REG.RU से सुरक्षा ऑडिट - यह क्या है और इसकी आवश्यकता क्यों है?

परिचय

आधुनिक दुनिया में सूचना क्षेत्रों, समाज के सभी क्षेत्रों के वैश्वीकरण और कम्प्यूटरीकरण में बहुत तेजी से विकास होता है। सूचना प्रौद्योगिकी हमारे जीवन में दृढ़ता से निहित है - दुनिया की अधिकांश आबादी काम, प्रशिक्षण, खेल और मनोरंजन के लिए लगभग लगातार इंटरनेट का उपयोग करती है। यह स्वाभाविक रूप से सभी संभव सेवाओं के विमुद्रीकरण पर जोर देता है। नतीजतन, प्लास्टिक कार्ड का उपयोग करके लेनदेन पर खर्च किए गए समय की कुल राशि रैखिक रूप से बढ़ जाती है: खरीदे गए सामानों के लिए कैशलेस भुगतान, ऑनलाइन बैंकिंग सिस्टम में लेनदेन, विदेशी मुद्रा और सेवा प्रदाताओं के साथ अन्य भुगतान लेनदेन। तदनुसार, "वेब स्पेस" का विस्तार हो रहा है, जिसमें कार्ड के मालिकों और अन्य प्रमाणीकरण डेटा के बारे में जानकारी है।

इंटरनेट के माध्यम से अंतिम उपयोगकर्ता के लिए उपलब्ध सेवाओं की संख्या और विविधता में वृद्धि सीधे धोखाधड़ी के लिए क्षेत्र के विस्तार के लिए आनुपातिक है। विचाराधीन समस्या के संदर्भ में, हमलावरों द्वारा किए जाने वाले मुख्य प्रकारों को इस प्रकार परिभाषित किया जा सकता है:

• सेवा प्रदाता हमला
• एंड यूजर अटैक

अंतिम उपयोगकर्ता पर हमले की स्थिति में, साइबर अपराधियों के खिलाफ लड़ाई मुख्य रूप से क्लाइंट सॉफ़्टवेयर स्थापित करके की जाती है जो सुरक्षा आवश्यकताओं को पूरा करता है और उपयोगकर्ता को संभावित खतरों के बारे में सूचित करता है। जब हमले का उद्देश्य विक्रेता पर होता है, तो जटिल सुरक्षात्मक उपाय आवश्यक होते हैं, जिनमें से एक विशेष चरण घुसपैठ की रोकथाम है। घुसपैठ की रोकथाम की इस महत्वपूर्ण भूमिका को इस तथ्य से समझाया जा सकता है कि गोपनीय डेटा के एक हिस्से का रिसाव और घुसपैठियों द्वारा इसके उपयोग से सेवा प्रदाता और अंतिम उपयोगकर्ता दोनों के लिए महत्वपूर्ण वित्तीय नुकसान होता है। इसलिए, सेवा हैकिंग के जोखिम को कम करने के लिए, ऑपरेशन में रुकावट, डेटा रिसाव, साथ ही संसाधन की प्रतिष्ठा को बनाए रखने के लिए, सूचना सुरक्षा ऑडिट करने की सिफारिश की जाती है।

सूचना सुरक्षा ऑडिट क्या है?

"सूचना सुरक्षा ऑडिट" की अवधारणा अपेक्षाकृत हाल ही में दिखाई दी। फिर भी, वर्तमान में, सूचना सुरक्षा ऑडिटिंग सूचना प्रणाली सुरक्षा के क्षेत्र में रणनीतिक और परिचालन प्रबंधन के सबसे अधिक प्रासंगिक और गतिशील रूप से विकासशील क्षेत्रों में से एक है और विशेषज्ञों के लिए निरंतर रुचि है। इसका मुख्य कार्य कंपनी की सूचना सुरक्षा (आईएस) की वर्तमान स्थिति का मूल्यांकन करना है, साथ ही साथ आर्थिक गतिविधि की दक्षता और लाभप्रदता बढ़ाने के लिए व्यवसाय के लक्ष्यों और उद्देश्यों के लिए इसकी पर्याप्तता है। इसलिए, एक कॉर्पोरेट प्रणाली की सूचना सुरक्षा का एक ऑडिट आमतौर पर कुछ मानदंडों और सुरक्षा संकेतकों के अनुसार एक कंपनी में सूचना सुरक्षा की वर्तमान स्थिति के उद्देश्य गुणात्मक और मात्रात्मक आकलन प्राप्त करने की एक व्यवस्थित प्रक्रिया के रूप में समझा जाता है। ऐसा माना जाता है कि किसी कंपनी की सूचना सुरक्षा के योग्य ऑडिट के परिणाम आपको कॉर्पोरेट सुरक्षा प्रणाली बनाने की अनुमति देते हैं जो दक्षता और लागत के मामले में इष्टतम है, वर्तमान कार्यों और व्यावसायिक लक्ष्यों के लिए पर्याप्त है।

इस प्रकार, एक सूचना सुरक्षा लेखा परीक्षा (आईएस) की संक्षिप्त परिभाषा दी जा सकती है:
सूचना सुरक्षा ऑडिट सूचना सुरक्षा के लिए खतरों का सफलतापूर्वक मुकाबला करने की संसाधन की क्षमता का परीक्षण है।

IS ऑडिट की जरूरत किसे है?

सभी कंपनियों को सफलता के लिए लक्ष्य। हैक किए गए साइटों पर एक सफल व्यवसाय नहीं बनाया जा सकता है। उपयोगकर्ता के आत्मविश्वास का स्तर तुरंत गिर जाता है और संसाधन की उपस्थिति कम हो जाती है। नतीजतन, बिक्री गिर जाती है, ग्राहकों की संख्या घट जाती है, वित्तीय नुकसान होता है। यह देखते हुए कि अब सभी इंटरनेट संसाधन हमलावरों के लिए रुचि रखते हैं (धोखेबाज समान रूप से हैकिंग संसाधनों में रुचि रखते हैं, जिसमें प्लास्टिक कार्ड, पासपोर्ट विवरण, पासवर्ड, खाते, आदि के बारे में जानकारी होती है, और भविष्य में संदिग्ध उद्देश्यों के लिए उपयोग की जाने वाली साइटें हैकिंग: मेलिंग स्पैम, ब्लैक एसईओ के लिए उपयोग, एक बोटनेट बनाने, आदि), आईएस ऑडिट पैसे की बर्बादी नहीं है, लेकिन स्थिरता में एक निवेश है।

लोकप्रिय क्यों नहीं?

ज्यादातर मामलों में, सेवा की वास्तविक जरूरत की एक गलतफहमी के कारण। अधिकांश कंपनियां सिस्टम से समझौता करने की संभावना के लिए "सिर्फ" चेकिंग के लिए बहुत पैसा देने के लिए तैयार नहीं हैं। ऐसा इसलिए है क्योंकि मालिकों को हैकर के खतरों की संख्या और सीमा के बारे में सूचित नहीं किया जाता है। अक्सर सिद्धांत का उपयोग करते हुए "हर बादल में गरज नहीं है; और गरज, यह हड़ताल नहीं करते; लेकिन यह हड़ताल करेगा, लेकिन हमारे लिए नहीं; और हमारे लिए, शायद यह मार नहीं सकता! ”, कंपनियां सुरक्षा के बारे में तभी सोचना शुरू करती हैं, जब सिस्टम पहले से ही समझौता कर लेता है और गंभीर क्षति हो जाती है। लेकिन दूसरों की गलतियों से निष्कर्ष सीखना और आकर्षित करना बेहतर है, इसलिए निम्नलिखित कुछ वास्तविक जीवन उदाहरण हैं जहां एक आईएस ऑडिट नसों और धन को बचा सकता है।

एक निश्चित देश के मंत्रालयों में से एक की साइट

कहानी 3 साल पहले हुई थी जब प्रवेश के लिए एक राज्य वेब संसाधन का परीक्षण किया गया था। साइट के पहले निरीक्षण में, PHP- इंजेक्शन के प्रकार की भेद्यता का पता चला था - अर्थात, सभी लिंक अन्य PHP पृष्ठों को शामिल करने के द्वारा आयोजित किए गए थे, जिनमें से नाम एक जीईटी अनुरोध द्वारा प्रेषित किया गया था। सर्वर सेटिंग्स को भी सुरक्षित नहीं कहा जा सकता है - महत्वपूर्ण सिस्टम फ़ाइलों तक पहुंच थी mq = off, allow_url_fopen = On, जो पहले से ही महत्वपूर्ण जानकारी पढ़ने के लिए पर्याप्त थी, और फिर सर्वर तक पूर्ण पहुंच प्राप्त की।
इस तरह के अनुरोध ने वेब सर्वर लॉग को पढ़ना आसान बना दिया है:
www.xxx.gov/main.php?query=../../../proc/self/fd/2%00
जैसा कि बाद में पता चला, सादे PHP कोड को दोष देना था:

 <?php ... $query = $_GET['query']; if(isset($query) && !empty($query)) { require($query.»php»); } ?> 

भेद्यता को खत्म करने के लिए, फ़ाइल के अस्तित्व के लिए चर की जांच करने की सिफारिश की गई थी, विशेष वर्णों का पता लगाने के लिए स्ट्रैपब्रैक फ़ंक्शन का उपयोग करें - " /। \ " ? ", वेब / proc / self / के तहत पढ़ने से निषेध, php.ini में सेटिंग: magic_quotes_gpc = on , allow_url_fopen = Off।

ऐसा लगता है कि संरक्षण पहली प्राथमिकताओं में से एक होना चाहिए, क्योंकि यह कल्पना करना आसान है कि राज्य की वेबसाइट की हैकिंग क्या होती है। स्थानीय नेटवर्क में प्रवेश, उन कंप्यूटरों तक पहुंच प्राप्त करना जो जानकारी संग्रहीत करते हैं, उदाहरण के लिए, विशेषज्ञों के लाइसेंस प्राप्त परीक्षण (सीआरसी, बाहरी स्वतंत्र मूल्यांकन, आदि के लिए प्रतिक्रिया कुंजी) के बारे में। फिर, शायद, सभी उच्च शिक्षा संस्थानों को प्रमाण पत्र की प्रामाणिकता की आवश्यकता होती है, और इसलिए भविष्य के डॉक्टरों की योग्यता, आदि को सवाल पर बुलाया जाएगा।

इलेक्ट्रॉनिक कॉमर्स

अधिक से अधिक मनोरंजन संसाधन अपनी स्वयं की खेल मुद्रा का उपयोग करते हैं, जिसे वास्तविक धन में परिवर्तित किया जा सकता है। जब इन साइटों में से एक की पैठ परीक्षण करते हैं, तो आउटपुट के साथ एक SQL इंजेक्शन को त्रुटि के आधार पर पाया गया था।

साइट का सार यह था कि आपके पास एक कार है, आप दौड़ की व्यवस्था करते हैं, कारों में सुधार करते हैं, आदि। इनमें से कुछ परिचालनों में खाता शेष में निवेश की आवश्यकता है। जाँच के दौरान, पूरे डेटाबेस संरचना को SQL इंजेक्शन के माध्यम से प्राप्त किया गया था, निर्देशिका स्कैनर ने स्थापित जूमला सामग्री प्रबंधन प्रणाली के साथ साइट के पुराने या परीक्षण संस्करणों का पता लगाया। साइबर अपराधियों की गतिविधियों का अनुकरण करने के लिए, जूमला से पासवर्ड हैश सभी एक ही भेद्यता के माध्यम से प्राप्त किए गए थे, उन्हें एक क्रूड ब्रूट बल द्वारा सफलतापूर्वक उठाया गया था, और जूमला व्यवस्थापक केंद्र में "php-shell" डाउनलोड के माध्यम से सर्वर तक पहुंच प्राप्त की गई थी। नतीजतन, डेटाबेस तक पहुंच के लिए पासवर्ड भी प्राप्त किए गए थे, जो धन के वास्तविक हस्तांतरण के बिना खातों के संतुलन को प्रबंधित करने की क्षमता प्रदान करता था। बैलेंस शीट का आयोजन बहुत सरलता से किया गया था:



इसके अलावा, पासवर्ड खुले रखे गए थे।

भेद्यता तय करने की सिफारिशें इस प्रकार थीं:
• mysql_real_escape_string के साथ प्रक्रिया इनपुट पैरामीटर;
• त्रुटि आउटपुट को अक्षम करें;
वेब (पुराने संस्करण, डंप, परीक्षण स्क्रिप्ट आदि) से सुलभ "उपयोगी" निर्देशिकाओं को न छोड़ें;
• साइटों के परीक्षण संस्करणों पर भी पासवर्ड सेट न करें जो शब्दकोशों में हो सकते हैं;
• एक अपरिवर्तनीय एन्क्रिप्शन एल्गोरिथ्म के साथ पासवर्ड प्रोसेस करें।

अदृश्य खतरा

हैक किए गए सर्वरों में से एक का विश्लेषण करते समय, एक विशिष्ट स्रोत के बिना साइटों पर आई-फ़्रेम कोड की शुरूआत नोट की गई थी। सर्वर पर फाइलें अखंडता को बनाए रखती थीं, उनकी सामग्री नहीं बदली जाती थी, लेकिन साइट उपयोगकर्ताओं के लिए दुर्भावनापूर्ण कोड "फेंक दिया गया" था। एक विशेषता विशेषता बिल्कुल सभी सर्वर साइटों पर दुर्भावनापूर्ण कोड की आकस्मिक उपस्थिति थी:



इसके लिए दोष अपाचे मैलवेयर मॉड्यूल - डार्कलीच था, जिसने वेब सर्वर के दिए गए पृष्ठों में कोड की कुछ पंक्तियों को जोड़कर "पारदर्शी" द्वारा मैलवेयर वितरित किया। मॉड्यूल के भौतिक नाम थे: mod_spm_headers.so, mod_spm_mem.so, mod_log.so और mod_security.so।
Httpd.conf में एक पंक्ति थी:
LoadModule spm_headers_module modules/mod_spm_headers.so

एक्सेस लॉग के लिए सर्वर पर कमजोर लिपियों की खोज की गई जिसके माध्यम से हैकिंग हुई, मैलवेयर मॉड्यूल अक्षम हो गए और स्थानीय रूट कारनामों का उपयोग कर संदिग्ध हमलावरों के कारण ऑपरेटिंग सिस्टम के कर्नेल को अपडेट किया गया।

यह एक बार फिर एक वेब संसाधन के व्यापक संरक्षण कार्य के महत्व की पुष्टि करता है, न कि केवल स्रोत कोड के संरक्षण की, जो सूचना सुरक्षा का पूरा लेखा-जोखा प्रदान करता है।

कितना खर्च होता है?

अधिकांश मामलों में आईएस ऑडिट की लागत अभी निर्धारित नहीं की जा सकती है - यह सब काम की प्रकृति (प्रोग्रामर त्रुटियों से सामाजिक इंजीनियरिंग के लिए - क्या कमजोरियों का निर्धारण किया जाता है) पर निर्भर करता है। इसके अलावा, कुछ कंपनियां पाई गई समस्याओं की संख्या, विश्लेषण कोड की लाइनों की संख्या और परिणाम (रिपोर्ट, वीडियो रिपोर्ट, उन्मूलन के लिए सिफारिशें, अतिरिक्त परामर्श) प्रस्तुत करने के लिए फार्म के आधार पर गणना करती हैं। लेकिन औसतन, कीमतें $ 100 से शुरू होती हैं। एक ही समय में, काम की ऐसी लागत या तो उन कंपनियों के लिए विशिष्ट होती है, जिन्होंने अभी-अभी बाजार में प्रवेश किया है और प्रमाणित विशेषज्ञों और ऑडिट मानकों के बिना या शौकिया टीमों के लिए काम करते हैं, जिसमें मुख्य रूप से पूर्व ब्लैक-हैट या अनप्रोफेशनल सूचना सुरक्षा विशेषज्ञ शामिल हैं। बेशक, यह तर्क नहीं दिया जा सकता है कि ऐसी कंपनियों से संपर्क करते समय, काम खराब तरीके से किया जाएगा, लेकिन जब गोपनीय जानकारी और सुरक्षा की बात आती है, तो पेशेवरों पर भरोसा करना बेहतर होता है।

इस मामले में, कीमतें पहले से बहुत अलग होंगी - टैरिफ के आधार पर $ 300-500 से $ 5000 तक। उदाहरण के लिए, REG.RU में, इन सेवाओं की कीमतें इस प्रकार हैं: 25,000 रूबल। "बजट" टैरिफ के लिए और 150 000 रूबल से। "कॉर्पोरेट" (https://www.reg.ru/web-sites/security-audit/#prices) के लिए। महत्वपूर्ण स्थानों की पहचान करने और व्यापक सुरक्षा उपायों की शुरुआत के साथ-साथ आक्रामक सुरक्षा प्रमाणित पेशेवर (OSCP) और प्रमाणित व्यावसायिक प्रवेश परीक्षक (ECPPT) प्रमाणपत्रों के साथ विशेषज्ञों की उच्च योग्यता के क्रम में सिस्टम के सभी हिस्सों के बहु-विश्लेषण के कारण इस तरह की उच्च कीमत है।

निष्कर्ष

" REG.RU में साइट सुरक्षा ऑडिट " सेवा का आदेश क्या देता है?

• सूचना प्रणाली की वर्तमान स्तर की सुरक्षा का विवरण और मूल्यांकन;
• सूचना प्रणाली के संसाधनों के संबंध में आंतरिक और बाहरी खतरों की संभावना से जुड़े जोखिमों का विश्लेषण;
• संभावित हमलावर का एक मॉडल तैयार करना;
• सूचना सुरक्षा के तकनीकी, संगठनात्मक घटक पर सिफारिशें (कोड में कमजोरियों को समाप्त करना, सूचना सुरक्षा नीतियों का विकास)
• सूचना सुरक्षा प्रणालियों में निवेश का अधिकतम लाभ उठाना;
• पुष्टि की जाती है कि आंतरिक नियंत्रण संगठन के उद्देश्यों के अनुरूप हैं और व्यावसायिक दक्षता और निरंतरता को सक्षम करते हैं।
• सूचना सुरक्षा प्रणालियों में निवेश का औचित्य।

हैक की गई साइटों के अधिकांश मालिकों को अपने संसाधन पर घुसपैठ का संदेह नहीं था। इस मुद्दे पर ज्ञान की कमी के कारण कुछ व्यवस्थापकों ने घुसपैठ का पता लगाने के दौरान कोई कार्रवाई नहीं की, यदि साइट का कोई भी उल्लंघन नहीं हुआ। सुरक्षा ऑडिट साइट की सुरक्षा के बारे में वस्तुनिष्ठ जानकारी प्रदान करने में सक्षम है, जो संसाधन के मालिक को अपने व्यवसाय और व्यावसायिक प्रतिष्ठा को खतरे में नहीं डालने देगा। आखिरकार, किसी भी संगठन को अपने व्यक्तिगत डेटा पर भरोसा करते हुए, उपयोगकर्ताओं और भागीदारों को भरोसा है कि यह उनकी गोपनीयता सुनिश्चित करने में सक्षम होगा।