Recommended
Recommended
More Related Content
Viewers also liked
Viewers also liked (9)
Similar to Доктор Веб. Вячслав Медведев: "Можно-ли наказать преступника? Процедуры компьютерного инцидента"
Similar to Доктор Веб. Вячслав Медведев: "Можно-ли наказать преступника? Процедуры компьютерного инцидента" (20)
More from Expolink
More from Expolink (20)
Доктор Веб. Вячслав Медведев: "Можно-ли наказать преступника? Процедуры компьютерного инцидента"
- 1. г. Казань 15 октября 2015#CODEIB Вячеслав Медведев Доктор Веб ООО "Доктор Веб" +7(495)789-4587 +7(495)796-8992 Можно ли наказать преступника? Процедуры компьютерного инцидента
- 2. 2 #CODEIB г. Казань 15 октября 2015 Если вы нашли у своего стола флешку, что вы сделаете, чтобы найти хозяина? Прежде чем говорить о процедурах Проблема № 1 – люди
- 3. 3 #CODEIB г. Казань 15 октября 2015 А если прошел месяц, а хозяина нет? Прежде чем говорить о процедурах Проблема № 1 – люди
- 4. 4 #CODEIB г. Казань 15 октября 2015 А сотрудники вашей компании? Прежде чем говорить о процедурах Проблема № 1 – люди
- 5. 5 #CODEIB г. Казань 15 октября 2015 мер устройство, способное вывести из строя практически любую технику оборудованную USB Host интерфейсом. ность новой версии устройства это увеличенное в два раза “выходное” напряжение, теперь это 220В (строго гово
- 6. 6 #CODEIB г. Казань 15 октября 2015 Факт инцидента ИБ должен быть замечен (именно замечен и именно факт инцидента, а не установлен факт преступления – это важная разница) Прежде чем говорить о процедурах Проблема № 1
- 7. 7 #CODEIB г. Казань 15 октября 2015 Прежде чем говорить о процедурах Проблема № 1 Имеются ли в компании средства контроля за изменениями в локальной сети? Насколько оперативно обрабатываются сообщения систем защиты и уведомления партнеров? Вы готовы отличить обычный инцидент безопасности от компьютерного преступления? Ведь действия, которые нужно предпринять в этих случаях совершенно разные…
- 8. 8 #CODEIB г. Казань 15 октября 2015 Готовы ли вы в любой момент решить, что нечто замеченное вами – именно инцидент, требующий расследования?
- 9. 9 #CODEIB г. Казань 15 октября 2015 Для эффективного проведения расследования: необходимо наличие специального программного обеспечения, что позволяет избежать искажения информации в ходе технических экспертиз. необходимо наличие в штате сотрудников, имеющих опыт проведения подобных мероприятий - их проведение требует особой квалификации Что потребуется кроме средств аудита?
- 10. 10 #CODEIB г. Казань 15 октября 2015 Действует ли в компании процедура описывающая действия всех причастных к обработке инцидента? Решает ли процедура конфликт интересов: • руководства компаний-жертв, • системных администраторов и специалистов по безопасности компаний- жертв, • специалистов по расследованию компьютерных преступлений?
- 11. 11 #CODEIB г. Казань 15 октября 2015 • Системные администраторы, не зная необходимости ряда процедур, необходимых для привлечения к ответственности виновников проблемы, хотят максимально быстро устранить уязвимость в системе Конфликт интересов и отсутствие опыта сбора доказательств:
- 12. 12 #CODEIB г. Казань 15 октября 2015 Один, но показательный пример Знаете ли вы, что нужно сделать, получив требование о выкупе зашифрованных данных? • Сколько файлов нужно послать на экспертизу? • Каких типов? • …
- 13. 13 #CODEIB г. Казань 15 октября 2015 Сформирован ли список адресатов тревожных звонков? • Знает ли дежурная смена, что делать и кому звонить
- 14. 14 #CODEIB г. Казань 15 октября 2015 От имени кого в вашей компании можно подать заявление в полицию?
- 15. 15 #CODEIB г. Казань 15 октября 2015 Ерундовый вопрос? А если директор в отпуске? Статья 144 Уголовно-процессуального кодекса РФ отводит на т.н. доследственную проверку 10 дней с момента подачи заявления. Статья 145 УПК разрешает следователю принять решение об отказе в возбуждении уголовного дела или о направлении материалов проверки по подследственности.
- 16. 16 #CODEIB г. Казань 15 октября 2015 Органы полиции зачастую не обладают опытом проведения расследования компьютерных преступлений, не имеют необходимого оборудования, опытных специалистов в области анализа компьютерных данных (или их необходимого количества) – в результате даже явного преступления для осуждения преступника не хватает доказательств Необходимо заранее озаботиться поиском контактов нужных специалистов и компаний Крайне важно определиться, кто будет заниматься первичным анализом инцидента.
- 17. 17 #CODEIB г. Казань 15 октября 2015 А у вас есть юрист, разбирающийся в тонкостях уголовного права?
- 18. 18 #CODEIB г. Казань 15 октября 2015 Определена ли цель обработки инцидента? • Ближайшими целями расследования инцидентов безопасности являются выяснение причин возникновения инцидента и установление виновных в возникновении инцидента лиц (сотрудников компании, ее клиентов, криминальных структур) и их мотивации. • Конечной целью расследования является усовершенствование системы безопасности компании, а также обеспечение возможности привлечения виновных в возникновении инцидента к ответственности
- 19. 19 #CODEIB г. Казань 15 октября 2015 Понимаете ли вы кто может быть признан виновным и должен пострадать? В качестве виновных могут выступать несколько категорий лиц – от системных администраторов и руководителей, не обеспечивших создание надежной системы защиты и до непосредственных виновников возникновения инцидента
- 20. • Установление факта преступления • Установление места, времени и способа проникновения/проникновений в компьютерную систему или сеть • Выявление обстоятельств, способствовавших компьютерному преступлению • Установление виновности и мотивов лиц, как совершивших преступление, так и способствовавших ему. • Установление последствий преступления. И наконец о процедуре обработки инцидента 20 #CODEIB г. Казань 15 октября 2015
- 21. Для начала расследования необходима информация о нем – заявление потерпевших или должностных лиц, результаты контрольно - ревизионных проверок, сведения, полученные в результате иных оперативно-розыскных мероприятий, непосредственное обнаружение следователем, прокурором или судом признаков преступления, статьи, заметки и письма, опубликованные в средствах массовой информации. Если у вас откажутся принять заявление — получите письменный отказ и обращайтесь с жалобой в вышестоящий орган полиции (к начальнику полиции вашего города или области). Образец заявления 21 #CODEIB г. Казань 15 октября 2015 Что необходимо для получения реакции от органов, которые могут заниматься расследованием?
- 22. В сильно упрощенном виде: • Предварительная проверка материалов, поступивших в правоохранительные органы • Получение информации от заявителя или лиц, указанных в заявлении • Осмотр места происшествия и проведение оперативно- розыскных мероприятий, получение необходимой информации (в том числе в ходе экспертиз либо путем допросов) • Задержание преступника и установление связей задержанного и лиц, причастных к совершению преступления • Анализ полученной информации 22 #CODEIB г. Казань 15 октября 2015
- 23. 23 #CODEIB г. Казань 15 октября 2015 Вы готовы к тому, что любой компьютер и любое устройство компании могут быть изъяты на экспертизу на длительный срок? Обнаружение, осмотр и изъятие компьютеров и компьютерной информации в процессе следственных действий могут совершаться при следственном осмотре (ст. 190 КПК), при обыске (ст. 178 КПК), выемке (ст. 179 КПК), воспроизведении обстоятельств и обстановки происшествия (ст.194 КПК).
- 24. • никогда и ни при каких условиях не работать на изъятом компьютере - компьютер - объект исследования специалиста. • до передачи экспертам компьютер желательно даже не включать, категорически запрещено исполнять любые операции на изъятом компьютере, не обеспечив необходимых мер защиты (например, защиты от модификации или создания резервной копии) • не допускается загрузка такого компьютера с использованием его собственной операционной системы. 24 #CODEIB г. Казань 15 октября 2015 Как снять доказательства? Типичные ошибки
- 25. • Допуск к компьютеру владельца (пользователя) компьютера должен быть исключен. • Для исключения возможности опровержения в суде идентичности предъявленного на процессе программного обеспечения тому, которое находилось на данном компьютере на момент изъятия - компьютер, следует опечатать в присутствии понятых, не включая. • До начала экспертизы необходимо снять копию с жесткого магнитного диска или иного носителя - вещественного доказательства – с помощью спецоборудования Часто под давлением защиты в суде электронные доказательства не принимаются во внимание. Чтобы исключить такую ситуацию необходимо строго придерживаться уголовно-процессуального законодательства, а также стандартизированных приемов и методик их изъятия 25 #CODEIB г. Казань 15 октября 2015
- 26. • Не пользуйтесь компьютером, с которого предположительно произошла утечка средств аутентификации к системе ДБО — даже если в нем есть острая (производственная) необходимость! • Не пытайтесь переустановить операционную систему! • Не пытайтесь удалить с диска какие-либо файлы или программы! • Не пытайтесь обновить антивирус или запустить сканирование — так вы уничтожите следы злоумышленников в системе! • Если вы запустили антивирусное сканирование, нельзя предпринимать никаких необратимых действий по лечению/удалению вредоносных объектов. 26 #CODEIB г. Казань 15 октября 2015
- 27. Кстати! А вы всегда выходите из сервиса корректно – или просто закрываете браузер? 27 #CODEIB г. Казань 15 октября 2015
- 28. А сотрудники вашей компании? 28 #CODEIB г. Казань 15 октября 2015
- 29. А значит рано или поздно вам потребуется… 29 #CODEIB г. Казань 15 октября 2015
- 30. Экспертиза ВКИ Экспертиза ПО, использованного для совершения компьютерного мошенничества, является одним из процессуальных действий при расследовании киберпреступлений, одним из важнейших элементов доказательственной базы. Компания «Доктор Веб» производит экспертизу компьютерных инцидентов против конфиденциальности, целостности и доступности компьютерных данных и систем, для совершения которых использовались вредоносные программы и потенциально опасное ПО. 30 #CODEIB г. Казань 15 октября 2015
- 31. Вопросы Ответы Что было скомпрометировано (объект экспертизы) Была ли нарушена целостность компьютерной системы. Был ли КИ совершен с помощью вредоносного ПО (в этом случае он является ВКИ, а значит, лежит в пределах границ экспертизы «Доктор Веб»). Являлся ли ВКИ последствием умышленных действий. Где произошел ВКИ (среда ВКИ) Описание технических характеристик и особенностей системы, в которой произошел ВКИ, а также ее окружения. Цели использования системы заказчиком (необходимо для правильной приоритизации ИИБ). Есть ли признаки несанкционированного доступа к компьютерной системе. Описание средств защиты системы, в которой произошел ВКИ, и были ли они скомпрометированы. Если да — что послужило причиной компрометации. Каким образом совершен ВКИ Перечень вирусов и вредоносного ПО, использованного для совершения ВКИ, с описанием их функциональных особенностей (как задействованных злоумышленником в данном ВКИ, так и несущих потенциальную угрозу). Действия, предпринятые сотрудниками заказчика для обнаружения ВКИ, и после его обнаружения. Оценка правильности этих действий. К каким результатам привел ВКИ Текущее состояние компьютерной системы. В чем состоит факт компрометации (что похищено). Последствия компрометации. Можно ли продолжать пользоваться скомпрометированной компьютерной системой. Перечень услуг экспертизы ВКИ «Доктор Веб» 31 #CODEIB г. Казань 15 октября 2015
- 32. Вопросы Ответы Что послужило причиной возникновения (совершения) ВКИ Какие нарушения правил эксплуатации компьютерной системы или политики безопасности со стороны персонала послужили причиной ВКИ. Кто причастен к ВКИ Круг лиц, причастных к ВКИ (умышленно или по халатности), и мера причастности каждого. Какие собраны доказательства совершения ВКИ Находится ли ВКИ в области юрисдикции судебной компьютерно-технической экспертизы (СКТЭ). Возможно ли обращение в правоохранительные органы и затем в суд. Шансы на выигрыш дела. Перечень собранных доказательств. Как не допустить подобных ВКИ в будущем Рекомендации по построению системы антивирусной защиты с целью недопущения ВКИ или сокращения их количества в будущем. Перечень услуг экспертизы ВКИ «Доктор Веб» 32 #CODEIB г. Казань 15 октября 2015
- 33. СПАСИБО ЗА ВНИМАНИЕ! И как можно меньше вирусов вашей компании! Номер службы технической поддержки компании Доктор Веб: 8-800-333-7932 Форма подачи заявки на экспертизу: https://support.drweb.com/expertise. 33 #CODEIB г. Казань 15 октября 2015
Editor's Notes
- Компьютерные преступления. Причины возникновения и возможность проведения расследования Практика показывает, что любой компьютерный инцидент схож с зимой в России - все знают, что она когда-нибудь будет, но любой снегопад становится катастрофой. Какие шаги нужно предпринять для того, чтобы инцидент можно было считать расследованным?
- Руководство компаний-жертв, понимая, что даже сам факт расследования может привлечь нежелательное внимание к компании – даже не говоря уже о возможной утечки материалов следствия, не хочет выносить сор из избы и достаточно часто пытается решить проблему собственными силами. Особенно это относится к руководителям финансовых и банковских учреждений, которые не хотят, чтобы их клиенты сомневались в их надежности. Не хотят привлекать внимание надзорных органов и тд. А ведь именно компании этого типа наиболее часто сталкиваются с компьютерными преступлениями
- Системные администраторы, не являясь специалистами в области проведения расследования и зачастую даже не зная необходимости ряда процедур, необходимых для привлечения к ответственности виновника/виновников проблемы хотят максимально быстро устранить уязвимость в системе – в отличие от следователей, которым нужно для начала зафиксировать все как есть на момент преступления. отсутствие достаточного количества специалистов, имеющих как опыт расследований, так и возможность его проведения на необходимом уровне. На данный момент в качестве экспертов достаточно часто привлекают вирусных аналитиков, передавая им на исследование жесткий диск или иной носитель. Но такие специалисты могут помочь установить только автора вредоносной программы – источник заражения и путь проникновения файла в систему при анализе файла во многих случаях выявить невозможно – и это не говоря о том, что исследование на “живой” системе без применения специальных средств зачастую существенно искажает картину преступления Каким бы профессионалом не был сотрудник службы информационной безопасности, он не может постоянно отслеживать правовые решения по компьютерным преступлениям, от которой зависит, как именно необходимо настроить систему журналирования в информационных системах и выстроить процедуру реагирования на инциденты информационной безопасности, отвечающую реальной проблематике и обеспечивающую правовой сбор доказательств. Для проведения расследования требуется специальное оборудование и программное обеспечение для компьютерной экспертизы, которое не так просто купить, и его стоимость порой слишком высока. Расследование инцидента информационной безопасности может занимать несколько месяцев. При этом получается, что сотрудник, проводящий расследование, будет оторван от текущей работы, и его обязанности придется перераспределять среди других работников. А если штат мал или работники и так перегружены работой? Если инцидент произошел по вине или недосмотру службы информационной безопасности, то стоит ли ждать объективной оценки происходящего? Допустим, что если внутренние инциденты на 80% служба безопасности может расследовать (и предположим сказочную ситуацию что дорогое оборудование и софт у неё есть), то что делать с внешними инцидентами? Когда приходит реальный инцидент, связанный с расследованием DDoS атаки или мошенничества с IP адреса, который является элитным зарубежным прокси-сервером, то служба безопасности оказывается в тупиковой ситуации.
- Во многих российских компаниях заведены строгие порядки общения с внешним миром: заявление в правоохранительные органы можно подать не иначе как с санкции первого лица компании. Поскольку генеральный директор, вообще говоря, не обязан ежедневно по восемь часов присутствовать на рабочем месте, получение такой санкции может растянуться на 3-5 дней в зависимости от обстоятельств
- Статья 144 Уголовно-процессуального кодекса РФ 3 отводит на т.н. доследственную проверку 10 дней 4 с момента подачи заявления. Причем вынужденное ожидание отнюдь не является залогом возбуждения дела. Статья 145 УПК разрешает следователю принять решение об отказе в возбуждении уголовного дела или о направлении материалов проверки по подследственности. И если первый вариант может быть успешно обжалован в суде, то второй предоставляет недостаточно профессиональному следователю возможность затянуть рассмотрение дела по существу на теоретически бесконечно долгое время. Таким образом, проведение юридически значимого исследования откладывается, по сути, на неопределенный срок. И за этот срок могут быть утрачены такие важные данные, как сторонние лог-файлы (например, банков и провайдерских компаний), видеозаписи охранных систем и др
- Кстати - корпоративные службы безопасности не могут проводить расследования своими силами и по финансовым причинам – только оборудование для определенных видов экспертиз может стоить 200 тысяч долларов
- По понятным причинам юридические отделы компаний укомплектовываются преимущественно специалистами по гражданскому праву, которые совершают досадные ошибки, столкнувшись с уголовным судопроизводством. для корректного юридического сопровождения расследования инцидента целесообразно немедленно привлечь к сотрудничеству адвоката, специализирующегося в уголовном праве. Помощь такого адвоката неоценима, особенно если для компания понесла существенный ущерб, который хотелось бы возместить.
- Установление факта преступления. Установление места, времени и способа проникновения/проникновений в компьютерную систему или сеть. Для установления данных фактов необходимо проведение как допросов свидетелей (в том числе обслуживающего персонала и сотрудников компании), следственных экспертиз с целью проверки возможности преодоления средств и методов защиты Выявление обстоятельств, способствовавших компьютерному преступлению Установление виновности и мотивов лиц, как совершивших преступление, так и способствовавших ему. Установление последствий преступления. 1. Установление самого факта неправомерного доступа к информации в компьютерной системе или сети. 2. Установление места несанкционированного проникновения в компьютерную систему или сеть. 3. Установление времени несанкционированного доступа. 4. Установление надежности средств защиты компьютерной информации. 5. Установление способа несанкционированного доступа. 6. Установление лиц, совершивших неправомерный доступ к компьютерной информации. 7. Установление виновности и мотивов лиц, совершивших неправомерный доступ к компьютерной информации. 8. Установление вредных последствий неправомерного доступа к компьютерным системам или сетям. 9. Выявление обстоятельств, способствовавших неправомерному доступу к компьютерной информации.
- Против вас совершено противоправное действие — могут присутствовать признаки преступлений, предусмотренных ст 159.6, 163, 165, 272, 273 УК РФ
- никогда и ни при каких условиях не работать на изъятом компьютере. Это правило допускает, что изъятый компьютер – прежде всего объект исследования специалиста. Поэтому до передачи экспертам его желательно даже не включать, поскольку категорически запрещено исполнять любые операции на изъятом компьютере, не обеспечив необходимых мер защиты (например, защиты от модификации или создания резервной копии). Если на компьютере установлена система защиты (например – пароль), то его включение может вызвать уничтожение информации, которая находится на жестком диске. Не допускается загрузка такого компьютера с использованием его собственной операционной системы. преступнику не составляет особого труда установить на своем компьютере программу для уничтожения информации на жестком или гибком магнитном дисках, записав такие «ловушки» через модификацию операционной системы.
- Прежде чем следовать нашим рекомендациям, убедитесь, что хищение произошло именно в результате действия вируса. Для этого достаточно бегло опросить сотрудников, имеющих доступ к системе ДБО. Если вы сами или они не проводили подозрительной, с вашей точки зрения, операции — скорее всего, действовал вирус или проникший в систему злоумышленник.
- Комплекс мероприятий, составляющий услугу, включает в себя оперативное реагирование - выезд нашего специалиста для локализации инцидента и обеспечения сохранности электронных доказательств. Специалист производит процедуру изъятия жесткого диска (НМЖД) с ПК, участвовавшего в инциденте, снимает с него аутентичную криминалистическую копию (образ) и оформляет изъятый НМЖД в качестве вещественного доказательства. Все описанные процедуры выполняются в строгом соответствии с требованиями УПК. Также возможен сбор дополнительной информации (копия сетевого трафика, статистика сетевых взаимодействий и т.д.), а также текстовых, звуковых, фото-, видеоматериалов, предположительно имеющих отношение к инциденту. Образ, снятый с НМЖД передается на исследование вирусным аналитикам. На основании полученных результатов и дополнительно собранной информации, эксперты могут дать ответ на вопросы, поставленные перед экспертизой (в частности: присутствуют ли на НМЖД следы вредоносного ПО? Как оно проникло на ПК и откуда осуществлялось его управление?) и подтвердить свои выводы задокументированными доказательствами.
- Итогом Экспертизы служит юридически корректно оформленный отчет, включающий в себя: Описание произошедшего КИ. Описание причин возникновения КИ. Описание методов и средств, использованных злоумышленниками для совершения КИ: - способ заражения; - уязвимости, используемые при заражении; - описание функционала вредоносной программы и ее модулей;- IP-адреса или доменные имена управляющих серверов и серверов-коллекторов; Описание носителей информации и документов, полученных от Заказчика. Оценка их ценности для экспертизы. Полное описание проведенных работ: поставленная задача, время начала и окончания работы по задаче, ход экспертизы ВКИ и ее временные рамки. Использованные при экспертизе методы, программные и аппаратные средства (опционально) и проведенные действия. Выявленные в ходе экспертизы лица, причастные к ВКИ. Описание степени их ответственности в ВКИ. Сведения о попытках (если они были) противодействия сотрудникам рабочей группы компании «Доктор Веб». Доказательства совершения ВКИ, собранные в ходе исследования, и описание того, как они были получены
- 8-800-333-7932 позволяет круглосуточно получать ответы на любые вопросы, связанные с использованием антивирусных продуктов Dr.Web, а также помогает разобраться в функциях и настройках программ. По номеру можно звонить как с мобильных, так и стационарных телефонов абсолютно бесплатно.