मिटरनिक के साथ हैकर टूर्नामेंट और सुरक्षा सम्मेलन की रिपोर्ट

"अगले कमरे में वे लोग हैं जो हमारी सुरक्षा के लिए मुख्य खतरा पैदा करते हैं"

मंगलवार को, सिमेंटेक साइबर रेडीनेस चैलेंज हैकर टूर्नामेंट का दूसरा (ऑफलाइन) हिस्सा और केविन मिटनिक की भागीदारी के साथ सीआरओसी साइबर सम्मेलन सुरक्षा सम्मेलन हुआ। यह सब मिलकर C ^ 2: साइबर चैलेंज कहलाता था।

सबसे दिलचस्प:

• हमारे हैकर्स बहुत तेज़ निकले।
• प्रतिभागियों के साथ हॉल में गैस की अनुमति नहीं थी (हालांकि सम्मेलन में कई लोग इसे एक उचित उपाय मानते थे)।
• मितानिक ने एंटीवायरस को दरकिनार करने और मशीन को नियंत्रण में लेने के साथ चमत्कार फ्लैश ड्राइव दिखाया, सिटीबैंक के आईवीआर की नकल की, दिखाया गया कि एक मिनारे कार्ड की नकल करते हुए लोगों का अभिवादन किया, और अपने व्यस्त युवाओं से कहानियों का एक गुच्छा बताया। “हम परीक्षण कब शुरू करेंगे? पहले ही हो चुका है। क्या पत्र नहीं मिला? यह सही है, रिपोर्ट आपके डेस्कटॉप पर है। ”

नीचे एक रिपोर्ट है, तैयारी के बारे में थोड़ा और तस्वीरों का एक गुच्छा (यातायात) ।


केविन को फोन पर गर्व है, जिसका फ़र्मवेयर उसे एक सिक्योरिटी गार्ड के हाथों से मिला

बुनियादी ढांचे

एक प्रमुख घटना को तैयार करने में सबसे कठिन चीजों में से एक घड़ी की तरह सब कुछ काम करना है। लोगों के आगमन से और पंजीकरण और सभी के लिए एक सामान्य तेज़ नेटवर्क के साथ समाप्त होना।

यहीं स्थल है। फ्रुंज से 12 मिनट की पैदल दूरी पर। हमने मेट्रो से मेहमानों के स्थानांतरण के लिए कई मिनीबस लॉन्च किए: बाहर निकलने के ठीक बाद, हम सभी प्रतिभागियों से मिले और उन्हें "देशभक्त" कहा। कोई नहीं खोया था।



इस तरह की घटनाओं के लिए पंजीकरण अक्सर एक अड़चन बन जाता है। यहाँ हमारे पास बहुत सी लड़कियाँ हैं जो बिल्ला देती हैं, प्रतिभागियों के नाम और उपनाम तुरंत मौके पर छापे जाते हैं:



समर्थन रूसी टीम और इंग्लैंड से तकनीकी सहायता विशेषज्ञों दोनों द्वारा प्रदान किया गया था। पास ही उद्घोषक था। चूंकि सम्मेलन का हिस्सा अंग्रेजी में है (मिटनिक, उदाहरण के लिए, रूसी नहीं जानता है), साथ ही अनुवाद की आवश्यकता है। यहाँ उपकरणों के साथ एक रैक है जिसे दस्तावेजों के लिए बदला जा सकता है:



अगला महत्वपूर्ण प्रश्न इंटरनेट है। प्रतिभागियों को एक तेज़ कनेक्शन की आवश्यकता है, इसलिए हम प्रदाता से सीधे 256 मेगाबिट्स / सेकंड की एक पंक्ति लाए। हॉल में एक डबल मार्जिन के साथ जगह थी (हर कोई अन्य खिलाड़ियों के बगल में बैठना पसंद नहीं करता है), और प्रत्येक पंक्ति का अपना लोजका था। प्रत्येक प्रतिभागी की अपनी ऐसी पूंछ थी:



प्रत्येक पंक्ति के मध्य में एक 48-पोर्ट स्विच था:



दिलचस्प बात यह है कि इस साइट की शुरुआत से 4 दिन पहले जांच की गई थी, सभी उपकरण सप्ताहांत में खरीदे गए थे, और स्थापना और परीक्षणों को सम्मेलन से कुछ घंटे पहले पूरा किया गया था। 6 लोगों ने इंटरनेट बिछाया। कुल मिलाकर, अलग-अलग समय पर स्थापना में 20 से 30 लोग थे। आपातकालीन स्थितियों के बिना नहीं - एक स्विच जल गया, लेकिन इसे जल्दी से बैकअप द्वारा बदल दिया गया। हमने प्रत्येक पैच कॉर्ड का परीक्षण किया - किसी को एक वक्र समेटना के साथ आश्चर्य की आवश्यकता नहीं है।

अलग-अलग, सम्मेलन के प्रतिभागियों के लिए 100 मेगाबिट्स में एक लाइन तैयार की गई थी - मितानिक को इसकी आवश्यकता थी।

इस पूरी चीज़ के गिरने की स्थिति में बैकअप लाइन 100 मेगाबिट्स है। उन्होंने स्थानांतरण के स्वचालन को नहीं करने का फैसला किया: जटिल स्विचिंग। दुर्घटना की स्थिति में, तकनीशियन 2 मिनट से भी कम समय में केबल को स्थानांतरित कर देगा - जाँच की गई।

खेल

प्रतिभागियों को पहले से ही आया, सेटिंग्स पर झुका और तैयार किया गया। शुरू होने से कुछ घंटे पहले सड़क पर कई लोग चिंतित थे कि उन्हें सेटिंग्स के लिए लिंक नहीं मिला था।

बुफे से भोजन को सीधे जगह पर खींचा गया था, पानी के साथ स्टॉक किया गया था, ताकि खेल को एक बार फिर से न छोड़ा जाए। यहां, उदाहरण के लिए, व्लाद (भविष्य के विजेता) के पास तीन गिलास हैं - अगर वह पीना चाहता है, तो मिनरल वाटर या जूस, अगर वह नहीं चाहता है - उसके पास अभी भी एक खाली है।



खेल की शुरुआत, EDC निगम के एक पूर्व कर्मचारी से एक संदेश के साथ भूखंड Giles Knox:



जब उन्होंने बात की, तो कई ने पहले ही झंडा उठा लिया था



खेल के दौरान भविष्य के विजेता (द्वितीय और तृतीय स्थान):



प्रतिभागियों के बीच लड़की:



प्रकाश व्यवस्था मंद हो गई, प्रतिभागियों के चेहरे पर स्क्रीन से प्रकाश। फिल्मों में, पत्रों की छाप नहीं थी:



खेल तीव्र था:



झंडे के बीच कार्य थे:

• पोर्ट स्कैन
• डिक्रिप्शन और ब्रूट बल पासवर्ड
• सत्र हमलों
• मोबाइल डिवाइस पर डीनोमिनेशन
• डिस्क छवियों के साथ काम करें
• सोलहवीं शताब्दी का प्रकटीकरण
• SQLi (विभिन्न विषयों का एक समूह)
• अन्वेषण और शोषण
• CSRF / XSS और कई अन्य रोचक बातें।

पारंपरिक आश्चर्य के बिना नहीं - एक बुनियादी ढांचे के हमले के निषेध के बावजूद, कुछ ने रुट-बल राउटर्स को शुरू किया। एक सामान्य चेतावनी के बाद, प्रतिभागी ने तर्क की आवाज सुनी - पहली बार उन्होंने माफ कर दिया और अयोग्य नहीं ठहराया।

सम्मेलन

यहां हमने कुछ महत्वपूर्ण बातें की - वास्तव में, सम्मेलनों के लिए संगठन में विशिष्ट, लेकिन सुविधाजनक। शुरुआत करने के लिए, स्पीकर को अपनी बड़ी स्क्रीन, एक "प्रोमप्टर" की जरूरत होती है, प्रस्तुति को देखने के लिए। यदि वह वहां नहीं है, तो वह घबराकर पीछे देखना शुरू कर देता है। हम इस तरह से चढ़े:



दूसरे, स्लाइड के लिए चार स्क्रीन: मूल भाषा के लिए मंच के किनारों पर दो और, एक से थोड़ी दाईं ओर - अनुवाद के लिए। उदाहरण के लिए, कई प्रतिभागी दूसरी स्क्रीन को हटाने के लिए खुश हैं - उपयोगी लिंक वहां प्रदर्शित किए गए थे और यह तथ्य कि केविन एरोडेल में खुले डेटा के बीच स्कैन किए गए थे:



निम्नलिखित लोगों ने सम्मेलन में बात की:

• बोरिस बोबरोवनिकोव, सीआरओसी सीईओ
• एंड्रे विश्लोव, जनरल डायरेक्टर, सिमेंटेक लिमिटेड के प्रतिनिधि कार्यालय;
• पावेल गोलोवलेव, एसएमपी बैंक OJSC के सूचना प्रौद्योगिकी सुरक्षा विभाग के प्रमुख;
• CROC में सूचना सुरक्षा विशेषज्ञ एवगेनी ड्रूज़िनिन;
• सर्गेई एर्शोव, सूचना सुरक्षा प्रमुख, सूचना सुरक्षा प्रभाग, ग्रीनटॉम सीजेएससी;
• एंड्रे ज़ेरेनकोव, मुख्य सूचना सुरक्षा सलाहकार, सिमेंटेक लिमिटेड के प्रतिनिधि कार्यालय;
• डेनिस कामाज़ीव, राइफ़ेनबैंक सीजेएससी के परिचालन जोखिम नियंत्रण विभाग के उप प्रमुख;
• आर्टेम क्रोलिकोव, सूचना सुरक्षा प्रमुख, अल्फा बीमा;
• व्याचेस्लाव मोरोज़ोव, रूस के क्षेत्रीय प्रबंधक और सीआईएस नाइस सिस्टम;
• मिखाइल सुकोनिक, रूस के रेडवेयर क्षेत्रीय निदेशक और सीआईएस;
• दिमित्री उस्त्युज़ानिन, सूचना सुरक्षा विभाग के प्रमुख, विम्पेलकॉम OJSC।

मध्यस्थ ओलेग सेडोव, विशेष और ऑनलाइन परियोजनाओं के संपादक थे इंटेलिजेंट एंटरप्राइज / आरई।

सम्मेलन की शुरुआत दुनिया भर में आईटी सिस्टम की सुरक्षा को काफी हद तक बढ़ाने के प्रस्ताव के साथ हुई, जिससे आस-पास के कमरे में गैस पहुंचाई जा सके । यह विचार अभी भी अक्सर चर्चाओं के दौरान सामने आया। यह ध्यान दिया जाना चाहिए कि यह वास्तविक "विरासत में मिला" हैकर्स सम्मेलन में नहीं आया है - मीडिया का एक बहुत कुछ था, और यहां हर व्यक्ति को लंबे समय तक याद किया जाएगा। नतीजतन, उन्होंने उल्लेख किया कि हमारे हमलावर "देशी" प्रणालियों के संबंध में काफी सही व्यवहार करते हैं - जहां वे रहते हैं, वे बकवास नहीं करते हैं, वे मुख्य रूप से पश्चिम में जाते हैं। अमेरिका में "रूसी हैकर" पहले से ही एक ब्रांड है, हम डरते हैं। मुझे कहना होगा, सही से।

हमने आईटी विभागों, आईएस और अन्य लोगों से बातचीत पर चर्चा की । उदाहरण के लिए, इनसाइडर ट्रेडिंग के खिलाफ लड़ाई को अक्सर सूचना सुरक्षा पर लटका दिया जाता है, हालांकि कार्मिक अधिकारियों को भी ऐसा करना चाहिए; व्यक्तिगत डेटा पर संघीय कानून को सूचना सुरक्षा पर लटका दिया गया था, और उनका मानना ​​है कि यह एक गैर-मुख्य कार्य है और आईटी विशेषज्ञों को इसे करना चाहिए, और इसी तरह। रूस में, उन्हें अभी भी नहीं पता है कि टीमों में कैसे खेलना है: विभागों की बातचीत को बड़े व्यवसाय में डिबग किया जाता है जो आदर्श से बहुत दूर है। एक उदाहरण पश्चिमी "सुरक्षा अधिकारी" का दिया गया था - आईटी, सूचना सुरक्षा, मानव संसाधन का एक सा और वित्तीय भाग का समन्वय करने वाला एक व्यक्ति - वह व्यावसायिक विषय में बारीकी से शामिल है और जानता है कि क्या जोखिम और कैसे पूरी तरह से बंद करना है। तब हमने आउटसोर्सिंग और इसके विकास के बारे में बात की थी - एक भविष्य है, लेकिन अभी तक पक्ष पर सूचना के प्रसंस्करण पर कानूनों की सीमाएं हस्तक्षेप करती हैं।

हम इस निष्कर्ष पर पहुंचे कि हमें सामान्य रूप से कॉन्फ़िगर की गई प्रक्रियाओं की आवश्यकता है। उदाहरण के लिए, अब, यदि कोई कर्मचारी भेद्यता पाता है, तो यह अच्छा है यदि वह व्यवस्थापक को सूचित करता है, यह अच्छा है यदि व्यवस्थापक अपने जाम और धन्यवाद पर अपराध नहीं करता है (यह बहुत महत्वपूर्ण है, तो उन्होंने उसकी मदद की!), यह अच्छा है कि वह छेद को बंद कर देता है, और बंद नहीं होता है। यह बहुत बुरा है अगर कोई कर्मचारी सहयोगियों को छेद के बारे में जानकारी देता है - दो सप्ताह में पूरी कंपनी भेद्यता का उपयोग करेगी जैसे कि यह आवश्यक था। सुरक्षा गार्ड लोगों को शिक्षित करने की कोशिश करते हैं - उदाहरण के लिए, जब डेटा को गलत जगह पर भेजते हैं, तो वे या तो प्रक्रिया को बदलते हैं (क्योंकि यह आवश्यक है), या उपयोगकर्ता और उसके प्रबंधक को समझाते हैं कि त्रुटि क्या है और इसे सही कैसे करना है।

जोखिम प्रबंधन पर चर्चा की । यह पता चला है कि एक तत्काल समस्या तब है जब एक सुरक्षा गार्ड नेतृत्व के पास आता है और कहता है "यह आवश्यक है", वे उससे कहते हैं "पैसा नहीं"। यह स्पष्ट है कि जोखिमों को कवर करने के लिए एक पंक्ति में सब कुछ पर्याप्त ताकत नहीं है, लेकिन मुख्य महत्वपूर्ण हैं। उन्होंने नोट किया कि 90 के दशक का एक व्यवसाय पूरी तरह से जोखिम प्रबंधन को समझता है और इसके साथ रहता है: यदि कोई सुरक्षा गार्ड समझता है कि क्या आवश्यक है, तो यह आवश्यक है, यह एक दिया गया है, जो डैशिंग वर्षों में भी अवशोषित है। चलिए बस इतना कहते हैं कि जो नियमों को जानता है वह जीतता है, जो उनका अनुसरण करता है वह हार जाता है। जैसा कि चर्चा में भाग लेने वालों में से एक ने कहा: "सफेद और शराबी की जरूरत है।"

नए क्षेत्र महत्वपूर्ण हैं - कर्मचारियों के स्वयं के मोबाइल उपकरणों का उपयोग और वर्चुअलाइजेशन (विशेष रूप से, "बादलों" के लिए बुनियादी ढांचे का स्थानांतरण)। यह अक्सर "दो सोमवार में कार्यान्वयन" किया जाता है, और सूचना सुरक्षा पहले रिसाव के बाद ही आती है: व्यवहार में, आपको तुरंत सिस्टम बनाने की आवश्यकता है ताकि यह सुरक्षित हो।

उन्होंने लंबे समय तक रिक्तियों के बारे में बात की । उदाहरण के लिए, एक बड़ा बैंक पूरी तरह से आउटसोर्सिंग में चला गया है। प्रेस विज्ञप्ति में दक्षता, एसएलए, व्यावसायिक चपलता, इत्यादि के बारे में लिखा गया है। व्यवहार में - वे केवल "वॉकर" से थक गए हैं। आईएस के कर्मचारी आए, अप्रत्याशित रूप से पहले से ही उच्च वेतन में वृद्धि के लिए कहा, फिर एक यादृच्छिक क्षण में आया और फिर से अप्रत्याशित रूप से पैसे या कुछ और के लिए कहा गया। जब वे अपनी महत्वाकांक्षाओं को संतुष्ट करते हुए थक गए, तो उन्होंने बस सब कुछ आउटसोर्सिंग पर स्थानांतरित कर दिया।

क्या कंपनी के लिए काम करने के लिए नीचे से "हैकर्स" लेना संभव है? दो उदाहरणों का हवाला दिया गया था - एक एंटीवायरस, उदाहरण के लिए, लोगों को विशेष रूप से पढ़ाने के लिए पसंद करता है, और एक अन्य कंपनी जो कि पेन्टेस्ट में विशेषज्ञता रखती है, "उपभोग्य" को लेती है, क्योंकि कार्य कर्मियों से एकमुश्त हैं। कॉर्पोरेट संस्कृति और वफादारी के साथ समस्याओं का एक बहुत। प्रतिभागियों में से एक का कहना है: "आप जानते हैं, हमारे लिए उन लोगों को स्वीकार करना बहुत मुश्किल था जिनके पास कोई विचार नहीं है कि पियर्सिंग को दर्शकों में कहाँ जाना है।" दूसरी ओर, कई लोग शांति से ऐसे "अजीब" लोगों का अनुभव करते हैं। यहाँ एक अन्य प्रतिभागी के शब्द हैं: “इस तरह के एक लड़के ने हमारे लिए काम किया। किसी को चिंता नहीं थी। उसने दो महीने बाद छोड़ दिया ... हम्म, मैं अब सोच रहा हूं, शायद वह हमारे साथ अपनी समस्या को हल कर रहा था ... " नतीजतन, वे इस निष्कर्ष पर पहुंचे कि अकादमिक सुरक्षा (रक्षा) में विशेष रूप से प्रशिक्षित लोगों (लगभग एपॉलेट्स के साथ) लेना बेहतर है, लेकिन नई दिशाओं में - हां, बेशक, कोई भी "आत्म-सिखाया" से बेहतर हमले का सामना नहीं कर सकता है।

केविन का प्रदर्शन

केविन अब नई पीढ़ी के लिए एक अधिकार नहीं है, लेकिन दूसरी ओर, यह हॉल में इकट्ठा होने वालों के लिए एक ऐतिहासिक आंकड़ा है।



उन्होंने सोशल इंजीनियरिंग के बारे में सामान्य बातें बताईं (हमने पहले से ही टूर्नामेंट की तैयारी के बारे में उनके बारे में बात की थी - यहाँ एक शैक्षिक कार्यक्रम है ), और फिर वह जलने लगा।


यह वह है जो एक सफल सूचना सुरक्षा विशेषज्ञ को दिखना चाहिए: तीन लैपटॉप, एक फोन, दोहरे उपयोग वाले उपकरणों का एक गुच्छा और आसपास सुंदर महिलाएं

सबसे पहले, मैंने सामान्य डेटा संग्रह के बारे में बात की। पारंपरिक कचरा संग्रह और संपर्कों की खोज के लिए सामाजिक नेटवर्क का विश्लेषण जोड़ा गया। केविन लिंक्डइन से प्यार करता है - वहां कंपनी का पूरा ढांचा पूरे दृश्य में है। एक बहुत ही सरल उदाहरण - सभी बिक्री वाले लोग हैं जो अक्सर लैपटॉप के साथ यात्रा करते हैं।

इसके अलावा, उन्होंने कंपनी के खुले दस्तावेजों के मेटाडेटा के विश्लेषण के लिए FOCA - सॉफ्टवेयर दिखाया। उन्होंने एयरोफ्लोट को स्कैन किया और मशीनों पर सॉफ्टवेयर के बुनियादी विन्यास प्राप्त किए, कई दर्जन कर्मचारियों के नाम और आसानी से अपने मेलिंग पते निर्धारित किए।

बायपास करने के लिए कौन से एंटीवायरस की आवश्यकता है? समस्या नहीं है। आप उपयोगकर्ता को कॉल कर सकते हैं और पूछ सकते हैं, लेकिन कूलर को सभी एंटी-वायरस कंपनियों को कॉल करना है और कहना है कि आप 1096 अधिक प्रतियां खरीदना चाहते हैं। हमारे पास पहले से ही आपके साथ एक समझौता है, है ना? 15 कॉल - और आपको पता है कि आपूर्तिकर्ता कौन है।

उन्होंने अलग-अलग सड़क सेब दिखाए - शोषण के साथ पीडीएफ फाइलें, डीओसी फाइलों के लिए एंटी-वायरस प्रोटेक्शन बाईपास, मैजिक स्टार्टअप के साथ फ्लैश ड्राइव (जब उपयोगकर्ता को कुछ भी संदेह नहीं है, लेकिन वह पहले से ही इसे प्रशासित कर रहा है)। Win7 कॉन्फ़िगरेशन पर नवीनतम पैच और निरंतर McAffee स्कैन के साथ सब कुछ दिखाया गया था।

यहाँ उसकी पहचान डिवाइस है। वे कंसोल इम्यूलेशन के माध्यम से काम करते हैं: कोड निष्पादित करने के लिए उपयोग किया जा सकता है। सबसे अच्छा तरीका है कि इसे कीबोर्ड में एम्बेड करें और एक उपहार बनाएं जो कुछ दिनों में सक्रिय हो।



इसलिए उन्होंने "बैंक" कहा - अधिक सटीक रूप से, उनके बॉट ने मेनू से सभी बैंक के वॉयस संदेशों की प्रतिलिपि बनाई, और फिर उन्होंने इसे बंद कर दिया ताकि आईवीआर ने क्रेडिट कार्ड से खाता संख्या और अन्य डेटा दर्ज करने की पेशकश की। लक्ष्य? फ़िशिंग ईमेल में एक IVR कॉपी नंबर का उपयोग करें।



यहाँ वह दिखाता है कि एक कैफे में लोगों का अभिवादन कैसे किया जाता है: उसके बाएं हाथ में उसके बैग में एक्सेस कार्ड का एक स्कैनर है:



यहाँ एक है:



फिर उन्होंने दिखाया कि किसी भी नंबर से एसएमएस कैसे भेजा जाता है (एक पुरानी चाल, लेकिन सामाजिक प्रभाव के लिए उपयोगी) और उसी समय दर्शक से दो नंबर का लालच दिया और फोन पर अपने इनबॉक्स को देखा। इस संक्षिप्त रिपोर्ट में अधिक विवरण हैं।

अंत में, उन्होंने ताले खोलने के लिए उपकरणों के कट आउट सेट के साथ सभी को शांत धातु व्यवसाय कार्ड सौंपे और नौकरी की पेशकश की। यदि आवश्यक हो, तो यहां उसके संपर्क हैं:

अन्त

इस समय, टूर्नामेंट समाप्त हो गया। V0s (व्लाद) एक व्यापक अंतर से जीता - यह वही आदमी है जिसने गर्मियों में ऑनलाइन भाग में पहला स्थान जीता था।



अंतर प्रभावशाली है। सबसे पहले, जूरी ने यह भी तय किया कि पर्याप्त ध्वज नहीं होंगे, और यह आदमी उन्हें समय से पहले ले जाएगा। ऐसा परिणाम दुनिया भर की इकाइयों द्वारा दिखाया गया था, और इंग्लैंड के पर्यवेक्षक बहुत प्रभावित थे।



कुल मिलाकर, 32 लोगों ने खेल में भाग लिया। सभी ने मिलकर 486 झंडे लिए (यह अंतरराष्ट्रीय प्रतियोगिताओं के अनुभव से बहुत कुछ है) और 187.400 अंक अर्जित किए। पूरा होने के तुरंत बाद, कई ने दुनिया भर में निम्नलिखित आईबी टूर्नामेंटों पर चर्चा करना शुरू कर दिया।