Понятие «киберполигон» уверенно вошло в лексикон специалистов по информационной безопасности. На отечественном рынке киберполигонов существуют устойчивые игроки, проводятся открытые киберучения и фестивали, информационное пространство наполняется новостным и образовательным контентом. При этом единого формализованного описания принципа действия и предназначения киберполигонов не существует, и каждый производитель и пользователь вкладывают в это понятие свое видение. Что представляет собой сегмент киберполигонов в нашей стране, какие тенденции определяют его развитие?

Из мировой практики

Объем мирового рынка киберполигонов в 2023 г. оценивался в 2,4 млрд долл. Ожидается, что к 2032 г. он достигнет 9,2 млрд долл., среднегодовой темп роста составит 21%. Такие данные приводит исследовательская компания Dataintelo в своем отчете Cyber Range Market за прошлый год. Эти совокупные цифры включают все сегменты по типу киберполигонов и сферам применения. Точных данных в открытом доступе о российском рынке киберполигонов нет, однако есть основания считать, что он имеет схожие тенденции устойчивого роста. Например, к середине 2023 г., согласно «Перспективному мониторингу», компанией было продано 13 киберполигонов, на момент написания статьи – уже 21. Схожее разделение киберполигонов по типам: облачные и онпремис-платформы, отраслевые и организационные решения. При этом наблюдаются и существенные отличия.

Российский рынок киберполигонов значительно более закрыт по сравнению с зарубежным коммерческим рынком кибербезопасности. Еще одно отличие – включение в него услуг по проведению киберучений, которые можно организовать с использованием специализированных программных средств, а можно и в «бумажном» виде, что-то вроде инсценировки с последующим разбором ситуации. В этом основная сложность оценки объема рынка киберполигонов в России. Поэтому поделимся собственной методикой и экспертным мнением, которые получили за пять лет работы в качестве разработчика собственного киберполигона.

Что такое киберполигон

Под киберполигоном в широком смысле мы понимаем учебно-тренировочную платформу для отработки навыков противодействия киберугрозам. В общем случае в этой платформе моделируется инфраструктура какой-либо организации, внутри которой отрабатываются различные сценарии угроз информационной безопасности. Соответственно, киберучение – это занятие на такой платформе в групповом или индивидуальном формате. Такую же виртуальную инфраструктуру используют для разработки и тестирования уровня безопасности различных программных продуктов, например, средств защиты информации.

Разработчики платформ по-разному подходят к формированию инфраструктурных моделей. Для нас приоритетные задачи киберполигона – учебно-тренировочный элемент и отработка навыков до автоматизма. В связи с этим в рамках платформы делается упор на небольшие типовые модели предприятий, которые несложно развернуть и которые при этом дают достаточное понимание различных угроз информационной безопасности и принципов функционирования инфраструктуры коммерческих предприятий. Дальнейшее наращивание специализированных отраслевых шаблонов, интеграция цифровых двойников, дополнительные средства защиты расширяют возможности кастомизации и моделирования векторов атак, но базовый принцип остается неизменным – короткая эффективная тренировка, нацеленная на автоматизацию навыков защиты.

Другая модель, которая в настоящее время превалирует в информационном пространстве, – киберполигоны с масштабной инфраструктурой и количеством узлов до полутора тысяч, даже с демонстрацией последствий атак на физических моделях объектов. Это позволяет проводить разовые массовые киберучения с одновременным подключением к инфраструктуре большого количества участников. Такие киберполигоны, скорее, напоминают CTF-платформы и заточены на соревновательную модель, а мероприятия устраиваются в большей степени для популяризации информационной безопасности и привлечения новых сотрудников.

Ключевые движущие факторы рынка киберполигонов

Чтобы определить вектор развития киберполигонов и понять, чем этот рынок «дышит», рассмотрим ключевые события, повлиявшие на его формирование и развитие. Некоторые тенденции носят долгосрочный характер и будут продолжать оказывать серьезное влияние.

Стратегия национальной безопасности

Указы о стратегии национальной безопасности принимались не один раз, в последнем из документов – Указе Президента РФ от 02.07.2021 № 400 «О Стратегии национальной безопасности Российской Федерации» – содержится раздел, посвященный достижению цели обеспечения информационной безопасности. В частности, п. 57 Указа предусмотрена задача развития системы прогнозирования, выявления и предупреждения угроз информационной безопасности, определения их источников, оперативной ликвидации последствий реализации таких угроз.

Киберполигоны – один из действенных способов решения такой задачи. Они являются тренировочным пространством, в рамках которого обучаемые учатся детектировать угрозы разного типа и устранять уязвимые места в информационной инфраструктуре. Пример типового сценария – атака на периметр научно-технического предприятия, в которой внешний или внутренний нарушитель смог нелегитимным образом получить доступ к внутренней базе данных и похитить конфиденциальную информацию.

Критическая информационная инфраструктура

Федеральным законом «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 № 187-ФЗ введено понятие критической информационной инфраструктуры. За этим документом последовало еще несколько указов. С точки зрения устойчивого функционирования объектов КИИ интерес представляют Приказ от 21.12.2017 № 235 «Об утверждении требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования» и Приказ Федеральной службы безопасности Российской Федерации от 19.06.2019 № 282 «Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации». Данными документами предусмотрены регулярные тренировки и обучение сотрудников в целях готовности к реагированию на инциденты безопасности и повышения квалификации в области ИБ.

Требования нормативных актов послужили дополнительным стимулом для предприятий, в частности, заставили задуматься о качественных инструментах, которые позволят системно проводить тренировочные мероприятия, сохранять прогресс, анализировать ошибки и совершенствовать навыки. Сегодня таким инструментом служат киберполигоны.

Классические киберучения проводятся в формате Blue Team, когда участники разделяются на группы мониторинга и реагирования. Первые выполняют функции обнаружения инцидентов информационной безопасности и предоставления сведений группе реагирования, участники которой закрывают уязвимости информационных систем и устраняют последствия кибератаки. Иногда команды мониторинга и реагирования объединяют в одну, тем самым обучаемым предоставляется вся полнота влияния на инфраструктуру.

Дополнительные функции и типы тренировок – системы автоматического скоринга, индивидуальные тренировки, соревновательные механики, тренировки в роли нарушителя – призваны разнообразить процесс, улучшить наблюдаемость, упростить работу по оценке достижений.

Создание национального киберполигона

В рамках Национальной программы «Цифровая экономика Российской Федерации» в 2019 г. были сформированы требования к созданию киберполигона. Формализация потребности в масштабах федеральных проектов отражает повышенный спрос не только на инструменты предотвращения и отражения угроз, но и на учебно-тренировочные платформы по подготовке ИБ-специалистов. Безусловно, спрос на практическую подготовку и, в частности, на повышение квалификации наблюдался и ранее: организовывались ДПО, курсы производителей и учебных центров, командно-штабные учения и занятия по повышению осведомленности. Все это послужило предпосылкой к созданию киберполигонов на уровне частных бизнесов и государства.

Рост количества атак и изобретательности злоумышленников

В условиях массовой цифровизации, обострения геополитической обстановки, санкций наблюдается рост количества кибератак. При этом злоумышленники становятся изобретательнее, ставят перед собой более амбициозные цели, совершенствуют тактики и техники своих действий.

Например, в докладе представителя НКЦКИ на тему «Актуальные угрозы безопасности информации в современных условиях» на SOC Forum 2023 г. отмечалось распространение атак через интеграторов. Такие действия сложнее обнаружить из-за большой схожести с действиями обычных сотрудников подрядной организации, что в конце концов приводит к утечкам данных. Примечательно, что в атаках в прошлом году использовались широко распространенные, относительно старые уязвимости, как, например, Eternal Blue на сервере SMBv1 (CVE-2017-0144).

В целом количество регистрируемых событий безопасности растет. Согласно отчету «Кибератаки на российские компании в 2023 г.», подготовленному компанией «Солар», количество выявленных событий безопасности в четвертом квартале 2023 г. увеличилось на 68% по сравнению с аналогичным периодом предыдущего года.

Чтобы эффективно справляться с растущим потоком хакерских атак, нужно постоянно тренировать навыки и делать это в разнообразных условиях и сценариях. Помощником в этом служат киберполигоны. Например, на базе Standoff два раза в год проводится кибербитва с разными командами и моделями промышленной инфраструктуры. Платформа «Солар Кибермир» предлагает автоматическую систему скоринга для участников киберучений. А киберполигон Ampire оснащен инструментом «Конфигуратор сценариев», который позволяет на базе заложенных в продукт уязвимых узлов построить интересующий вектор атаки и отработать реагирование. В уязвимых узлах используются как широко известные, так и недавно появившиеся уязвимости, например, упомянутый Eternal Blue (CVE-2017- 0144), уязвимость модуля vote в «1С-Битрикс: Управление сайтом» (CVE-2022-27228) или уязвимости в плагине для Wordpress (CVE-2023-32243) и в Microsoft Exchange (CVE-2024-21413).

Нехватка кадров

В ИБ-отрасли наблюдается серьезный дефицит квалифицированных специалистов по информационной безопасности. По данным совместного опроса «СерчИнформ» и hh.ru за 2022 г., 54% российских компаний испытывают нехватку ИБ-кадров, а среди субъектов КИИ таковых 48%. Кроме того, согласно данным исследования, проведенного аудиторско-консалтинговой сетью FinExpertiza, в 2022 г. количество занятых сотрудников в возрасте до 30 лет уменьшилось более чем на 1 млн человек по сравнению с 2021 г., в то время как число занятых сотрудников свыше 30 лет увеличилось.

В таких условиях возникает потребность относительно быстро доучить и переучить большое количество людей. И для этого недостаточно обычных занятий в университете. Нужны практические инструменты, которыми и являются киберполигоны. Например, в рамках проекта «Национальный киберполигон» создаются опорные центры на базе профильных вузов страны. Определенные учебные заведения получают полный доступ к инфраструктуре киберполигона и функционируют в качестве полноценных учебных площадок по отработке навыков защиты от киберугроз. По словам заместителя председателя Правительства РФ Дмитрия Чернышенко, в рамках национальной программы «Цифровая экономика» до 2024 г. в стране создадут 15 опорных центров Национального киберполигона (в настоящее время функционируют восемь опорных центров).

Растущий спрос на информационную безопасность детей

Государство проявляет повышенный интерес к вопросу детской безопасности, которая напрямую связана с информационным пространством. И сейчас этот интерес наиболее ярко выражается в Концепции информационной безопасности детей, утвержденной Председателем Правительства РФ Михаилом Мишустиным в 2023 г. Создается большое количество разнообразных инструментов, программ и курсов, повышающих осведомленность детей в базовых аспектах информационной безопасности.

В «Перспективном мониторинге» создана отдельная версия киберполигона, предназначенного в первую очередь для школьников. На базе этого инструмента предлагаются практико-ориентированные лабораторные работы по актуальным проблемам информационной безопасности, с которыми дети сталкиваются в Интернете. В рамках занятий обучаемый может на собственном опыте и в безопасной среде прочувствовать, что такое фишинговые письма и что будет с компьютером, если эти письма открыть, как выявлять фейковые новости, как защититься от мошенничества и кибербуллинга и т. д. Это не только помогает в повседневной жизни, повышает интерес ребенка к предметной области, но и способствует усилению безопасности детей в информационном пространстве.

Динамика рынка

На рынке ИБ формируется устойчивое понимание, что для качественного усиления безопасности недостаточно установить несколько «железок» в организации и настроить софт. Становится популярной мысль, что укрепление информационной безопасности сродни тренажерному залу или изучению иностранного языка. Если хочешь накачать мышцы или выучить испанский, недостаточно провести пару интенсивных занятий по пять часов. Важно заниматься регулярно, методично, пусть даже занятие будет продолжаться 30 минут. Так формируется навык и, если угодно, культура.

По этой причине киберполигоны, приобретающие большую узнаваемость и популярность, позволяют заложить регулярность, способствуют формированию культуры информационной безопасности. Киберполигоны многопрофильны – в них затрагиваются разные аспекты информационной безопасности (пентест, OSINT, мониторинг, реагирование и т. д.), разные форматы занятий (Blue Team, Red Team, CSIRT, Red Team vs Blue Team и т. д.), различные тактики и техники атак, уязвимости.

В настоящее время наблюдается повышенный спрос на киберполигоны среди высших учебных заведений, которые стараются изменить подход, перейти от «бумажной информационной безопасности» к практике. Так, например, в нескольких технических университетах, где поставлен киберполигон, студенты проходят регулярные практические занятия на его базе, используют данный инструмент в курсовых и дипломных проектах, сдают зачеты по пройденным сценариям. Все это позволяет студенту получить представление об информационной безопасности, максимально близкое к реальности, ознакомиться с типовыми инструментами, утилитами, средствами защиты информации и т. д. В то же время проходивший киберучения студент лучше готов к собеседованию в ИБ-компании, быстрее вливается в рабочий процесс. А с появлением киберполигона для детей к процессу подключаются еще и общеобразовательные школы. Эта тенденция сохранится и в дальнейшем.

Проявляют интерес к киберполигонам предприятия топливно-энергетического комплекса и финансовых организаций. Заказчики желают проводить киберучения на цифровых двойниках, чтобы сотрудники тренировались в привычном им контексте. Сама по себе разработка цифровых двойников – сложная задача из-за наличия специфического ПО и даже физического оборудования. По этой причине некоторые крупные компании предпочитают сосредоточиться на создании собственного киберполигона. Это несколько замедляет распространение киберполигонов в отраслях, в отличие от вузов. Однако спрос на киберполигоны сохранится и дальше, потому что существующие платформы активно развиваются, а создание собственного киберполигона – очень ресурсоемкая задача.

Один из путей, по которому идут разработчики киберполигонов, – сотрудничество с отраслевыми научными институтами по созданию специализированных профильных шаблонов. Так, в 2023 г. совместными усилиями НТЦ МЭИ и «Перспективного мониторинга» был разработан и интегрирован в киберполигон цифровой двойник энергосистемы. В нем моделируются атаки, которые перехватывают управляющие сигналы к РЗА, в результате на подстанции возникает короткое замыкание. Особенность такой атаки в том, что в SCADA-системе, связанной с РЗА, оператор не видит негативных изменений в функционировании системы. Они станут для него очевидными, только когда случится само короткое замыкание. Есть и другие примеры интеграций с различными отраслями. Например, недавно на фестивале PHDays организаторы мероприятия предлагали участникам кибербитвы сценарий, в котором существовали два государства с предприятиями различных отраслей – нефтегазовой, металлургической, транспортной и не только. Атаки на эту инфраструктуру приводили к различным последствиям, таким как остановка перекачки нефти, транспортный коллапс и др. Все это визуализировалось на физических макетах государств.

Заключение

Рынок киберполигонов находится в стадии роста. Сейчас охвачена лишь небольшая часть организаций, у которых есть прямой интерес к внедрению таких решений, и киберполигоны продолжат увеличивать свою долю на рынке.

Прямых аналогов киберполигонов на данный момент не существует. Такие известные мировые площадки, как TryHackMe, Hack The Box, помогают получить новые знания и навыки, но они не позволяют в единицу времени взглянуть на ситуацию под всеми углами и ориентированы прежде всего на «атакующую» аудиторию. Самостоятельно развернуть похожий комплекс очень сложно и дорого. Поэтому наметившаяся тенденция рынка киберполигонов к росту сохранится в ближайшие годы и, скорее всего, значительно повлияет на процесс образования в сфере информационной безопасности.

Прочитать статью в электронной версии журнала Connect