С начала этого года специалисты фиксируют рост числа атак на инфраструктуру российских компаний. Это уже привело к ряду крупных утечек персональных данных пользователей у некоторых из них. При этом на сегодняшний день одним из самых стабильных сервисов остается Авито: сервисы компании, несмотря на атаки злоумышленников, продолжают стабильно работать, а персональные данные пользователей остаются в безопасности. CTO Авито Максим Сапронов рассказал “Ъ” о том, как устроены системы информационной безопасности компании, где Авито хранит данные пользователей, а также какие инициативы правительства могут помочь сохранить данные россиян в безопасности.
— Расскажите, как устроены системы информационной безопасности Авито? Какие решения вы задействуете на всех этапах защиты данных?
— Мы используем подход «информационная безопасность by design»: все наши системы защиты данных пользователей создавались одновременно с написанием самих сервисов Авито, работа по защите фактически велась с момента написания первых строчек кода. Проще говоря, эти решения изначально были частью платформы, а не последующей надстройкой, как это происходит во многих компаниях. Если же говорить о главном принципе работы всех систем, которые защищают платформу, то проще всего сравнить его с подводной лодкой или круизным лайнером.
— В каком смысле?
— В целом система разбита на различные отсеки, между которыми проходит информация. Обмен этими данными шифруется, чтобы их невозможно было перехватить. Если мы видим подозрительную активность в одном из отсеков, то этот узел отключается вплоть до всего центра обработки данных. Такой подход позволяет не допустить распространения проблем и держать ситуацию под контролем. Если говорить детальнее, мы используем множество решений: от файерволов, которые блокируют подозрительную сетевую активность, до решений intrusion detection. Последние помогают предотвратить проникновение злоумышленников в системы. Мы используем эшелонированный подход к нашей информационной безопасности, то есть поиск угроз ведется как во внешнем контуре, так и внутреннем. К тому же мы постоянно обновляем и модернизируем весь комплекс защиты данных. В этом плане уровень защищенности информации у нас построен так же, как и в крупнейших банках: с помощью наших партнеров мы систематически проводим аудит наших систем, проводим пентестинг, а также оцениваем себя по различным моделям зрелости. Таким образом мы решаем главную задачу: при растущих требованиях по надежности и безопасности обеспечиваем высокую скорость изменения систем.
Системы защиты данных пользователей создавались одновременно с написанием самих сервисов Авито.
— При организации защиты данных вы используете собственные разработки или вендорские решения?
— Для защиты от стандартных угроз, например
Ответственность за безопасность в Авито лежит на всех 1300 инженерах команды, 150 из них — это
— После февраля, очевидно, число атак на российские компании выросло. Мы видим это как по публичной информации о крупных утечках, так и по отчетам компаний, работающих в сфере информационной безопасности. Что изменилось для Авито?
— Любой крупный банк, маркетплейс или платформа объявлений, как Авито, всегда будут находиться под пристальным вниманием злоумышленников. Это изнанка любого популярного сервиса. И чем популярнее и лучше он, чем больше привлекает людей, тем больше будет такого внимания. Мы всегда успешно с этим боролись. Для нас это данность, норма, как прогноз погоды. Мы готовы к любому. Поэтому драматичных для нас рисков не возникает. У Авито очень высокая резистентность к любым действиям злоумышленников. В марте почти все российские компании зафиксировали рост интенсивности
— Но были же случаи, когда Авито не работал. Почему это происходило?
— Было пару случаев, когда наши сервисы были кратковременно недоступны. Один из них был связан с тем, что арендуемые у местных провайдеров каналы одномоментно упали. Это редчайшее совпадение, шанс, что такое может произойти,- один на миллион. Команда восстановила работу сервиса за час с небольшим — это в 4–6 раз быстрее сроков, которые могли бы на это понадобиться, не будь Авито подготовлен технически. После этого случая мы скорректировали протоколы работы наших систем, чтобы при повторе даже такого похожего редкого сценария сохранить полную работоспособность сервиса.
Другая ситуация была связана с плановыми работами. После сложных доработок системы мы проводим штатные «учения» с имитацией угроз или сами тестируем предел нагрузки, которую можем выдержать. Обычно для пользователей это проходит незаметно за крайне редкими исключениями. Но мы всегда предупреждаем заранее, чтобы никто не волновался. Это плановые вещи. В целом — для понимания интенсивности нашей работы — Авито делает более 250 существенных изменений сервисов в день.
С другой стороны, то, что любое изменение, даже на минуту, в работе Авито вызывает широкий публичный резонанс, подтверждает, насколько массовой является наша платформа и как сильно от ее работоспособности зависят наши пользователи — все 56 млн человек.
Могу заверить каждого из них: те редкие случаи, когда «Авито не работал», никогда не затрагивали безопасность данных наших пользователей.
— По итогам прошлого года наибольшее число утечек, по данным экспертов, произошло
— Наша система построена так, чтобы сделать невозможным доступ для сотрудников к ценным наборам данных, а у каждого человека, который работает внутри компании, строго ограничен доступ к информации в зависимости от его зоны ответственности. Проще говоря, один или даже несколько человек физически не в состоянии собрать тот набор данных, который имеет даже минимальную ценность. Средства защиты просто не позволят им это сделать. К тому же наши решения детектируют аномальную активность работников внутри систем. Если
— На специализированных форумах в даркнете продаются слитые базы данных различных компаний — какие наибольшие риски, на ваш взгляд, есть в такой ситуации?
— Это не всегда слитые данные. Чаще всего это парсинг. То есть просто сбор информации из публичных источников. Например, вы размещаете информацию о себе в интернете, в частности номер телефона, и он становится ниточкой, за которую подтягиваются другие доступные в интернете данные о вас, часто те же, которые вы сами опубликовали в соцсетях и пабликах.
Далее эти данные сопоставляются и взаимообогащаются. Злоумышленники собирают разные архивы с информацией и совмещают их, как пазлы, получая большие массивы информации о каждом конкретном пользователе. И если проанализировать большинство таких событий, утечки чувствительных данных сегодня обычно происходят из систем небольших и средних компаний. Современный крупный бизнес фундаментально подходит к защите данных своих пользователей и такие уязвимости просто не может себе позволить.
— После февраля для многих компаний вопрос переноса данных из зарубежных облачных сервисов в российские ЦОДы стал критичным. Как организовано хранение информации в Авито?
— Еще на моменте запуска сервиса нашей принципиальной позицией было контролировать всю инфраструктуру, которая хранит и обрабатывает данные. Поэтому мы храним и обрабатываем всю информацию исключительно в собственных
— Как вы будете поддерживать работу своей инфраструктуры с учетом проблем с закупкой серверов и систем хранения данных, которые сейчас наблюдаются на российском рынке?
— Мы еще в прошлом году успели сформировать запас оборудования на этот год и можем спокойно продолжать масштабирование нашей инфраструктуры, исходя из собственных потребностей. Особенно это пригодилось нам сейчас, когда на Авито пришел поток новых пользователей с ушедших из России сервисов.
Построение децентрализованной ИТ-инфраструктуры — безопаснее. Отказал один парный орган — организм будет продолжать какое-то время работать на другом, пока его не починят. А вот если отказало сердце, здесь уже ничего не поможет.
— Сейчас в Госдуме обсуждается идея создать единого оператора как наружной рекламы, так и классифайдов. Сторонники проекта говорят о том, что это необходимо для обеспечения информационной безопасности. Насколько этот тезис состоятелен?
— Тема инфосекьюрити в индустрии формировалась последние 20 лет, и крупные игроки рынка уже успешно решили задачу эффективного контроля и развития. Есть несколько аспектов в создании инфраструктуры. Это как жизненно важные органы. Отказал один парный орган — организм будет продолжать
Есть и вопрос к идее построения информационной безопасности единого оператора с нуля. Дело в том, что крупнейшие российские компании много лет строят свои информационные системы и последовательно инвестируют средства в их развитие, используя лучшие мировые подходы и практики. Сотрудники этих компаний имеют уникальную высокую профессиональную экспертизу в области кибербезопасности. Построение систем информационной защиты в новом операторе с нуля, с учетом последующей донастройки и стабилизации — это огромная и длительная работа, которая потребует миллиардных вложений и времени. Идея реализации подобных инициатив в короткий срок выглядит, мягко говоря, наивной и даже сомнительной.
Работает в Авито пять лет, на позиции СТО с 2018 года. Общий стаж в индустрии — более 25 лет. До Авито работал в «Яндексе», где одновременно был руководителем в команде мобильного поиска и запускал сервисы для бизнеса «Яндекса» (в том числе «Яндекс 360»). До «Яндекса» работал в компании Microsoft, где на позиции Development Director руководил центром разработки Skype с командами в Москве, Сиэтле,
— Можно ли подсчитать, сколько вы тратите на безопасность периметра ежегодно? Сколько будет стоить воссоздание вашей системы кибербезопасности?
— Информационная безопасность вшита в саму архитектуру платформы, поэтому сложно выделить затраты, которые идут только на это направление. Тем не менее на рынке есть определенный benchmark — средняя стоимость работы одного разработчика, она составляет порядка 5 млн рублей в год. В Авито сейчас порядка 1300 разработчиков и примерно 1500 человек в Product&Tech. В год мы инвестируем в
Инвестиции, которые Авито вкладывает в систему информационной безопасности — защиту от внешних угроз, антифрод, модерацию, распознавание ботов,- измеряются миллиардами рублей. Но даже не деньги здесь определяют. Определяет работа команды. Создание надежной системы потребовало огромных человеческих ресурсов. За десять лет активной разработки это десятки миллионов
Поэтому Авито сегодня — это не только технологии. Это люди, их вера в продукт, культура и немного магии. Наша компания была построена 15 лет назад российскими инженерами, и сейчас в ней работают лучшие выпускники технических вузов страны.
Воссоздать Авито в сжатые сроки физически невозможно. Выстроить систему, которая быстро подстраивается под интересы пользователей и обладает защищенностью, это сродни искусству.
Воссоздать Авито в сжатые сроки физически невозможно. Выстроить систему, которая быстро подстраивается под интересы пользователей и обладает защищенностью,- это сродни искусству.
— Насколько мы видим, с начала этого года правительство озаботилось идеей ужесточить для компаний ответственность за утечки данных пользователей. Причиной этому в том числе стали случаи утечек информации из ряда крупных российских
— Я думаю, что при обсуждении этой проблемы нужно исходить из ожидаемого результата. Если цель — обеспечить сохранность данных граждан, то нужно сфокусироваться не столько на крупнейших
