Новый год эпохи кибербезопасности

Сегодня 31 декабря, и у многих блоггеров чешутся руки подвести итоги прошедшего года. У ИБ-блоггеров, естественно, анализ касается своей профессиональной сферы, смежных сфер и себя самого. Некоторые еще раньше выложили свои мысли, чтобы иметь возможность 30-31 декабря вместе со всем своим городом поехать в супермаркет за покупками.

Уходящий 2017 год, без преувеличения, можно назвать годом начала эры кибербезопасности.  В этом году даже абсолютно не связанные с информационными технологиями и безопасностью люди узнали, что такое шифровальщики и кибератаки. Рядовому гражданину и нерадивому ИТшнику стал понятен возможный ущерб от взлома. Многие стали на всякий случай бояться русских хакеров, и при посещении некоторых зарубежных ресурсов можно нарваться на бан ценой страны.

Open Source или вендорское решение?

Недавно прочитал заметку Андрея Солдатова о том, нужна ли коммерческому продукту гибкость, аналогичная Open Source. У меня, как представителя заказчика, есть определенное мнение на эту тему, и было интересно ознакомиться с позицией вендора.

В своей статье 2010 года касательно применения Open Source в системах обнаружения вторжений я проводил небольшой сравнительный анализ вендорских и открытых продуктов. Полный текст по-русски - здесь и здесь, а здесь - по-нерусски. Все это время я смотрю на продукцию ИБ и ее внедрение в рамках компаний глазами крупного технологического заказчика. В упоминаемой статье семилетней давности анализ проводился с точки зрения инженера. Попробуем рассмотреть этот versus с позиции менеджера.

IoT and Enterprise Infrastructure Cybersecurity Level with SANS TOP20 CSC

My previous note(RU) contains IoT components must be protected. Another one (RU) lists the action plan needed from IoT vendors. Let's try to evaluate IoT solutions' influence on the company infrastructure after implementation. Evaluation is qualitative and it checks enterprise for SANS TOP20 CSC list compliance.

Интернет вещей (IoT) и уровень защищенности инфраструктуры по SANS TOP20 CSC

В одной из своих заметок я описывал компоненты IoT, подлежащие защите. В другой заметке - перечень действий, которые требуются от производителя решений IoT. Попробуем оценить степень влияния на информационную безопасность инфраструктуры компании внедряемых решений IoT. Оценка качественная, по соответствию SANS TOP20 CSC.

О чем ещё говорит Петя. Рационализм в ИБ

Немного прошло времени с тех пор, как Петя надругался над пользователями и целыми компаниями. Кто-то сделал выводы, кто-то - нет, кто-то предпринял либо запланировал шаги, кто-то - нет. Конференции и блоги все более пестрят разнообразными новшествами в ИБ, предлагая их использовать (во многих случаях читай - купить), находят аргументы для бизнеса и обоснования для защиты бюджета, интеграторы и вендоры в очередь записываются, чтобы рассказать-показать (а потом продать). IoT, SDN, SDDC, UEBA, искусственный интеллект, противоестественный интеллект...

И произошёл со мной вчера один случай, позволивший взглянуть на подобные вещи с другой стороны...

О чем говорит Петя

В последние 2 дня только ленивый не писал об этом вирусе, причинах его распространения и механизмах работы. Не буду и я исключением, но писать много о технических мерах, анализировать причины и варианты решения не буду. В свое время проанализировал факторы успеха в борьбе с WannaCry, Petya.A (ExPetr, NotPetya) не сильно отличается. Попробую подойти к вопросу с другой стороны, поразмыслив философски о том, как компьютерные вирусы могут влиять на жизнь человека.

Куда катится мир? 

Многие люди моего поколения, родившиеся в СССР, но выросшие уже в СНГ, помнят уровень проникновения технологий в жизнь человека тех времен и чувствуют на себе технологический прогресс. 

Сетевая безопасность IoT. Трансляция подхода на АСУ ТП

Попробовал себя на этой неделе в мероприятии, имеющем не совсем свойственный мне профиль. Несмотря на то, что ИБ АСУ ТП сейчас популярна, я не пытался соваться туда, где не считаю себя экспертом и могу опростоволоситься. Но организаторы научно-практической конференции «Информационная безопасность промышленных предприятий и критически важных объектов ТЭК» сами пригласили рассказать о моем подходе защиты Интернета вещей со стороны сети. Тематика моего выступления «Защита IoT. Сетевая безопасность» была более акцентирована на массовый рынок, чем на промышленный, но, как ни крути, IP-сеть используется практически везде, а ее нужно уметь правильно готовить. 

Инфофорум Югра. Безопасность перспективных технологий. Защита IoT

6-7 июня в Ханты-Мансийске проходил IX Международный IT-форум с участием стран ШОС и БРИКС. В рамках форума проходила 1я Международная конференция по информационной безопасности с участием стран ШОС и БРИКС. Событие довольно масштабное, по букингу на эти даты уже за неделю до начала было практически нереально забронировать номер в гостинице города. 

И не удивительно, ведь в конференции приняли участие представители 46 стран. Поскольку опомнился я, как часто бывает, в последний момент, то уже и билеты были довольно дорогими, и с гостиницами большой дефицит. Билеты именно на тот рейс, которым летела основная масса, уже вообще были распроданы, потребовалась бы импровизация с пересадками.

PHDays-2017. Противостояние глазами защитника. Часть 2. Объекты защиты

Итак, продолжаю свой рассказ о "Противостоянии" на PHDays-VII в 2017 году. Вводная часть, чуть менее пространная, чем прошлогодняя, была опубликована ранее. В этом году я не самый первый начал описывать процесс, и на просторах Интернета уже начались толки-перетолки. Буду потихоньку расставлять все на свои места.



Наша команда You Shall Not Pass и в этом году играла на стороне телеком-защиты. Но, если по сценарию прошлого года наш фрагмент сети больше напоминал среднего размера офис с небольшой серверной, а от телекома были только околотелефонные сервера типа личного кабинета абонента, то в этом году инфраструктура стала реально похожа на сеть небольшого провайдера.

PHDays-2017. Противостояние глазами защитника. Часть 1. Введение

Обленился я немного. В прошлом году через 2 недели после "Противостояния" я уже 5 заметок написал, а в этом году - еще ни одной. При том, что о PHDays-VII и "Противостоянии" на нем уже многие высказались, даже те, кто и не думал участвовать. Событие популярное, почему бы и не обсудить. Но наиболее ожидаемые читателями заметки - от самых непосредственных участников, поэтому пришла и моя очередь.

В 2017 году 23-24 мая проходила международная конференция по информационной безопасности Positive Hack Days VII. В рамках неё, как и год назад, проводились соревнования CTF "Противостояние".
В этом году наша команда You shall not pass тоже участвовала в "Противостоянии" в качестве телеком-защитников. Большей частью все было как в прошлом году. Мы, как и в в прошлый раз, работали в тандеме с SOC False Positive от JSOC. Который, в отличие от меня, уже успел описать свою часть саги о противостоянии. Конечно, нам предлагали выступить и со своим выделенным телеком-SOC, о котором я рассказывал 23 мая 2017, но без влияния на ИБ-процессы нам было сложно на полных 2 дня снять с работы людей для ролей и защитников, и SOC в этом году. "Противостояние" - это хорошо, но защита бизнеса компании прежде всего.

UIWIX как последователь WannaCry. Патриотизм или киберподстава?

Тема с WannaCry уже настолько замусолила новости, что специалисты по ИБ от нее начинают морщиться и закатывать глаза, как Тони Старк. А вирусописатели - нет. 

Специалисты TrendMicro обнаружили новый вирус-шифровальщик UIWIX, который использует те же уязвимости, что и WannaCry. Но есть определенные отличия. Ниже приводится табличка, которая говорит о том, что создатели учли ошибки WannaCry и несколько модернизировали механизм. Теперь и шифрует, и пароли крадет, и кошельки разные требует, и ближе к народу стал, снизив цену выкупа в полтора раза. Радует только то, что на фоне лихорадки WannaCry пропатчились даже те, кто не патчился уже давно.

Противостояние с WannaCry: факторы успеха. Не PHDays

Недавно мир потрясла эпидемия шифровальщика WannaCry. Масштабное заражение достигло России 12 мая 2017 года. Если относительно недавние случаи утечки кибероружия АНБ и ЦРУ обсуждались в основном в профессиональных кругах, а начало эры шифровальщиков всколыхнуло общество как более наглядная демонстрация вреда от вирусов, то массированное заражение, парализовавшее работу тысяч ПК по всему миру, заставило задуматься абсолютно всех. 

Масштабность происшествия, влияние на бизнес и последовавшие за этим поиски виноватых вызвали обсуждения далеко за пределами профессиональных сообществ. Даже Путин озвучил свою позицию по вопросам "кто виноват?" и "как повлияло на Россию?" применимо к WannaCry.

Мобильное мошенничество без инноваций

Мобильное мошенничество - не мой профиль в информационной безопасности, но сегодня пару слов о нем, потому что меня пытались развести.
Казалось бы, старый метод, и все должны знать, но все равно мошенники пользуются.

Позвонил сегодня некий организм с номера +7 953 2058328 и начал довольно правдоподобный рассказ. Тезисно: 

1. Организм заходил на pay.mts.ru (MTS PAY) и "оплатил приложение Forex Club" со своего номера, отличающегося от моего на одну цифру. Сумма: 470 рублей. 

2. При этом для получения подтверждения по ошибке указал мой номер телефона. Якобы сумма была снята с его номера, а подтверждение в виде SMS должно прилететь на мой.

3. Просил переслать или продиктовать ему текст SMS. Якобы деньги с его номера телефона уже все равно сняты, а в SMS мне прислали код активации, который мне не нужен, а он за него уже заплатил. Войдите в положение, и т.п. Голос обычного мужика, который решил заработать на форексе, толком не разобравшись. Убедительно очень, особенно если никогда не пользовался подобными услугами.

Естественно, я ему сказал, что не собираюсь ничего пересылать или диктовать, пока до конца не разберусь, что и к чему. Мало ли, бывают ситуации. Организм разговаривал довольно убедительно, так, что я на миг даже подумал, что, действительно, могла случиться какая-то ошибка. Но, получив такой ответ от меня, он бросил трубку, развеяв все сомнения.

Не поленившись, я поискал на pay.mts.ru оплату Forex, и не нашел. То есть, еще один минус в карму мошенника. Или в мою, потому что не знаю, как искать.

Думаю, я не первый и далеко не последний. Что делать, чтобы не попасться?

Хотелось бы обратить внимание тех, кому подобные звонки поступят или поступали: 

1. Не спешите ничего пересылать или диктовать посторонним со своего телефона, как бы убедительно он ни говорил. Все, что пришло на твой телефон - твое. Попытка убедить тебя в том, что нужно сделать это быстро - желание мошенника не дать тебе опомниться.

Продиктовав текст SMS, можно попасть в такие неприятные ситуации:

• Дать возможность снять деньги со счета на номере либо банковской карте.
• Подписаться на платный либо навязчивый сервис/рассылку.
• Отдать пароль на страницу в социальной сети или еще где-то.
• И многое другое, к чему возможна привязка SMS.

2.  Знайте, что при оплате со своего номера телефона МТС: 

• Необходимо зайти в личный кабинет и авторизоваться.
• Для подтверждения оплаты через pay.mts.ru придет SMS, в котором указывается сумма и сумма к оплате (с учетом комиссии).
• SMS-запрос на подтверждение отправляется на номер, с которого снимаются деньги.
• До подтверждения оплаты по SMS деньги со счета не снимаются.

Скорее всего, мошенник, прощупывая жертву, пытается понять, возможно ли склонить ее к подтверждению транзакции. Если склонить можно, то придумает какой-то аргумент, чтобы жертва говорила все быстро и не успевала опомниться. Потом сначала сбросит пароль на личный кабинет (одно SMS), затем проведет оплату (второе SMS).

Вывод: не спеши говорить незнакомцу, что пришло тебе на телефон. Это твоя информация, за которую отвечать тебе.

Неудачный аудит информационной безопасности

Интересную можно аналогию провести с одним мультипликационным сюжетом. Каждый видел в нем свое. Кто-то просто смотрел интересный мультик. Кто-то восхищался качеством материала и спецэффектами. А я увидел побочный результат аудита безопасности, проведенного без соблюдения условий невмешательства в работу систем. Одна проэксплуатированная уязвимость - и система разрушена.

По сюжету, руководство ставит задачу повысить уровень безопасности филиала в связи с наличием в нем потенциально опасного элемента. 

Исходные данные, зафиксированные в опросном листе аудитором:

• Грамотно сконфигурированный пограничный firewall
• Аутентификация "четыре глаза" при попытке доступа к внутренним ресурсам
• Единая точка стыка с внешним миром
• Бдительный, квалифицированный и уверенный в своих силах SOC
• Достаточное количество персонала в обеспечивающих информационную безопасность подразделениях
• Сегментация по уровням безопасности
• Аутентификация и авторизация переходов между сегментами
• Повышенный контроль потенциально опасного сегмента
• Выполнение lockdown потенциально опасного элемента

Нездоровые инновации - путь к вырождению

В последнее время стало модно использовать любые инновационные методы, либо те, которые таковыми можно назвать. А тем более если на них можно выбить финансирование на этой волне. Инновации, безусловно, вещь хорошая. Они нам дали цивилизацию, но как бы они ее и не погубили.

Навеяны эти размышления прочитанной новостью о том, что бельгийская компания Newfusion начала вживлять своим сотрудникам чипы. Была, конечно, мысль, что это утка, но, кроме новостей (отечественных и зарубежных), на фсбучной странице компании прямо видео выложено. То, что на конференции Black Sea Summit в Одессе в сентябре 2016 человеку вшили чип - я тоже читал.

Но то девелопмент, а это уже продуктив. Понятно, что за подобные биометрические методы многие сейчас активно выступают, всячески расписывая плюсы, в том числе и с точки зрения ИБ, но здесь уже нарушаются грани и информационной и физической безопасности, смывается граница между личной и корпоративной жизнью в пользу последней.

Поскольку преимущества явно расписываются во многих кейсах, попробуем рассмотреть недостатки вживления таких чипов в человека. Для начала абстрагируемся от высоких технологий, АНБ, слежки и т.п. Просто рассмотрим, какие риски несет просто нахождение инородного тела в организме человека, медицинские показатели которого не требуют его установки. То есть, речь не о спасении человека методом установки кардиостимулятора и т.п. медицинского устройства, а о вживлении чипов в здорового человека, которому они реально не нужны.

Конференция АРСИБ "БИТ Москва"

Был в пятницу на конференции, организованной Ассоциацией руководителей служб информационной безопасности (АРСИБ). Список партнеров, спикеров и программа конференции доступна по ссылке. 

Не буду останавливаться на организационной части, комментировать место проведения и логистику. Правильнее будет прокомментировать контент.

Я пришел на эту конференцию впервые, чтобы узнать, "о чем говорят". Из всех идей ассоциации самой масштабной и благородной мне показалась работа с молодежью.

Вторая, не менее благая и масштабная, идея ассоциации имеет выхлоп с методологической стороны. С целью оказания помощи в обеспечении безопасности мобильных технологий в корпоративном секторе участники озадачились целью создания методического пособия с перечнем рекомендаций. Версия 1.0 брошюры была выпущена еще в марте 2016 года и находится в свободном доступе для скачивания по ссылке. Версия 2.0 была переработана с учетом замечаний, выпущена в печатном виде и роздана участникам конференции. Честно скажу: еще не читал, поэтому ее контент пока не обсуждаю.

Все доклады я комментировать не буду, только некоторые, которые выделил для себя.

Интернет вещей (IoT). Защита устройств и обязанность вендоров

В одной из своих заметок я описывал компоненты IoT, подлежащие защите.
Первыми, само собой, идут устройства - "вещи", которые и составляют основу "Интернета вещей". Компоненты "умного дома", "умного офиса", "умные автомобили", датчики состояния окружающей среды, живых организмов и прочее.

Все они для подключения к Интернет имеют: 

• операционную систему (как правило, довольно урезанную);
• реализацию сетевого стека (для подключения к сети);
• прикладную часть, которая устанавливается на ОС. 

Соответственно, по сети с большой вероятностью из Интернет будет доступно управление такими компонентами:

Работе специалиста по информационной безопасности посвящается

Откопал 6-7летней давности.
Посвящалось моей работе. Возможно, каждый увидит в этом произведении упоминание о своей.

Сколько нужно специалистов по ИБ, чтобы завести машину в мороз?

Думаю, я не первый, не сотый и не тысячный из тех, кто утром 8 января 2017 года решил поехать на машине - и не смог сделать это без лишних усилий. Из специалистов по информационной безопасности, думаю, тоже даже не десятый.

Мороз ночью падал ниже 30, и вода (в тех домах, где используется централизованный водопровод) перестала идти из крана. Ладно Москва или другой миллионник, где такие вопросы решаются быстро, но меня это событие застало в довольно отдаленной деревне. Я, привыкнув к неприхотливости своей машины за эти годы, даже не насторожился. Уже загрузив часть вещей, привычным жестом повернул ключ зажигания. Обычно зимой двигатель заводится со второго поворота ключа, но тут натужные попытки и с каждым разом все более и более гаснущие лампочки стремительно донесли до меня мысль, что там, где я планировал быть через час, меня еще в лучшем случае часа 2 не будет. Налицо все признаки замерзшего аккумулятора. Варианты: вынимать и нести погреться, искать зарядку, толкач, ваш вариант... Сходить купить не вариант - до ближайшего СТО или магазина автозапчастей километров 30 минимум, и то не факт, что работают.

New Year: SNMP default community quantity dynamics

In summer 2016 I provided brief analysis of IPv4-addresses with SNMP default community (DDoS attacks type SNMP Amplification sources) by countries (Russian article). The year is new but security holes are old.



New Year SNMP report by shodan, was compared with June one and shows such dynamics in integral TOP-10:

	2016	2017	Fixed, %
Brazil	1430670	1041122	27,23
USA	326735	240677	26,34
India	307155	210282	31,54
Korea	170979	173178	-1,29
China	121235	92019	24,10
Thailand	120263	61077	49,21
Colombia	104903	59178	43,59
Italy	87020	78970	9,25
Turkey	80880	50824	37,16
Iran	79506	57866	27,22

New Year: DNS open resolvers quantity dynamics

In summer 2016 I provided brief analysis of open DNS-resolvers (DDoS-attacks type DNS Amplification sources) by countries. Using the same shodan I decided to make NY report and to calculate the dynamics. The year is new but security holes are old.

So, NY report for DNS with open recursion has such behavior as to June one in integral TOP-10 for the world:

	2016	2017	Fixed, %
China	1066365	604080	43,35
Taiwan	308033	244719	20,55
USA	254265	206442	18,81
Korea	252341	232386	7,91
Russia	172123	131060	23,86
India	160751	115616	28,08
Brazil	155392	155889	-0,32
Turkey	97970	74572	23,88
Japan	58950	49473	16,08
Italy	46168	54122	-17,23

Новый год: динамика латания дыр SNMP по странам

В прошлом году летом я приводил краткий анализ количества устройств с настройками SNMP по умолчанию (источников SNMP Amplification) по странам. Ради интереса решил из того же shodan сделать новогодний отчет и посмотреть динамику. Год новый, но дыры старые.



Новогодний отчет по SNMP на shodan, по сравнению с июньским, показал такую динамику в интегральном TOP-10:

	2016	2017	Fixed, %
Brazil	1430670	1041122	27,23
USA	326735	240677	26,34
India	307155	210282	31,54
Korea	170979	173178	-1,29
China	121235	92019	24,10
Thailand	120263	61077	49,21
Colombia	104903	59178	43,59
Italy	87020	78970	9,25
Turkey	80880	50824	37,16
Iran	79506	57866	27,22

Страны с положительным процентом устранения уменьшили количество устройств с настройками SNMP по умолчанию, с отрицательным - увеличили.

В целом устройств с default SNMP community стало меньше. Если сделать подобный срез по всему миру, то увидим уменьшение количества уязвимых устройств:

TOTAL

3748045

2821398

24,72

Дифференциальный же TOP-10 на базе интегрального по проценту закрытых настроек SNMP по умолчанию выглядит следующим образом:


И в табличном виде:

	Country	Fixed, %
1	Thailand	49,21
2	Colombia	43,59
3	Turkey	37,16
4	India	31,54
5	Brazil	27,23
6	Iran	27,22
7	USA	26,34
8	China	24,10
9	Italy	9,25
10	Korea	-1,29

Итого, из отчета видно, что в IPv4-пространстве мира стало в среднем на 24,7% меньше единиц с SNMP default community, которые дают всем возможность использовать их как источник DDoS-атак.

Возможные причины:

• Инженеры изменили настройки SNMP по умолчанию
• Инженеры отключили SNMP как неиспользуемый сервис
• Хостеры/провайдеры заблокировали источники паразитного трафика
• Обновленное ПО по умолчанию отключает SNMP
• Shodan перестал видеть часть уязвимых серверов
• Ваш вариант

Будем надеяться, что новый год поможет нам закрыть хотя бы старые дыры.
Как закрыть дырявый SNMP - написано здесь.

Новый год: динамика латания дыр DNS по странам

В прошлом году летом я приводил краткий анализ количества открытых DNS-резолверов (читай источников DDoS-атак DNS Amplification) по странам. Ради интереса решил из того же shodan сделать новогодний отчет и посмотреть динамику. Год новый, но дыры старые.

Новогодний отчет по DNS на shodan по сравнению с июньским показал такую динамику в интегральном TOP-10:

	2016	2017	Fixed, %
China	1066365	604080	43,35
Taiwan	308033	244719	20,55
USA	254265	206442	18,81
Korea	252341	232386	7,91
Russia	172123	131060	23,86
India	160751	115616	28,08
Brazil	155392	155889	-0,32
Turkey	97970	74572	23,88
Japan	58950	49473	16,08
Italy	46168	54122	-17,23

Страны с положительным процентом устранения уменьшили количество открытых резолверов, с отрицательным - увеличили.

В целом устройств с открытым DNS стало меньше. Если сделать подобный срез по всему миру, то увидим уменьшение количества резолверов:

TOTAL

3537994

2710631

23,39

Дифференциальный же TOP-10 на базе интегрального по проценту закрытых резолверов DNS выглядит следующим образом:


И в табличном виде:

	Country	Fixed, %
1	China	43,35
2	India	28,08
3	Turkey	23,88
4	Russia	23,86
5	Taiwan	20,55
6	USA	18,81
7	Japan	16,08
8	Korea	7,91
9	Brazil	-0,32
10	Italy	-17,23

Итого, видно, что в IPv4-пространстве мира стало в среднем на 23,4% меньше DNS-серверов, которые дают всем возможность использовать их как источник DDoS-атак.
Возможные причины:

• Инженеры перенастроили DNS-сервера на работу правильным образом
• Инженеры отключили неиспользуемые сервисы
• Хостеры/провайдеры заблокировали часть источников паразитного трафика
• Обновленное ПО по умолчанию закрывает рекурсию
• Shodan перестал видеть часть уязвимых серверов
• Ваш вариант

Будем надеяться, что новый год поможет нам закрыть хотя бы старые дыры.
Как закрыть дырявый DNS - написано здесь (по-русски) и здесь (по-нерусски).