vzpostavitev celovitega varnostnega sistema in ne sedenje pod skrbniškim računom - to takoj odpravi številne težave. Ne uporabljajte javnih omrežij Wi-Fi - ni gesla, ves promet se prenaša v jasnem besedilu. Ali pa v tem primeru uporabite VPN. Za vsako storitev si oglejte močna gesla ali uporabite upravitelja gesel.
Se pravi, denarja ne bi smeli metati v kavarno?
Spletne banke šifrirajo promet, vendar obstajajo načini za napad tudi v tem primeru. Če ste povezani z javnim Wi-Fi-jem, takoj vklopite VPN. Promet je šifriran, verjetnost ogrožanja je zelo majhna.
Kakšno naj bo geslo?
Geslo mora biti dolgo vsaj 8 znakov, seveda velike in male črke, številke, posebni znaki. Lahko sestavite mnemološko pravilo, da gesla za vsak vir naredite, vendar hkrati tako, da so vsa različna. Morate dobro vaditi, si ga zapomniti in spremeniti vsake tri mesece.
Nujno je treba uporabljati dvofaktorno avtentikacijo. In izredno pomembno je, da besedilnih sporočil ne uporabljamo kot drugi dejavnik (vsaj za kritične vire).
Danes se SMS še vedno pogosto uporablja za dvofaktorsko preverjanje pristnosti, hkrati pa obstajajo različni načini, kako vsebino SMS-a pridobiti za spletnega kriminala. Zato večina strokovnjakov toplo priporoča uporabo žetonov strojne opreme ali dvofaktorskih aplikacij za preverjanje pristnosti.
Ali virusi pišejo za Linux?
Obstaja mnenje, da je Linux "Elusive Joe". Toda v resnici je možen tudi napad na ta sistem.
Ni nerešljivih sistemov. Nezlomljiv sistem je jeklena kocka v najbolj varovanem vojaškem bunkerju, v katerem je računalnik, popolnoma pokrit s cementom. Šele takrat je računalnik varen. In to ni dejstvo.
Vsa varnostna pravila so zapisana v krvi, niso se globalno spremenila - niti zdaj ali pred desetimi leti. Lahko se prilagodijo novim tehnologijam, vendar bistvo ostaja v celoti enako.
O interakciji s krmiljenjem "K", računanju IP in Putinovega telefona
Kaj menite o zakonu, ki omejuje internet?
Namestite VPN ali Tor.
Je Telegram najbolj zanesljiv sel?
Obveščevalne agencije so seveda zainteresirane za dostop. Obstajajo tudi drugi glasniki, ki so bolj varni kot Telegram. Najpomembnejša točka je, kakšno šifriranje se uporablja: od konca do konca ali pa so sporočila šifrirana le med prenosom na strežnike Messengerja in so tam že shranjena nešifrirana. V današnjih resničnostih je najbolje uporabiti glasnike s šifriranjem od konca do konca, če imate ključ le vi in oseba, s katero komunicirate. To je na primer signal. Pazim na WhatsApp, kljub dejstvu, da tudi to vrsto šifriranja uporabljajo privzeto, saj danes pripada Facebooku.
Na splošno se lahko pokvari vse, glavna vprašanja so cilj hekerstva in sredstva napadalca.
Ali vas policija ali obveščevalne agencije prosijo za pomoč?
To je redna tema. Številna podjetja, ki sodelujejo v kibernetski varnosti, lahko oddelek K prejmejo uradno zahtevo za strokovno znanje in to storijo vsi. Kibernetska kriminaliteta je isto kaznivo dejanje. To je rutina. Zdaj je že razvita praksa zbiranja dokazne baze - kaj in kako iskati, kako dokazati krivdo določene osebe.
Kako lahko dokažete krivdo človeka? Na trdem disku ni nobenih prstnih odtisov, kajne?
Ne, največkrat pa Mask Shaw pride do osumljenca in zaseže prenosni računalnik, mobilne telefone, pametne telefone, kartice SIM, bliskovne pogone in drugo opremo ter nam jih preda v tehnično raziskovanje.
Kako nevarno je postaviti piratsko programsko opremo doma?
Piratske programske opreme nikoli ni treba namestiti. Včasih je bil problem pri dostopu do programske opreme, zdaj pa imajo prenosni računalniki že vnaprej nameščene osnovne programe. Verjetno ne bodo prišli k vam zaradi Photoshopa, vendar se je z nečim z lahkoto okužiti.
Ali je mogoče izračunati po IP?
Ko greste na splet, vam bo vaš internetni ponudnik dal naslov. Se pravi, pozna vaš fizični naslov in nanj veže IP. Dvomim pa, da ga bo ponudnik dal neki levi Vasji. Če uporabljate proxy, je še toliko težje. Ponudnik lahko vsem podatkom posreduje vse podatke, a ljubosumna žena moža ne bo iskala prek MTS.
Ali lahko ruski hekerji resnično vplivajo na ameriške predsedniške volitve?
Vse je teoretično mogoče.
Rusijo nenehno bombardirajo z obtožbami za vse najhujše kibernetske (in ne samo) grehe. In res nihče ni pokazal resničnih dokazov. In hkrati vsi vedo, da je isti Facebook množično puščal osebne podatke in metapodatke iz podjetja Cambridge Analytica.
Mnoge države se danes zavedajo potrebe po zagotavljanju kibernetske varnosti države na splošno in zlasti kritične infrastrukture. Zato v mnogih državah obstajajo enote, ki sodelujejo pri zaščiti pred kibernetskimi napadi.
Najverjetneje nihče nikoli ne bo zagotovo povedal, ali so rusko govoreči hekerji vplivali na volitve ali ne. A dejstvo je, da so rusko govoreči programerji in varnostni strokovnjaki resni fantje in nekateri najboljši na svetu, če ne celo najboljši. In najdete jih ne le v Rusiji, temveč tudi v Silicijevi dolini, Evropi in drugih državah.
Imate profesionalni sleng?
Številne tehnološke besede zasledujejo besede iz angleščine. Sortsy - izvorna koda, virye - virusi, zlonamerna programska oprema - splošno ime zlonamerne programske opreme.
Kaj pa vraževernost?
Obstaja profesionalna paranoja, veliko ljudi jo izkusi.
Big Brother nas gleda?
Anonimnost ne obstaja. Če bodo želeli, bodo to našli.
Pravijo, da Putin nima telefona
In zakaj bi moral? Pameten človek je. Naše službe so fantje z glavo, vse razumejo. Obstaja posebna enota FSO, ki je odgovorna za zagotavljanje komunikacij vlade. Kako in kaj tam deluje - vedo le oni. Toda iz nekega razloga sem stoodstotno prepričan, da je tam vse zelo zanesljivo.
Pametni telefoni in tvit na tej ravni razvajajo.
Putin je še vedno čekist in nekdanjih čekistov ni.
Avtor: Jerzy Simbin