Державні системи захищені від зламів на 40%

Вітчизняна IT-команда "DCUA" перемогла у світовому рейтингу "білих" хакерів. Українців визнали найкращими серед спеціалістів, здатних визначати рівень ураженості системи від вірусних атак та створити надійний захист. В інтерв'ю ТСН учасники команди розповіли, як проходять змагання з кібербезпеки, які перспективи в українських айтівців та чого не вистачає для інформаційної безпеки держави.

Незмінний лідер і тренер команди dcua, науковий співробітник Микола Ільїн

- Змагання у яких ви брали участь, з чим можна порівняти?

- З медальним заліком на Олімпіаді.

- Тобто це Олімпіада серед айтівців?

- Не зовсім Олімпіада, це змагання з інформаційної безпеки. Його суть у тому, що команди вирішують задачі з одного профілю інформаційної безпеки. У ці змагання входить технічна та практична частина. Немає організаційних методів, на кшталт побудови політики безпеки, не враховуються соціальні фактори. Тобто галузь безпеки задіяна не повністю, але, як правило, технічна частина пропрацьована дуже добре. Фактично конкурс представляє собою таке: організатори використовують певний набір додатків, які, як правило, самі розробляють, завдання конкурсантів – дослідити додаток, або на сайті, або мобільний додаток, або код з метою пошуку уразливості. Конкурсант має за певний період часу знайти "прапори", тобто певний зашифрований рядок. Або ж зламати віддалений сервер, або дослідити алгоритм роботи додатку і відправити організатору. Залежно від складності завдання, нараховується різна кількість балів. Змагання не одноразові, рейтингові, тобто переможці визначаються за підсумком участі у змаганнях протягом року. Той конкурс, у якому ми посіли перше місце за підсумком 2016 року, популярний та визнаний серед "CTF-тусівки", у ньому нині беруть участь близько 12 тисяч команд з усього світу. (CTF – від англійської Capture the Flag (захопи прапор), різновид командних змагань. Визначення застосовується як для командних ігор на місцевості, так і у кіберспорті та змаганнях з кібербезпеки – прим. ред.). Результат є зваженою сумою балів, які команда отримувала за різні завдання протягом року. Завдань близько 70 і всі вони різного рівня складності. Змагання не комерційні, призів ніхто не отримує, окрім міжнародного визнання.

- У матеріальному еквіваленті ви нічого не отримали?

- Ні, нічого не отримали. Це як з Олімпійським комітетом, за самі змагання команда отримує лише медалі, а всі матеріальні заохочення залежать вже від держави. Сама організація CTF-time, що організовує ці змагання – вона некомерційна, підтримується волонтерами. Хоча, бувають окремі призові завдання. Порівняно з іншими видами кіберспорту, невеликі суми. Стандартно, якщо призове завдання, команда-переможець отримує 2 тисячі доларів, третє місце – 500 доларів, інші нічого. У деяких корейських конкурсах приз за перше місце може досягати 6-10 тисяч доларів.

- За рахунок чого існує ваша команда?

- Частково нас спонсорує "Київський політехнічний інститут", частково кошти виділяю за рахунок моєї комерційної компанії.

- Що являє собою ваша команда?

- Це 43 людини. Найбільша частина – з "Політехнічного інституту", це студенти, випускники початківці у цій справі, які отримують корисний досвід у галузі інформаційної безпеки. Для студентів це дуже корисно, зокрема, й у піднятті престижу спеціальності, оскільки молоді люди бачать, яке всесвітнє охоплення має їхній фах, і що їхні знання конкурентні, що українці на щось здатні. Є фахівці, які вже багато років працюють у цій галузі. Є люди за кордоном, здебільшого – українці, які емігрували, але є й іноземці – з Марокко, Швейцарії. Вона не має якогось офіційного статусу як громадської організації чи ще якогось, просто клуб за інтересами, просто як аналог спортивної команди. Бере участь у змаганнях здебільшого, займатись якимись іншими справами силами клубу не дозволяє зайнятість.

- Перемога у таких змаганнях відкриває двері для роботи за кордоном, у тій самій Силіконовій долині?

- Так, це може бути квитком до Силіконової долини. І у нас є люди, які там і працюють. Та й в Україні все не так погано. Наприклад, робота в університеті у сфері інформаційної безпеки знімає багато питань у тому ж юридичному полі – не виникає запитань, чи займаємось ми кримінальною діяльністю. Ми співпрацюємо з СБУ на основі договорів служби з КПІ. Фінансово є можливість, окрім основної діяльності, працювати з комерційними структурами. Університет лояльно до цього ставиться. Також є можливість займатись некомерційною дослідною діяльністю.

- СБівці звертаються до вас за допомогою, чи просто контролюють вашу діяльність?

- У КПІ є офіційні контракти щодо науково-дослідницької роботи, дослідно-конструкторської роботи, які взаємодіють зі спецслужбами. Все це відбувається за відкритими тендерами, теми та звіти робіт відкриті.

- Якого характеру ці роботи?

- Це не пов'язано зі зламом якихось сторонніх ресурсів. Здебільшого – вивчення загроз, дослідження шкідливого програмного коду. У "бойових діях" ми не беремо участі.

- Тобто, кібератак не робите?

- Ні, ми займаємося лише легальною діяльністю, дозволеною законом.

- Вас називають "білими хакерами". А "чорні" до вас не звертаються?

- Звертаються, але якщо порушувати законодавство, хоча в Україні воно досить лояльне, це призведе до скандалу, який виллється у дуже неприємні наслідки аж до ув'язнення. Тому ми таким не займаємось, і всі наші учасники попереджені, що жодних "чорних" замовлень ми не виконуємо. Собі дорожче вийде.

Учасник команди dcua Віктор Ситник

- Розкажіть, як відбувалися змагання, на які ви виїжджали за кордон?

- В основному спочатку відбувається онлайн-кваліфікація, на якій визначаються, приміром, топ-10 команд, які вже їдуть на змагання. Здебільшого їдемо власним коштом. Останні змагання, на яких ми були, – це у Румунії, Бухаресті. Ми там посіли третє місце. Команда з п'яти осіб брала участь, і ще підключались віддалено інші члени команди. Достатньо складне було змагання. Формат виїзних змагань, як на хакатонах. Єдиний момент у Румунії, який був досить неприємним, що тривало змагання 24 години поспіль, і нікуди відлучитись протягом цього часу неможливо.

- Скільки команд брали участь?

- 16 команд. Всі перебувають у одному приміщенні. Ми й на підлозі спали, бо дуже важко 24 години протриматись. Якісь команди, які вже бачать, що в лідери не виб'ються, їздили до готелю, а потім повертались довирішувати завдання.

- Актуальне запитання – чи реально для вас, як учасників таких конкурсів, поїхати до Силіконової долини та там заробляти пристойні гроші?

- Звичайно реально.

- А ви збираєтесь?

- Якщо чесно, збираюсь. Не до самої Силіконової, але до держави, у якій вона розташована. У нас з братом власна компанія, яка займається веб-розробкою. Брат живе у Нью-Йорку, я до нього збираюсь. Будемо продовжувати нашу справу.

-  Ви ще навчаєтесь?

- Закінчую четвертий курс.

- За яким фахом?

- Кібербезпека.

- Як ви ставитесь до терміну "білі хакери", яким вас називають?

- Ну, це правильне визначення. Наша діяльність у команді не порушує жодних законів чи чиїхось інтересів. Є друга категорія – "сірі хакери". Вони нападають на "чужих" та захищають "своїх". "Чорні хакери" вже діють від злого умислу, щось зламують. Ми цього не робимо, ми шукаємо вразливості систем, не виходячи за межі правового поля.

- За 2016 рік за допомогою "фішингу" (різновид інтернет-шахрайства, метою якого є отримання доступу до конфіденційних даних користувачів — логінів і паролів — прим.ред.) в Україні було зароблено 339 млн грн. Чи до вас звертаються з проханням розробки таких речей?

- Звичайно звертаються, і дуже багато після того, як у ЗМІ повідомили про нашу перемогу у конкурсі. Пишуть у приватних повідомленнях, навіть звертаються кримінальні особи з Росії, які пропонують зламати банківські бази даних та отримати дані банківських карток користувачів. Але ми працюємо у легальному полі.

- Наскільки реально викрадення таких баз в Україні?

- У нас достатньо сильно непокояться про це. Наприклад, є банк, який навіть платить за знайдені уразливості системи. Проте, чорних хакерів ніхто не скасовував, і такі зливання та атаки матимуть місце. Загалом рівень захищеності у нас, в Україні, середній, відсотків на 40. Я маю на увазі системи великі системи, електростанції та інші державні установи.

Учасник команди dcua Олексій Міснік

- Для вас подібні завдання – це гра?

- Це більше, ніж гра. Рівень завдань перевищує навіть той рівень, що є необхідний для роботи у комерційних структурах. Іноді виконуєш завдання на змаганнях, і наступного дня на роботі стикаєшся з таким самим завданням, причому набагато легшого рівня. І виконуєш роботу легко та швидко. Іноді на змаганнях дають такої складності завдання, що сідаєш – і плакати хочеться. Розумієш, що для вирішення треба перерити купу інформації, але коли вирішуєш, звичайно відчуваєш задоволення. Та й досвід напрацьовується, рівень зростає. Хоча, часу це забирає багато. Тим більше, що в нашій команді, хоча й студенти, але більшість вже з досвідом роботи у сфері кібербезпеки.

- А де ви працюєте?

- У комерційній компанії, займаюсь ІТ-безпекою. Раніше працював у команді реагування на комп'ютерні надзвичайні події України Cert.ua при держспецзв'язку. В період моєї роботи відбувся найбільш гострий розвиток подій з атаками на наш енергетичний сектор. Я вважаю, ми вдало впорались, і ще допомогли запобігти кібератаці на аеропорт "Бориспіль". Це був перший випадок, коли ми попередили атаку, а не порались з наслідками. Хакери намагались зламати систему управління польотами. Зазвичай ми отримували заявки, вже коли все сталося, і ми з'ясовуємо рівень пошкоджень, що вкрадено, які бази злили тощо. А у випадку з "Борисполем" ми помітили, що вірус вже занесено до системи, і що він там вже функціонує та чекає свого часу.

Цікаво, що атака на електростанції була здійснена у день електрика. І ми подивились за датою, що до дня авіації залишилось 10-15 днів, і виявили вірус. Ми припускали, що атаку на аеропорт готують на день авіації.

- А звідки йшла ця атака, можна дізнатись?

- Кожна атака має свій командний центр, куди стікаються запити. Тому, звичайно, вирахувати, з якої країни вона йшла, реально.

- І ви вирахували?

- Там було багато командних центрів. Ми, звичайно, вирахували, ця інформація доступна у відкритих джерелах. (Українські спецслужби заявляли, що атака готувалась з Російської федерації – прим. ред.). Говорити, що все йде з однієї країни буде неправильно, бо ми мали справу з організованими атаками й з Литви, й з Естонії.

- Чому ви пішли із Держзспецзв'язку?

- Зарплата, забезпечення. Україна не може похвалитись Силіконовою долиною, це не секрет. У нас була стаття на сайті Cert.ua про те, які вимоги є до фахівців, і які зарплати вони отримуватимуть після приходу та протягом часу роботи. Дуже багато обговорень викликала. З таким рівнем знань, який вимагають у державній установі, зарплати стартували від 3 тисяч гривень. У комерційних структурах для фахівців такого рівня – це в 10 разів більше.

Взагалі у нас є практика вже протягом 5-6 років, що найкращі випускники йдуть до Cert.ua.

- Вам після перемог у конкурсах надходили пропозиції про роботу за кордоном?

- Так, але я тут маю роботу, яка мене задовольняє. Їхати поки не збираюсь нікуди.

- Користуються попитом наші фахівці?

- Так, звичайно, попит на фахівців завжди є.

Спілкувався кореспонент ТСН Ігор Бондаренко