Информационная безопасность IT

Автор: Владимир Герасименко.

В связи с расширением фронтов информационной и кибервойны решили написать небольшую памятку-ликбез по цифровой безопасности и основным векторам атаки на пользователей интернета. Полезно будет и когда кризис будет разрешён.

1. Боты

Самая безобидная, на первый взгляд, угроза в списке. С ботами мы сталкиваемся каждый день - их используют для накрутки рекламных постов, оставления положительных или негативных отзывов, политической борьбы в конце концов. Сейчас ботсети стали угрозой информационной безопасности, так как они могут использоваться для нанесения прямого вреда России и её жителям.

Во-первых, сейчас боты используются для распространения пропаганды и фейков: создают пропагандистский пост/комментарий, после чего десятки ботов "разгоняют" его, активно лайкая и выводя в топы умных лент. Во-вторых, боты могут использоваться для массового спама в лички и чаты. В-третьих, для массового оставления жалоб на контент/пользователя, чтобы алгоритмы соцсетей или других ресурсов забанили его.

В данном случае следует применять базовые принципы цифровой гигиены:

1) проверять источники любой информации (смотрите на ссылки на источники и наличие подобной информации в поиске гугл/яндекс);

2) проверять автора сообщения. Обычно боты это либо новореги, либо аккаунты с крайне низкой активностью. В соцсетях базовыми признаками ботов являются: стоковые фотографии на аватарках, легко ищущиеся поиском и принадлежащие аккаунтам с другими именами; 1-10 репостов случайных групп, сделанные в промежуток 2-3 дня и после этого полное отсутствие активности или репосты раз в жёсткий промежуток времени, как будто по таймеру; в друзьях десятки таких же страничек или забаненных аккаунтов.

Соцсети и прочие медиаресурсы обычно стараются банить ботов, тем не менее при столкновении с ними стоит оставить жалобу на аккаунт и, если он пытается спамить вам - добавит в чёрный список.

2. Фишинг

Часто идёт рука об руку с ботами. Например, распространяемый украинцами сайт для проверки, попал ли ваш родственник в плен, на самом деле являлся фишинговым и собирал всю введённую информацию для дальнейшего спама и шантажа. Но чаще фишинг используется для получения ваших учётных данных или данных банковской карты.

НЕ ОТКРЫВАЙТЕ ССЫЛКИ ИЛИ ВЛОЖЕНИЯ В ЭЛЕКТРОННОЙ ПЕРЕПИСКЕ ОТ НЕИЗВЕСТНЫХ АДРЕСАТОВ.

НЕ ПЕРЕХОДИТЕ ПО НЕИЗВЕСТНЫМ ССЫЛКАМ.

НЕ ВВОДИТЕ НИКАКИЕ ЛИЧНЫЕ ДАННЫЕ НА САЙТАХ ПРО КОТОРЫЕ ВЫ В ПЕРВЫЙ РАЗ СЛЫШИТЕ.

ДАЖЕ ЕСЛИ ВАМ ПИШЕТ ЗНАКОМЫЙ, УБЕДИТЕСЬ, ЧТО ЕГО НЕ ВЗЛОМАЛИ.

Эти правила должны быть выучены буквально всеми, так как бОльшая часть взломов осуществляется с помощью фишинга. Вирусы-шифровальщики у всех на слуху, а то, что обычно дверку им открывают доверчивые пользователи, прошедшие по вредоносной ссылке, уже знают далеко не все.

3. Небезопасные сторонние сервисы

Многие пользователи интернета используют многочисленные сторонние сервисы для автоматизации различных действий. Например, был такой украинский сервис LeeLoo для сбора контактов в мессенджеры, а потом его владелец воспользовался доступом к базе контактов своих клиентов и от их имени разослал пропаганду. Да, сервисом этим в РФ никто больше пользоваться не будет, да и на Украине трижды подумают, так как никто не застрахован, что завтра вашей базой контактов не воспользуются уже не из патриотических побуждений, а чисто из криминальных. Отсюда вытекает очень неприятный вывод для всего айти-сектора - пользователям нужен полный контроль над их данными и гарантия того, что они не утекут на сторону.

Что важно для нас? То, что следует как минимум отказаться от любых украинских сервисов, так как их владельцы могут точно также подставить вас. Также стоит задуматься, какие данные о себе вы вообще готовы отдавать неизвестным людям, так как концепт репутации в Восточной Европе пока не прижился. Единственной гарантией, что ваши данные не будут использованы втёмную - это попросту не давать никому к ним доступ. Следует понимать это и всегда осознавать риск.

4. Прямой взлом аккаунта

С этим кейсом вы, наверное, тоже хоть раз сталкивались. Злоумышленник подбирает пароль (часто пароль добывают фишингом, см. п.2) заходит к вам на страничку и творит всякое (продаёт танки в WoT и выводит быстро деньги, рассылает спам вашему списку друзей и т.д.). Чтобы обезопасить себя следует:

1) задуматься над более сложным паролем. Тут в помощь кучи рандомайзеров (в т.ч. встроенный в Chrome), которые создают очень сложные для взлома пароли. Кроме того стоит следить за информацией об утечках паролей и в случае, если с используемого вами ресурса слили такие базы (не важно слив реальный или нет), то стоит в любом случае сменить пароль;

2) поставьте, наконец, двухфакторную авторизацию! В 2022 жить без двухфакторки хотя бы на ключевых ваших сервисах это как предложение злоумышленнику пройти в гости. Да, от целевого взлома профессионалом с перехватом смс или токенов авторизации это может не спасти. Но двухфакторка кратно увеличивает шансы, что об ваш аккаунт обломают зубы те, кто ломает на шару;

3) не авторизуйтесь с помощью учётной записи соцсетей на сомнительных ресурсах. Злоумышленники могут перехватить токен авторизации и воспользоваться им для входа в ваш аккаунт.

5. Забытые/небезопасные доступы

Тут мы переходим уже к вопросам, актуальным, скорее, для владельцев сайтов или небольших бизнесов. Проверьте список тех, кто имеет админские или суперадминские права на ключевых ваших ресурсах. Нередко контроль над учётом аккаунтов с такими правами и их своевременное выведение из работы ведётся спустя рукава. Сотрудник может уже давно не работать в фирме, а его доступы быть всё ещё активны. И с ними он может устроить весёлую жизнь.

Поэтому проверьте все доступы и удалите лишние/подозрительные. Лучше удалить лишнего пользователя, а потом вернуть ему права, чем оставлять дырку в защите, через которую могут войти кто угодно. И опять же, проверьте, чтобы выставленные пароли были сложными.

Также, смешно советовать, но проверьте, что у вас не стоят заводские предустановленные логин/пароль. Очень часто менять заводские пароли забывают при настройке оборудования типа роутеров и свичей, чем открывают прямой доступ в внутреннюю сеть для хакеров.

6. Взлом сайта/инфраструктуры

К сожалению тоже примета времени - у всех на слуху недавний взлом сайтов крупнейших информагентств страны. Здесь векторов атак несколько.

1. Устаревшее ПО в котором не устранены уже известные уязвимости. Поэтому следует оперативно обновлять ПО, чтобы не упрощать хакерам жизнь;

2. Сторонние скрипты (метрики, реклама и прочие). Их взлом не даст злоумышленнику доступа к самому сайту, но позволит вместо полезного скрипта выполнить вредоносный - например разместить рекламный баннер, подсунуть фишинговую ссылку и т.д. Поэтому стоит внимательно относиться к подобным скриптам от партнёров;

3. Небезопасные настройки оборудования и ПО. Тут вариантов масса, от уже упоминавшихся заводских паролей, до более серьёзных уязвимостей. Со всеми этими вопросами в идеале должен разбираться специалист по ИБ. В крайнем случае можно нанять услуги исследователя безопасности - специалиста по выявлению уязвимостей, например по пентесту (penetration testing - проверка на проникновение). Последние спецы вообще мастхев для любого серьёзного бизнеса, так как они занимаются поиском всех возможных угроз безопасности и уязвимостей. Задача пентестера максимально незаметно проникнуть во внутренние сети клиента и показать как эти дыры безопасности закрыть.

7. DDOS

Наверное многие сейчас столкнулись с тем, что перед заходом на крупные популярные ресурсы вылезает заглушка Claudflare. Если вы такую видите - значит целевой сайт подвергается DDOS: атаке с помощью множественных пустых или мусорных запросов, забивающих каналы связи и увеличивающих отклик ресурса.

От DDOS сегодня не застрахован никто, каким бы жирным каналом связи он не обладал. Поэтому появились сервисы, подобные тому же Cloudflare, которые обеспечивают программную защиту от подобных атак. Провести DDOS сейчас не проблема - в даркнет услуги ботсетей по DDOS можно легко купить. А значит не застрахован от этого вообще никто.

8. Программные закладки

Самая опасная и труднообнаружимая проблема безопасности. Но не невероятная. Например Россети сообщили (https://t.me/rosseti_official/2405), что в оборудовании автомобильных зарядных станций, поставлявшихся украинским производителем, были обнаружены программные закладки (способы внешнего несанкционированного доступа) с помощью которых был осуществлён их взлом и выведение из строя. Ситуация нетиповая, но характерная - ИБшники Россетей пропустили такую закладку и не сейчас, так позже фирма обязательно бы пострадала от взлома. Тут опять же характерно, что такие закладки могут внедряться в широкую номенклатуру устройств, так что никто из нероссийских клиентов фирмы-изготовителя не застрахован от взломов.

Как избежать подобного? Отказаться от оборудования производителей с Украины, так как оно может содержать в себе намеренно оставленные бэкдоры. И нанять нормальных специалистов по ИБ, которые занимались бы анализом оборудования и исполняемого кода на предмет наличия уязвимостей.

Автор: Владимир Герасименко (@Woolfen).

Оригинал: https://vk.com/wall-198181079_228998

Пост с навигацией по Коту

А ещё вы можете поддержать нас рублём, за что мы будем вам благодарны.

Яндекс-Юmoney (410016237363870) или Сбер: 4274 3200 5285 2137.

При переводе делайте пометку "С Пикабу от ...", чтобы мы понимали, на что перевод. Спасибо!

Подробный список пришедших нам донатов вот тут.

Подпишись, чтобы не пропустить новые интересные посты!

По вендорам ИБ:

Forcepoint закрыли офис в РФ одним днем. Отключили ТП для всей России. Продукты пока работают.

Есть вероятность, что из РФ также могут уйти иностранные вендоры с небольшой долей на рынке РФ (Broadcom, Onespan и нек.др.).

Крупный игрок Fortinet отозвал лицензии и остановил поддержку клиентам из списка SDN. Отключилась часть функционала программного обеспечения. При этом официально заявил, что продолжают работать с заказчиками не под санкциями.

Израильские вендоры (Radware, Checkpoint) прямо сейчас говорят, что не поддерживают санкции и готовы активно прорабатывать, опасаются, что на них будут давить, но готовы искать решения. ТП оказывается.

По Телеком вендорам:

Cisco: офис и внутренние процессы работают, сделки регистрируют, заказы принимают, но попадают на холд, кейсы ТП заводятся, но сейчас уже возникли точечно проблемы с заменами запчастей

Extreme: КП пока выдают, сервис оказывают и новые заказы на сервис размещают. Все новые заказы на поставку на стопе.

Mellanox: сетевая часть пока на стопе. Взяли паузу на полторы недели.

F5: железо на паузе, сервис пока оказывается

Juniper: новые заказы на паузе, просроченные регистрации пока не продлеваются, сервис оказывается

H3С (Китай): пока работают, заказы размещаются, отгрузки идут, кроме тех, кто в списке sdn. Прогноз производства 12-16 недель.

Huawei: работают, размещают, отгружают, всех сейчас ориентируют на размещение до 26 марта. Со вчерашнего дня перевели дистров на 100% предоплату.

По серверным/СХД вендорам:

HPE – сегодня столкнулись с холдом по техподдержке: для SDN даже не открываются, все остальные заявки открываются и ставятся на холд по умолчанию. Только в ручном режиме при истерике заказчика, выхода на аккаунтов и т.д. их передают в обработку и только для коммерсов. Все гос компании - холд без вариантов. Сегодня также заблокировали доступ всем российским пользователям на портал техподдержки.

Lenovo – холд по поставкам и сервису - все заявки уходят на согласования ERO – Export Regulation Office.

Dell Technologies - холд по поставкам и сервису, сервисные заявки не обрабатывают, запчасти не отдают. При этом пока объясняют курсовыми и логистическими проблемами.

Hitachi Vantara – холд по всем поставкам и саппорту.

NetApp – все заказы на холде, но сервис пока оказывается, портал работает.

Pure Storage – говорят, что работают со всеми, кроме SDN, но также ещё ждут разъяснения от юристов

Infinidat (Израиль) – говорят, что могут поставлять кроме SDN

Huawei: работают, размещают, отгружают, но сроки нереальные, всех сейчас ориентируют на размещение до 26 марта. Со вчерашнего дня перевели дистров на 100% предоплату.

IBM Power/Storage - работают, сервис оказывают, говорят, что могут поставлять кроме SDN (кстати производитель процессоров это САМСУНГ - Южная корея и эт хорошо)

Inspur - работают, сервис оказывают, говорят, что могут поставлять кроме SDN

По софту:

Microsoft сегодня была конференция для партнеров по текущей ситуации. Основной посыл: Компания работает в штатном режиме. Полная поддержка партнеров и заказчиков.

Санкционные заказчики, как и ранее - будут отключены по всем ранее существующим процедурам, которые давно отрегулированы в Microsoft.

После 11 марта должно быть какое-то официальное заявление от Microsoft.

По нашей практике – новые размещения идут (вчера, сегодня документы проходят)

Oracle запрещают давать какие-либо комментарии партнёрам до получения офиц. ответа. Но пока внутри говорят о том, что сохранят бизнес в РФ.

По состоянию днём сервис производился. По SDN также днём отключили. КП на поставки для новых sdn отозвали. Кажется, после сообщения из twitter, завтра будет всё на холде.

VMware Всё в целом на холде. Но сегодня выдали некоторые КП.

Veeam были на паузе, но сейчас работают штатно, заказы размещают

Citrix работают только по коммерсам. Госы и SDN на стопе

Commvault были слухи о возможном уходе с рынка. Но сегодня пока говорят, что работают по коммерсам.

от така хуйня, малята.

ВСЕ будут ближайшие 2 недели изучать SDN и минпромторг США и потихоньку возвращаться на рынок, но еще две дилеммы останется : курсовая разница и логистика

Всем привет, про обострения текущей ситуации.

Я работаю в ИТ отрасли, последнее время участились взломы хостингов, почтовых служб, серверов, банковских учеток, госуслуги  и т.п. Украинцами и им сочувствующим.

Большинстве случаев взлом осуществляется через слабые пароли сайтов, почту или разводку  через общение, или подмену  сайтов.

Очень важно, сделайте сами и донесите свои коллегам, друзьям, близким, сделайте это для родителей. ПЖ не топите этот пост.

1. Включите вдухфакторную авторизацию везде где это возможно. Особенно в банках и госуслугах, и главное в учетках гугла, яндекса. Многие там хранят пароли от всего!

2. Там где нельзя включить двухфакторку, смените пароли на сложные. Везде!!!

3. Безопасность всех паролей сохраненных в браузерах под сомнением, считайте их скомпрометированными. А значит меняйте.

4. Если у вас есть собственные или клиентские сайты, убедитесь что бэкапы выполняются регулярно, исправны и у вас есть к ним доступы. Если держатель вашего ДНС или хостинга вне правового поля РФ - значит ваш сайт может перестать работать.  Ищите пути переноса.

5. Если вы в работе используете сервера арендованные на европейских площадках типа хетзнера и тп. Уже сейчас без блокировок очень трудно оплатить их услуги, и не факт что сами ДЦ не прекратят сотрудничество в связи санкциями и прочих обострений. Следите за бэкапами ищите запасные площадки.

6. Если вы арендуете облачные сервисы и службы (например облачная 1С или удаленные рабочие столы), уточните в чьей юрисдикции находятся сервера вашего сервиса. Очень многие российские сервисы размещены на западных облачных сервисах. Если они вне юрисдикции РФ, существует не нулевой риск  прекращения дальнейшей работы

7. Если вы админ государственной или частной  компании,  убедитесь что ваши удаленные рабочие столы в безопасности, RDP сильно дырявый протокол + пользователи часто используют очень простые пароли. Сервера и раньше часто ломали вымогатели.  Как минимум включайте сложные и длинные пароли, не используйте стандартные порты, если ваш роутер умеет ставьте ловушки для сканеров сетей блокирующие трафик при обращении на неправильные порты, что бы не засветить свой сервер. 

8. Существует не нулевой риск отзыва сертификатов SSL в зоне РУ, это очень сильно снизит безопасность трафика.

9. Если храните деньги на криптобиржах, уходите в холодные кошельки.

10. Если вы используете бизнес почту  от майкрософтов или гугла имейте ввиду, есть не нулевые риски прекращения работы. Переносите все в юрисдикцию РФ.

Не ждите когда у вас появится проблема, действуйте сейчас. Ситуация будет обострятся и дальше.

п.с.

удивлен что на текущий момент минцифра не выпустила никаких рекомендаций, несмотря на серьезность ситуации.

Админам если я что то упустил, дополняйте или поправьте.