![Вопросы ? Спасибо ! Денис Батранков [email_address]](https://image.slidesharecdn.com/batrankov-101008052148-phpapp02/85/slide-17-320.jpg)
Uploaded byDenis Batrankov, CISSP
Новые угрозы безопасности
Доклад Дениса Батранкова обсуждает новые угрозы безопасности, возникающие в контексте Web 2.0, включая атаки на веб-браузеры и уязвимости приложений. Основное внимание уделяется методам атак, таким как Cross-Site Scripting (XSS), и нарастающим угрозам, связанным с AJAX и социальными медиа. Также подчеркивается необходимость проактивного подхода к безопасности, учитывая сложность современных технологий и их уязвимость.
Новые угрозы безопасности
- 1. Новые угрозы безопасностиДенис Батранков консультант по информационной безопасности
- 2. Доклад: «Новые угрозыбезопасности» Web 2.0 Сокрытие кода атак на WEB браузеры Уязвимости обработки файлов приложений (jpg, doc, xls, pdf, ani) Протоколы Voice over IP Виртуализация
- 3. Что такое WEB 2.0? Мы им уже пользуемся Web 2.0 это второе поколение услуг на базе Web Сообщества на сайтах , википедии , … Все что подчеркивает совместную деятельность и обмен информацией среди онлайн сообщества Веб 1.0 Веб 2.0 Doubleclick Ofoto Flickr Akamai mp3.com Britannica Online Персональные сайты Evite upcoming.org и EVDB Спекуляция доменными именами Поисковая оптимизация Оплата рекламы по количеству показов Оплата рекламы по количеству переходов Извлечение данных из HTML Веб-сервисы Публикация Соавторство Системы управления контентом (CMS) Каталоги (таксономия) Теги (фолксономия) Удержание пользователей Синдикация контента
- 4. Что нужно знатьпро Web 2.0 Вчерашние атаки работают и по сей день Уязвимости существующие в традиционных приложениях, также как и новые технологии, такие как AJAX (Asynchronous JavaScript and XML) добавляют новые грани к уже существущим проблемам Атаки до сих пор строятся на Cross-Site Scripting (XSS) Источник: IDC, Gartner, Watchfire Network Server Web Applications % атак % расходов 75% 10% 25% 90% Атаки Расходы
- 5. Что нужно знатьпро Web 2.0 Web 2.0 работает так, что пользователю сложнее заметить атаку Благодаря AJAX п одловить пользователей легче, когда они работают сообща и все интерактивно Некоторые подключения могут быть очень незаметны и конечные пользователи не имеют возможности определить делает или не делает браузер эти подключения
- 6. Web 2.0 черви уже сеют хаос Червь Yamanner (11-12 июня 2006) Заразил 200000 пользователей Yahoo за 2 дня. Нацелен на пользователей Yahoo Mail . Не просто почтовый червь, а webmail червь. Прикреплен вредоносный JavaScript к стандартному тегу HTML для картинок Пользователю даже не надо кликать на вложении, чтобы заразиться Распространяется по мере получения новых адресов e-mail Посылает адресную книгу пользователя на удаленный сервер используя интерфейс yahoo webmail. Использует AJAX (Asynchronous JavaScript and XML) Нацелен на клиента и работает в его среде от его имени изнутри <img src=’http://us.i1.yimg.com/us.yimg.com/i/us/nt/ma/ma_mail_1.gif’ target=””onload=”// malicious javascript here //“>
- 7. MySpace тоже Web 2.0 Samy, Spaceflash и другие Меняет профиль пользователя, чтобы добавить автора с друзья Перенаправляет на URL c вредоносным файлом Macromedia Flash Вредоносный файл QuickTime меняет ссылки в профиле, чтобы направить на фишинговые сайты Шестой по популярности веб-сайт на английском языке Шестой по популярности веб-сайт среди всех языков Третий по популярности веб-сайт в США
- 8. Уязвимости приложений нарабочих станциях Хакеры нападают на нас за нашими же рабочими местами. Они нашли уязвимости даже в антивирусах и программах для бекапа. Время когда нападали на общие для всех сервера идет к закату Намного легче атаковать клиента и дальше работать от его имени внутри среды, в которой он находится Очень сложные атаки на клиентов выливаются в формирование почтовых вложений и атаки на браузеры
- 9. Комплексные атаки на WEB браузеры Около 200 уязвимостей позволяющих выполнить удаленное выполнение кода выявлено в IE и Firefox в 2006 Cross-Site Scripting ( XSS) невероятно распространен – даже на популярных, доверенных сайтах Около 50% вредоносных веб сайтов проанализированных в 2006 году использовали какой-либо из способов сокрытия скриптов от анализа Jitko – botnet из браузеров
- 10. Составные документы Патч MS07-014 прикрыл 6 уязвимостей Microsoft Word позволяющих удаленно запустить произвольный код 4 из них были уже использованы давно 3 в декабре 2006 года MS07-015 PowerPoint and Excel 2 переполенния в Acrobat Reader в этом году ( не говоря уже о неприятном баге XSS)
- 11. Направленные атаки наэлектронную почту Составные документы использовались в большинстве хорошо организованных направленных атаках Были использованы реальные имена отчетов Адрес отправителя был правильно подделан
- 12. Выводы Уровень приложенийвсе более и более интересная цель Разница в том, что сегодня целью атак является не сервер приложений, а сам конечный пользователь . Нет безопасных приложений Чем более они популярны, тем более они интересны для нападения . Берегитесь червей для P2P. Firewall и а нтивируса недостаточно
- 13. В компаниях требуется VoIP VoIP это развивающаяся технология Технологические изменения управляют эволюцией преступной тактики, технологиями расследований и защитными стратегиями. Новые сетевые технологии часто повторяют ошибки в безопасности, сделанные предыдущими поколениями Растущий интерес к технологии – растущий риск Источники уязвимостей Набор сложных протоколов SIP это самый длинный RFC Пример: Перехват и повторная передача голоса Asterisk - позволяет генерировать трафик
- 14. Выводы VoIP вызывает растущий интерес и появляется все большее число реализаций, но безопасность до сих пор не на первом месте . Дополнительную аутентификаци ю и шифрование возможно придется использовать и перед реализацией VoIP решений . Налицо неправильный подход к решению проблем безопасности : «латание дыр» А нужно предотвращать угрозы заранее!
- 15. Физическая сеть Виртуальнаясеть Кто следит ? Традиционная безопасность Виртуализация != безопасность Больше компонентов = Больше угроз VM App Service Process VM App Service Process VM App Service Process VM App Service Process VM Прил-е Сервис Процесс VM App Service Process VM App Service Process VM Прил-е Сервис Процесс Управление Virtual Switch Virtual Switch Virtual Switch VM App Service Process VM App Service Process VM App Service Process VM Прил-е Сервис Процесс Реальные NICs
- 16. Посмотрите точку приложениязащиты Нет одной точки сети, где все технологии могли бы быть использованы с целью защитить все сразу . Некоторые простые примеры : Защита хостов . Защита серверов . Защита сети . Оцените уже используемые технологии Слишком много возможных угроз . Нет ни одной чудесной технологии, чтобы защитить вас от всего сразу. Все существующие технологии защищают от чего-то конкретного Firewall Intrusion Prevention Buffer Overflow Exploitation Prevention Shell Code Heuristic Behavioural Virus Prevention System ...
- 17. Вопросы ? Спасибо! Денис Батранков [email_address]
Editor's Notes
- #3 Это доклад о проблемах, которые еще не возникли, но они сразу появятся, как только вы начнете внедрять новые технологии. В последних технологиях есть уязвимости и их нужно знать и предотвращать. Основой доклада послужили исследования аналитиков IBM X-Force
- #4 Tim O'Reilly gave examples of companies or products that embody these principles in his description of his &quot;four plus one&quot; levels in the hierarchy of Web 2.0-ness: Level 3 applications , the most &quot;Web 2.0&quot;, which could only exist on the Internet, deriving their power from the human connections and network effects Web 2.0 makes possible, and growing in effectiveness the more people use them. O'Reilly gives as examples: eBay, craigslist, Wikipedia, del.icio.us, Skype, dodgeball, and Adsense. Level 2 applications , which can operate offline but which gain advantages from going online. O'Reilly cited Flickr, which benefits from its shared photo-database and from its community-generated tag database. Level 1 applications , also available offline but which gain features online. O'Reilly pointed to Writely (since 10 October 2006: Google Docs & Spreadsheets, offering group-editing capability online) and iTunes (because of its music-store portion). Level 0 applications would work as well offline. O'Reilly gave the examples of MapQuest, Yahoo! Local, and Google Maps. Mapping applications using contributions from users to advantage can rank as level 2. non-web applications like email, instant-messaging clients and the telephone.
- #7 The Yamanner worm is a computer worm written in javascript that targets a vulnerability in the Yahoo! Mail service. Released on June 12 , 2006 , the worm spread through the yahoo system, infecting the systems of those who opened the e-mails and sending the user's address book to a remote server.
- #8 The virus carried a payload that would display the string &quot;but most of all, Samy is my hero&quot; on a victim's profile. Within just 20 hours of its October 4, 2005 release, over one million users had run the payload, making Samy one of the fastest spreading virus' of all time. When a logged-in MySpace user goes to another member's &quot;About me&quot; page affected by the ACTS.Spaceflash worm, they are quietly redirected to a URL that holds a malicious Macromedia Flash file, the security company said in an advisory on Spaceflash Tuesday. That file, in turn, will replace the visitor's own &quot;About me&quot; page with one that is compromised. When played by a MySpace user, the video adds itself to the user's MySpace page and replaces the links on the user's profile with links to phishing Web sites, Websense said. Phishing sites are fraudulent sites that attempt to trick people into giving up sensitive information such as log-in credentials.
- #10 Hackers have started targeting the user with greater levels of sophistication and volume than we have seen in years past. This is compounded by the abundance of XSS across in the Internet allowing popular, trusted site to be leveraged in browser attacks.
- #12 We have seen samples of Office Documents exploiting 0-day vulnerabilities with actual names used in the targeted environment. These often appear to come from the usual sender of these types of files.
- #13 http://www.whitedust.net/speaks/3603/ News: Skype gets call from a Trojan Extract The malicious code, known as both Warezov and Stration, is similar to an earlier version detected in February, but with a new URL (uniform resource locator) and a new version of the malicious code, according to an alert posted Thursday by Websense Inc. Websense warns Skype users to watch for the message &quot;Check up this,&quot; with a URL containing a hyperlink. The code itself isn't self-propogating but when it runs, the URL is sent to everyone on the user's contact list. When users click on the link, they are redirected to a site that is hosting a file named file_01.exe. Users are then prompted to run the file and if they do, several other files are downloaded and run. The downloaded files are other versions of the Waresov/Stration malicious code.
- #14 Why we look at VoIP We repeat the errors done in the past. It will impact the security of the future. Open Source VoIP Популярен в небольших компаниях Серьезная угроза безопасности Работает в конфигурации по умолчанию Сотни PBXs могут быть настроены посылать трафик жертве Сообщения ICMP Port Unreachable игнорируются Производитель не исправляет ситуацию “ Проблема в образованности пользователей ” Пользователи Asterisk не будут жертвами в этом случа е Насколько это широко распространено ? Traffic amplification happens when a call is done with an account that has no password configured. The single UDP request can be spoofed as coming from many different IP adresses and the PBX will send the entire phone call back to the spoofed IP. With a bunch of such PBX you can flood the IP address (a bit like the smurf attack used to be with ICMP). We cannot actually check how widespread the problem as this could have legal consequences.
- #16 Self Explanatory, shows the difficulties of protecting a virtual network Виртуальное IT такое же IT Безопасность , неуклюжесть , управление , сложность , гетерогенность Виртуализация скоро проникнет в вашу IT инфраструктуру Экономический эффект доказан и тенденция очевидна . Безопасность должна быть частью виртуальной инфраструктуры точно так же как это часть физической инфраструктуры Глубокоэшелонированная защита Встроенная защита Управление безопасностью Аудит Если вы забудете добавить безопасность в виртуальную I Т то это будет стоить больше , чем экономия которую эта технология дает
- #17 Защита хостов . Мобильные компьютеры можно защитить только локально . Код j avascript может быть проанализирован только после того как он скачан полностью . Защита серверов . Зашифрованный трафик идущий к серверу может быть проверен только после того как он будет на нем расшифрован . Анализ лог файлов для мониторинга активности сервера . Защита сети . Все незашифрованные соединения проверяются в одном или нескольких местах чтобы защититьт всю IT инфраструктуру. Web фильтрация для предотвращения посещения скомпроментированных сайтов . Фильтрация электронной почты чтобы остановить атаки фишеров . Анализ аномальной активности для обнаружения вредного трафика в сети .
- #18 Сказать про X - Force