27 серпня минає 165 років від дня народження видатного українського письменника, вченого, публіциста і громадського діяча – Івана Яковича Франка.
Іван Франко – один з найбільших європейських інтелектуалів 19 століття, класик української літератури. Першим із українських письменників був номінований на Нобелівську премію з літератури (1915 р.). Його називають «українським каменярем», а «Вічного революціонера» Франка цитують люди в усьому світі.
Більше про життєвий і творчий шлях великого українця можна дізнатися з віртуальної виставки «Великий майстер художнього слова»
27 серпня минає 165 років від дня народження видатного українського письменника, вченого, публіциста і громадського діяча – Івана Яковича Франка.
Іван Франко – один з найбільших європейських інтелектуалів 19 століття, класик української літератури. Першим із українських письменників був номінований на Нобелівську премію з літератури (1915 р.). Його називають «українським каменярем», а «Вічного революціонера» Франка цитують люди в усьому світі.
Більше про життєвий і творчий шлях великого українця можна дізнатися з віртуальної виставки «Великий майстер художнього слова»
Урок 14 для 10-11 класу (Модуль "Інформаційна безпека") - Антивірусні засоби ...VsimPPT
Завантаження доступне на https://vsimpptx.com
-------
Урок 14 для 10-11 класу (Модуль "Інформаційна безпека") - Антивірусні засоби захисту. Загальні правила застосування антивірусних засобів в автоматизованих системах.
Opinia sądowo-psychiatryczna do sprawy o badanie źródła pochodzenia seks nagr...habilitacjawpolsce
opinia sądowo-psychiatryczna sporządzona przez pracownice Poradni Terapii w ramach Środka Zabezpieczającego Szpitala Klinicznego im. Józefa Babińskiego w Krakowie. Biegłe opiniowały aktywistę, który badał źródło pochodzenia seks nagrania, przekazanego mu przez policyjnych sygnalistów jako dowód organizowania orgii w siedzibie Komendy Miejskiej Policji w Nowym Sączu. W seks imprezach, mających być nagrywanymi przez prokurator Bocheńską, mieli brać udział między innymi lokalni politycy PiS, rektor plagiator Mariusz Cygnar, niektórzy prokuratorzy oraz czynni sędziowie.
opinia sadowo-psychiatryczna sporzadzona do sprawy karnej o pisanie o plagiac...habilitacjawpolsce
Opinia sądowo-psychiatryczna na temat stanu zdrowia psychicznego badacza obywatelskiego, który udokumentował i opisał przypadek plagiatu naukowego rektora Mariusza Cygnara.
Урок 14 для 10-11 класу (Модуль "Інформаційна безпека") - Антивірусні засоби ...VsimPPT
Завантаження доступне на https://vsimpptx.com
-------
Урок 14 для 10-11 класу (Модуль "Інформаційна безпека") - Антивірусні засоби захисту. Загальні правила застосування антивірусних засобів в автоматизованих системах.
Opinia sądowo-psychiatryczna do sprawy o badanie źródła pochodzenia seks nagr...habilitacjawpolsce
opinia sądowo-psychiatryczna sporządzona przez pracownice Poradni Terapii w ramach Środka Zabezpieczającego Szpitala Klinicznego im. Józefa Babińskiego w Krakowie. Biegłe opiniowały aktywistę, który badał źródło pochodzenia seks nagrania, przekazanego mu przez policyjnych sygnalistów jako dowód organizowania orgii w siedzibie Komendy Miejskiej Policji w Nowym Sączu. W seks imprezach, mających być nagrywanymi przez prokurator Bocheńską, mieli brać udział między innymi lokalni politycy PiS, rektor plagiator Mariusz Cygnar, niektórzy prokuratorzy oraz czynni sędziowie.
opinia sadowo-psychiatryczna sporzadzona do sprawy karnej o pisanie o plagiac...habilitacjawpolsce
Opinia sądowo-psychiatryczna na temat stanu zdrowia psychicznego badacza obywatelskiego, który udokumentował i opisał przypadek plagiatu naukowego rektora Mariusza Cygnara.
Berezha Security was founded in 2014 and provides penetration testing services. Penetration test (pentest) - is a controlled simulation of a real hacker attack which reveals the real state of organization's information security and its ability to withstand an attack with minimal losses.
Berezha Security was established by the most experienced Ukrainian experts in the field of information security. In our work we use only reliable, proven methodologies and tools, some of which we created ourselves. Due to our own developments and vast experience we were able to significantly reduce the cost of our work and offer our customers high quality services for a perfectly balanced price, which is easy to calculate using the price calculator that is publicly available on the Berezha Security website.
Практические особенности внедрения систем класса DLPDialogueScience
В рамках вебинара "Практические особенности внедрения систем класса DLP" вы узнаете:
- цели и задачи, которые заказчик обычно ставит перед DLP, его ожидания;
- часто допускаемые ошибки;
- цели проекта по внедрению DLP;
- этапы проекта по внедрению DLP;
- описание этапов проекта;
- каких ошибок удается избежать при правильном подходе;
- преимущества и недостатки;
- ответы на вопросы.
Спикер: Роман Ванерке, руководитель отдела технических решений АО «ДиалогНаука»
Хакеры, скандальные утечки данных, целые отделы, занимающиеся вопросами ИБ в компании - все это больше из области теле-новостей про фирмы-гиганты. Но, "плачут не только богатые". У обычных небольших организаций, и у обычных людей - вопросы ИБ занимают все более важное место.
В докладе будут даны рекомендации по ИБ для самых обычных организаций - небольших фирм от 10 сотрудников. Как хоть немного защититься в этом сложном информационном мире. Поговорим об ИБ - без фанатизма, без сертификации ИСО 27001 и без консультантов от "большой четверки".
Exhibit your support to the Cyber Security community
Grow your employer brand at a high demand job market Increase user base of your professional products and services Extend your professional social network
Meet new partners and old friends
Find new business opportunities
Increase your brand visibility
Showcase your expertise
Share your experience
Help Ukraine’s Cyber Security industry grow and prosper!
Contact us to know more: sponsors@nonamecon.org
Cybersecurity Framework 021214 Final UAVlad Styran
Методика з підвищення рівня інформаційної безпеки критично важливих об'єктів інфраструктури.
Переклад NIST Framework for Improving Critical Infrastructure Cybersecurity.
Перекладено та social thanks to: Cisco Ukraine.
Fantastic Beasts and where to hide from themVlad Styran
My presentation at IT Weekend Lviv 2017. Overview of modern cyber threat agents and their modus operandi. Practical recommendations on how to be a less likely cyber threat.
Центр оперативного управления информационной безопасностью
Прелюдия к атаке: практика и автоматизация OSINT
1. прелюдия к атаке
Open Source Intelligence в тесте на проникновение
по социальному каналу
Владимир Стыран
Positive Hack Days 2013
2. об авторе
• «I test pens» - hdm
• изучаю психологическую составляющую безопасности
• социальная инженерия
• невербальная коммуникация
• анализ социальных сетей
• в отрасли с 2005 г.
• администратор систем безопасности
• инженер внедрения систем ИБ
• офицер информационной безопасности
• руководитель подразделения аудита ИТ
• руководитель подразделения тестирования систем безопасности
• веду блог, (изредка) записываю подкаст, участвую в организации
UISGCON…
3. содержание
• что такое OSINT и для чего он пентестеру
• low-tech OSINT
• первое знакомство с клиентом
• визуальное наблюдение
• дружественные визиты
• shoulder surfing
• dumpster diving
• high-tech OSINT
• веб-сайты
• инструменты
• продвинутые техники
• систематизация результатов
4. что такое Open Source Intelligence?
• буквально – разведданные, полученные из открытых источников
• по определению US DoD & DNI –
• "produced from publicly available information that is collected, exploited, and
disseminated in a timely manner to an appropriate audience for the purpose of
addressing a specific intelligence requirement."
• не имеет никакого отношения к Open Source Software
• хотя нередко использует подобные инструменты
• не то же самое, что исследование (research)
• имеет более узко-специальное применение
• не дает научных результатов
• поддерживает человека (или группу людей) в принятии решений
5. кто, как и зачем практикует OSINT?
“More prepared equals less nervous.”
- Eric "urbal" Maxwell
6. кто, как и зачем практикует OSINT?
• используется государственными службами, бизнесом и частными
лицами…
• используется как в законных…
• репортерская деятельность
• маркетинговые исследования
• конкурентная разведка
• расследование преступлений
• государственная разведывательная деятельность
• …так и в незаконных целях
• планирование преступлений
• кибер-сталкинг
• промышленный шпионаж
• выводы о секретах на основе обработки открытых данных (inference)
7. OSINT в тестах на проникновение
по каналу передачи данных («классика»)
• формирование и проверка области действия (scope)
• обследование сетевого присутствия во время предпродажной подготовки
• исключение объектов, попавших в скоуп по ошибке клиента
• «не та маска подсети»
• «чужие» веб-сайты
• ошибки в нотации и написании IP-адресов и сетей
• дополнение скоупа объектами, о которых клиент «забыл» или не знает
• пентесты редко заказываются ИТ-подразделениями
• остальные сотрудники не всегда знают обо всех системах
• сбор данных об объектах тестирования
• резюме администраторов и их профили в «рабочих» соцсетях
• форумы сисадминов, вебсайты по обмену экспертизой
• онлайн БД общего пользования: WHOIS, Pastebin, Robtex, Shodan etc.
8. OSINT в тестах на проникновение
по социальному каналу («социальная инженерия»)
“Only amateurs attack machines;
professionals target people.”
- Bruce Schneier
9. OSINT в тестах на проникновение
по социальному каналу («социальная инженерия»)
• установление контекста: что к чему
• сбор информации о продуктах, процессах и местоположении клиента
• выявление ключевых клиентов, партнеров, поставщиков услуг клиента
• предположения об используемых технологиях, вендорах, типах и версиях
программного обеспечения
• сбор контактных данных персонала
• формирование выборки для тестирования (спам это грех)
• демонстрация клиенту рисков компрометации
• моделирование атак
• об этом – подробнее
10. моделирование атак социальной
инженерии
• формирование предлога (pretext)
• интересы, страсти, хобби сотрудников клиента
• использование установленного ранее контекста
• доставка полезного груза (payload)
• адреса эл. почты для «прицельного» фишинга (spear phishing)
• множество адресов эл. почты для обычного фишинга
• номера телефонов для звонков под предлогом
• помним о физике: почтовые ящики, адреса доставки, парковочные места
11. login & password profiling
с использованием личных данных
• логины
• конвенции именования
• <firstname>.<lastname>, <f><lastname>, <l><firstname> etc.
• имена пользователей могут совпадать с адресами эл. почты
• имена содержатся в Интернете, метаданных и пр. открытых источниках
• пароли
• некоторые просто не заморачиваются: Lastname1, Firstname1!
• парольные инспекторы с использованием методов Маркова имеют КПД
69% (10 млрд попыток) – это наивысший результат на сегодня
• знание личных данных пользователей может повысить результат на > 5%
• если пароль составлен на основании личных данных, прирост составит до
30%
12. артефакты OSINT
какую информацию мы ищем?
• основные бизнес-системы
• core banking, billing, product management, SCADA…
• вспомогательные бизнес-системы
• ERP, CRM, self-care, ITSM, IAM/IDM/SSO…
• серверное ПО
• ОС, СУБД, система менеджмента, контроли безопасности
• десктопы
• ОС, офисный пакет, просмотрщик PDF (Penetration Document Format) & Flash,
используется ли Java (например, для клиент-сайда бизнес-систем)
• сеть
• роутеры, брандмауэры, концентраторы VPN…
13. артефакты OSINT
какую информацию мы ищем?
• контактные данные сотрудников
• имена и фамилии
• даты рождения
• занимаемые должности
• телефоны (в т.ч. внутренние)
• адреса электронной почты
• марки, номера, приметы авто
• хобби, сообщества, предпочтения – для составления претекста
• помним о том, что мы моделируем атаку на компанию клиента, а
не его персонал
• об этом подробнее через несколько слайдов
16. ошибки и подводные камни
• сомнительная достоверность результатов
• все полученные факты подлежат проверке (ЛК блог -
http://blog.kaspersky.com/fact-checking/ )
• подмена понятий «конфиденциальности» и «приватности»
• конфиденциальность это секретность информации клиента
• приватность это секретность информации частных лиц
• пентест заказывает организация клиента, аудитор моделирует атаки на
организацию
• частные лица не должны испытывать угрозу от действий аудитора
17. Lo-tech OSINT
• тесное знакомство с бизнесом клиента
• если возможно, станьте «клиентом клиента»
• посещайте отраслевые конференции, выставки, конвенции и т.д.
• участвуйте в жизни отрасли онлайн: группы LinkedIn, форумы, блоги
• визуальное наблюдение: (авто-) прогулки в районе офиса клиента
• выявление поставщиков услуг: пища, уборка, вывоз мусора, ИТ-
поддержка…
• выделенные или излюбленные места парковки авто
• архитектура и система охраны здания
• размещение почтовых ящиков, курьерские службы
18. Lo-tech OSINT
• «дружественные визиты» в офис клиента
• «соискатель»
• «торговый агент»
• перевоплощение
• внимание: представление гос. служащим скорее всего незаконно
• исследование корпоративных досок объявлений
• shoulder surfing
• лаптопы, планшеты, телефоны (для настоящих джедаев)
• кафе, курилки, кофематы вблизи офиса
• инструменты: всолнечные очки, мобильные телефоны…
• dumpster diving
• «озеленение» офиса – вывоз бумажного мусора
19. Hi-tech OSINT
социальные сети
• LinkedIn (3 из 5)
• группы и сообщества, карьерная история,
резюме
• слабый, не-анонимный API, базовые
(бесплатные) возможности ограничены
• Facebook (2 из 5)
• «ручной» поиск в Graph Search, хобби и
предпочтения сотрудников
• поиск по месту работы через публичный API
выключен 4 мая 2013 г.
• Twitter (2 из 5)
• геолокация (если включена), хобби, контакты,
характер деятельности
• редко является «основной» соцсетью
сотрудника
• Google+ (1 из 5)
• широкие возможности обеспечения
приватности, низкая популярность
• VK (2 из 5)
• группы по месту работы (могут
модерироваться), личные данные,
хобби
• очень слабый (в смысле OSINT) API
• Одноклассники (1 из 5)
• «сообщества» по месту работы (не
модерируются)
• низкая популярность в бизнес-среде
• Foursquare (?)
• возможно, комментарии и подсказки
содержат важную информацию
20. Hi-tech OSINT
веб-сайты
• сайты по поиску работы
• резюме, открытие привлекательных вакансий
• подготовка к визитам, поиск открытых вакансий
• корпоративные веб-сайты клиентов
• информация, попавшая на сайт по ошибке или халатности, либо была
выложена «временно»
• «Дамы ЛК поздравляют с 23 февраля!»
• публикуются отчеты, пресс-релизы, новости, блоги, открытые вакансии
• документы в разных форматах (PDF, DOC, XLS etc.) – источник
метаданных (создано в программе…, пользователем…, на ПК с
именем…)
21. Hi-tech OSINT
поисковые системы
• google is your (best) friend
• google dorks
• site:<clientname.ru> ext:pdf «для служебного пользования»
• site:<clientname.ru> ext:pdf «конфиденциально»
• site:<clientname.ru> ext:txt login OR username OR password
• Google Operands Site https://sites.google.com/site/gwebsearcheducation/advanced-operators
• Google Hacking Database http://www.exploit-db.com/google-dorks/
• Johny Long’s Google Hacking book
• «Рассекреченное» на днях руководство NSA по поиску в Интернете
• Untangling the Web http://www.nsa.gov/public_info/_files/Untangling_the_Web.pdf
• facebook graph
• пока что выглядит наивно, но амбиции имеются
22.
23. Hi-tech OSINT
инструменты автоматизации
• theHarvester
• поиск публичных данных при помощи API соцсетей
и поисковиков
• FOCA
• поиск документов при помощи дорков
• извлечение и систематизация метаданных
• Maltego Radium
• коллекция инструментов поиска по различным критериям
• критерии – параметры объектов, методы поиска – трансформы
• трансформы «живут» онлайн или могут добавляться вручную к оффлайн
инсталляции (Canari/Sploitego)
24.
25.
26.
27.
28. (comprehensive) FOCA demo
• DEFCON 18: FOCA2: The FOCA Strikes Back 1/3
• https://www.youtube.com/watch?v=Ou4TRvzYpVk
• DEFCON 18: FOCA2: The FOCA Strikes Back 2/3
• https://www.youtube.com/watch?v=r3K7V4LL8yk
• DEFCON 18: FOCA2: The FOCA Strikes Back 3/3
• https://www.youtube.com/watch?v=Ou4TRvzYpVk
29. (comprehensive) Maltego Radium demo
• Official Maltego tutorials
• http://www.youtube.com/watch?v=3zlbUck_BLk
• [1] - Google's websites
• [2] - Mapping Sony
• [3] - Importing CSVs, spreadsheets
• [4] - Social Networks
• [5] - Writing your own transforms
• [6] - Integrating with SQL DBs
30. Hi-tech OSINT
инструменты автоматизации
• Whois + DNS + AS + … = Robtex.com
• консолидированный ресурс по сетевому OSINT
• Cornell Spider
• поиск данных (в т.ч. по regex) на иске и файловой шаре
• YaCy
• индексирование и поиск данных на HTTP, FTP, SMB серверах
• Shodan
• «компьютерный» поисковик
• cree.py
• извлечение метаданных геолокации из Twitter
31. продвинутые техники
программируемый API
• facebook
• API Explorer https://developers.facebook.com/tools/explorer
• linkedin
• developer APIs https://developer.linkedin.com/apis
• google
• custom search engine http://www.google.com/cse/all
• bing
• search API http://www.bing.com/developers/
• twitter
• developer API https://dev.twitter.com/
• foursquare
• developer API https://dev.twitter.com/
39. продвинутые техники
• написание собственных сценариев
• скриптовый язык, я рекомендую Python
• хотя подойдет любой ОО-язык с поддержкой HTTP & JSON
• Perl is good, but…
• собственные трансформы Maltego
• на любом языке
• интерфейс через стандартный ввод/вывод
• apigee.com – портал в десятки API для разработчиков
43. систематизация результатов
• записные книжки и блокноты
• смартфон
• масса приложений для сохранения заметок
• но обычно хватает «стандартного»
• электронные записные книжки (online)
• Evernote
• недавно был взломан
• MS OneNote
• может работать в т.ч. оффлайн
• Springpad
• неплохо заточен под смартфоны и планшеты
• Google Keep
• не знаю, жив ли еще – вы же знаете Google
44. систематизация результатов
• MS OneNote
• интеграция для снятия скриншотов
• интеграция с MS Office
• экспорт в MHT (MIME HTML)
• разделение «записных книжек» на файловых шарах или SharePoint
• Jarnal – на Java…
• Emacs (в режиме Org-mode) – для членов Совета Ордена джедаев
• Maltego Casefile
• представление и построение связей между артефактами
• может использоваться для организации доказательств
47. TODO
что делать дальше?
• Social-Engineer.Org podcast and newsletter
• http://www.social-engineer.org/se-newsletter/
• When Privacy meets Security: Leveraging personal information for password cracking (Cornell University)
• http://arxiv.org/abs/1304.6584
• Paterva – the makers of Maltego
• https://www.paterva.com/web6/
• Informatica 64 – the makers of FOCA
• http://www.informatica64.com/foca.aspx
• APIgee consoles
• https://apigee.com/console/
• Learn Python at CodeAcademy.com - http://www.codecademy.com/#!/exercises/0
• or at Coursera.org - https://www.coursera.org/course/interactivepython
• Note to self: REMOVE LIXTRACTOR!!!! (done at the time of publishing slides)
• DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO
EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO
NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL DO NO EVIL…