Как взламывают сети государственных учреждений

Как взламывают сети государственных учреждений

Дмитрий Евтеев, руководитель отдела анализа защищенности, Positive Technologies

Positive Technologies – это:

MaxPatrol – уникальная система анализа защищенности и соответствия стандартам

Xspider – инновационный сканер безопасности

Positive Research – один из крупнейших исследовательских центров в Европе

Positive Hack Days – международный форум по информационной безопасности

Мы делаем:• Более 20-ти крупномасштабных тестирований на

проникновение в год• Анализ защищенности веб-приложений на потоке• Постоянные исследования, публикации...

Наш опыт работ показывает, что…

1-2 дня достаточно чтобы «пройти» периметр и стать пользователем внутренней сети

4 часов достаточно для получения максимальных привилегий доступа, находясь во внутренней сети….

В течение 10 минут найдем как минимум 1 критическую уязвимость в 8-ми из 10-ти сайтов госучреждений

Обладая достаточными привилегиями можно оставаться незамеченными в информационной системе сколь угодно долго

Каждый 5-й пользователь использует «слабый» пароль

Аттестат соответствия по 1Г… ISO… в основном не влияет на перечисленные наблюдения выше (!)

Мифы ИБ или о чем не стоит говорить пойдет речь

Миф 1. Мои информационные ресурсы не представляют интереса для злоумышленника поэтому мне можно не защищаться

Миф 2. Мой пароль – только мой секрет; системные администраторы используют стойкие пароли к взлому хакерами

Миф 3. Мой внешний периметр не преодолим; существует огромная разница между «внешним» и «внутренним» злоумышленником

Миф 4. Государственная тайна надежно защищена

Миф 5. Злоумышленник через сеть Интернет не может нанести какой-либо ощутимый ущерб в мире реальном

Миф 1.

Мои информационные ресурсы не представляют интереса для злоумышленника поэтому мне можно не

защищаться

Миф 1. Кому нужны мои ресурсы (1/6)

Мотивация злоумышленника (в общепринятом смысле):• $$$• Just for fun • …

Мотивация злоумышленника (в отношении госучреждений):• Отыскать информацию об НЛО• Найти приключений на 5-ю точку• Прославиться в сообществе• …• Персональные данные• Гостайна• Политический протест/Хактивизм• $$$$


Январь 2012.Хакеры взломали сайт президента Франции Николя Саркози.

Март 2011.Хакеры взломали компьютер премьер-министра Австралии.

Июнь 2011.Хакеры взломали сайт сената США и ЦРУ.

Ноябрь 2011.В Чувашии предпринята попытка взлома почтового сервера и портала Госкомсвязьинформа.

Август 2011.Хакеры украли коммунальные платежи жителей Ульяновска.



Сценарий для фана

1. В СМИ проскочила новость об открытии портала

2. Парни договорились и пошли ломать

3. Посканировали…

4. Поигрались с параметрами ‘or’1’--++, <“script…

5. И как следствие…

По данным компании Positive Technologies

• более 80% сайтов содержат критические уязвимости

• вероятность автоматизированного заражения страниц уязвимого веб-приложения вредоносным кодом составляет сегодня приблизительно 15-20%

http://ptsecurity.ru/analytics.asp



Типовой результат оказания услуг анализа защищенности веб-приложений для госучреждения

• Множество уязвимостей из TOP10 OWASP

• Нестойкие пароли во всех компонентах тестируемой системы

• Отсутствие эффективного управления обновлениями безопасности

• Отсутствие понимания имеющихся конфигураций

• …

Демонстрация

Вы и сами можете попробовать

sqlmap, Safe3 SQL Injector, SQL Power Injector,

Absinthe, bsqlbf, Marathon Tool, Havij, pysqlin, BSQL

Hacker, WITOOL, Sqlninja, sqlus, DarkMySQLi16,

mySQLenum, PRIAMOS, SFX-SQLi, DarkMySQL, ProMSiD

Premium, yInjector, Bobcat SQL Injection Tool,

ExploitMyUnion, Laudanum, Hexjector, WebRaider,

Pangolin ...

http://devteev.blogspot.com/2010/01/sql-injection.html

http://devteev.blogspot.com/2010/01/sql-injection.html

Миф 2.

Мой пароль – только мой секрет; системные администраторы используют стойкие пароли к взлому

хакерами

Более половины пользователей в Российских компаниях используют цифровые пароли

http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf

Чем больше сотрудников в компании, тем выше вероятность успешной атаки

ПРИМЕР: 1 из 100 при 1.000 = 10, а при 10.000.000 = 100.000

За последние три года (!) в ходе проведения тестирований на проникновение не было ни одного случая, когда не удавалось получить список всех идентификаторов Active Directory с использованием слабостей парольной защиты

Миф 2. Пароли, как пароли (1/7)

http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf


Используется рекомендованная политика по заданию паролей

Пароль администратора такой системы?(совпадает с логином)


Как действует злоумышленник?• Осуществляет удаленный перебор паролей к

интерфейсам приложений (проверяет дефолты, по словарю, комбинированный, целевой)

• После компрометации системы получает пароли открытым текстом (!)

• После компрометации системы «сливает» базу с идентификаторами пользователей для последующего локального перебора

А оно ему надо?



Атакующий идет по пути наименьшего сопротивления!

1. Список идентификаторов

2. Перебор

3. Список действующих (!) идентификаторов

3. Верификация доступа;перебор действующих идентификаторов


Вы сами сообщите свой пароль…www.cikrf.ru ~ www.clkrf.ru = WWW.ClKRF.RU



Проверь свою парольную политику

Покупайте наших слонов

Remote: Ncrack, thc-hydra, thc-pptp-bruter, medusa,

noname bruter…

Local: SAMInside , PasswordsPro, john the ripper,

cain&abel, LostPassword Passware Kit, Elcomsoft

<XXX> Password Recovery, noname…

Show: fgdump, Multi Password Recovery, Network

Password Recovery, NhT PassView, pstoreview…

Миф 3.

Мой внешний периметр не преодолим; существует огромная разница между «внешним» и «внутренним»

злоумышленником

Миф 3. За (?!) периметром сети (1/7)

В помощь злоумышленнику...• Огромная страна – огромные сети

• «Зоопарк» информационных систем

• Устаревшее железо/ПО повсеместно

• Много ответственных - мало толку

• Низкий уровень компьютерной грамотности



Типовое заблуждение – «свой»/«чужой»

• Иван Васильевич устраивается работать в госучреждение

• Размещает точку беспроводного доступа

• Хакер работает удаленно (100м от здания)

• После взлома происходит слив данных

• Последствия:

Хищение данных/базы данных


Через какие «дыры» войти?• Ошибки сетевого разграничения доступа

• Рабочие места сотрудников

• Веб-сайты госучреждений

• Слабые пароли

• Сотрудники

• .....


Вы считаете, что ваш компьютер защищен от атак со стороны сети Интернет?


Adobe, Java, веб-браузеры…

Бесконечный 0day (!)



Каждому по ботнету

msf, immunity canvas (VulnDisco SA, …)… - browser autopwn

Ad’pacK, CRiMEPAC, Dark Dimension, Ei Fiesta, Eleonore,

FirePack, Fragus, Golod (Go-load), Hybrid Botnet system,

IcePack, Impassioned Framework, justexploit, Liberty, Limbo,

LuckySploit, Lupit, Mariposa, MPack, MyPolySploits, n404,

NEON, NeoSploit NeoSploit, Nukesploit P4ck, Phoenix, Siberia,

Sniper_SA, SpyEye, Strike, T-IFRAMER, Tornado, Unique Pack,

WebAttacker, YES Exploit system, ZeuS, Zombie Infection…

Миф 4.

Государственная тайна надежно защищена

Миф 4. Все тайное, рано или поздно становится явным (с)

В основном – это:• Целевая атака

• Совместная работа группы высококвалифицированных людей (из разных областей)

• Комплексный сценарий развития атаки

• Использование (набора) уязвимостей нулевого дня

• Активное использование недостатков человеческой природы (халатное отношение к инструкциям приводит к предсказуемым последствиям)

Миф 5.

Злоумышленник через сеть Интернет не может нанести какой-либо ощутимый ущерб в мире

реальном

Миф 5. Когда наступит страшно (1/2)

СЕРВЕРЫ

СЕТЕВОЕ ОБОРУДОВА

НИЕ

РАБОЧИЕ СТАНЦИИ

ГОЛОВНОЙ ОФИС

ФИЛИАЛРАБОЧИЕ СТАНЦИИ

СЕРВЕРЫ

СЕТЕВОЕ ОБОРУДОВА

НИЕ

MP SERVER

Рабочее место

аудитора

WEB-СЕРВЕР

ПОДОБРАН ПАРОЛЬ

ПРОВЕДЕНИЕ ПРОВЕРОК

ПРОВЕДЕНИЕ ПРОВЕРОК

Внутренний пентест/аудит по результатам пентеста

Внутренний пентест/аудит по результатам пентеста

Миф 5. Когда наступит страшно (2/2)

Что можно сделать с информационной системой госучреждения когда на руках есть все «ключи»?• …• Есть доступ к АСУ ТП…• …• Массовая диверсия (!)• …

Кто виноват и что делать

Не нужно искать виновных, нужно заниматься ИБ

Стоит адекватно оценивать имеющиеся угрозы

Непрерывно совершенствовать процессы

обеспечения ИБ

Заниматься практической безопасностью, а не

только на бумаге

Спасибо за внимание!

[email protected]://devteev.blogspot.comhttps://twitter.com/devteev

Как взламывают сети государственных учреждений

Documents