Technologies
- Главная
- Разное
- Дизайн
- Бизнес и предпринимательство
- Аналитика
- Образование
- Развлечения
- Красота и здоровье
- Финансы
- Государство
- Путешествия
- Спорт
- Недвижимость
- Армия
- Графика
- Культурология
- Еда и кулинария
- Лингвистика
- Английский язык
- Астрономия
- Алгебра
- Биология
- География
- Детские презентации
- Информатика
- История
- Литература
- Маркетинг
- Математика
- Медицина
- Менеджмент
- Музыка
- МХК
- Немецкий язык
- ОБЖ
- Обществознание
- Окружающий мир
- Педагогика
- Русский язык
- Технология
- Физика
- Философия
- Химия
- Шаблоны, картинки для презентаций
- Экология
- Экономика
- Юриспруденция
Как взламывают сети государственных учреждений презентация
Содержание
- 1. Как взламывают сети государственных учреждений
- 2. Positive Technologies – это: MaxPatrol – уникальная
- 3. Наш опыт работ показывает, что… 1-2 дня
- 4. Мифы ИБ или о чем не стоит
- 5. Миф 1. Мои информационные ресурсы
- 6. Миф 1. Кому нужны мои ресурсы (1/6)
- 7. Миф 1. Кому нужны мои ресурсы (2/6)
- 8. Миф 1. Кому нужны мои ресурсы (3/6)
- 9. Миф 1. Кому нужны мои ресурсы (4/6)
- 10. По данным компании Positive Technologies более
- 11. Миф 1. Кому нужны мои ресурсы (6/6)
- 12. Демонстрация
- 13. Вы и сами можете попробовать sqlmap, Safe3
- 14. Миф 2. Мой пароль – только
- 15. Более половины пользователей в Российских компаниях используют
- 16. Миф 2. Пароли, как пароли (2/7)
- 17. Используется рекомендованная политика по заданию паролей
- 18. Как действует злоумышленник? Осуществляет удаленный перебор паролей
- 19. Миф 2. Пароли, как пароли (5/7)
- 20. Атакующий идет по пути наименьшего сопротивления!
- 21. Вы сами сообщите свой пароль… www.cikrf.ru ~
- 22. Демонстрация
- 23. Проверь свою парольную политику Покупайте наших слонов
- 24. Миф 3. Мой внешний периметр
- 25. Миф 3. За (?!) периметром сети (1/7)
- 26. Миф 3. За (?!) периметром сети (2/7)
- 27. Миф 3. За (?!) периметром сети (3/7)
- 28. Миф 3. За (?!) периметром сети (4/7)
- 29. Миф 3. За (?!) периметром сети (5/7)
- 30. Миф 3. За (?!) периметром сети (6/7)
- 31. Миф 3. За (?!) периметром сети (7/7)
- 32. Демонстрация
- 33. Каждому по ботнету msf, immunity canvas (VulnDisco
- 34. Миф 4. Государственная тайна надежно защищена
- 35. Миф 4. Все тайное, рано или поздно
- 36. Миф 5. Злоумышленник через сеть
- 37. Миф 5. Когда наступит страшно (1/2)
- 38. Миф 5. Когда наступит страшно (2/2)
- 39. Кто виноват и что делать Не нужно
- 40. Спасибо за внимание! devteev@ptsecurity.ru http://devteev.blogspot.com https://twitter.com/devteev
Positive Technologies – это: MaxPatrol – уникальная система анализа защищенности и соответствия стандартам Xspider – инновационный сканер безопасности Positive Research – один из крупнейших исследовательских центров в Европе Positive Hack Days
Слайд 1Как взламывают сети государственных учреждений
Дмитрий Евтеев, руководитель отдела анализа защищенности, Positive
Слайд 2Positive Technologies – это:
MaxPatrol – уникальная система анализа защищенности и соответствия
стандартам
Xspider – инновационный сканер безопасности
Positive Research – один из крупнейших исследовательских центров в Европе
Positive Hack Days – международный форум по информационной безопасности
Мы делаем:
Более 20-ти крупномасштабных тестирований на проникновение в год
Анализ защищенности веб-приложений на потоке
Постоянные исследования, публикации...
Xspider – инновационный сканер безопасности
Positive Research – один из крупнейших исследовательских центров в Европе
Positive Hack Days – международный форум по информационной безопасности
Мы делаем:
Более 20-ти крупномасштабных тестирований на проникновение в год
Анализ защищенности веб-приложений на потоке
Постоянные исследования, публикации...
Слайд 3Наш опыт работ показывает, что…
1-2 дня достаточно чтобы «пройти» периметр и
стать пользователем внутренней сети
4 часов достаточно для получения максимальных привилегий доступа, находясь во внутренней сети….
В течение 10 минут найдем как минимум 1 критическую уязвимость в 8-ми из 10-ти сайтов госучреждений
Обладая достаточными привилегиями можно оставаться незамеченными в информационной системе сколь угодно долго
Каждый 5-й пользователь использует «слабый» пароль
Аттестат соответствия по 1Г… ISO… в основном не влияет на перечисленные наблюдения выше (!)
4 часов достаточно для получения максимальных привилегий доступа, находясь во внутренней сети….
В течение 10 минут найдем как минимум 1 критическую уязвимость в 8-ми из 10-ти сайтов госучреждений
Обладая достаточными привилегиями можно оставаться незамеченными в информационной системе сколь угодно долго
Каждый 5-й пользователь использует «слабый» пароль
Аттестат соответствия по 1Г… ISO… в основном не влияет на перечисленные наблюдения выше (!)
Слайд 4Мифы ИБ или о чем не стоит говорить пойдет речь
Миф 1.
Мои информационные ресурсы не представляют интереса для злоумышленника поэтому мне можно не защищаться
Миф 2. Мой пароль – только мой секрет; системные администраторы используют стойкие пароли к взлому хакерами
Миф 3. Мой внешний периметр не преодолим; существует огромная разница между «внешним» и «внутренним» злоумышленником
Миф 4. Государственная тайна надежно защищена
Миф 5. Злоумышленник через сеть Интернет не может нанести какой-либо ощутимый ущерб в мире реальном
Миф 2. Мой пароль – только мой секрет; системные администраторы используют стойкие пароли к взлому хакерами
Миф 3. Мой внешний периметр не преодолим; существует огромная разница между «внешним» и «внутренним» злоумышленником
Миф 4. Государственная тайна надежно защищена
Миф 5. Злоумышленник через сеть Интернет не может нанести какой-либо ощутимый ущерб в мире реальном
Слайд 5Миф 1.
Мои информационные ресурсы не представляют интереса для злоумышленника поэтому мне
можно не защищаться
Слайд 6Миф 1. Кому нужны мои ресурсы (1/6)
Мотивация злоумышленника (в общепринятом
смысле):
$$$
Just for fun ☺
…
Мотивация злоумышленника (в отношении госучреждений):
Отыскать информацию об НЛО
Найти приключений на 5-ю точку
Прославиться в сообществе
…
Персональные данные
Гостайна
Политический протест/Хактивизм
$$$$
$$$
Just for fun ☺
…
Мотивация злоумышленника (в отношении госучреждений):
Отыскать информацию об НЛО
Найти приключений на 5-ю точку
Прославиться в сообществе
…
Персональные данные
Гостайна
Политический протест/Хактивизм
$$$$
Слайд 9Миф 1. Кому нужны мои ресурсы (4/6)
Сценарий для фана
1. В
СМИ проскочила новость об открытии портала
2. Парни договорились и пошли ломать
3. Посканировали…
4. Поигрались с параметрами ‘or’1’--++, <“script…
5. И как следствие…
2. Парни договорились и пошли ломать
3. Посканировали…
4. Поигрались с параметрами ‘or’1’--++, <“script…
5. И как следствие…
Слайд 10По данным компании Positive Technologies
более 80% сайтов содержат критические уязвимости
вероятность
автоматизированного заражения страниц уязвимого веб-приложения вредоносным кодом составляет сегодня приблизительно 15-20%
http://ptsecurity.ru/analytics.asp
http://ptsecurity.ru/analytics.asp
Миф 1. Кому нужны мои ресурсы (5/6)
Слайд 11Миф 1. Кому нужны мои ресурсы (6/6)
Типовой результат оказания услуг
анализа защищенности веб-приложений для госучреждения
Множество уязвимостей из TOP10 OWASP
Нестойкие пароли во всех компонентах тестируемой системы
Отсутствие эффективного управления обновлениями безопасности
Отсутствие понимания имеющихся конфигураций
…
Множество уязвимостей из TOP10 OWASP
Нестойкие пароли во всех компонентах тестируемой системы
Отсутствие эффективного управления обновлениями безопасности
Отсутствие понимания имеющихся конфигураций
…
Слайд 13Вы и сами можете попробовать
sqlmap, Safe3 SQL Injector, SQL Power Injector,
Absinthe, bsqlbf, Marathon Tool, Havij, pysqlin, BSQL Hacker, WITOOL, Sqlninja, sqlus, DarkMySQLi16, mySQLenum, PRIAMOS, SFX-SQLi, DarkMySQL, ProMSiD Premium, yInjector, Bobcat SQL Injection Tool, ExploitMyUnion, Laudanum, Hexjector, WebRaider, Pangolin ...
http://devteev.blogspot.com/2010/01/sql-injection.html
http://devteev.blogspot.com/2010/01/sql-injection.html
Слайд 14Миф 2.
Мой пароль – только мой секрет; системные администраторы используют стойкие
пароли к взлому хакерами
Слайд 15Более половины пользователей в Российских компаниях используют цифровые пароли
http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf
Чем больше сотрудников
в компании, тем выше вероятность успешной атаки
ПРИМЕР: 1 из 100 при 1.000 = 10, а при 10.000.000 = 100.000
За последние три года (!) в ходе проведения тестирований на проникновение не было ни одного случая, когда не удавалось получить список всех идентификаторов Active Directory с использованием слабостей парольной защиты
ПРИМЕР: 1 из 100 при 1.000 = 10, а при 10.000.000 = 100.000
За последние три года (!) в ходе проведения тестирований на проникновение не было ни одного случая, когда не удавалось получить список всех идентификаторов Active Directory с использованием слабостей парольной защиты
Миф 2. Пароли, как пароли (1/7)
Слайд 17Используется рекомендованная политика по заданию паролей
Пароль администратора такой системы?
(совпадает с
логином)
Миф 2. Пароли, как пароли (3/7)
Слайд 18Как действует злоумышленник?
Осуществляет удаленный перебор паролей к интерфейсам приложений (проверяет дефолты,
по словарю, комбинированный, целевой)
После компрометации системы получает пароли открытым текстом (!)
После компрометации системы «сливает» базу с идентификаторами пользователей для последующего локального перебора
А оно ему надо?
После компрометации системы получает пароли открытым текстом (!)
После компрометации системы «сливает» базу с идентификаторами пользователей для последующего локального перебора
А оно ему надо?
Миф 2. Пароли, как пароли (4/7)
Слайд 20Атакующий идет по пути наименьшего сопротивления!
1. Список идентификаторов
2. Перебор
3. Список действующих
(!) идентификаторов
3. Верификация доступа;
перебор действующих идентификаторов
Миф 2. Пароли, как пароли (6/7)
Слайд 21Вы сами сообщите свой пароль…
www.cikrf.ru ~ www.clkrf.ru = WWW.ClKRF.RU
Миф 2. Пароли,
как пароли (7/7)
Слайд 23Проверь свою парольную политику
Покупайте наших слонов ☺
Remote: Ncrack, thc-hydra, thc-pptp-bruter, medusa,
noname bruter…
Local: SAMInside , PasswordsPro, john the ripper, cain&abel, LostPassword Passware Kit, Elcomsoft Password Recovery, noname…
Show: fgdump, Multi Password Recovery, Network Password Recovery, NhT PassView, pstoreview…
Local: SAMInside , PasswordsPro, john the ripper, cain&abel, LostPassword Passware Kit, Elcomsoft
Show: fgdump, Multi Password Recovery, Network Password Recovery, NhT PassView, pstoreview…
Слайд 24Миф 3.
Мой внешний периметр не преодолим; существует огромная разница между «внешним»
и «внутренним» злоумышленником
Слайд 25Миф 3. За (?!) периметром сети (1/7)
В помощь злоумышленнику...
Огромная страна
– огромные сети
«Зоопарк» информационных систем
Устаревшее железо/ПО повсеместно
Много ответственных - мало толку
Низкий уровень компьютерной грамотности
«Зоопарк» информационных систем
Устаревшее железо/ПО повсеместно
Много ответственных - мало толку
Низкий уровень компьютерной грамотности
Слайд 27Миф 3. За (?!) периметром сети (3/7)
Типовое заблуждение – «свой»/«чужой»
Иван Васильевич устраивается работать в госучреждение
Размещает точку беспроводного доступа
Хакер работает удаленно (100м от здания)
После взлома происходит слив данных
Последствия:
Хищение данных/базы данных
Слайд 28Миф 3. За (?!) периметром сети (4/7)
Через какие «дыры» войти?
Ошибки
сетевого разграничения доступа
Рабочие места сотрудников
Веб-сайты госучреждений
Слабые пароли
Сотрудники
.....
Рабочие места сотрудников
Веб-сайты госучреждений
Слабые пароли
Сотрудники
.....
Слайд 29Миф 3. За (?!) периметром сети (5/7)
Вы считаете, что ваш
компьютер защищен от атак со стороны сети Интернет?
Слайд 33Каждому по ботнету
msf, immunity canvas (VulnDisco SA, …)… - browser autopwn
Ad’pacK,
CRiMEPAC, Dark Dimension, Ei Fiesta, Eleonore, FirePack, Fragus, Golod (Go-load), Hybrid Botnet system, IcePack, Impassioned Framework, justexploit, Liberty, Limbo, LuckySploit, Lupit, Mariposa, MPack, MyPolySploits, n404, NEON, NeoSploit NeoSploit, Nukesploit P4ck, Phoenix, Siberia, Sniper_SA, SpyEye, Strike, T-IFRAMER, Tornado, Unique Pack, WebAttacker, YES Exploit system, ZeuS, Zombie Infection…
Слайд 35Миф 4. Все тайное, рано или поздно становится явным (с)
В основном
– это:
Целевая атака
Совместная работа группы высококвалифицированных людей (из разных областей)
Комплексный сценарий развития атаки
Использование (набора) уязвимостей нулевого дня
Активное использование недостатков человеческой природы (халатное отношение к инструкциям приводит к предсказуемым последствиям)
Целевая атака
Совместная работа группы высококвалифицированных людей (из разных областей)
Комплексный сценарий развития атаки
Использование (набора) уязвимостей нулевого дня
Активное использование недостатков человеческой природы (халатное отношение к инструкциям приводит к предсказуемым последствиям)
Слайд 36Миф 5.
Злоумышленник через сеть Интернет не может нанести какой-либо ощутимый ущерб
в мире реальном
Слайд 38Миф 5. Когда наступит страшно (2/2)
Что можно сделать с информационной
системой госучреждения когда на руках есть все «ключи»?
…
Есть доступ к АСУ ТП…
…
Массовая диверсия (!)
…
…
Есть доступ к АСУ ТП…
…
Массовая диверсия (!)
…
Слайд 39Кто виноват и что делать
Не нужно искать виновных, нужно заниматься ИБ
Стоит
адекватно оценивать имеющиеся угрозы
Непрерывно совершенствовать процессы обеспечения ИБ
Заниматься практической безопасностью, а не только на бумаге
Непрерывно совершенствовать процессы обеспечения ИБ
Заниматься практической безопасностью, а не только на бумаге
Слайд 40Спасибо за внимание!
devteev@ptsecurity.ru
http://devteev.blogspot.com
https://twitter.com/devteev
