Не выкидывайте старые винчестеры!

Думаю, многие об этом уже читали, но всё-таки сегодня пятница, и писать без нотки юмора не хочется. Пожалуй, лучшей иллюстрации для вынесенного в заголовок лозунга и не придумаешь.

Британский айтишник мог заработать $7,5 млн на bitcoin, но выкинул HDD с ними

В интернете появилась очередная история о неожиданно разбогатевшем благодаря bitcoin счастливчике. Джеймсу Хауэллсу, британскому ИТ-специалисту, для этого понадобилось всего-то восстановить жесткий диск на своем старом ноутбуке. В 2009 году этот жесткий диск стоил не больше $100, сейчас его стоимость составляет $7,5 млн.
Правда, как пишет BBC, воспользоваться биткоинами Джеймсу не удалось, так как буквально пару месяцев назад он выкинул жесткий диск с ними.

Отсюда

С биткоинами, что и говорить, получилось обидно, но на самом деле, если задуматься, такое случается сплошь и рядом, просто не всегда информацию, которая находится на выкинутом винчестере, можно так же легко и быстро перевести в наличную "зелень", как те же биткоины. И самую большую опасность представляет то, что винчестер может обнаружить кто-то, кто воспользуется вашей оставшейся на нем информации. Напомню, что в среднем каждая утечка информации в мире стоит порядка 5,5 млн. долларов. Учитывая вместимость современных "винтов", можно предположить, что стоимость такой утечки будет заметно выше.

Скажите, вы чистите старые винчестеры перед тем, как их выкинуть? Пользуетесь физическими методами уничтожения данных? Думаю, что большинство компаний их даже элементарно не форматируют (хотя от этой процедуры толку немного, поэтому особой беды в этом, по большому счету, нет). Поэтому нет ничего удивительного, что в мире процветают всякие WikiLeaks.

На мой взгляд, лучше винчестеры вообще не выкидывать. Даже старые и сломанные. Места они занимают немного, а обнаружиться на них может что угодно. Может, будете потом рвать на себе волосы, как тот британец со своими биткоинами...

Проблема безопасности Smart-TV

Помните пост о том, что скоро смартфоны станут умнее своих владельцев? Похоже на то, что одними смартфонами дело не ограничится. Постепенно всё так или иначе подключается к глобальной всемирной паутине. Tesla model S, телевизоры, холодильники...
Помню, когда это всё только начиналось, маркетологи местного розлива любили употреблять термин "умные вещи". Теперь даже на телевизоре может быть мобильный банк, а увеличить клиренс автомобиля можно, скачав новую прошивку для него.
Помню, когда это всё только начиналось, маркетологи местного розлива любили употреблять термин "умные вещи". Это достаточно интересный и несколько неоднозначный термин, который не объясняет многих вещей.
Например, того, что умные вещи могут стать опасными. Судите сами: обновление прошивки меняет клиренс автомобиля. Ранее исследователи смогли получить доступ к тормозам машины и рулевому управлению. Правда, для этого надо было физически находиться в машине, но кто знает, что придумают через год-два. Впрочем, такие автомобили себе может пока позволить, мягко говоря, не каждый, поэтому проблема еще не очень массовая.
А вот с телевизорами всё совсем иначе. Возьмем, к примеру, тот же мобильный банк с телевизора. А телевизор как-то эти передаваемые данные будет защищать? Где гарантия того, что не появится вирус для SmartTV? Заразить, по-моему, труда не составит, особенно в свете "андроидности" многих телевизоров. В конце концов, можно воспользоватья старой проверенной схемой - атака через браузер, который есть теперь по многих "ящика". Просто перенаправляем пользователя на зараженную страницу и... PROFIT!
Можно, конечно, пойти другим путём. Как продвинутые пользователи смотрят контент на ТВ? HDMI - просто, но ведь это провода.  Поэтому часто использую внешний винчестер  или флешку. В любом случае, сначала с компьютера сбрасывается файл. Вот она и точка входа - заражаем компьютер, а оттуда уже "дотягиваемся" до ТВ.
Можно совсем по-крутому смотреть контент - "поднять" домашний медиасервер. Тогда через Wi-Fi всё можно слать напрямую и без проводов. Красота. Но точка входа - компьютер, на котором развёрнут медиасервер. Поэтому всё что написано в предыдущем абзаце остается справедливым и в этом случае.
В общем, Smart-TV становится все менее безопасной штукой, и тому, кто покупает "умные" гаджеты, нужно помнить, что за удобство придется платить... В том числе и рисками. А оно вам надо, как говорится?..

Facebook - молодцы! Казалось бы, при чем тут DLP?..

Не так давно у нас был пост о том, что у Adobe утекло много документов, и кому-то из-за этого обязательно будет плохо. История получила свое продолжение: некоторые ресурсы, которые, видимо, все-таки не совсем плюют на безопасность своих пользователей, извлекли из этой утечки урок, что вызывает уважение к ним.
Всё гениальное просто и не претендует на модное слово "инновации". Ребята из Facebook'a предположили, что некоторые пользователи могли использовать один и тот же пароль на нескольких ресурсах. Что им оставалось? Правильно. Проверить свою догадку, вооружившись расшифрованной базой.
Сейчас нужно сделать небольшое лирическое отступление и сказать пару слов о... правильно, как обычно, пару слов о DLP. С помощью DLP-систем также можно контролировать пароли. Самых распространённых подходов два.
Первый такой: с помощью фразового поиска по базам IM (инстант мессенджеров) и Skype можно искать слова "пароль", "логин", "login", "pass", "password" и т.д. Тем самым, будем выявлять тех, кто говорит о паролях.
Думаете, будет много ложных срабатываний? Как оказалось, нет. Типичный диалог, который попадает в перехват:
- Зин, а Зин, какой там у нас пароль от админки\1C\ядерного чемоданчика?
- Лови. login: 888, password:111
Конечно, считать это нарушение политики ИБ критичным, или нет, решать вам самим, но знать о нем не помешает.
Но есть еще второй вариант применения DLP к паролям, и он уже чем-то похож на стратегию Facebook. Из открытых источников берём топ-100 самых популярных паролей, и с помощью фразового поиска ищем их в базе перехвата HTTP. Дело в том, что некоторые ресурсы никак не защищают передаваемый им при авторизации пароль. Его-то DLP и может перехватить. А мы, в свою очередь, проверим, насколько пользователь внимательно относится к защите своих аккаунтов.
Кстати, есть еще одно проверка, для которой даже DLP не понадобится. Для этого возьмём базу корпоративных паролей и топ-100 самых популярных паролей. Дальше, думаю, вы поняли.

Как оптимизировать расходы на DLP

DLP - это по-прежнему довольно дорого для не очень большой компании, поэтому многие ищут способы сэкономить. Но экономить нужно с умом. Об этом и будет этот пост.

Благодаря тому, что многие DLP-системы имеют модульную структуру, компании могут воспользоваться этим для того, чтобы оптимизировать свои расходы на приобретение самой системы. К примеру, если в компании никто не использует ICQ, то нет смысла приобретать модуль для его контроля – гораздо полезнее будет приобрести модуль для контроля Skype. Впрочем, нужно понимать, что если хотя бы один канал передачи данных окажется без должного контроля, то вся затея с внедрением DLP-системы может оказаться напрасной, потому что она будет похожа на тщательно охраняемые ворота с большим замком, вокруг которых забыли построить забор.

Отдельно стоит сказать о том, как можно оптимизировать с помощью DLP-системы затраты на персонал. Чем более качественный в DLP-системе модуль автоматизированного анализа перехваченного трафика, тем меньше персонала потребуется, чтобы обеспечивать информационную безопасность в организации. Ведь если даже для маленькой компании, где работает два десятка человек, анализировать вручную каждое письмо (даже если взять для примера только электронную почту, закрыв глаза на остальные каналы передачи данных), то потребуется изрядно расширить штат за счет специалистов по безопасности, которые будут заниматься этой работой. Именно по этой причине многие DLP-системы зарубежного производства остаются практически бесполезными на практике – ведь поддержка русского языка в подавляющем большинстве из них оставляет, мягко говоря, желать лучшего.

Необходимо отметить, что для того, чтобы приобретенная вашей компанией дорогостоящая DLP-система действительно работала на благо организации, необходимо применять её не только как инструмент обнаружения утечек информации и, по возможности, их пресечения. Информационная безопасность компании не заканчивается на утечках конфиденциальных данных, и DLP-система как нельзя лучше пригодится для планомерной работы специалиста по безопасности. Что можно сделать с её помощью?

Для выявления сотрудников, нерационально расходующих свое рабочее время необходимо вручную составлять «топы» самых активных пользователей ICQ, Skype, электронной почты, социальных сетей и т.д. Сотрудник, проводящий слушком много времени за не относящимися к его непосредственным служебным обязанностям разговорами, должен быть показательно наказан после доклада о его поведении на рабочем месте его непосредственному руководителю.

Социальные сети: массовый психоз?

Феномен социальных сетей продолжает исследоваться учеными-психологами, и на сегодняшний день, к сожалению, приходится констатировать, что результаты этих исследований не слишком утешительны. Всё новые угрозы, выявляемые ими в социальных сетях, заставляют по-новому относиться к этому казавшемуся раньше совершенно безобидным явлению.

О том, что социальные сети – настоящие пожиратели свободного (а в некоторых случаях и рабочего) времени знает, пожалуй, каждый, кто имел неосторожность однажды в одной из них зарегистрироваться. Но это, оказывается, не самое большое зло. Профессор Массачусетского технологического института Шерри Теркл называет поведение, привычное для активных пользователей социальных сетей, патологическим. По его мнению, из-за социальных сетей люди становятся в буквальном смысле изолированными от реальности, так как технологии берут верх над человеческим. «Происходит подмен реальных человеческих взаимодействий связями в кибер-реальности, что является жалкой имитацией настоящего мира», ‑ говорится в одной из его работ. Что ж, пожалуй, с этим мнением должны согласиться многие, чьи друзья или знакомые оказались «проглочены» социальными сетями.

Синдром зависимости, впрочем, характерен для определенной части населения; и зависимость от социальных сетей в этом плане ничуть не лучше зависимости, скажем, от тех же компьютерных или азартных игр. Но есть и непосредственный риск для здоровья, характерный именно для социальных сетей – его нашли израильские ученые, решившие проанализировать влияние социальных сетей на женский организм. «В исследовании ученых из Израиля под руководством профессора Яэля Латцера приняли участие 248 девочек и девушек в возрасте от 12 до 19 лет. Их просили предоставить информацию по поводу того, как они проводят время в интернете, какие программы смотрят по телевизору и как это отражается на их самооценке. Девочки также заполняли вопросник, по которому можно было оценить, не находятся ли они на пороге булимии, анорексии, каков их уровень удовлетворенности собственным внешним видом. Итоги исследования показали, что чем больше времени девочки проводили на социальных сайтах, чем чаще они страдали от булимии и анорексии, низкой самооценки. Такие девочки придерживались нездоровой диеты и вообще неправильно оценивали важность питания», ‑ пишет Софт@Mail.ru.

В общем-то, конечно, такие исследования достаточно спорны, потому что не учитывают влияния множества других факторов, но самое главное они всё-таки иллюстрируют – социальные сети не так уж безобидны, и помимо «бесцельно прожитых лет», которые они обеспечивают каждому своему более-менее активному пользователю, они способны наградить его определёнными психологическими проблемами, которые затем, в конечном итоге, выливаются в проблемы с телесным здоровьем. Конечно, на фоне других факторов – плохой экологической обстановки, стрессов на работе и т.д. – это может быть не столь важно, но кто знает, не станет ли именно общение в социальной сети той последней каплей, от которой чаша переполнится, и здоровье безвозвратно пошатнется?

Так что осторожнее с таким малоизученным на сегодняшний день явлением, как социальные сети. Помните, что каждый их пользователь – участник масштабного социального эксперимента, и как эксперимент отразится на нём самом, не знает никто.

Общие идеи анализа информационных систем

Когда-то я рассказывал о разных методах аудита и анализа корпоративных информационных систем. Тогда я говорил о том, что имеет смысл обратиться к специалистам, в совершенстве владеющим этими методиками. Но это возможно не всегда и не везде, ну и часто, ко всему прочему, хочется еще и сэкономить. Поэтому сегодня у нас будет этакая рубрика "Сделай сам" или "Очумелые ручки" - тут уже как кому больше нравится.
Владея в достаточной мере тематикой, специалист по информационной безопасности может самостоятельно разработать несложную методику, которая будет максимально полно соответствовать специфике информационной системы организации. Для этого необходимо отталкиваться от нескольких основных идей, которые объединяют широко применяемые методики анализа:
•    Необходимо классифицировать все имеющиеся в организации информационные ресурсы с точки зрения критичности для бизнеса и стоимости.
•    Необходимо определить наиболее вероятные для каждого из информационных ресурсов угрозы и затем провести анализ вероятности их реализации. Отталкиваться можно как от статистики, собранной в самой организации, так и от общедоступных источников, говорящих о частоте тех или иных инцидентов в вашей отрасли и/или в вашем регионе.
•    Путем несложных вычислений можно определить стоимость одного инцидента, исходя из вероятности его реализации и стоимости информационного ресурса.
•    Как уже упоминалось ранее, защита от этого инцидента не должна стоить дороже, чем потери от него же для компании.
•    Все рекомендации по внедрению новых или модификации уже существующих систем должны быть подкреплены соответствующими расчетами.
Безусловно, методики, которые разработаны давно и применены сотни раз в разных сферах, дают более точные и комплексные результаты, но если стоит задача первичной оценки рисков и возможностей защиты информационной системы, можно справиться и самому со своей методикой, сделанной, что называется, "на коленке".

Чужие грабли

Учиться на чужих ошибках - умение, которое можно по праву назвать одним из самых полезных в жизни. Потому что это дешево, а на своих ошибках учиться - очень и очень дорого. К сожалению, это получается далеко не у всех, но стремиться к этому надо. Особенно это верно в сфере ИБ, потому что здесь ошибки могут обойтись в совершенно астрономические суммы.

Поучиться же я сегодня предлагаю на ошибках не кого-нибудь, а всенародно любимой мебельной корпорации IKEA:

Два топ-менеджера французского подразделения шведской компании по производству мебели IKEA были задержаны по подозрению в слежке за персоналом и клиентами. Утверждается, что подозреваемые получали незаконный доступ к полицейской базе данных.
IKEA интересовалась о кандидатах, претендующих на работу в компании, а также покупателях, которые подали в суд на производителя мебели. Отметим, что некоторые клиенты уже подали в суд на компанию, обвиняя ее в том, что она уже на протяжении пяти лети осуществляет незаконную слежку.
Подробнее: http://www.securitylab.ru/news/447867.php

В России и вообще на постсоветском пространстве вряд ли нашлась бы компания, у которой могли бы возникнуть подобного рода проблемы, здесь даже считается чем-то вроде моветона не проверить всех кандидатов на вакантные должности чуть ли не на полиграфе, и, само собой, "прогнать по базам".

А вообще, проблема решается очень просто - нужно только подсунуть кандидату бумажку с предложением согласиться на сбор и обработку данных о нем. Не захочет - а нужен ли такой строптивый сотрудник вашей компании? С неудобными клиентами таким образом, конечно, не поступишь, но тут очень большой вопрос, что дадут данные, которые можно о них собрать? Если вы хотите найти компромат и как-то на них воздействовать, стоит трижды подумать, к каким это, в итоге, приведет результатам.

Самое важное - скорость реакции

Довелось намедни прочитать одну интересную новость, в которой Microsoft, как водится, винит во всех бедах пользователя свободное ПО. В принципе, наверное, это даже и не новость, но меня она натолкнула на интересные размышления.
«ПО с открытым исходным кодом на протяжении многих лет пытается конкурировать с проприетарными программными решениями. Однако открытый код привлекает не только добросовестных разработчиков, но и тех, кто создает уязвимый код и использует его в своих целях. Такое ПО менее безопасно, более того, я бы сказала, что оно более подвержено несанкционированному доступу», - подытожила представительница софтверного гиганта.
Отсюда
Можно поспорить с тезисом о большей опасности для конечного пользователя свободного или проприетарного софта, но что бесспорно, так это то, что в любом софте есть какие-либо ошибки и уязвимости. А значит, их обнаружение и использование - вопрос времени и желания, которые, как мы знаем, рано или поздно у кого-нибудь всё-таки находятся. В случае со свободным ПО уязвимость, вроде бы, легче найти, но зато легче и исправить, тем более, сделать последнее может любой желающий, а в случае достаточно популярного софта таковые обязательно находятся.
Впрочем, как бы то ни было, самым безопасным остается ПО, к которому быстрее всего выпускаются обновления, а этого можно достичь и в том, и в другом случае. Просто в случае проприетарного ПО ответственность лежит полностью на одном производителе,  а в случае свободного - на целом сообществе, но и производитель, и сообщество могут быть как эффективными в исправлении ошибок и уязвимостей, так и нет.
Посмотрим теперь с тех же позиций на систему безопасности практически любой организации. Здесь открытость или закрытость означает отсутствие у потенциальных нарушителей сведений о системе. Например, сотрудники могут знать или не знать о наличии DLP. Так вот, как и в случае со свободным и проприетарным ПО, оказывается, что большой разницы между этими двумя ситуациями-то и нет - главное не это, а то, как быстро вы реагируете на инциденты. Всё то же самое можно сказать и о любом другом компоненте в ИБ.
Самое главное - адекватная скорость реакции на угрозы, будь они вирусами, инсайдерами, уязвимостями или чем-либо ещё. Так что когда вы в следующий раз решите сделать систему ИБ эффективнее, сосредоточьтесь не на секретности применяемых решений, а на таком параметре, как скорость реакции - и результат не заставит себя ждать...

Всезнание гаджетов - неизбежность?

"К 2017 г. смартфоны станут умнее своих владельцев, но не потому, что будут обладать интеллектом, а потому что получат доступ к обширным данным и способность их анализировать. Смартфоны и другие устройства будут знать о владельце все, следуя за ним в повседневной жизни и избавляя от множества рутинных дел."
Читать полностью:  http://it.tut.by/374474?utm_source=rss-news&utm_medium=rss&utm_campaign=news-feed или если кратко, то www.kv.by/content/328096-gartner-k-2017-godu-smartfony-stanut-umnee-svoikh-vladeltsev
Тему можно обсуждать очень и очень долго, о том, что мобильные гаджеты превратились в универсальные устройства по сбору данных о своих владельцах, не написал, наверное, только ленивый. Но описанные по ссылке аналитиками сценарии более чем правдоподобны, если вспомнить, что сегодня уже имеется в арсенале мобильных гаджетов:
1. Wi-Fi. Есть сегодня в абсолютно любом смартфоне. С его помощью можно вычислять ваше местоположение: вспомните галочку в Android "Определять местоположение с помощью беспроводных сетей". Думаете, это сложно? Тогда есть такой вариант...
2. GPS и ГЛОНАСС. GPS в смартфоне уже норма, а не "крутая фишка". ГЛОНАСС пока не дорос в плане распространения, но на законодательном уровне происходят интересные игры: то хотят запретить продавать телефоны без этой системы, то в каждую машину к 2015 году чип поставить. А ведь есть еще разработки аналогичных систем в Китае, Индии, Европе... Как бы то ни было, но спутниковые навигационные системы сегодня - рекордсмены по сбору данных.
3. Социальные приложения. Различные Foursquare, Tripadvisor и т.д. О них мы тут уже неоднократно писали. Расчёт на желание человека делиться информацией о себе добровольно. И, надо сказать, расчет более чем оправданный. Этими способами получаются самые разнообразные сведения, ведь сюда же относится и история запросов в поисковиках, и анализ вашей почты для показа рекламы, и анализ времени проведённого на странице, поставленный "лайк", и чёрт его знает что еще.
Вот, пожалуй, три основных на сегодняшний день способа добычи сведений о человеке. Конечно, нельзя еще не упомянуть такую "банальщину", как отслеживание местоположения по базовым станциям сотовых операторов. Тут всё понятно. Но доступ к таким данным всё же есть далеко не у всех, в то время как всё остальное может собирать любое приложение для смартфона (если дать соответствующие разрешения, а как можно их не дать?..).
Думаете, на этом всё? Ни в коем случае. Остальные методы пока не слишком популярны, но наверняка вскоре таковыми станут. Речь идёт о различных «оздоровительных» приложениях. Этакая смесь пункта 3 и технологий. К примеру, Samsung активно пиарит своё приложение SHealth и соответствующие гаджеты к нему. Само приложение умеет фиксировать пройденный маршрут с привязкой к карте или без неё. Пользователь же сам может вводить свои данные (рост\вес\пол и т.д.) + вести журналы о съеденной пище и проделанных физических упражнениях. Примечательно, что эти журналы можно вести только при активном подключении к Сети.
В общем, такая вот "светлая" и "радостная" картинка...
Возвращаясь к главной мысли, высказанной исследователями: действительно, скоро гаджеты будут знать о нас много, очень много. В этой связи предлагаю обсудить вот какую идею. Знаете ли вы, что такое дауншифтинг? Сегодня, если верить "Википедии", это "термин, обозначающий жизненную философию «жизни ради себя», «отказа от чужих целей». По сути - отказ от многих популярных, но не очень нужных благ цивилизации.
Думается мне, что вскоре мы станем свидетелями появления информационных дауншифтеров. Людей, которые будут осознанно отказываться от слишком умных гаджетов. Тех, кто будет вместо поиска Google будет пользоваться анонимным duckduckgo, вместо «суперсмартфона» использовать обычную «звонилку» или те аппараты, в которых можно вручную контролировать включение\отключения некоторых функций.
Но возможны ли другие варианты?

О вреде непроверенных предположений

Думаю, все еще помнят новость о рекордной утечке паролей Adobe, которую у меня наконец-то нашлось время прокомментировать. На всякий случай, так как уже прошло какое-то время, напомню, в чем там всё дело.

В первом сообщении о краже паролей миллионов своих пользователей компания Adobe сказала, что гражданам нечего опасаться, потому что пароли зашифрованы. Пока сообщество не получило базу с паролями, фраза о «зашифрованных» паролях была непонятной. Можно было предположить, что Adobe имела в виду хеширование. Ведь алгоритмы хеширования тоже формально являются алгоритмами шифрования. В случае нормального хеширования с использованием соли можно было бы не опасаться, что злоумышленники расшифруют базу паролей.

http://www.xakep.ru/post/61554/default.asp

В общем, выяснилось, каким именно способом шифровали пароли, а дальше на помощь взломщикам пришла статистика:

Например, значение EQ7fIpT7i/Q= (base64) встречается 1 911 938 раз.
При этом
В последние годы проводилось немало статистических исследований парольных баз. Поэтому известно, что самый популярный пароль в интернете — 123456.
Это всё очень занимательно, но мы это всё знали и раньше. Что нам дает именно случай с Adobe? Что даже если ваш пароль хорош, и даже если сервис его хорошо зашифровал, это не гарантирует вам безопасность. Почему? Потому что тем больше информации утечёт, тем больше к ней можно будет применить статистических предположений.
Мне это всё напоминает вывод, который герой Айзека Азимова сделал в первой книге трилогии Академии (Основания). Чтобы предсказывать будущее, не нужно учесть абсолютно все связи во вселенной - достаточно взять планету-мегаполис, на которой фактически оказались существа со всей Вселенной.

По той же схеме, кстати, действуют алгоритмы Фейсбука, "волшебным" образом узнающие, где сделана та или иная фотография. В общем, не зря "большие данные" признаны одним из важнейших трендов в ИТ в последние годы. Потому что их анализ дает не только ключи  к кошелькам через рекламу, но и помогает в менее законных способах отъема тех самых денег...

Сколько личность ни воруй, всё равно получишь…PROFIT!

Поводом к написанию данного поста послужило определённое количество новостей, которое субъективно превысило определённый «порог игнорирования». Не секрет, что сегодня различные атаки всё больше социализируются. Так или иначе, но определённые приёмы социальной инженерии нет-нет да «засветятся» в новостной сводке. В частности, речь идёт о технике «кви про кво», которую проще и понятнее именовать «кража личности».

Кви про что?

Схема атаки проста: выдать себя за другую персону, которой «жертва» доверяет. Самый банальный пример – «страшилки», которыми родители запугивали в детстве, наверное, каждого из нас. «Не открывай никому дверь! Там маньяки, которые доверчивым детям, говорят, что они почтальоны\водопроводчики, а потом топят в ванной». Реальные же истории более прозаичны.

Цель №1

Чаще всего «кража личности», естественно, используется в мошеннических целях. Рассмотрим на конкретном примере. Тридцатилетний Брэндон Прайс – житель Питтсбурга связался по телефону с филиалом Citibank и, представившись Полом Алленом, сооснователем Microsoft, попросил сменить адрес счета с Сиэтла на Питтсбург. Помимо этого, к счету был добавлен новый телефонный номер. Позже он вновь связался с банком и сообщил от лица сооснователя Microsoft, что утерял свою дебетовую карту, однако о краже ее сообщать не хочет. Прайс попросил банковского сотрудника прислать ему на адрес в Питтсбурге новую карту. На следующий день мошеннику удалось получить карту, активировать ее и сразу же применить в целях платежа по ссуде в Банке вооруженных сил США в размере 658 тысяч долларов уже на собственное имя. В этот же день он с помощью карты попытался совершить денежный перевод посредством системы Western Union на сумму в $15 тыс. Помимо этого, Прайс при помощи карты оплачивал свои приобретения в ряде американских магазинов, что удалось запечатлеть камерам наблюдения. Арестовали Прайса второго марта 2012 года.

Этот случай очень хорошо иллюстрирует главную цель злоумышленников – деньги. Но «главная» не означает «единственная». На втором и третьем месте в приоритетах мошенников находятся распространение вирусов и управление общественным мнением. Разберём по порядку.

От мала до велика

Вирусы сегодня очень удобно распространять через социальные сети. Достаточно проделать определённую подготовительную работу по «залайкиванию» френдов. Соответственно, имея большую базу подписчиков, можно делиться с ними «приколами», «крутыми видео», «новыми сериями любимых сериалов» и прочим контентом, способным привлечь внимание людей. Как вы понимаете, главной задачей является заставить «жертву» перейти на скомпрометированный ресурс. Примечательно, что логика схемы сегодня усложняется. Поясню на примере отчёта Websense.

Мошенники создали поддельную учетную запись LinkedIn, которая на данный момент имеет более 400 контактов и используется как для просмотра профилей потенциальных жертв, так и для их перенаправления на некий сайт знакомств.

Для увеличения эффективности используется премиум-аккаунт LinkedIn – это позволяет выполнять поиск по рабочим функциям, размеру компании и уровню старшинства, а также слать сообщения напрямую, без необходимости быть в друзьях у «жертвы». Вся эта информация в дальнейшем используется для проведения атаки.

Специалисты компании полагают, что мошенники используют сайт знакомств в качестве приманки. Они отметили, что хоть сайт на данный момент не содержит вредоносного кода, но его IP-адрес, как и весь ASN, ранее был привязан к доменам, которые содержали списки ссылок на C&C серверы для нескольких наборов эксплоитов.

Теперь пройдёмся по общественному мнению. Здесь в качестве примера очень интересно связать некоторые исследования и тендеры.

В рамках исследования «Pew Research Centre» (проведено в марте-апреле 2013. Опрашивались по 1000 человек в каждой стране + вероятность ошибки до 7.7%),  опубликованного 3 сентября 2013, было изучено отношение к России в 38-ми странах мира, на основании чего был сделан вывод о негативном восприятии России в 36 странах. Позитивно к России относятся, якобы, только жители Греции (63%) и Ю. Кореи (53%).

Российский фонд Vox Populi провел «защитное» исследование: c 9 по 13 сентября было собрано и проанализировано свыше 770 тыс. сообщений о России в СМИ и соцмедиа от 440 тыс. авторов из 231 страны. Исследование показало, что в индивидуальном отношении людей к России преобладает позитив, в то время как в официальных источниках (СМИ, информагентства, официальные лица) — преобладает негатив. Ниже показана аналитика по данным (СМИ и соцмедиа) 74 тыс. жителей США, высказавшихся за 4 дня сентября по теме Россия:

Под «официозом» в данном случае подразумеваются официальные СМИ, известные политологи и экс-чиновники.

Какие выводы можно сделать? То, что «ящику» доверять нельзя, адекватные люди поняли давно. Фокус доверия в этой связи сместился в сторону «открытых и свободных» соцсетей, где контент формируют независимые пользователи. Но здесь как раз-таки и выходит на сцену «кви про кво». Что мешает государству формировать общественное мнение силами обычных граждан? Много чего. Поэтому хорошо бы этот процесс сделать подешевле и понезависимее от тех самых граждан. Как? Да хотя бы вот так.

Служба внешней разведки (СВР) в начале 2012 года провела три закрытых тендера под кодовыми обозначениями «Шторм-12», «Монитор-3» и «Диспут» на сумму более 30 млн. рублей, целью которых является выработка новых правил мониторинга блогосферы. Главной задачей методики должно стать «массовое распространение информационных сообщений в заданных социальных сетях с целью формирования общественного мнения». Заказчиком выступила ФКУ "Войсковая часть N54939". В рамках тендера «Диспут» разработка программы для «исследования методов разведки интернет-центров и региональных сегментов социальных сетей» оценивалась в 4,41 млн. рублей. По тендеру «Монитор-3» (на сумму 4,99 млн. рублей) претенденты должны были предложить исследование методов негласного управления в интернете. По тендеру «Шторм-12» (на 22,8 млн. рублей) - провести научно-исследовательскую работу по разработке «средств продвижения специальной информации в социальных сетях». Логика работы всего комплекса такова: мониторить блогосферу будет система «Диспут», затем полученную информацию проанализирует система «Монитор-3». Вброс нужной информации в соцсети на основе полученных данных возложат на систему «Шторм-12». К слову, исполнителем по всем трем конкурсам стала компания «Итеранет».

Ложка мёда

Справедливости ради стоит отметить, что поддельные личности используются и «во благо». В частности, для аудита безопасности и отлова «нехороших дядей-педофилов».

К примеру, эксперимент «белых хакеров» показал: для того, чтобы выудить секретную информацию, достаточно прикинуться симпатичной девушкой и немного пофлиртовать с суровыми «агентами».

Спецслужбы США при помощи специалистов компании World Wide Technology создали поддельные аккаунты молодой привлекательной девушки в соцсетях Facebook и LinkedIn. В качестве модели для создания поддельных аккаунтов использовалась реальная девушка по имени Эмили Уильямс. Она работала официанткой в кафе неподалеку от офиса правительственного агентства. При этом никто из сотрудников организации ее не узнал.

После непродолжительного общения с «жертвой»-мужчиной «девушке» удалось выудить секретную информацию. Сотрудники организации были так увлечены новой знакомой, что не заметили явных несоответствий в ее анкете. Например, там было указано, что она обладает 10-летним опытом в IT-коммуникациях, при этом ей было всего 28 лет.

Ну а самое интересное, по словам исследователей, в том, что подобный эксперимент проводился и с мужчиной в главной роли. Вот только столь поразительных результатов поддельному «Казанове» добиться не удалось.

Что до педофилов, здесь результатами поделились голландцы. Голландские активисты из организации Terre des Hommes завершили эксперимент по идентификации педофилов в чат-комнатах. Для этого они применили метод ловли «на живца», причем в качестве приманки использовали компьютерную модель 10-летней филиппинской девочки под ником Sweetie. Непосредственно в чате работали активисты Terre des Hommes.

За десять недель операции на контакт со Sweetie в разных чатах вышло более 20 000 мужчин, из них около 1000 человек из 71 страны предложили ей деньги. Большинство преступников — из богатых западных стран: 254 из США, 110 из Великобритании. На третьем месте Индия (103 человека). Что характерно, не удалось обнаружить ни одного пользователя из России.

Выводы?

«Кража личности» в Сети – процедура весьма и весьма лёгкая в исполнении. Масштаб проблемы ширится, а журналисты время от времени любят «нагонять панику», не разобравшись в вопросе. Дело в том, что большинство приёмов, применяемых злоумышленниками, не выдерживают сколь-нибудь серьёзной проверки. Вспомните хотя бы описанный случай с «крутыми агентами» и симпатичной девушкой. Несоответствия были на поверхности, но агенты их просто проигнорировали. Поэтому лично для меня профилактика кражи личности сводится к простой поговорке: «доверяй, но проверяй».

Зачем нужен консалтинг в ИБ?

Представьте, что вы решили построить дом. Архитектора ради экономии не нанимаете, а напрямую обращаетесь к прорабу и говорите, что, мол, нужен дом. На вопрос «Какой?» отвечаете «Хороший!» Можно предположить, что в итоге вы получите фундамент, стены и крышу, но вряд ли они будут отвечать вашим критериям комфорта и безопасности. Так и с построением системы информационной безопасности: прежде, чем начинать внедрять то или иное программное решение, стоит прибегнуть к услугам профессионалов из консалтинговой компании.
Первостепенной задачей консалтинга в области информационной безопасности (ИБ) является аудит существующей в организации системы информационной безопасности, если таковая вообще имеет место. В продолжение сравнения со строительством дома, приступая к работе, архитектор должен учесть все особенности ландшафта. Специалист по консалтингу в области ИБ начинает с проверки обеспечения физической безопасности ИТ-инфраструктуры, а также анализа организационных и технических мер, уже предпринятых в части защиты компании от утечек информации.
Какие этапы включает в себя аудит? Сначала консалтеры оценят уровень защищенности информации в компании, готовность системы обеспечения информационной безопасности к прохождению сертификации по стандарту ISO/IEC 27001, а также её соответствие действующему законодательству. Также консалтинговые компании предлагают оценить с экономической точки зрения информационные риски, чтобы выявить те из них, от которых необходимо защищаться в первую очередь.
После этого совместно с представителями компаниями будет разработана политика информационной безопасности – основополагающий документ, который ляжет в дальнейшем в основу должностных инструкций и расследований инцидентов. В этом документе будут учтены такие аспекты, как безопасность закрытых данных от сотрудников самой компании, безопасность за пределами организации, безопасность персональных данных на предприятии, безопасность критичных сервисов (СУБД, ERP, CRM и т.д.). Затем на основе политики информационной безопасности будут разработаны служебные документы и даны рекомендации по приобретению технических средств обеспечения информационной безопасности.
Если, к примеру, в организации не позаботились о том, чтобы ограничить доступ посторонних в серверные помещения или включить в трудовой контракт пункт о неразглашении коммерческой тайны, внедрение суперсовременного программного обеспечения по предотвращению потери данных может оказаться бесполезным.

Загробный пароль

Задумывались ли вы о "парольном завещании"? На самом деле, тема относительно новая, и мало кто ей уделяет внимание. Но проблема очень и очень актуальная, особенно в свете того, что в социальных сетях всё больше и больше покойников.
Представьте себе, человек умер. Кто отключит его страницы в соцсетях, почту, счета в электронных деньгах и прочее, и прочее? Список сервисов на самом деле больше, чем вам кажется.
Логично предположить, что раз вы родственник, то можете обратиться к администрации ресурса и объяснить ситуацию. Так часто и есть - у того же Гугла, например, с этим всё относительно просто (относительно, я подчеркиваю).  oogle для предоставления уполномоченному представителю доступа к почте умершего человека требует: его полное имя и почтовый адрес, адрес электронной почты, копию удостоверения личности или водительских прав, а также свидетельство о смерти (с переводом, выполненным профессиональным переводчиком и заверенным нотариусом, если оно было составлено не на английском языке). Все эти документы требуется отправить обычной почтой в Google, и только после их рассмотрения компания сообщит, что надо сделать на втором этапе процедуры, на котором могут потребоваться дополнительные документы — в том числе, решение американского суда.
Но я тут взял для примера правила использования Вконтакте http://vk.com/terms, и ничего не нашёл относительно действий в случае смерти или гибели пользователя ресурса. Что уже говорить обо всяких более мелких сервисах?..
На мой взгляд, пришло время навести во всем этом порядок. Причем он должен быть единообразен для всех сайтов, чтобы инициатива, подобно Западу, не перешла в частные руки самих интернет-компаний. Конечно, идеально было бы иметь вообще какой-то международный закон, поскольку интернет не имеет границ, и данные тех же российских пользователей есть массово и в Америке (привет АНБ!). Но можно было бы начать хотя бы с себя.
Может кто в курсе, разрабатывается ли у нас подобный закон или положение?