Документ описывает концепцию конкурентной разведки, включающую сбор и обработку данных для улучшения управленческих решений в коммерческих организациях. Он также рассматривает методы сбора информации, закономерности поведения конкурентов и правовые аспекты использования данных. Обсуждаются примеры уязвимостей и стратегии для защиты информации, а также важность соблюдения этических норм.

1. Международный форум по практической безопасностиКонкурентная разведка в ИнтернетеМАСАЛОВИЧАндрей ИгоревичРуководитель направления конкурентной разведки, член совета диреторовЗАО «ДиалогНаука»am@inforus.biz517-33-83

2. Конкурентная разведкаКонкурентная разведка(англ. CompetitiveIntelligence, сокр. CI) — сбор и обработка данных из разных источников, для выработки управленческих решений с целью повышения конкурентоспособности коммерческой организации, проводимые в рамках закона и с соблюдением этических норм (в отличие от промышленного шпионажа); а также структурное подразделение предприятия, выполняющее эти функции.Конкурентная разведка – это информационное обеспечение победы над конкурентами«Я просто не люблю неожиданностей»

3. Философия конкурентной разведки:Не используем затратные методыНе используем трудоемкие методыНе нарушаем законНе нарушаем этических нормНе оставляем следов

4. Основа деятельности – статья 29, ч.4 Конституции РФСтатья 294. Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется федеральным законом.

5. Арсенал обычного пользователяИспользование гиперссылокПоисковые системыБазы данных

6. Наш арсенал: уязвимости Top Ten 2010 OWASP - А4 и А8 OWASP.ORG – Open Web Application Security ProjectOWASP Top 10 2011:A1: InjectionA2: Cross-Site Scripting (XSS)A3: Broken Authentication and Session ManagementA4: Insecure Direct Object ReferencesA5: Cross-Site Request Forgery (CSRF)A6: Security MisconfigurationA7: Insecure Cryptographic StorageA8: Failure to Restrict URL AccessA9: Insufficient Transport Layer ProtectionA10: Unvalidated Redirects and Forwards

7. OWASP A4 – уязвимая ссылкаA4 - Insecure Direct Object ReferencesApplications frequently use the actual name or key of an object when generating web pages. Applications don’t always verify the user is authorized for the target object. This results in an insecure direct object reference flaw. Testers can easily manipulate parameter values to detect such flaws and code analysis quickly shows whether authorization is properly verified.

8. OWASP A8 – уязвимое хранениеA8-Failure to Restrict URL AccessApplications are not always protecting page requests properly. Sometimes, URL protection is managed via configuration, and the system is misconfigured. Sometimes, developers must include the proper code checks, and they forget.Detecting such flaws is easy. The hardest part is identifying which pages (URLs) exist to attack.

9. ПримерыАналитические справки, которых нет в ИнтернетеДокументация и список клиентов –http://www.ameritechsecurityllc.com/manuals/manual_ademco_vista_15p.pdfСписок клиентов – ExcelBizDir.xls Защита паролей информационной системы одной из ветвей власти

10. Наш арсенал: уязвимости человекаПроцессор: Мозг кроманьонцаСоздан 40 000 лет назад. No upgradesОперационная система: Наше сознаниеИнсталлирована 40 000 лет назад. No patches

11. Основные уязвимости:7 смертных греховГордыняАлчностьБлудЗавистьЧревоугодиеГневУныние

12. Используем Алчность: гос.секреты Украины по 6 гривенБаза Ligazakon.uaДля службовогокористування

13. Действительно, работает

14. Интернет: традиционный взгляд Открытый Интернет Защищенные ресурсы

15. Интернет: сфера конкурентной разведкиСфера конкурентной разведкиРасширенный поискСтарые и новые версииНевидимые страницыУязвимости защитыДругие поисковикиУтечки «секретно»Временный доступУтечки «Сов.секретно»Открытые папкиУтечки паролейОткрытые FTPПиратские базыУтечки ДСПОбласть применения проникающих роботовRSS-потоки

16. Коллективное хранение

17. Удаленное обучение

18. Страницы аналитиковА также: Утечки партнеров

19. Социальные сети

20. Блоги, форумы

21. Сайты компроматаСсылкиПоисковикиБазыИ многое, многое другое...

22. 4 простых метода нахождения открытых папок 1. Отсечение2. Index of3. Брутфорс стандартных имен4. Удлинение адресаМониторинг вместо поиска

23. Простые методы поиска открытых разделов на ftpПо адресу: ftp://ftp.tribobra.ruПо ftp в адресной строке - GoogleСпец. Поисковики – FileWatcherПо использованию порта 21:ftp://логин:пароль@ftp.tribobra.ru:21

24. Информационная безопасность – общее определениеИнформационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации

25. Высший уровень конфиденциальности -Государственная тайнаГосударственная тайна - защищаемые государством сведения в области его военной,внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации(Закон «О государственной тайне» - ФЗ № 5485-1 от 21 июля 1993 года, действующая редакция)

26. Коммерческая тайнаИнформация, составляющая коммерческую тайну, - научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны(Закон «О коммерческой тайне» - Федеральный закон Российской Федерации от 29 июля 2004 г. N 98-ФЗ )

27. Пример: доступ к документам «Строго конфиденциально» без нарушения защитыШаг 1. Открытый документ, уязвимая адресацияhttps://partner.microsoft.com/download/global/40043498

28. Шаг 2. Нумерация страниц: обратный отсчетhttps://partner.microsoft.com/download/global/40043497

29. Шаг 3. Документ «Строго конфиденциально»https://partner.microsoft.com/download/global/40043496

30. Конкурентная разведкаКонкурентная разведка (англ. Competetive Intelligence, сокр. CI) — сбор и обработка данных из разных источников, для выработки управленческих решений с целью повышения конкурентоспособности коммерческой организации, проводимые в рамках закона и с соблюдением этических норм (в отличие от промышленного шпионажа); а также структурное подразделение, выполняющее эти функции

31. Пример. Доступ к секретным документам без нарушения защитыМатериалы конференции Тихоокеанской группировки армии США – гриф ClassifiedUS Pacific Command S & T Conference – июль 2008

32. Доклад зам. министра обороны США «Перспективные системы и концепции»

33. Доклад «Перспективные системы и концепции» (продолжение)

34. Пример: Получить доступ к военным контрактам США Знакомьтесь: Военная база Rock Island, арсенал штата Иллинойс Нас не пускают даже на первую страницу сайтаИзучаем структуру портала и документооборотаДокументы о закупках хранятся в разделе https://####.ria.army.mil/#### , формат pdfДокументы имеют гриф ДСП (Internal Use Only)Обработчик 403 работает по «белому листу», допускает использование роботов Google. Далее просто.

35. Доступны 89 контрактов на закупку за I квартал 2009 гЗакупочная цена - $ 3,641Розничная цена - $ 2,767Защита от утечки данных – менее 2% компанийИсточник: InfoWatch

36. Изучаем документы Пентагона..2005. Отчет «Спецслужбы России»Отчет Спецслужбы РоссииЛояльность, коррупция, анти-террорУниверситет специальных операцийАвгуст 200536 страниц

37. Изучаем документы Пентагона..2007. Отчет «Рособоронэкспорт»Отчет РособоронэкспортИнститут стратегических исследований2007108 страницБолевые точки: Китай, Иран, Венесуэла, Сирия

38. Возможные цепочки в Ливан

39. Возможные цепочки в КолумбиюПоследняя фраза отчета: «...time works for us and against Russia»

40. Изучаем документы Пентагона..2005. Анализ ситуации в ВенесуэлеОтчет Венесуэла: Уго Чавес, боливарский социализм и методы ассиметричной войныИнститут стратегических исследованийОктябрь 2005 г39 страниц

41. Пентагон: справка по каждому шагу РособоронэкспортаО поставке вертолетов в Венесуэлу:Поставки вертолетов в Венесуэлу:Россия завершила поставку заказанных Венесуэлой вертолетов Mи-35M, Mи-26T2 и Ми-17.С учетом последней партии, на текущий момент на вооружении армейской авиации Сухопутных войск Венесуэлы состоят около 20 многоцелевых транспортных вертолетов Ми-17В-5, 10 вертолетов огневой поддержки Mи-35M и 3 тяжелых транспортных вертолета Mи-26T2. Кроме того, два вертолета Mи-17В-5 в VIP-комплектации (в российских СМИ сообщалось о заказе версии Mи-172 VIP) переданы 4-й авиагруппе, дислоцированной в Каракасе. Еще шесть Mи-17 заказаны для 9-й транспортной авиагруппы, базирующейся в Пуэрто Айакучо (шт.Амазонас). Вертолеты Mи-35M и Mи-26T2 получили "лесную" камуфлированную раскраску на основе трех оттенков зеленого цвета. Как сообщает издание, в рамках реализации десятилетней программы оборонных закупок, рассчитанной на 2007-2017 гг., Каракас намерен продолжить приобретение вертолетов в России для армейской авиации. В ближайшее время в городе Баринас будет сформирована еще одна вертолетная эскадрилья. Ранее сообщалось, что Венесуэла также планирует приобрести эскадрилью многоцелевых ударных вертолетов Ми-28НЭ. Поставка этих машин в случае заключения контракта может начаться во второй половине 2009 года Для 4-й авиагруппы (Каракас): 20 Многоцелевых Ми-17В-5

42. 10 Ми-35М (огневой поддержки)

43. 3 Ми-26Т2 (тяжелый транспорт)

44. 2 Ми-17В-5 VIPДля 9-й авиагруппы (Амазонас): 6 Ми-17 Планы дальнейших поставок: Формируется новая эскадрилья в г. Баринас

45. Готовится контракт на поставку эскадрильи ударных Ми-28НЭ (конец 2009 г)Справка от 04 июня 2009 г)

46. Изучаем документы Пентагона..2005. Стратегия сотрудничества с ИндиейОтчет Региональная безопасность в Азии и перспективы стратегического сотрудничества Индии и СШАИнститут стратегических исследованийСентябрь 2005215 страниц

47. Изучаем документы Пентагона..2006. Стратегия сотрудничества с ИндиейОтчет Стратегическое сотрудничество США и Индии: возможности и препятствия в XXI векеКолледж высшего командного состава2006 г137 страниц

48. Российско-индийский истребитель пятого поколения

49. Российский истребитель пятого поколения: взгляд из США

50. Американская стратегия истребителей пятого поколенияИз доклада Роберта Гейтса (20.05.2009):...An increase in funding from $6.8 to $10.4 billion for the fifth-generation F-35, which reflects a purchase of 30 planes for FY10 compared to 14 in FY09. This money will also accelerate the development and testing regime to fix the remaining problems and avoid the development issues that arose in the early stages of the F-22 program. More than 500 F-35s will be produced over the next five years, with more than 2,400 total for all the services. Russia is probably six years away from Initial Operating Capability of a fifth-generation fighter and the Chinese are 10 to 12 years away. By then we expect to have more than 1,000 fifth-generation fighters in our inventory; «Россия отстает на 6 лет и Китай – на 10-12 лет. Когда они будут готовы, в США на вооружении будет более 1000 истребителей пятого поколения»Изучаем документы Пентагона..2005. Анализ ситуации в ИранеОтчет Готовимся к ядерному ИрануИнститут стратегических исследованийОктябрь 2005 г322 страницы

51. РекомендацииКак обеспечить прогнозирование, выявление, предупреждение и пресечение угроз бизнесу, репутации и устойчивому развитию

52. Экспресс-курс «Конкурентная разведка» - 1 деньБазовый курс «Методы и приемы конкурентной разведки» - 2 дняКурс «Конкурентная разведка» с гос. сертификатом – 8 днейШаг 1. Обучение специалистов

53. Шаг 2. Начальный мониторинг утечек конфиденциальной информацииВыявляются все факты появления конфиденциальной информации в ИнтернетеВ том числе – в т.н. «Невидимом Интернете»Анализируется деятельность конкурентнов Даются рекомендации по защите

54. Шаг 3. Развертывание системы интернет-мониторинга

55. Новое решение – технология интеллектуального поиска AvalancheПерсональная версия Avalanche 2.5 – 100 Евро за рабочее место

56. Avalanche – ежедневный мониторинг компаний, персон, фактов и т.д.

57. Важная функция – аудит утечек конфиденциальной информации

58. Системы интернет-мониторинга на основе технологии Avalanche

59. Шаг 4. Расширение Политики БезопасностиДополнение Политики безопасности компании в части:Использования методов конкурентной разведкиПротиводействия методам конкурентной разведки

60. Выполнение указанных шагов позволит обеспечитьПрогнозированиеВыявлениеПредупреждениеПресечение угроз бизнесу, репутации и устойчивому развитию

61. Спасибо за вниманиеМАСАЛОВИЧАндрей ИгоревичE-mail: am@inforus.biz+7 (495) 517-33-83