SlideShare a Scribd company logo
Противодействие хищению
персональных данных
и платежной информации
в сети Интернет
посредством фишинга
Евтеев Д. И.
Технический директор компании
HeadLight Security
Определение фишинга
Фишинг — одна из разновидностей социальной
инженерии в рамках электронных коммуникаций,
основанная на введении пользователей в заблуждение.
Цель фишинга — получение доступа к конфиденциальным
данным пользователей (ПДн, логины и пароли, данные
банковских карт и пр.).
Зарубежный опыт борьбы с фишингом
2005 год, США. Фишинг законодательно определен как создание
поддельных веб-сайтов (доменов) и отправка электронных писем
для получения посредством обмана конфиденциальных данных
пользователей.
https://www.congress.gov/bill/109th-congress/senate-bill/472
2008 год, Великобритания. Запрет на создание хакерских
инструментов.
Законодатели первоначально хотели полностью запретить
легальные программы, которые могут быть использованы и для
преступной деятельности. В том числе под запрет попал и
известный сканер Nmap. Эта мера была признана технически
неграмотной.
http://www.securitylab.ru/news/360522.php
Типовая методика реализации
фишинговых атак
1. Регистрация нового фишингового домена (как
правило, созвучного популярному бренду).
2. Копирование имеющихся элементов с интернет-
ресурса, в отношении которого будет
осуществляться фишинговая кампания.
3. Размещение фишингового сайта в Интернете.
4. Привлечение посетителей:
 Продвижение в поисковых системах (SEO)
 Массовая рассылка (электронная почта, социальные сети, IM)
Примеры реализации фишинга
http://antifraud.drweb.ru/phishing/examples
Методы противодействия - обучение
Методика консалтинга по
противодействию фишингу
1. Заключение договора на оказание услуги, согласование
используемого сценария и тестируемой фокус-группы.
2. Регистрация нового домена, имитирующий фишинговый.
3. Копирование имеющихся элементов с электронного
ресурса заказчика.
4. Размещение «фишингового» сайта на серверах
консалтинговой компании.
5. Целевая рассылка фокус-группе (электронная почта,
социальные сети, IM).
Примеры зарубежных проектов:
http://phishme.com/
http://phish.io/
Фишинг
Противодействие фишингу через
государственно-частное партнерство
РЕСУРС
• государственные
учреждения
• банки
• коммерческие
организации
Фишинг
Противодействие фишингу через
государственно-частное партнерство
РЕСУРС
• государственные
учреждения
• банки
• коммерческие
организации
Оценка/обучение
Показатели эффективности
Метод противодействия фишингу:
общедоступный реестр подозрительных сайтов
Проверка по реестру
подозрительных сайтов
Неизвестный сайт
СПАСИБО ЗА ВНИМАНИЕ!
devteev@hlsec.ru
http://devteev.blogspot.com
https://twitter.com/devteev

More Related Content

What's hot

правовое регулирование в информационной сфере
правовое регулирование в информационной сфереправовое регулирование в информационной сфере
правовое регулирование в информационной сфереanna343
 
Информационная безопасность: Вводная лекция
Информационная безопасность: Вводная лекцияИнформационная безопасность: Вводная лекция
Информационная безопасность: Вводная лекция
Max Kornev
 
Бумажна ли бумажная безопасность?
Бумажна ли бумажная безопасность?Бумажна ли бумажная безопасность?
Бумажна ли бумажная безопасность?
Security Code Ltd.
 
24may 1200 valday алексей липунов 'информационная безопасность банков'
24may 1200 valday алексей липунов 'информационная безопасность банков'24may 1200 valday алексей липунов 'информационная безопасность банков'
24may 1200 valday алексей липунов 'информационная безопасность банков'Positive Hack Days
 
информационная безопасность 01
информационная безопасность 01информационная безопасность 01
информационная безопасность 01
TanyaRoxy
 
Информационная безопасность: Комплексный подход и человеческий фактор
Информационная безопасность: Комплексный подход и человеческий факторИнформационная безопасность: Комплексный подход и человеческий фактор
Информационная безопасность: Комплексный подход и человеческий фактор
Max Kornev
 
Томас Лёшке: «Кибербезопасность для юристов: что делать?»
Томас Лёшке: «Кибербезопасность для юристов: что делать?»Томас Лёшке: «Кибербезопасность для юристов: что делать?»
Томас Лёшке: «Кибербезопасность для юристов: что делать?»
ProjectMateRu
 
IT в бизнесе (MBA в миниатюре)
IT в бизнесе (MBA в миниатюре)IT в бизнесе (MBA в миниатюре)
IT в бизнесе (MBA в миниатюре)
Lana Kasatkina
 
Жизнь после Сноудена: новые технологии - новые угрозы
Жизнь после Сноудена: новые технологии - новые угрозыЖизнь после Сноудена: новые технологии - новые угрозы
Жизнь после Сноудена: новые технологии - новые угрозы
Alexey Komarov
 
безопасность
безопасностьбезопасность
безопасностьDarinarekun
 
безопасность
безопасностьбезопасность
безопасностьDarinarekun
 
Угрозы ИБ мобильным устройствам (2014)
Угрозы ИБ мобильным устройствам (2014)Угрозы ИБ мобильным устройствам (2014)
Угрозы ИБ мобильным устройствам (2014)
Alexey Kachalin
 

What's hot (14)

правовое регулирование в информационной сфере
правовое регулирование в информационной сфереправовое регулирование в информационной сфере
правовое регулирование в информационной сфере
 
Информационная безопасность: Вводная лекция
Информационная безопасность: Вводная лекцияИнформационная безопасность: Вводная лекция
Информационная безопасность: Вводная лекция
 
Бумажна ли бумажная безопасность?
Бумажна ли бумажная безопасность?Бумажна ли бумажная безопасность?
Бумажна ли бумажная безопасность?
 
24may 1200 valday алексей липунов 'информационная безопасность банков'
24may 1200 valday алексей липунов 'информационная безопасность банков'24may 1200 valday алексей липунов 'информационная безопасность банков'
24may 1200 valday алексей липунов 'информационная безопасность банков'
 
виды киберпреступности
виды киберпреступностивиды киберпреступности
виды киберпреступности
 
информационная безопасность 01
информационная безопасность 01информационная безопасность 01
информационная безопасность 01
 
Информационная безопасность: Комплексный подход и человеческий фактор
Информационная безопасность: Комплексный подход и человеческий факторИнформационная безопасность: Комплексный подход и человеческий фактор
Информационная безопасность: Комплексный подход и человеческий фактор
 
Томас Лёшке: «Кибербезопасность для юристов: что делать?»
Томас Лёшке: «Кибербезопасность для юристов: что делать?»Томас Лёшке: «Кибербезопасность для юристов: что делать?»
Томас Лёшке: «Кибербезопасность для юристов: что делать?»
 
IT в бизнесе (MBA в миниатюре)
IT в бизнесе (MBA в миниатюре)IT в бизнесе (MBA в миниатюре)
IT в бизнесе (MBA в миниатюре)
 
Жизнь после Сноудена: новые технологии - новые угрозы
Жизнь после Сноудена: новые технологии - новые угрозыЖизнь после Сноудена: новые технологии - новые угрозы
Жизнь после Сноудена: новые технологии - новые угрозы
 
безопасность
безопасностьбезопасность
безопасность
 
безопасность
безопасностьбезопасность
безопасность
 
хакеры
хакерыхакеры
хакеры
 
Угрозы ИБ мобильным устройствам (2014)
Угрозы ИБ мобильным устройствам (2014)Угрозы ИБ мобильным устройствам (2014)
Угрозы ИБ мобильным устройствам (2014)
 

Viewers also liked

penetest VS. APT
penetest VS. APTpenetest VS. APT
penetest VS. APT
Dmitry Evteev
 
пр про SOC для ФСТЭК
пр про SOC для ФСТЭКпр про SOC для ФСТЭК
пр про SOC для ФСТЭК
Andrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Waf.js: How to Protect Web Applications using JavaScript
Waf.js: How to Protect Web Applications using JavaScriptWaf.js: How to Protect Web Applications using JavaScript
Waf.js: How to Protect Web Applications using JavaScript
Denis Kolegov
 
пр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБпр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБ
Andrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
пр Куда идет ИБ в России? (региональные аспекты)
пр Куда идет ИБ в России? (региональные аспекты)пр Куда идет ИБ в России? (региональные аспекты)
пр Куда идет ИБ в России? (региональные аспекты)
Andrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Уязвимости систем ДБО в 2011-2012 гг.
Уязвимости систем ДБО в 2011-2012 гг.Уязвимости систем ДБО в 2011-2012 гг.
Уязвимости систем ДБО в 2011-2012 гг.Dmitry Evteev
 
Статистика по результатам тестирований на проникновение и анализа защищенност...
Статистика по результатам тестирований на проникновение и анализа защищенност...Статистика по результатам тестирований на проникновение и анализа защищенност...
Статистика по результатам тестирований на проникновение и анализа защищенност...Dmitry Evteev
 
Добровольная система сертификации отрасли ИБ. 2012
Добровольная система сертификации отрасли ИБ. 2012Добровольная система сертификации отрасли ИБ. 2012
Добровольная система сертификации отрасли ИБ. 2012
Евгений Родыгин
 
Истории из жизни. Как взламывают сети крупных организаций.
Истории из жизни. Как взламывают сети крупных организаций.Истории из жизни. Как взламывают сети крупных организаций.
Истории из жизни. Как взламывают сети крупных организаций.Dmitry Evteev
 
Демонстрация атаки на ДБО
Демонстрация атаки на ДБОДемонстрация атаки на ДБО
Демонстрация атаки на ДБОDmitry Evteev
 
анализ соответствия ТБ и зПДн
анализ соответствия ТБ и зПДнанализ соответствия ТБ и зПДн
анализ соответствия ТБ и зПДн
Sergey Borisov
 
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
Dmitry Evteev
 
20% of investment and 80% of profit. How to implement security requirements a...
20% of investment and 80% of profit. How to implement security requirements a...20% of investment and 80% of profit. How to implement security requirements a...
20% of investment and 80% of profit. How to implement security requirements a...
Igor Gots
 
A Threat Hunter Himself
A Threat Hunter HimselfA Threat Hunter Himself
A Threat Hunter Himself
Sergey Soldatov
 
Iso 27001 внедрение технических защитных мер
Iso 27001  внедрение технических защитных мерIso 27001  внедрение технических защитных мер
Iso 27001 внедрение технических защитных мер
Alexey Evmenkov
 
Применение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данныхПрименение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данных
Aleksey Lukatskiy
 
Типовые проблемы безопасности банковских систем
Типовые проблемы безопасности банковских системТиповые проблемы безопасности банковских систем
Типовые проблемы безопасности банковских системDmitry Evteev
 
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФ
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФКакой могла бы быть дорожная карта повышения защищенности КИИ в РФ
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФ
Aleksey Lukatskiy
 
UEBA – поведенческий анализ, а не то, что Вы подумали
UEBA – поведенческий анализ, а не то, что Вы подумалиUEBA – поведенческий анализ, а не то, что Вы подумали
UEBA – поведенческий анализ, а не то, что Вы подумали
Andrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Как нам сохранить современную историю России?
Как нам сохранить современную историю России?Как нам сохранить современную историю России?
Как нам сохранить современную историю России?
Natasha Khramtsovsky
 

Viewers also liked (20)

penetest VS. APT
penetest VS. APTpenetest VS. APT
penetest VS. APT
 
пр про SOC для ФСТЭК
пр про SOC для ФСТЭКпр про SOC для ФСТЭК
пр про SOC для ФСТЭК
 
Waf.js: How to Protect Web Applications using JavaScript
Waf.js: How to Protect Web Applications using JavaScriptWaf.js: How to Protect Web Applications using JavaScript
Waf.js: How to Protect Web Applications using JavaScript
 
пр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБпр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБ
 
пр Куда идет ИБ в России? (региональные аспекты)
пр Куда идет ИБ в России? (региональные аспекты)пр Куда идет ИБ в России? (региональные аспекты)
пр Куда идет ИБ в России? (региональные аспекты)
 
Уязвимости систем ДБО в 2011-2012 гг.
Уязвимости систем ДБО в 2011-2012 гг.Уязвимости систем ДБО в 2011-2012 гг.
Уязвимости систем ДБО в 2011-2012 гг.
 
Статистика по результатам тестирований на проникновение и анализа защищенност...
Статистика по результатам тестирований на проникновение и анализа защищенност...Статистика по результатам тестирований на проникновение и анализа защищенност...
Статистика по результатам тестирований на проникновение и анализа защищенност...
 
Добровольная система сертификации отрасли ИБ. 2012
Добровольная система сертификации отрасли ИБ. 2012Добровольная система сертификации отрасли ИБ. 2012
Добровольная система сертификации отрасли ИБ. 2012
 
Истории из жизни. Как взламывают сети крупных организаций.
Истории из жизни. Как взламывают сети крупных организаций.Истории из жизни. Как взламывают сети крупных организаций.
Истории из жизни. Как взламывают сети крупных организаций.
 
Демонстрация атаки на ДБО
Демонстрация атаки на ДБОДемонстрация атаки на ДБО
Демонстрация атаки на ДБО
 
анализ соответствия ТБ и зПДн
анализ соответствия ТБ и зПДнанализ соответствия ТБ и зПДн
анализ соответствия ТБ и зПДн
 
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...История из жизни. Демонстрация работы реального злоумышленника на примере ата...
История из жизни. Демонстрация работы реального злоумышленника на примере ата...
 
20% of investment and 80% of profit. How to implement security requirements a...
20% of investment and 80% of profit. How to implement security requirements a...20% of investment and 80% of profit. How to implement security requirements a...
20% of investment and 80% of profit. How to implement security requirements a...
 
A Threat Hunter Himself
A Threat Hunter HimselfA Threat Hunter Himself
A Threat Hunter Himself
 
Iso 27001 внедрение технических защитных мер
Iso 27001  внедрение технических защитных мерIso 27001  внедрение технических защитных мер
Iso 27001 внедрение технических защитных мер
 
Применение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данныхПрименение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данных
 
Типовые проблемы безопасности банковских систем
Типовые проблемы безопасности банковских системТиповые проблемы безопасности банковских систем
Типовые проблемы безопасности банковских систем
 
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФ
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФКакой могла бы быть дорожная карта повышения защищенности КИИ в РФ
Какой могла бы быть дорожная карта повышения защищенности КИИ в РФ
 
UEBA – поведенческий анализ, а не то, что Вы подумали
UEBA – поведенческий анализ, а не то, что Вы подумалиUEBA – поведенческий анализ, а не то, что Вы подумали
UEBA – поведенческий анализ, а не то, что Вы подумали
 
Как нам сохранить современную историю России?
Как нам сохранить современную историю России?Как нам сохранить современную историю России?
Как нам сохранить современную историю России?
 

Similar to Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга

защита информации 11 класс
защита информации 11 классзащита информации 11 класс
защита информации 11 классuset
 
Кому нужна защита персональных данных censored edition
 Кому нужна защита персональных данных censored edition Кому нужна защита персональных данных censored edition
Кому нужна защита персональных данных censored editionGlib Pakharenko
 
Кому нужна защита персональных данных
Кому нужна защита персональных данныхКому нужна защита персональных данных
Кому нужна защита персональных данныхGlib Pakharenko
 
Copy of Кому нужна защита персональных данных censored edition
Copy of  Кому нужна защита персональных данных censored editionCopy of  Кому нужна защита персональных данных censored edition
Copy of Кому нужна защита персональных данных censored editionGlib Pakharenko
 
Способы хищения информации в банках и методы борьбы с этим явлением
Способы хищения информации в банках и методы борьбы с этим явлениемСпособы хищения информации в банках и методы борьбы с этим явлением
Способы хищения информации в банках и методы борьбы с этим явлением
Ilya Kovbasenko, CISA
 
киберпреступность в россии
киберпреступность в россиикиберпреступность в россии
киберпреступность в россииЕлена Ключева
 
24 компьютерная преступность и защита информации
24 компьютерная преступность и защита информации24 компьютерная преступность и защита информации
24 компьютерная преступность и защита информации
Sergey Lomakin
 
информационная безопасность
информационная безопасностьинформационная безопасность
информационная безопасностьmetodkopilka
 
KiberPrestuplenie
KiberPrestuplenieKiberPrestuplenie
KiberPrestuplenie
anisol
 
презентация учителя озеровой м.и.
презентация учителя озеровой м.и.презентация учителя озеровой м.и.
презентация учителя озеровой м.и.Ozerova
 
озеровой
озеровойозеровой
озеровойOzerova
 
озеровой
озеровойозеровой
озеровойOzerova
 
презентация2 учителя озеровой м.и.
презентация2 учителя озеровой м.и.презентация2 учителя озеровой м.и.
презентация2 учителя озеровой м.и.Ozerova
 
Проблемы законодательства при расследовании компьютерных преступлений
Проблемы законодательства при расследовании компьютерных преступлений Проблемы законодательства при расследовании компьютерных преступлений
Проблемы законодательства при расследовании компьютерных преступлений
LETA IT-company
 
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
IBS
 
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
Expolink
 
Positive Hack Days. Гордейчик. Оружие кибервойны
Positive Hack Days. Гордейчик. Оружие кибервойныPositive Hack Days. Гордейчик. Оружие кибервойны
Positive Hack Days. Гордейчик. Оружие кибервойны
Positive Hack Days
 

Similar to Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга (20)

защита информации 11 класс
защита информации 11 классзащита информации 11 класс
защита информации 11 класс
 
Кому нужна защита персональных данных censored edition
 Кому нужна защита персональных данных censored edition Кому нужна защита персональных данных censored edition
Кому нужна защита персональных данных censored edition
 
Кому нужна защита персональных данных
Кому нужна защита персональных данныхКому нужна защита персональных данных
Кому нужна защита персональных данных
 
Copy of Кому нужна защита персональных данных censored edition
Copy of  Кому нужна защита персональных данных censored editionCopy of  Кому нужна защита персональных данных censored edition
Copy of Кому нужна защита персональных данных censored edition
 
Способы хищения информации в банках и методы борьбы с этим явлением
Способы хищения информации в банках и методы борьбы с этим явлениемСпособы хищения информации в банках и методы борьбы с этим явлением
Способы хищения информации в банках и методы борьбы с этим явлением
 
киберпреступность в россии
киберпреступность в россиикиберпреступность в россии
киберпреступность в россии
 
24 компьютерная преступность и защита информации
24 компьютерная преступность и защита информации24 компьютерная преступность и защита информации
24 компьютерная преступность и защита информации
 
198993
198993198993
198993
 
информационная безопасность
информационная безопасностьинформационная безопасность
информационная безопасность
 
Uisg cert
Uisg certUisg cert
Uisg cert
 
KiberPrestuplenie
KiberPrestuplenieKiberPrestuplenie
KiberPrestuplenie
 
презентация учителя озеровой м.и.
презентация учителя озеровой м.и.презентация учителя озеровой м.и.
презентация учителя озеровой м.и.
 
озеровой
озеровойозеровой
озеровой
 
озеровой
озеровойозеровой
озеровой
 
презентация2 учителя озеровой м.и.
презентация2 учителя озеровой м.и.презентация2 учителя озеровой м.и.
презентация2 учителя озеровой м.и.
 
Проблемы законодательства при расследовании компьютерных преступлений
Проблемы законодательства при расследовании компьютерных преступлений Проблемы законодательства при расследовании компьютерных преступлений
Проблемы законодательства при расследовании компьютерных преступлений
 
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...
 
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
InfoWatch. Алексей Воронко "Внутренние и внешние угрозы ИБ - мифы и реальност...
 
3 курс
3 курс3 курс
3 курс
 
Positive Hack Days. Гордейчик. Оружие кибервойны
Positive Hack Days. Гордейчик. Оружие кибервойныPositive Hack Days. Гордейчик. Оружие кибервойны
Positive Hack Days. Гордейчик. Оружие кибервойны
 

More from Dmitry Evteev

Реальные опасности виртуального мира.
Реальные опасности виртуального мира.Реальные опасности виртуального мира.
Реальные опасности виртуального мира.Dmitry Evteev
 
Услуги PT для банков
Услуги PT для банковУслуги PT для банков
Услуги PT для банковDmitry Evteev
 
PHDays 2012: Future Now
PHDays 2012: Future NowPHDays 2012: Future Now
PHDays 2012: Future NowDmitry Evteev
 
Такой (не)безопасный веб
Такой (не)безопасный вебТакой (не)безопасный веб
Такой (не)безопасный вебDmitry Evteev
 
Собираем команду хакеров
Собираем команду хакеровСобираем команду хакеров
Собираем команду хакеровDmitry Evteev
 
Тестирование на проникновение в сетях Microsoft (v.2)
Тестирование на проникновение в сетях Microsoft (v.2)Тестирование на проникновение в сетях Microsoft (v.2)
Тестирование на проникновение в сетях Microsoft (v.2)
Dmitry Evteev
 
Тестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftТестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftDmitry Evteev
 
PHDays CTF 2011 Quals/Afterparty: как это было
PHDays CTF 2011 Quals/Afterparty: как это былоPHDays CTF 2011 Quals/Afterparty: как это было
PHDays CTF 2011 Quals/Afterparty: как это былоDmitry Evteev
 
Как взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийКак взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийDmitry Evteev
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
Dmitry Evteev
 
Практика проведения DDoS-тестирований
Практика проведения DDoS-тестированийПрактика проведения DDoS-тестирований
Практика проведения DDoS-тестированийDmitry Evteev
 
Мобильный офис глазами пентестера
Мобильный офис глазами пентестераМобильный офис глазами пентестера
Мобильный офис глазами пентестера
Dmitry Evteev
 
Безопасность веб-приложений сегодня
Безопасность веб-приложений сегодняБезопасность веб-приложений сегодня
Безопасность веб-приложений сегодняDmitry Evteev
 
Penetration testing (AS IS)
Penetration testing (AS IS)Penetration testing (AS IS)
Penetration testing (AS IS)Dmitry Evteev
 
CC HackQuest 2010 Full Disclosure (мастер-класс)
CC HackQuest 2010 Full Disclosure (мастер-класс)CC HackQuest 2010 Full Disclosure (мастер-класс)
CC HackQuest 2010 Full Disclosure (мастер-класс)Dmitry Evteev
 
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)Dmitry Evteev
 
РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)
Dmitry Evteev
 
РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)
Dmitry Evteev
 
Развитие систем анализа защищенности. Взгляд в будущее!
Развитие систем анализа защищенности. Взгляд в будущее!Развитие систем анализа защищенности. Взгляд в будущее!
Развитие систем анализа защищенности. Взгляд в будущее!
Dmitry Evteev
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!
Dmitry Evteev
 

More from Dmitry Evteev (20)

Реальные опасности виртуального мира.
Реальные опасности виртуального мира.Реальные опасности виртуального мира.
Реальные опасности виртуального мира.
 
Услуги PT для банков
Услуги PT для банковУслуги PT для банков
Услуги PT для банков
 
PHDays 2012: Future Now
PHDays 2012: Future NowPHDays 2012: Future Now
PHDays 2012: Future Now
 
Такой (не)безопасный веб
Такой (не)безопасный вебТакой (не)безопасный веб
Такой (не)безопасный веб
 
Собираем команду хакеров
Собираем команду хакеровСобираем команду хакеров
Собираем команду хакеров
 
Тестирование на проникновение в сетях Microsoft (v.2)
Тестирование на проникновение в сетях Microsoft (v.2)Тестирование на проникновение в сетях Microsoft (v.2)
Тестирование на проникновение в сетях Microsoft (v.2)
 
Тестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях MicrosoftТестирование на проникновение в сетях Microsoft
Тестирование на проникновение в сетях Microsoft
 
PHDays CTF 2011 Quals/Afterparty: как это было
PHDays CTF 2011 Quals/Afterparty: как это былоPHDays CTF 2011 Quals/Afterparty: как это было
PHDays CTF 2011 Quals/Afterparty: как это было
 
Как взламывают сети государственных учреждений
Как взламывают сети государственных учрежденийКак взламывают сети государственных учреждений
Как взламывают сети государственных учреждений
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
 
Практика проведения DDoS-тестирований
Практика проведения DDoS-тестированийПрактика проведения DDoS-тестирований
Практика проведения DDoS-тестирований
 
Мобильный офис глазами пентестера
Мобильный офис глазами пентестераМобильный офис глазами пентестера
Мобильный офис глазами пентестера
 
Безопасность веб-приложений сегодня
Безопасность веб-приложений сегодняБезопасность веб-приложений сегодня
Безопасность веб-приложений сегодня
 
Penetration testing (AS IS)
Penetration testing (AS IS)Penetration testing (AS IS)
Penetration testing (AS IS)
 
CC HackQuest 2010 Full Disclosure (мастер-класс)
CC HackQuest 2010 Full Disclosure (мастер-класс)CC HackQuest 2010 Full Disclosure (мастер-класс)
CC HackQuest 2010 Full Disclosure (мастер-класс)
 
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)
Chaos Constructions HackQuest 2010 Full Disclosure (мастер-класс)
 
РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)
 
РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)РусКрипто CTF 2010 Full Disclosure (мастер класс)
РусКрипто CTF 2010 Full Disclosure (мастер класс)
 
Развитие систем анализа защищенности. Взгляд в будущее!
Развитие систем анализа защищенности. Взгляд в будущее!Развитие систем анализа защищенности. Взгляд в будущее!
Развитие систем анализа защищенности. Взгляд в будущее!
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!
 

Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга

  • 1. Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга Евтеев Д. И. Технический директор компании HeadLight Security
  • 2. Определение фишинга Фишинг — одна из разновидностей социальной инженерии в рамках электронных коммуникаций, основанная на введении пользователей в заблуждение. Цель фишинга — получение доступа к конфиденциальным данным пользователей (ПДн, логины и пароли, данные банковских карт и пр.).
  • 3. Зарубежный опыт борьбы с фишингом 2005 год, США. Фишинг законодательно определен как создание поддельных веб-сайтов (доменов) и отправка электронных писем для получения посредством обмана конфиденциальных данных пользователей. https://www.congress.gov/bill/109th-congress/senate-bill/472 2008 год, Великобритания. Запрет на создание хакерских инструментов. Законодатели первоначально хотели полностью запретить легальные программы, которые могут быть использованы и для преступной деятельности. В том числе под запрет попал и известный сканер Nmap. Эта мера была признана технически неграмотной. http://www.securitylab.ru/news/360522.php
  • 4. Типовая методика реализации фишинговых атак 1. Регистрация нового фишингового домена (как правило, созвучного популярному бренду). 2. Копирование имеющихся элементов с интернет- ресурса, в отношении которого будет осуществляться фишинговая кампания. 3. Размещение фишингового сайта в Интернете. 4. Привлечение посетителей:  Продвижение в поисковых системах (SEO)  Массовая рассылка (электронная почта, социальные сети, IM)
  • 7. Методика консалтинга по противодействию фишингу 1. Заключение договора на оказание услуги, согласование используемого сценария и тестируемой фокус-группы. 2. Регистрация нового домена, имитирующий фишинговый. 3. Копирование имеющихся элементов с электронного ресурса заказчика. 4. Размещение «фишингового» сайта на серверах консалтинговой компании. 5. Целевая рассылка фокус-группе (электронная почта, социальные сети, IM). Примеры зарубежных проектов: http://phishme.com/ http://phish.io/
  • 8. Фишинг Противодействие фишингу через государственно-частное партнерство РЕСУРС • государственные учреждения • банки • коммерческие организации
  • 9. Фишинг Противодействие фишингу через государственно-частное партнерство РЕСУРС • государственные учреждения • банки • коммерческие организации Оценка/обучение Показатели эффективности
  • 10. Метод противодействия фишингу: общедоступный реестр подозрительных сайтов Проверка по реестру подозрительных сайтов Неизвестный сайт