Наше деловое партнерство www.banwar.org

Дата публікації: 28 травня 2015

У перший же день форуму Positive Hack Days, що стартував 26 травня, експерти з кібербезпеки з усього світу продемонстрували різні техніки злому банкоматів, онлайн-банкінгу, мереж операторів стільникового зв'язку, систем управління енергетикою, транспортом і промисловими підприємствами. У Центрі міжнародної торгівлі прозвучало понад 50 доповідей, пройшли майстер-класи та круглі столи, відбулися десятки хакерських конкурсів. Все найцікавіше транслювалося на сайті форуму в кілька потоків.

Збиток від кібератак часто вимірюється мільярдами доларів, але реальна собівартість злому, як правило, невелика. За даними дослідницького центру Positive Technologies, будь-який бажаючий, витративши на обладнання менше 10 тис. Дол., Може віддалено отримати доступ до чужого SIM-карті - а значить, і до трафіку абонента, SMS, дзвінків і даних про місцезнаходження. І для таких атак уразливі 20% «сімок»! Конфіденційну інформацію абонента можна отримати і атакуючи обладнання оператора. Ціна питання при підготовці атаки на соту GSM-мережі - близько 1000 дол., А для злому базової станції оператора вимагається тільки ПК і доступ до мережі SS7.

Банківська галузь не відстає від телекомунікацій. В одному банкоматі може виявитися більш 10 млн рублів, а витрати на інтелектуальний злом ATM можуть зводитися до покупки Raspberry Pi за 60 дол. У минулому році Росія зайняла друге місце в світі (після Пакистану) по числу банкоматів, які можна виявити за допомогою спеціальних пошукових систем і дистанційно перепрограмувати, використовуючи небезпечні протоколи і численні уразливості в Windows XP. З електронними грошима ситуація не краща: 70% мобільних додатків для Android і 50% для iOS в 2014 році містили уразливості, достатні для отримання доступу до рахунку.

Небезпека для користувача можуть представляти і нешкідливі на перший погляд пристрою, наприклад бездротові USB-модеми для виходу в інтернет. Якщо виробники мобільних ОС досить оперативно усувають уразливості, то розробники прошивок для модемів ще недавно приділяли безпеці мінімум уваги: ​​27 з 30 прошивок, досліджених експертами Positive Technologies, містили критично небезпечні уразливості. У своїй доповіді «Бутко через СМС: оцінка безпеки мережі 4G» Тимур Юнусов показав, наскільки легко зловмисник може автоматизувати ідентифікацію і зараження 4G-модемів для перехоплення трафіку, маніпуляцій з SMS, управління грошима на рахунку і проникнення в комп'ютер, до якого підключений модем.

Філософська концепція п'ятого PHDays включала елементи космологічної теорії, але практичні аспекти також цікавили організаторів, тому вперше на форумі відбулася секція «Радіоаматорська космічний зв'язок». Доповідачі обговорили питання безпеки на орбітальних станціях з точки зору ІБ; зокрема, одну з версій, яка пов'язує аварію міжпланетної станції «Фобос-Грунт» із зовнішнім впливом. За словами радіоаматора Дмитра Пашкова, заглушити будь-які сигнали між центром управління та космічним апаратом - цілком реальне завдання, причому все необхідне обладнання можна придбати на будь-якому радіоринку, за винятком хіба що антени: її доведеться зробити самостійно. Спеціаліст з мордовської Рузаевки розповів, як за допомогою саморобної апаратури отримав знімок сонячного затемнення з супутника Роскосмоса «Метеор-М2», а також використовував сигнали метеосупутників для отримання оперативного прогнозу погоди перед риболовлею.

як захищати

Кроки в більш ефективній боротьбі з уразливими інформаційних систем - в тому числі для захисту національних інтересів - обговорювалися в рамках самої «державної» секції «Нас reboot, а ми міцнішаємо. Як воно, бути Росією в недружньому кіберсвіту? ».

У дискусії взяли участь Дмитро Фіногенов (8-е управління ФСБ), Олександр Радовіцкій (МЗС), Олександр Баранов (Податкова служба), депутати Держдуми Вадим Дєньгін, Андрій Туманов і Ілля Костунов. З боку експертного співтовариства виступали Олексій Андрєєв (Positive Technologies) і Олексій Лукацький (Cisco).

Представники державних органів пообіцяли, що до кінця 2015 року буде опублікована нова російська концепція інформаційної безпеки. Вадим Дєньгін закликав російських користувачів інтернету, яких вже понад 70 млн, відповідати за свої слова (в тому числі і в суді), і зазначив, що безпека громадян, зокрема захист персональних даних, є для держави пріоритетним завданням, тому закон № 242- ФЗ про перенесення Цодов на територію Росії відкладений не буде і «іноземний бізнес в цілому до закону згоден». Колега Вадима, Ілля Костунов, недавно виявив, що у всіх органах російської влади встановлено Google Analytics, в зв'язку з чим відправив запити в прокуратуру і Мінекономрозвитку. Ілля також зазначив, що можливість запустити свою платіжну систему у Росії була ще в 2000 році, причому відразу з «чіпований» картами.

При захисті даних в великих компаніях з розгалуженою інфраструктурою часто говорять «ланцюг міцна настільки, наскільки міцно її слабка ланка». Наталя Куканова з «Яндекса» в доповіді «Кот в мішку: безпека при злиттях і поглинаннях» відзначила, що при поглинаннях сторонніх проектів «Яндекс» віднімає вартість усунення вразливостей з прибутку від угоди.

Проблеми зростання можуть бути не тільки у великого бізнесу. На PHDays традиційно проводяться заходи щодо підтримки та просування нових ідей і рішень в області інформаційної безпеки. Інвестиційний фонд Almaz Capital, який представляли керуючий партнер Олександр Галицький і генеральний партнер Джеффрі Баєр, організував на PHDays відкритий конкурс серед стартап-проектів в області кібербезпеки. Джеффрі Баєр розповів про 18 учасників, які повели боротьбу за 1,5 млн рублів, і дав кілька порад творцям нових компаній.

фото @AlmazCapital

Організатори PHDays V провели дискусію про створення міжнародної спільноти «білих хакерів», зібравши за одним столом організаторів провідних хакерських конференцій - канадської CanSecWest, корейських Vangelis і Power of Community, бразильської H2HC, японської CodeBlue, німецької Chaos Communication Congress і російських ZeroNights і PHDays.

Вечір першого дня завершився читанням кращих оповідань, які були обрані з 200 творів, надісланих на конкурс «зламати майбутнє». Підсумкові місця розподілив один з основоположників жанру Брюс Стерлінг, а читали про кібернетичних троянах, пожирач і контролерах в головах радіоголосу проекту «Моделі для збірки».

Призери конкурсу «зламати майбутнє»:

I місце - Павло Губарєв, оповідання «Дядя Женя»,

II місце - Олександр Матюхін, розповідь «Престиж»,

III місце - Дмитро Богуцький, розповідь «кидає кістки»,

IV місце поділили Михайло Савелічев з розповіддю «Шістдесят смертей осьової Марії», Юліана Лебединська з розповіддю «Тінь і Еліза» і Руміт Кін (Микола Мурзін і Тимур Денисов) з розповіддю «заціпеніла людина».

За подробицями другого дня Positive Hack Days V можна стежити в прямому ефірі і в твіттері за хештегом #phdays .