Дроп — это фигурант организованной преступной группы (ОПГ), роль которого оформить на себя пластиковую карту и в нужный момент сходить снять с нее деньги. Хакеры используют дропов для обналички краденных денег.
Дропы, как правило маргиналы, или обычные люди, жадные до халявы или находящиеся в трудном финансовом положении.
Если интересно, то можете почитать про банковские преступления тут и тут.
На самом деле без разницы, так как 90% отечественных IPS / IDS — это русифицированные Snort или Suricata.
Сертификация в общем случае не делает систему лучше, она только отсеивает «явный бред».
Кстати, с точки зрения методики тестирования можно посмотреть в сторону противодействия IPS классическому kill chain в его описании как MITRE ATT&CK Matrix
Тестирование только по производительности как-то маловато, железка все-таки должна защищать.
Могу поделиться опытом собственных тестов IPS для банка.
Железка должна была защищать подсеть платежных систем. Данная подсеть находится во внутреннем периметре сети банка, но на нее DST-Nat'ится из Интернета трафик для системы Интернет Клиент-Банк (ИКБ). Соответственно, необходимо было защититься от атак которые прилетают из Интернетов и от потенциальных троянов проникнувших во внутреннюю сеть.
ИКБ, работает через Web соответственно потенциально уязвим для атак из OWASPTop10. Из этих атак выбрал SQL-Inj, XSS и DoS-Атаки — TCP SYN Flood, UDP flood, HTTP slow lories
В качестве объекта защиты выступала виртуалка с DVWA IPS ставилась перед ней в разрыв.
Тест 1. Запускаем IPS с полностью активированным всеми правилами и начинаем мучить DVWA стандартными Web-атаками (SQL-Inj, XSS)
Тест 2. Берем Kali linux и жестко флудим жертву TCP SYN, UDP, http slow lories
Тест 3. С помощью Interceptor-NG делаем ARP poisoning
Тест 4. С помощью metsploit запускаем RCE атаку (тогда делал MS08_067)
В результате… чудо решение стоившее кучу килобаксов, имевших сертификаты Федеральных служб… смогло поймать только последнее.
Попробуйте помучать вашу железку аналогичным образом. Интересно что получиться.
Но простым отказом от углеродных электростанций проблему не решить. Мы сами должны измениться. Сейчас все делается так, что продавать как можно больше. Для этого в частности вещи делаются недолговечными (об этом тьма статей на хабре была), пропагандируется избыточное потребление и т.д.
Чтобы жить в чистоте, а не на помойке, путь даже отдаленной от вашего дома на десяток километров нужно меняться самим — лить меньше воды, жечь меньше электричества, покупать меньше пластиковых пакетов.
В противном случае, даже отказавшись от углеродных станций можно придти к тому что вся земля будет загрязнена ветряками, ГЭСами, солнечными панелями и другими «зелеными» технологиями.
Будет здорово, чтобы Калифорния стала первым штатом, уменьшившим общее потребление земных ресурсов, а не только углеводородов.
Странная инициатива, нарушающая базовый принцип банковского бизнеса — «деньги любят тишину». Да и к тому же убивающее понятие «банковская тайна» как класс.
С точки зрения обеспечения безопасности в первую очередь интересны именно сухие цифры. Интересные преступления отмечены в разделах «Анализ преступления» каждой группы.
Давайте поразмыслим над предлагаемой идеей с точки зрения безопасности:
1. Предлагаемый вами криптопротокол базируется на организационных мерах. Создание идентификационного и аутентификационных ключей математически не связаны друг с другом, а это открывает дорогу человеческой глупости — невыполнению требований безопасности.
2.
Ключ SK0 уничтожается. Шаги с первого по третий выполняются в рамках единого процесса без записи SK0 в энергонезависимую память.
Очень сложно для реализации. Когда система работает в виртуальной инфраструктуре реализацию данного требования гарантировать невозможно. Во всех современных сертифицированных ФСБ России СКЗИ есть требования, чтобы после перезагрузки отчищался файл подкачки. Но это практически нигде не выполняется поскольку сильно замедляет процедуру перезагрузки. Были случаи когда активация данной фичи увеличивала время перезагрузки до 15 минут.
3.
Если используемая ключевая пара оказывается скомпрометированной, её ключ (в примере это PK1) помещается в список отзывов
Проблема в том, что списки отзыва сейчас мало кто проверяет. Это в первую очередь относится к браузерам — habr.com/post/332730
4. В чем преимущество вашего подхода?
а) Если использовать стандартный подход с одной ключевой парой, безопасность базируется на обеспечения конфиденциальности 1-го секретного ключа. Скомпрометировали ключ — запускается относительно сложная процедура переидентификации участников, которая базируется на использования альтернативных бесключевых методов аутентификации (например, паспорт).
б) Если рассматривать ваш подход, то безопасность базируется на обеспечении конфиденциальности n-секретных ключей (ключей аутентификации). Сразу возникает вопрос, что сделать проще: засекретить 1 ключ или n-ключей. Ответ очевиден. Едем дальше.
Злоумышленник скомпрометировал 1 из ключей аутентификации и сказал что все остальные ваши легальные ключи скомпрометированы, что тогда? Опять приходим к задаче аутентификации бесключевым способом (паспорт).
в) Вы не определили сколько ключей аутентификации нужно генерить. Если абонент сгенерирует только 1 ключ, ваш подход схлопывается к стандартному.
г) Что будет если злоумышленник скомпрометировал сразу все n-ключей аутентификации? Опять возвращаемся к бесключевой аутентификации.
Рекомендации для улучшения подхода:
1. Посмотрите в сторону математической связи между генерацией ключей идентификации и аутентификации. Она должна быть такой, чтобы ее нельзя было обмануть / не делать и т.д.
2. Опишите всю вашу распределенную систему. Как минимум в ней я услышал про список отзыва ключей (CRL), а раз он есть, то должен быть центр сертификации, иначе как обеспечивается валидность CRL? Описав всю распределенную систему ее можно сравнить со аналогичными схемами классических криптографических задач: ЭДО, криптовалюты и т. д.
Возможно вы найдете определенные ниши, где ваш поход будет работать лучше стандартных.
Проблема в том, насколько можно доверять источникам данных.
Например, был некий абстрактный банк. Собирал вклады, кредитовал связанный с владельцем бизнес, кое-как сводил концы с концами. Затем приходит проверка ЦБ, говорит: «по новым методикам все ваши кредиты плохие и по всем нужно досоздавать резервы». У банка денег на это не хватает, у него отзывают лицензию, вкладчики бегут, образуется дыра в капитале. После этого на Председателя Правления банка (считай генерального директора) заводят уголовное дело и говорят что он украл деньги (в размере дыры в капитале). Как справедливо классифицировать данную ситуацию?
Или другой пример, уже реальный. Хакеры, взломали банковскую сеть, получили доступ к биржевому терминалу и совершали торговые операции, в результате которого банк потерял деньги, а курс доллара относительно рубля заметно изменился. Мнение специалистов по данному инциденту не всегда однозначное. Многие, например, считают, что вся эта атака — фикция, а по факту была некачественная работа сотрудников банка.
Сказать, как на самом деле обстояли дела в обоих рассматриваемых примера — нельзя, недостаточно фактов. Поэтому, при подготовки статьи был принят постулат, что вся написанная в источниках информация правдива и достоверна.
Но в целом вы задаете вполне резонный и справедливый вопрос.
Косвенно подобную тенденцию (больше украл, меньше получил) можно отследить и в представленных материалах, если сравнить наказания, например, в группах:
«Обычные» преступления, совершенные одиночками, не являющимися работниками банка
и
«Обычные» преступления, совершенные одиночками, являющимися работниками банка
В данном исследовании лично для меня тоже открылось много много парадоксов:
1. Женщины, милейшие создания, о которых мысль дурную подумать грех вполне себе могут втихаря подворовывать.
2. IT-специалисты — первые подозреваемые для служб ИБ в преступлениях практически не участвуют. В публикациях данных нет вообще, есть случаи только из личного опыта.
3. Хакеры, хакеры… кредитчики (сотрудники выдающие кредиты), вот кто ворует, так ворует. Хакеры лишь на жалком втором месте. Хотя по неофициальным данным хакерские атаки на баки сейчас реально очень схожи с ограблениями банков на «диком западе» (и часто бывают и много крадут).
Подскажите, как получилось 320В, если ранее писали. что напряжение сети 230В.
Дропы, как правило маргиналы, или обычные люди, жадные до халявы или находящиеся в трудном финансовом положении.
Если интересно, то можете почитать про банковские преступления тут и тут.
Политкорректность… по факту ЦБ легализует сложившуюся практику обмена информацией о «дропах».
Сертификация в общем случае не делает систему лучше, она только отсеивает «явный бред».
Кстати, с точки зрения методики тестирования можно посмотреть в сторону противодействия IPS классическому kill chain в его описании как MITRE ATT&CK Matrix
К сожалению был NDA при тестировании. Беглый анализ подобных железок на выставках дает основание предположить что проблема имеет системный характер.
Могу поделиться опытом собственных тестов IPS для банка.
Железка должна была защищать подсеть платежных систем. Данная подсеть находится во внутреннем периметре сети банка, но на нее DST-Nat'ится из Интернета трафик для системы Интернет Клиент-Банк (ИКБ). Соответственно, необходимо было защититься от атак которые прилетают из Интернетов и от потенциальных троянов проникнувших во внутреннюю сеть.
ИКБ, работает через Web соответственно потенциально уязвим для атак из OWASPTop10. Из этих атак выбрал SQL-Inj, XSS и DoS-Атаки — TCP SYN Flood, UDP flood, HTTP slow lories
В качестве объекта защиты выступала виртуалка с DVWA IPS ставилась перед ней в разрыв.
Тест 1. Запускаем IPS с полностью активированным всеми правилами и начинаем мучить DVWA стандартными Web-атаками (SQL-Inj, XSS)
Тест 2. Берем Kali linux и жестко флудим жертву TCP SYN, UDP, http slow lories
Тест 3. С помощью Interceptor-NG делаем ARP poisoning
Тест 4. С помощью metsploit запускаем RCE атаку (тогда делал MS08_067)
В результате… чудо решение стоившее кучу килобаксов, имевших сертификаты Федеральных служб… смогло поймать только последнее.
Попробуйте помучать вашу железку аналогичным образом. Интересно что получиться.
Но простым отказом от углеродных электростанций проблему не решить. Мы сами должны измениться. Сейчас все делается так, что продавать как можно больше. Для этого в частности вещи делаются недолговечными (об этом тьма статей на хабре была), пропагандируется избыточное потребление и т.д.
Чтобы жить в чистоте, а не на помойке, путь даже отдаленной от вашего дома на десяток километров нужно меняться самим — лить меньше воды, жечь меньше электричества, покупать меньше пластиковых пакетов.
В противном случае, даже отказавшись от углеродных станций можно придти к тому что вся земля будет загрязнена ветряками, ГЭСами, солнечными панелями и другими «зелеными» технологиями.
Будет здорово, чтобы Калифорния стала первым штатом, уменьшившим общее потребление земных ресурсов, а не только углеводородов.
P.S. Пусть сделают, чтобы iPhone работал 10 лет.
Возможность наличия оружия у жертвы не является стоп-фактором для преступников.
Пожелание на будущее — сделайте пожалуйста подписи к шкалам в графиках.
Ждем других не менее интересных постов.
1. Предлагаемый вами криптопротокол базируется на организационных мерах. Создание идентификационного и аутентификационных ключей математически не связаны друг с другом, а это открывает дорогу человеческой глупости — невыполнению требований безопасности.
2. Очень сложно для реализации. Когда система работает в виртуальной инфраструктуре реализацию данного требования гарантировать невозможно. Во всех современных сертифицированных ФСБ России СКЗИ есть требования, чтобы после перезагрузки отчищался файл подкачки. Но это практически нигде не выполняется поскольку сильно замедляет процедуру перезагрузки. Были случаи когда активация данной фичи увеличивала время перезагрузки до 15 минут.
3.
Проблема в том, что списки отзыва сейчас мало кто проверяет. Это в первую очередь относится к браузерам — habr.com/post/332730
4. В чем преимущество вашего подхода?
а) Если использовать стандартный подход с одной ключевой парой, безопасность базируется на обеспечения конфиденциальности 1-го секретного ключа. Скомпрометировали ключ — запускается относительно сложная процедура переидентификации участников, которая базируется на использования альтернативных бесключевых методов аутентификации (например, паспорт).
б) Если рассматривать ваш подход, то безопасность базируется на обеспечении конфиденциальности n-секретных ключей (ключей аутентификации). Сразу возникает вопрос, что сделать проще: засекретить 1 ключ или n-ключей. Ответ очевиден. Едем дальше.
Злоумышленник скомпрометировал 1 из ключей аутентификации и сказал что все остальные ваши легальные ключи скомпрометированы, что тогда? Опять приходим к задаче аутентификации бесключевым способом (паспорт).
в) Вы не определили сколько ключей аутентификации нужно генерить. Если абонент сгенерирует только 1 ключ, ваш подход схлопывается к стандартному.
г) Что будет если злоумышленник скомпрометировал сразу все n-ключей аутентификации? Опять возвращаемся к бесключевой аутентификации.
Рекомендации для улучшения подхода:
1. Посмотрите в сторону математической связи между генерацией ключей идентификации и аутентификации. Она должна быть такой, чтобы ее нельзя было обмануть / не делать и т.д.
2. Опишите всю вашу распределенную систему. Как минимум в ней я услышал про список отзыва ключей (CRL), а раз он есть, то должен быть центр сертификации, иначе как обеспечивается валидность CRL? Описав всю распределенную систему ее можно сравнить со аналогичными схемами классических криптографических задач: ЭДО, криптовалюты и т. д.
Возможно вы найдете определенные ниши, где ваш поход будет работать лучше стандартных.
Например, был некий абстрактный банк. Собирал вклады, кредитовал связанный с владельцем бизнес, кое-как сводил концы с концами. Затем приходит проверка ЦБ, говорит: «по новым методикам все ваши кредиты плохие и по всем нужно досоздавать резервы». У банка денег на это не хватает, у него отзывают лицензию, вкладчики бегут, образуется дыра в капитале. После этого на Председателя Правления банка (считай генерального директора) заводят уголовное дело и говорят что он украл деньги (в размере дыры в капитале). Как справедливо классифицировать данную ситуацию?
Или другой пример, уже реальный. Хакеры, взломали банковскую сеть, получили доступ к биржевому терминалу и совершали торговые операции, в результате которого банк потерял деньги, а курс доллара относительно рубля заметно изменился. Мнение специалистов по данному инциденту не всегда однозначное. Многие, например, считают, что вся эта атака — фикция, а по факту была некачественная работа сотрудников банка.
Сказать, как на самом деле обстояли дела в обоих рассматриваемых примера — нельзя, недостаточно фактов. Поэтому, при подготовки статьи был принят постулат, что вся написанная в источниках информация правдива и достоверна.
Но в целом вы задаете вполне резонный и справедливый вопрос.
«Обычные» преступления, совершенные одиночками, не являющимися работниками банка
и
«Обычные» преступления, совершенные одиночками, являющимися работниками банка
1. Женщины, милейшие создания, о которых мысль дурную подумать грех вполне себе могут втихаря подворовывать.
2. IT-специалисты — первые подозреваемые для служб ИБ в преступлениях практически не участвуют. В публикациях данных нет вообще, есть случаи только из личного опыта.
3. Хакеры, хакеры… кредитчики (сотрудники выдающие кредиты), вот кто ворует, так ворует. Хакеры лишь на жалком втором месте. Хотя по неофициальным данным хакерские атаки на баки сейчас реально очень схожи с ограблениями банков на «диком западе» (и часто бывают и много крадут).