Владимир Заполянский: PHDays сейчас, пожалуй, самая популярная секьюрити-конференция в мире

В интервью Anti-Malware.ru Владимир Заполянский, директор по маркетингу и корпоративным коммуникациям компании Positive Technologies, делится своими мыслями о последствиях введённых против компании санкций, о возросшем интересе к юбилейной конференции Positive Hack Days 2021, о настоящем и будущем киберполигона собственной разработки, а также о том, каким образом сделать индустрию кибербезопасности прозрачной для всех участников рынка.

Владимир, расскажи, пожалуйста, про форум Positive Hack Days 2021. В чём будет особенность мероприятия в этом году? Был перерыв из-за пандемии, и пока не очень понятно, будет ли оно таким же, как в 2019 году, или всё-таки формат будет меняться.

В. З.: Начнём с того, что Positive Hack Days 2021 точно будет. Немного прокомментирую те обстоятельства, в которых мы оказались — нельзя не замечать слона в комнате. Недавно министерство финансов США выдвинуло в адрес Positive Technologies обвинения в том, будто мы организуем конференцию, на которой спецслужбы «хантят» хакеров. Соответственно, у многих возник вопрос: а действительно ли форум состоится? Отвечаю: состоится, и ещё как! Он пройдёт 20 и 21 мая в двух ипостасях: очно, на площадке ЦМТ (Центр международной торговли в Москве. — Прим. ред.), и онлайн ― мы организуем трансляцию всех событий форума на сайте The Standoff. И такой ход очень логичен, потому что The Standoff в этом году снова вливается в программу PHDays: кибербитва начнётся 18 мая и закончится 21-го.

Чем этот год особенный для форума? Кроме того, что это — юбилейный, десятый форум, который мы откладывали на целый год из-за пандемии, на данный момент это — самая популярная секьюрити-конференция в мире из-за произошедших вышеупомянутых событий, которые привлекли огромное внимание общественности, как российской, так и зарубежной.

То есть фактически это сыграло в плюс узнаваемости?

В. З.: С точки зрения узнаваемости, безусловно, в плюс: о компании Positive Technologies и о том, что мы организуем конференцию, сейчас знают все. С точки зрения ряда других вещей последние недели для нас были не самыми простыми.

Из-за появления санкций стал ли кто-то из гостей, которые должны были приехать на конференцию, отказываться от участия или, может быть, задавать какие-то вопросы — например, надо ехать или нет?

В. З.: Несколько партнёров, которые планировали своё присутствие, отказались, к сожалению. Однако на смену им оперативно влились другие.

Вообще, из-за повышенного интереса к мероприятию мы сменили площадку на более крупную — переехали на «историческую родину», в ЦМТ. Там появилось больше партнёрских мест и все их быстро заняли.

Что касается гостей, от некоторых были и вопросы о том, не грозит ли чем-то им лично участие в конференции. Тут ответ простой: конечно нет. PHDays в этом смысле ничем не отличается от других секьюрити-конференций, проходящих в России. Если глубже разобраться в сути санкций, то они были наложены на одно из юридических лиц Positive Technologies. Они не касаются ни одного из физических лиц — топ-менеджеров, совладельцев, акционеров компании; они не касаются никого из сотрудников компании и тем более не коснутся гостей форума.

А не получилось ли так, что кто-то из Штатов отказался участвовать, а из других стран, которые, скажем так, не очень дружат с США, наоборот, проявили интерес к мероприятию?

В. З.: Нет, такого не было замечено. И мы со своей стороны не принимали никаких контрмер. Positive Hack Days ― просто секьюрити-конференция, которая вне политики и ради практической кибербезопасности, её участников можно считать скорее партнёрами в общем деле повышения глобальной защищённости.

Предлагаю вернуться к одному важному моменту ― к обвинениям в рекрутинге хакеров спецслужбами. Выглядят они, конечно, полной чушью. Но, так или иначе, было бы интересно услышать, на чём формально это обвинение базируется, откуда эта информация взялась?

В. З.: Давай разберёмся в сути вопроса.

Посещают ли спецслужбы PHDays? Возможно, посещают, точно так же, как и любые другие секьюрити-конференции любых других стран мира. Специально мы их не приглашаем. Одной из ключевых задач PHDays является прозрачность индустрии кибербезопасности, прозрачность Positive Technologies, прозрачность действий «белых» хакеров, ревёрсеров, инженеров, разработчиков, defensive-специалистов.

Это площадка для общения разных сообществ — и «футболок», и «пиджаков», и госов, и бизнесов, — для того, чтобы они смогли увидеть проблемы и возможности друг друга, обсудить их на одном языке. Ты сам неоднократно был на PHDays, видел ли там каких-нибудь людей в плащах и шляпах, которые раздают флаеры с призывом «Поступайте в КГБ»?

Нет, конечно! (Смеётся.) Наверно, кому-то за рубежом не понравилось, что есть некая известная площадка, на которой собираются люди со всего мира — а там действительно собирались самые сильные команды «белых шляп». И что, вероятно, может идти обмен опытом и знаниями, так что эту деятельность нужно «прикрыть» и лишить специалистов по ИБ возможности ездить и общаться, дабы изолировать нашу местную «тусовку», которая исследует безопасность и ищет уязвимости, и отделить её от остальных представителей этой сферы.

В. З.: Я думаю, что цель санкций — не отдельно взятая компания Positive Technologies или любая другая конкретная организация, которая может попасть в соответствующий список, но вся индустрия кибербезопасности и IT. Некоторое время назад в одном из заявлений Штатов, ещё до того, как были опубликованы санкционные списки, я видел тезис о том, что санкциям могут быть подвергнуты те организации, которые потенциально имеют возможность нанести какой-то ущерб США в той или иной области. И это значит, что в любой момент в этом списке может оказаться другая организация из отечественной отрасли ИБ или IT.

Тем более что это — уже не первый случай. Ранее под санкции попала Digital Security, потом «ИнфоТеКС». Ограничения были немного разными, но всё это — звенья одной цепи. Мне это так видится.

Я рад, что мероприятие всё-таки состоится и что для посетителей по большому счёту ничего не поменяется. Насколько я понимаю, отбору контента из года в год уделяется большое внимание. Как в этом году обстояли дела? И чем будет отличаться программа этого года от предыдущих лет?

В. З.: В этом году у нас — четыре дня конференции, включая и The Standoff, и PHDays. Мы запускаем 96-часовую кибербитву The Standoff 18 мая в 12:00. Далее, 19 мая, мы отдаём площадку детям — у нас пройдёт The Standoff Kids. Мы поэкспериментировали пару лет назад и пригласили на Positive Hack Days юных экспертов, школьников и студентов. Оказалось, тема более чем востребованна и нужна: она тогда вызвала немалый резонанс и интерес как у самих ребят, так и у профессиональных учреждений, школ, университетов, в которых они учатся. Поэтому в этот раз мы снова решили организовать день детей. Для них будет две программы. Одна — для ребят в возрасте 10–12 лет, которые не имеют «айтишных» навыков, а другая — для детей постарше (возраста 13–16 лет), которые уже имеют некоторый опыт в IT. Будут специализированные квесты с возможностью погрузиться в мир технологий и «кибербеза», пощупать его собственными руками; будет возможность для тех, кто увлекается социальными медиа, поснимать что-то в TikTok и выложить это всё в свои социальные сети.

20 и 21 мая пройдёт сам Positive Hack Days. На нём будут бизнес-трек и несколько технических: offensive, defensive, Secure Development. Также в рамках технических треков у нас будет Bug Hunting Village, в который приглашены эксперты ищущие уязвимости других компаний в рамках программ Bug Bounty.

Кстати, расскажи, почему в этом году PHDays называется «Начало».

В. З.: Дело в том, что назрела переоценка существующей модели информационной безопасности и закладывается начало новой модели ИБ. Традиционно, метрики успешности ИБ являются чисто техническими и ориентированными скорее на процесс, чем на результат. Компании пытаются защищать всю инфраструктуру сразу, выявить все возможные инциденты и отреагировать на них максимально быстро. Это — хорошие универсальные цели, но они не связаны с бизнесом.

Мы хотим положить начало ориентированной на бизнес-результат ИБ и представить модель, в которой недопустимые для бизнеса, отрасли или страны угрозы нереализуемы. В рамках этой парадигмы мы представим новые метауровневые продукты Positive Technologies, которые позволят обнаружить и остановить киберпреступника силами одного человека.

Надо отталкиваться от неких реальных рисков и от модели, которая основывается на недопустимости их реализации, если я правильно понял?

В. З.: Наиболее критических. То есть это — не про «давайте составим карту рисков, посмотрим вероятность того, какой риск и когда сработает, рассчитаем цену, которую нужно заплатить», нет. Это о том, что есть события, которые в принципе не должны происходить.

Если говорить про начало, то символично ещё и в том смысле, что в этом году конференция возвращается в ЦМТ. Как мне кажется, этого многие хотели. В 2019 году проведение в «Крокусе» выглядело немного аномально. Думаю, все уже привыкли, что есть некое «намоленное» место, где всё «по-домашнему», привычно. И хорошо, что она теперь будет снова там. Лично я этому рад.

В. З.: «Крокус» нам позволил вместить больше 11 тысяч гостей, но это было доковидное время. В этот раз мы изначально планировали использовать отель «Хаятт Ридженси» в Москве, который позволяет вмещать не более тысячи человек в день. Интерес к конференции и так был высок, но санкции его ещё подхлестнули. Тогда мы поняли, что «Хаятт Ридженси» будет маловат, ведь мы не хотим ограничивать вход. Поэтому, можно сказать, волею судеб позвонили в ЦМТ, а у них буквально на днях именно на период проведения нашего форума произошла отмена одного крупного мероприятия. Звёзды сошлись и привели нас в родные пенаты.

Несмотря на то что ЦМТ позволяет вместить тысячи посетителей, будет ли возможность у тех, кто не сможет доехать из-за ограничений или ещё каких-либо проблем, посмотреть весь ваш контент онлайн?

В. З.: Да, посмотреть весь контент можно будет онлайн начиная с 12:00 18 мая на standoff365.com. Причём не просто какой-то Zoom-стрим, а очень хорошую картинку в ТВ-качестве со множества камер, установленных буквально на каждом углу PHDays. Мы провели эксперимент в ноябре прошлого года, когда делали наш The Standoff — он почти весь был сделан онлайн.

Да, у вас работала очень серьёзная команда по организации трансляции, было всё отлично, картинка была крутая.

В. З.: Да, это были профессиональные телевизионщики. Эфир шёл нон-стоп шесть дней, было проведено очень много разных интервью, была онлайн-трансляция самой битвы. В итоге мы увидели, что за время кибербитвы нас в онлайне посетило 26 тысяч пользователей, накопилось порядка 130 тысяч просмотров. Это — большое число, потому что никто не знал про этот The Standoff и к тому же мы не могли вести онлайн-ретрансляции на другие площадки из-за ряда технических ограничений. В этом году весь онлайн-эфир будет с синхронным переводом на английский язык, чтобы люди из любой точки мира смогли увидеть контент.

Я надеюсь, что у нас тоже будет совместная активность. Мы как раз сейчас обсуждаем, на какой теме сделать акцент. Я обязательно буду на конференции. Думаю, два дня точно. Может быть, больше. Непременно всё посмотрю.

В. З.: Давай сделаем стрим из онлайн-радиорубки, мы с тобой поменяемся ролями — я буду ведущим, а ты интервьюируемым — и о чём-нибудь интересном поговорим (смеётся).

Да, хорошо, я буду рад (смеётся).

А контент, который будет транслироваться, потом будет доступен?

В. З.: Да, безусловно, весь контент будет доступен после того, как мы закончим эфир на платформе standoff365.com. Есть, конечно, нюансы. Например: YouTube заблокировал корпоративный аккаунт Positive Technologies, поэтому мы вынуждены находить альтернативные решения.

По сути, видеохостинг лишил своих пользователей возможности смотреть тот экспертный и технологический контент, который будет представлен всему мировому сообществу. И в чём здесь смысл? Не только нас лишили возможности публиковать контент, но комьюнити лишили доступа к важным и интересным для них вещам.

По поводу The Standoff. Будут ли какие-то изменения по сравнению с тем, что было осенью? Понятно, что сама программа по противостоянию будет немного другой. А формат как-то поменяется или нет?

В. З.: Есть много обновлений на самом полигоне, например новые объекты. Но формат останется таким же. Есть красные команды, задача которых — реализовать риски, заложенные или не заложенные в сценарии. Заложено около шестидесяти разных бизнес-рисков для всех отраслей, которые представлены на полигоне. Но, как показывает практика прошлого года, люди могут находить и что-то новенькое — то, что мы не закладывали в сценарий. И это особенно интересно.

Есть команды защитников, задача которых — видеть инфраструктуру и смотреть возможные способы блокировки, что они делали бы в реальной жизни. Факт — в том, что количество событий, которые происходят в единицу времени между атакующими и защитниками, наверно, в тысячи раз превышает среднестатистические показатели обычной практики работы этих людей. Поэтому, приходя на площадку в Red Team или Blue Team, они очень здорово развивают свои навыки.

Над всем этим будет стоять центр мониторинга SOC, который мы делаем совместно — Positive Technologies и Innostage, наш партнёр по организации PHDays. Таким образом, все инциденты, которые происходят на киберполигоне, мы будем видеть. Смысл мониторинга — в том, чтобы видеть, как действуют атакующие и защитники, понимать инструменты, техники, тактики и благодаря этому понимать, что же нужно на самом деле сделать в реальной жизни, чтобы те инциденты, которые удалось реализовать в инфраструктуре полигона, не произошли в реальности. То есть это — полноценная эмуляция жизненных событий для того, чтобы сделать правильные выводы, улучшить программное и аппаратное обеспечение инфраструктуры, гарантировать недопущение тех или иных рисков в реальности.

Как я понимаю, будет буквально реальное обучение на атаках, на ошибках, потому что синие команды тоже могут что-то сделать не так, что-то не увидеть. Я думаю, будет интересно помониторить, посмотреть.

В. З.: Уверен, что будет очень зрелищно и познавательно.

Атакующих у нас будет порядка 30 с лишним команд, примерно столько же, как и в прошлый раз. Я думаю, в общей сумме — порядка 250 человек. Синих команд будет меньше, не более десяти. В принципе, чем больше атакующих, тем интенсивнее и интереснее.

Помню, в недавнем интервью с Алексеем Новиковым из вашего центра компетенций мы беседовали о киберполигонах и он рассказывал о своём желании, чтобы идея The Standoff развивалась в сторону постоянного противостояния и постоянного режима работы. Не так, чтобы осенью-весной попробовали, а потом ничего не ведётся, а чтобы это шло именно постоянно, нон-стоп. В эту сторону сейчас есть какое-то реальное движение?

В. З.: Да, есть. The Standoff — это самый крупный в мире открытый киберполигон, то есть в нём может участвовать кто угодно и он не привязан к какому-то конкретному мероприятию. Мы стремимся к тому, чтобы кибербитва могла идти 365 дней в году. По сути, он становится сущностью встраиваемой на сайт любого мероприятия и агрегатором экспертного контента.

Были ли у вас на эту сессию заявки и обращения от каких-то крупных корпоративных заказчиков с целью отработать важные для них сценарии или риски, поучиться, увидеть, насколько их инфраструктура уязвима, и провести те самые киберучения?

В. З.: Конечно. Во-первых, экспертные команды со стороны бизнеса участвуют как Red Team и Blue Team, это — один сценарий, по которому мы работаем с ними. Другой сценарий — они приносят свою инфраструктуру и разворачивают на киберполигоне, и таким образом получается, что они, по сути, имитируют атаки на копию своей собственной компании и на этом учатся.

Ещё такой интересный факт. Я в марте общался с одним из своих бывших коллег, который работает в области информационной безопасности, живёт в Сан-Франциско и участвует в организации ежегодной секьюрити-конференции в этом городе. И я ему предложил придумать какое-то сотрудничество. Он говорит: «Ну, надо тему какую-то придумать. Вот одна интересная тема. Представляешь, мы хотим создать виртуальный город, где будем моделировать атаки, которые будут происходить на этот город. Мы сделали презентацию, показали своему руководству, и все просто офигевают».

Я ему говорю: «Друг мой, мы уже шесть лет как это делаем! И вы с вашей перспективной Кремниевой долиной как-то прям сильно отстали».

Да, так и есть! (Смеётся.) Действительно, это было уже давно. И вся эта концепция из года в год развивается. Это видно даже по той красивой визуализации, которая физически демонстрирует город или объект инфраструктуры. Меня в том году впечатлило, конечно, что по ленте выдачи багажа в аэропорту едет багаж. Я уже не говорю про лампочки, которые где-то горят. То есть всё сделано очень детально. Мне кажется, было бы даже интересно во всё это поиграть.

В. З.: Знаешь, там даже сценарий отработан. У нас 12 отраслей представлено. И как-то атакующие реализовали сценарий атаки на завод, в результате которой произошёл выброс ядовитых веществ в атмосферу. Так вот: в сценарий работы полигона, в макет, заложено то, что пожарные машинки, когда срабатывает риск и начинает валить дым из труб, съезжаются к этому месту события и начинают мигать лампочками (смеётся).

Визуальные «фишки» точно добавятся: в этот раз у нас появится вертолётная площадка, которая находится на крыше небоскрёба, и вертолёт будет «живой» — крутить лопастями. В планах — заставить его ещё и летать, но это уже «фишечка» следующего мероприятия.

Большое спасибо за интервью! Желаю успешного проведения предстоящего мероприятия!