SlideShare a Scribd company logo
Александр Сидоров
Руководитель сервиса Безопасный Поиск
APIшник в Киеве, 27 апреля 2013
API Безопасного
Поиска Яндекса
как подключиться и защитить своих
пользователей
2
Содержание
• пара слов о Безопасном Поиске
• Safe Browsing API
• Lookup API
• Check Adult API
• страница с деталями заражения
• Яндекс.DNS как API
• опасные документы Яндекс.XML
• API Яндекс.Вебмастера
• идеи продуктов с защитой пользователей
В чём опасность, как и зачем
Яндекс делает безопаснее
4
Веб-угрозы
• Распространение вредоносного кода
– drive-by-download атаки
открыл страницу – заразился через уязвимости браузеров и плагинов
– социальная инженерия: заражённый софт
«отключите антивирус на время установки», мобильные редиректы, «обновите Оперу»…
• Мошеннические сайты
подделка, подмена, блокировка известных сайтов
смс-мошенничество
кража учётных записей
кража платёжных реквизитов
продажа несуществующего или бесплатного
смс-архивы
сайты с несуществующими услугами или контентом
• Чёрное SEO
…
На практике все они тесно связаны друг с другом
5
• сайты заражают и
обманывают
пользователей
• это подрывает доверие к
интернету и электронным
платежам
• меньше круг решаемых в
интернете задач
• вредит интернет-отрасли
в целом
6
Как это работает
7
Статистика работы системы
• 23m страниц проверяется в сутки
• более 210k заражённых хостов в базе
• точность информации о том, что хост
заражён, не менее 99,5%
• среднее время перепроверки сайтов
не более суток
• Safe Browsing API подключаются в сутки
более 10m браузеров
Кому и зачем
подключаться
9
Кому и зачем
• браузеры, почтовые и IM-клиенты
– защищать пользователей
• форумы, порталы, сокращатели ссылок, соц.
сети, рекламные сети
– проверять UGC и ссылки рекламодателей
• средства мониторинга и фильтрации трафика
– источник данных для категоризации сайтов
• мобильным операторам и интернет-
провайдерам
– предоставлять защиту как услугу
• антивирусам
– обмениваться данными и семплами
Как подключаться
11
Safe Browsing API Яндекса
• проверка, известен ли нам URL как
вредоносный или фишинговый
• ежедневно используется более чем в 10m
браузеров
• Web of Trust проверяет более 45m хостов
в сутки
• бесплатно для некоммерческого
использования
12
Область применения SB API
• для высоконагруженных приложений,
веб-сайтов и фильтров трафика, стоящих
«в разрыв»
• 99,5% случаев – проверка без обращения
к серверам SB API
• 99,1% оставшихся случаев серверы
обрабатывают запрос быстрее 50 мс,
uptime 100%
13
Как работает Safe Browsing API
Клиент
ключи, документация, готовые библиотеки: safe.yandex.ru
14
Lookup API, Check Adult API
• очень простые
• можно использовать из curl, легко
встраивать куда угодно
• скорость ответа, надёжность, условия
использования – как у Safe Browsing API
15
Как работает Lookup API
https://sba.yandex.net/lookup?pver
=3.5&client=api&apikey=<ваш_ключ>&
url=<проверяемый_URL>
ответ:
• phishing, статус 200, если фишинг
• malware, статус 200, если malware
• пустой, статус 204 – если страница
не представляет опасности
• ключи: safe.yandex.ru
16
Как работает Check Adult API
http://sba.yandex.net/cp?pver=4.0&c
lient=api&url=<проверяемый_URL>
ответ:
• adult, если страница только для взрослых;
• ok – если и для детей тоже.
17
HTTP-заголовок
«за компьютером ребёнок»
X-Yandex-Family-Search:yes
• переводит Поиск и Картинки Яндекса в
режим «для всей семьи»
• используйте на своём сайте и в
приложениях для детей!
18
Безопасный Яндекс.DNS
• 77.88.8.88
− фильтрация сайтов с вирусами и
фишингом
− резолвит такие домены в 93.158.134.250
• 77.88.8.7
− фильтрация сайтов с вирусами, с
фишингом и для взрослых
− резолвит такие домены в 93.158.134.250
• dns.yandex.ru
19
Страница с деталями заражения
http://yandex.ru/infected?l10n=ru&
url=<проверяемый_URL>
20
В результатах поиска Яндекс.XML
• если найденный документ – опасный, у
тега <doc> появляется не пустой атрибут
malicious
• например, в ответе на запрос
http://xmlsearch.yandex.ru/xmlsearch?text=w
mconvirus.narod.ru есть
<doc id="49–13-7-ZD7CD13E4BDFDB7D3"
malicious="sophos">
• ключи и документация xml.yandex.ru
21
В API Яндекс.Вебмастера
• для хостингов
• в XML-списке хостов есть тег «virused»,
например
<hostlist><host href="...">
...
<virused>true</virused>
...
</host>...</hostlist>
• см. http://api.yandex.ru/webmaster/doc/dg/refe
rence/hosts.xml
• вся документация api.yandex.ru/webmaster
22
Опции для антивирусных партнёров
• 4,2k новых заражённых хостов в сутки
• примерно столько же – переставших
распространять вредоносный код
• 350 MB в сутки наиболее актуальных
вредоносных бинарных семплов
• только равноценный обмен
• пишите на safesearch@yandex-team.ru
Кто уже подключен
24
Кто уже подключен
• Я.Браузер, Mozilla Firefox с
Яндекс.Элементами, Опера, PlayFree
Браузер
• virustotal.com, 2ip.ru, sucuri.net
• Web of Trust, Surfingbird
• несколько антивирусных партнёров
Идеи
26
Например, можно было бы сделать
• проверка ссылок, присылаемых в Миранде
– заразить компьютер, разослать заражённые ссылки по контактам
ICQ, снова заразить, снова разослать и т.д. – классический сценарий
эпидемии
• браузер для маленьких пользователей
– CheckAdult + X-Yandex-Family-Search:yes
• предупреждения о заражённых страницах в SQUID
– в дополнение к ClamAV :)
• проверка внешних ссылок в Joomla, Drupal, phpBB
– защитите пользователей вашего сайта
• антивирус
– пара SDK для файловой проверки + SB API + CheckAdult = антивирус
с защитой интернет-соединения и родительским контролем
27
Мы делаем интернет
безопаснее.
Подключайтесь!
Александр Сидоров
Руководитель
Безопасного Поиска
sidorov@yandex-team.ru
http://safesearch.ya.ru/
Спасибо!
Вопросы?

More Related Content

What's hot

Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
Positive Hack Days
 
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас! CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
Daria Kovalenko
 
Атаки на web-приложения. Основы
Атаки на web-приложения. ОсновыАтаки на web-приложения. Основы
Атаки на web-приложения. ОсновыPositive Hack Days
 
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайтеЯндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
revisium
 
Доклад SiteSecure
Доклад SiteSecureДоклад SiteSecure
Доклад SiteSecure
Positive Hack Days
 
Application security? Firewall it!
Application security? Firewall it!Application security? Firewall it!
Application security? Firewall it!
Positive Hack Days
 
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
revisium
 
Современный агрессивный интернет
Современный агрессивный интернетСовременный агрессивный интернет
Современный агрессивный интернет
revisium
 
Тестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftТестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftDmitry Evteev
 
All in Top 2016: ссылочное продвижение тренды и ошибки
All in Top 2016: ссылочное продвижение тренды и ошибкиAll in Top 2016: ссылочное продвижение тренды и ошибки
All in Top 2016: ссылочное продвижение тренды и ошибки
Александр Алаев
 
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищатьВзломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
revisium
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
Dmitry Evteev
 
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
QADay
 
Веб-сервисы на страже безопасности
Веб-сервисы на страже безопасностиВеб-сервисы на страже безопасности
Веб-сервисы на страже безопасности
Сергей Сторчак
 
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайта
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайтаКак угрозы безопасности влияют на продвижение, трафик и заказы с сайта
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайта
SiteSecure
 
Исследование нового фильтра АГС-- Яндекса 2015
Исследование нового фильтра АГС-- Яндекса 2015Исследование нового фильтра АГС-- Яндекса 2015
Исследование нового фильтра АГС-- Яндекса 2015
Александр Алаев
 
Как взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийКак взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийDmitry Evteev
 
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
Dmitry Evteev
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Dmitry Evteev
 
Site secure (maxim_lagutin)
Site secure (maxim_lagutin)Site secure (maxim_lagutin)
Site secure (maxim_lagutin)SiteSecure
 

What's hot (20)

Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
Решение SafeTouch — доверенный экран для безопасного подтверждения банковских...
 
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас! CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
CYREN технологии будущего! На страже Вашей безопасности, уже сейчас!
 
Атаки на web-приложения. Основы
Атаки на web-приложения. ОсновыАтаки на web-приложения. Основы
Атаки на web-приложения. Основы
 
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайтеЯндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
 
Доклад SiteSecure
Доклад SiteSecureДоклад SiteSecure
Доклад SiteSecure
 
Application security? Firewall it!
Application security? Firewall it!Application security? Firewall it!
Application security? Firewall it!
 
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
 
Современный агрессивный интернет
Современный агрессивный интернетСовременный агрессивный интернет
Современный агрессивный интернет
 
Тестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftТестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях Microsoft
 
All in Top 2016: ссылочное продвижение тренды и ошибки
All in Top 2016: ссылочное продвижение тренды и ошибкиAll in Top 2016: ссылочное продвижение тренды и ошибки
All in Top 2016: ссылочное продвижение тренды и ошибки
 
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищатьВзломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
Взломать Нельзя Защитить: как взламывают сайты и как их эффективно защищать
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
 
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
СВЯТ ЛОГИН «OWASP TOP 10 2021» Online QADay 2021
 
Веб-сервисы на страже безопасности
Веб-сервисы на страже безопасностиВеб-сервисы на страже безопасности
Веб-сервисы на страже безопасности
 
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайта
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайтаКак угрозы безопасности влияют на продвижение, трафик и заказы с сайта
Как угрозы безопасности влияют на продвижение, трафик и заказы с сайта
 
Исследование нового фильтра АГС-- Яндекса 2015
Исследование нового фильтра АГС-- Яндекса 2015Исследование нового фильтра АГС-- Яндекса 2015
Исследование нового фильтра АГС-- Яндекса 2015
 
Как взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийКак взламывают сети государственных учреждений
Как взламывают сети государственных учреждений
 
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
 
Site secure (maxim_lagutin)
Site secure (maxim_lagutin)Site secure (maxim_lagutin)
Site secure (maxim_lagutin)
 

Similar to Александр Сидоров "Как защитить пользователей от вирусов и фишинга"

Безопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр ВолковБезопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр Волков
Yandex
 
Защита сайта от взлома и вирусов
Защита сайта от взлома и вирусовЗащита сайта от взлома и вирусов
Защита сайта от взлома и вирусов
SkillFactory
 
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности UISGCON
 
ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
 ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу... ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
sharbachou
 
12 причин хорошего SOC
12 причин хорошего SOC12 причин хорошего SOC
12 причин хорошего SOC
Denis Batrankov, CISSP
 
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
OWASP Russia
 
Основные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтовОсновные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтов
SiteSecure
 
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
SEO Conference
 
А не поговорить ли нам о XSS!
А не поговорить ли нам о XSS!А не поговорить ли нам о XSS!
А не поговорить ли нам о XSS!
SQALab
 
Как обеспечить безопасность клиентских сайтов
Как обеспечить безопасность клиентских сайтовКак обеспечить безопасность клиентских сайтов
Как обеспечить безопасность клиентских сайтов
revisium
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxssyaevents
 
Zero Trust Networking with Palo Alto Networks Security
Zero Trust Networking with Palo Alto Networks SecurityZero Trust Networking with Palo Alto Networks Security
Zero Trust Networking with Palo Alto Networks Security
Denis Batrankov, CISSP
 
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
QAFest
 
Listovka cyren2-web
Listovka cyren2-webListovka cyren2-web
Listovka cyren2-web
Anna Selivanova
 
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...it-people
 
Разработка RESTful api with all bells and whistles
Разработка RESTful api with all bells and whistlesРазработка RESTful api with all bells and whistles
Разработка RESTful api with all bells and whistlesYandex
 
Роман Акинфеев «Разработка RESTful API with all bells and whistles»
Роман Акинфеев «Разработка RESTful API with all bells and whistles»Роман Акинфеев «Разработка RESTful API with all bells and whistles»
Роман Акинфеев «Разработка RESTful API with all bells and whistles»
DevDay
 
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
Denis Batrankov, CISSP
 
Контроль и мониторинг периметра сети
Контроль и мониторинг периметра сетиКонтроль и мониторинг периметра сети
Контроль и мониторинг периметра сети
Cisco Russia
 
Безопасность
БезопасностьБезопасность
Безопасность
1С-Битрикс
 

Similar to Александр Сидоров "Как защитить пользователей от вирусов и фишинга" (20)

Безопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр ВолковБезопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр Волков
 
Защита сайта от взлома и вирусов
Защита сайта от взлома и вирусовЗащита сайта от взлома и вирусов
Защита сайта от взлома и вирусов
 
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности
Безмалый Владимир Федорович - Сервисы репутации в информационной безопасности
 
ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
 ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу... ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
ВЕБИНАР: Риски утечки конфиденциальных данных клиентов. Какие мы ошибки допу...
 
12 причин хорошего SOC
12 причин хорошего SOC12 причин хорошего SOC
12 причин хорошего SOC
 
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
«Вредоносные браузерные расширения и борьба с ними», Александра Сватикова (Од...
 
Основные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтовОсновные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтов
 
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
Земсков - Как обеспечить безопасность клиентских сайтов в процессе оказания у...
 
А не поговорить ли нам о XSS!
А не поговорить ли нам о XSS!А не поговорить ли нам о XSS!
А не поговорить ли нам о XSS!
 
Как обеспечить безопасность клиентских сайтов
Как обеспечить безопасность клиентских сайтовКак обеспечить безопасность клиентских сайтов
Как обеспечить безопасность клиентских сайтов
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxss
 
Zero Trust Networking with Palo Alto Networks Security
Zero Trust Networking with Palo Alto Networks SecurityZero Trust Networking with Palo Alto Networks Security
Zero Trust Networking with Palo Alto Networks Security
 
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
QA Fest 2015. Юрий Федько. XSS - от простого к сложному!
 
Listovka cyren2-web
Listovka cyren2-webListovka cyren2-web
Listovka cyren2-web
 
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...
DUMP-2012 - Веб-разработка - "Что мы знаем о производительности и безопасност...
 
Разработка RESTful api with all bells and whistles
Разработка RESTful api with all bells and whistlesРазработка RESTful api with all bells and whistles
Разработка RESTful api with all bells and whistles
 
Роман Акинфеев «Разработка RESTful API with all bells and whistles»
Роман Акинфеев «Разработка RESTful API with all bells and whistles»Роман Акинфеев «Разработка RESTful API with all bells and whistles»
Роман Акинфеев «Разработка RESTful API with all bells and whistles»
 
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
Какие вопросы чаще всего задают вендору при выборе решения по информационной ...
 
Контроль и мониторинг периметра сети
Контроль и мониторинг периметра сетиКонтроль и мониторинг периметра сети
Контроль и мониторинг периметра сети
 
Безопасность
БезопасностьБезопасность
Безопасность
 

More from Yandex

Предсказание оттока игроков из World of Tanks
Предсказание оттока игроков из World of TanksПредсказание оттока игроков из World of Tanks
Предсказание оттока игроков из World of Tanks
Yandex
 
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
Yandex
 
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров ЯндексаСтруктурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
Yandex
 
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров ЯндексаПредставление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
Yandex
 
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
Yandex
 
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
Yandex
 
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
Yandex
 
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
Yandex
 
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
Yandex
 
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
Yandex
 
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
Yandex
 
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
Yandex
 
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеровКак защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
Yandex
 
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
Yandex
 
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
Yandex
 
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
Yandex
 
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
Yandex
 
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
Yandex
 
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
Yandex
 
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
Yandex
 

More from Yandex (20)

Предсказание оттока игроков из World of Tanks
Предсказание оттока игроков из World of TanksПредсказание оттока игроков из World of Tanks
Предсказание оттока игроков из World of Tanks
 
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
Как принять/организовать работу по поисковой оптимизации сайта, Сергей Царик,...
 
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров ЯндексаСтруктурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
Структурированные данные, Юлия Тихоход, лекция в Школе вебмастеров Яндекса
 
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров ЯндексаПредставление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
Представление сайта в поиске, Сергей Лысенко, лекция в Школе вебмастеров Яндекса
 
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
Плохие методы продвижения сайта, Екатерины Гладких, лекция в Школе вебмастеро...
 
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
Основные принципы ранжирования, Сергей Царик и Антон Роменский, лекция в Школ...
 
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
Основные принципы индексирования сайта, Александр Смирнов, лекция в Школе веб...
 
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
Мобильное приложение: как и зачем, Александр Лукин, лекция в Школе вебмастеро...
 
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
Сайты на мобильных устройствах, Олег Ножичкин, лекция в Школе вебмастеров Янд...
 
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
Качественная аналитика сайта, Юрий Батиевский, лекция в Школе вебмастеров Янд...
 
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
Что можно и что нужно измерять на сайте, Петр Аброськин, лекция в Школе вебма...
 
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
Как правильно поставить ТЗ на создание сайта, Алексей Бородкин, лекция в Школ...
 
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеровКак защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
Как защитить свой сайт, Пётр Волков, лекция в Школе вебмастеров
 
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
Как правильно составить структуру сайта, Дмитрий Сатин, лекция в Школе вебмас...
 
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
Технические особенности создания сайта, Дмитрий Васильева, лекция в Школе веб...
 
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
Конструкторы для отдельных элементов сайта, Елена Першина, лекция в Школе веб...
 
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
Контент для интернет-магазинов, Катерина Ерошина, лекция в Школе вебмастеров ...
 
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
Как написать хороший текст для сайта, Катерина Ерошина, лекция в Школе вебмас...
 
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
Usability и дизайн - как не помешать пользователю, Алексей Иванов, лекция в Ш...
 
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
Cайт. Зачем он и каким должен быть, Алексей Иванов, лекция в Школе вебмастеро...
 

Александр Сидоров "Как защитить пользователей от вирусов и фишинга"

  • 1. Александр Сидоров Руководитель сервиса Безопасный Поиск APIшник в Киеве, 27 апреля 2013 API Безопасного Поиска Яндекса как подключиться и защитить своих пользователей
  • 2. 2 Содержание • пара слов о Безопасном Поиске • Safe Browsing API • Lookup API • Check Adult API • страница с деталями заражения • Яндекс.DNS как API • опасные документы Яндекс.XML • API Яндекс.Вебмастера • идеи продуктов с защитой пользователей
  • 3. В чём опасность, как и зачем Яндекс делает безопаснее
  • 4. 4 Веб-угрозы • Распространение вредоносного кода – drive-by-download атаки открыл страницу – заразился через уязвимости браузеров и плагинов – социальная инженерия: заражённый софт «отключите антивирус на время установки», мобильные редиректы, «обновите Оперу»… • Мошеннические сайты подделка, подмена, блокировка известных сайтов смс-мошенничество кража учётных записей кража платёжных реквизитов продажа несуществующего или бесплатного смс-архивы сайты с несуществующими услугами или контентом • Чёрное SEO … На практике все они тесно связаны друг с другом
  • 5. 5 • сайты заражают и обманывают пользователей • это подрывает доверие к интернету и электронным платежам • меньше круг решаемых в интернете задач • вредит интернет-отрасли в целом
  • 7. 7 Статистика работы системы • 23m страниц проверяется в сутки • более 210k заражённых хостов в базе • точность информации о том, что хост заражён, не менее 99,5% • среднее время перепроверки сайтов не более суток • Safe Browsing API подключаются в сутки более 10m браузеров
  • 9. 9 Кому и зачем • браузеры, почтовые и IM-клиенты – защищать пользователей • форумы, порталы, сокращатели ссылок, соц. сети, рекламные сети – проверять UGC и ссылки рекламодателей • средства мониторинга и фильтрации трафика – источник данных для категоризации сайтов • мобильным операторам и интернет- провайдерам – предоставлять защиту как услугу • антивирусам – обмениваться данными и семплами
  • 11. 11 Safe Browsing API Яндекса • проверка, известен ли нам URL как вредоносный или фишинговый • ежедневно используется более чем в 10m браузеров • Web of Trust проверяет более 45m хостов в сутки • бесплатно для некоммерческого использования
  • 12. 12 Область применения SB API • для высоконагруженных приложений, веб-сайтов и фильтров трафика, стоящих «в разрыв» • 99,5% случаев – проверка без обращения к серверам SB API • 99,1% оставшихся случаев серверы обрабатывают запрос быстрее 50 мс, uptime 100%
  • 13. 13 Как работает Safe Browsing API Клиент ключи, документация, готовые библиотеки: safe.yandex.ru
  • 14. 14 Lookup API, Check Adult API • очень простые • можно использовать из curl, легко встраивать куда угодно • скорость ответа, надёжность, условия использования – как у Safe Browsing API
  • 15. 15 Как работает Lookup API https://sba.yandex.net/lookup?pver =3.5&client=api&apikey=<ваш_ключ>& url=<проверяемый_URL> ответ: • phishing, статус 200, если фишинг • malware, статус 200, если malware • пустой, статус 204 – если страница не представляет опасности • ключи: safe.yandex.ru
  • 16. 16 Как работает Check Adult API http://sba.yandex.net/cp?pver=4.0&c lient=api&url=<проверяемый_URL> ответ: • adult, если страница только для взрослых; • ok – если и для детей тоже.
  • 17. 17 HTTP-заголовок «за компьютером ребёнок» X-Yandex-Family-Search:yes • переводит Поиск и Картинки Яндекса в режим «для всей семьи» • используйте на своём сайте и в приложениях для детей!
  • 18. 18 Безопасный Яндекс.DNS • 77.88.8.88 − фильтрация сайтов с вирусами и фишингом − резолвит такие домены в 93.158.134.250 • 77.88.8.7 − фильтрация сайтов с вирусами, с фишингом и для взрослых − резолвит такие домены в 93.158.134.250 • dns.yandex.ru
  • 19. 19 Страница с деталями заражения http://yandex.ru/infected?l10n=ru& url=<проверяемый_URL>
  • 20. 20 В результатах поиска Яндекс.XML • если найденный документ – опасный, у тега <doc> появляется не пустой атрибут malicious • например, в ответе на запрос http://xmlsearch.yandex.ru/xmlsearch?text=w mconvirus.narod.ru есть <doc id="49–13-7-ZD7CD13E4BDFDB7D3" malicious="sophos"> • ключи и документация xml.yandex.ru
  • 21. 21 В API Яндекс.Вебмастера • для хостингов • в XML-списке хостов есть тег «virused», например <hostlist><host href="..."> ... <virused>true</virused> ... </host>...</hostlist> • см. http://api.yandex.ru/webmaster/doc/dg/refe rence/hosts.xml • вся документация api.yandex.ru/webmaster
  • 22. 22 Опции для антивирусных партнёров • 4,2k новых заражённых хостов в сутки • примерно столько же – переставших распространять вредоносный код • 350 MB в сутки наиболее актуальных вредоносных бинарных семплов • только равноценный обмен • пишите на safesearch@yandex-team.ru
  • 24. 24 Кто уже подключен • Я.Браузер, Mozilla Firefox с Яндекс.Элементами, Опера, PlayFree Браузер • virustotal.com, 2ip.ru, sucuri.net • Web of Trust, Surfingbird • несколько антивирусных партнёров
  • 26. 26 Например, можно было бы сделать • проверка ссылок, присылаемых в Миранде – заразить компьютер, разослать заражённые ссылки по контактам ICQ, снова заразить, снова разослать и т.д. – классический сценарий эпидемии • браузер для маленьких пользователей – CheckAdult + X-Yandex-Family-Search:yes • предупреждения о заражённых страницах в SQUID – в дополнение к ClamAV :) • проверка внешних ссылок в Joomla, Drupal, phpBB – защитите пользователей вашего сайта • антивирус – пара SDK для файловой проверки + SB API + CheckAdult = антивирус с защитой интернет-соединения и родительским контролем