"Секретные ссылки", Мегафон, Яндекс и все-все-все

Продолжается тема с "утечками" данных через поисковые машины.

http://www.securitylab.ru/news/406380.php

Всегда возникает вопрос - "А как эта ссылка попала в индекс"

Пока явно видно 4 основных пути:

1. Ошибка северной части Web-приложения (возможно EMS?) которая допускала утечку (индексация директорий, user-friedly поиск а-ля WASC Insecure Indexing). 
2. Сами пользователи, публикующие в открытых источниках "секретные ссылки".
3. Системы сбора статистики, (Yandex-метрика), показа баннеров и другой внешний контент (sms.prm.ru).
4. Расширения браузеров для оптимизации (Яндекс.Бар, Chrome), которые автоматически отдают ссылки на индексацию (Мегафон?).

Понятно, что все эти направления лишь использую недочеты в сайтах, являясь "триггером", выявляющим уязвимости, а подчас и осуществляющим "несанкционированный доступ".

Позитивные вебинары

В четверг запускаем цикл вебинаров, посвященных практической безопасности.
Начнем с материалов Positive Hack Days (http://www.phdays.ru).

Посмотреть расписание и зарегистрироваться можно тут:
http://www.ptsecurity.ru/webinars.asp

Открытое письмо Президенту от Челябинских Хакеров

К общей моде писать открытые письма присоединились Челябинские Хакеры.
В фокусе - 152 ФЗ "О персональных данных".

http://www.securitylab.ru/opinion/406342.php

Я посмеялся от души.

Презентации с Positive Hack Days

Опубликованы долгожданные презентации с Positive Hack Days.

Ссылки:
http://phdays.ru/program-business2011.asp
http://phdays.ru/program-tech2011.asp
http://phdays.ru/master-classes2011.asp

Мировая гонка кибервооружений

Передача "Угол зрения" на канале Эксперт

Каковы реальные размеры киберпреступности в России и в мире? Какие опасности таят себе в компьютерные технологии? Каким образом возможно наладить правовое регулирование в этой сфере?

http://expert.ru/2011/06/20/ugol-zreniya/

Казань: IT & Security Forum 2011

Волею судеб посетил  форум IT & Security Forum 2011, проходивший в Казани.
 http://www.itsecurityforum.ru/2011/about 

Неплохое мероприятие, организация, программа - все на высоте.
Делал доклад "по следам" Positive Hack Days.

IT & Security, Russian Hackers

View more videos from qqlan.

PS. Третий раз в Казани, третий раз на день,  и третий раз осматриваю город из окна машины. Пора уже выбраться в качестве туриста.

Немного о Positive Hack Days (обновлено опять)

О PHDays III
http://sgordey.blogspot.ru/2013/05/phdays-iii_27.html/http://sgordey.blogspot.ru/2013/05/phdays-iii-write-ups.html

О PHDays 2012
http://sgordey.blogspot.ru/2012/06/phdays.html

Публикации и отзывы коллег

+1 Михаил Емельянников
http://emeliyannikov.blogspot.com/2011/07/blog-post_08.html

+1  Галина КИРИЛЛОВИЧ, "ВиД"
 http://www.e-vid.ru/index-m-192-p-63-article-37831.htm

ESET
http://www.lenta.ru/news2/2011/06/07/eset/


The exposed Tesshi
http://d.hatena.ne.jp/tessy/20110601/1306914044

+1 PPP Team
http://ppp.cylab.cmu.edu/wordpress/?p=504

+1 Предварительный фотоотчет
http://phdays.blogspot.com/2011/05/blog-post.html

+1 0x416d73
 http://0x416d73.name/articles/58

+1 Награждение Никиты Тараканова и   Александра Бажанюка
http://www.youtube.com/watch?v=RqVyke4Ey8U 

и другие видео
http://www.youtube.com/user/positivehackdays

+1 А. Циберман
http://www.securitylab.ru/opinion/405764.php

+1 Cisco
http://www.cisco.com/web/RU/news/releases/txt/2011/052711.html

+1 Евгения Поцелуевская
http://melkiy-poc.livejournal.com/27507.html 

+1 BIOS CTF Team
http://x86overflow.blogspot.com/2011/05/phdays-ctf-ndevice-partial-writeup.html

+1 Валерий Коржов (Computerworld Россия)
http://www.osp.ru/news/articles/2011/5/13008783/

+1 L33M0RE
http://www.kscomp.org/index.php?id=46

+ 1 PPP Team Photo
http://copyfighter.org/phd/

+1 @Astera & CNews
http://www.cnews.ru/news/line/index.shtml?2011/05/25/441422
http://www.astera.ru/news/?id=85294

+1 Валерий Васильев (PCWEEK)
http://www.pcweek.ru/security/article/detail.php?ID=131458

+1
LETA IT
http://www.leta.ru/press-center/events/id_69.html

+1 Алексей Бабенко (SmokedChicken)
http://arekusux.blogspot.com/2011/05/phd-ctf.html

+1
Александр Гостев
http://www.securelist.com/ru/blog/207760897/Forum_PHDays 



РИА Новости
http://www.rian.ru/science/20110519/376879684.html

SecurityLab
http://www.securitylab.ru/news/405675.php



Евгений Царев
http://www.tsarev.biz/innovation/positive-hack-days-poslevkusie/

Андрей Петухов
http://andrepetukhov.wordpress.com/2011/05/22/пару-слов-за-positive-hack-day-2011/

Владимир Воронцов
http://oxod.ru/?p=286

Александр Бажанюк
http://abazhanyuk.com/?p=209

Александр Матросов
http://amatrosov.blogspot.com/2011/05/phd.html

Алексей Лукацкий
http://lukatsky.blogspot.com/2011/05/positive-hack-days.html

Сергей Гордейчик
http://sgordey.blogspot.com/2011/05/positive-hack-days_22.html

Twitter
http://twitter.com/?q=phdays#!/search/phdays


Вести 24
http://www.vesti.ru/videos?vid=338030&cid=700




Совместная с Юрием Гольцевым презентация с секции "Безопасность в облаках"

{ab}use their clouds

View more presentations from qqlan.

Было круто!

Будет круче!

Что я узнал за время подготовки Positive Hack Days?

Чем отличается грузчик от системного инженера?
Грузчик только донесет hardware до места,
Системный инженер донесет...

спроектирует...

подготовит коммуникации...

настроит...

и запустит!

Что легче, килограмм свитчей или килограмм виски?

Одинаково, но виски нести приятней!



Сколько кофеина в различных формах можно выпить за двое суток?
Сколько есть.





Чем страшны инсайдеры с фотоаппаратом?
Без комментариев.

Экстренный патчинг через SMS - миф или реальность?
Реальность!

Что думаю сертифицированные эксперты Cisco о SOHO рутерах D-link?
Ути-пути!


Что можно найти на салфетках?
Много, много всего...

Какая картинка раздражает?..


а какая радует!..



Можно ли в 3 часа ночи найти в Москве патч-корды?!
Легко!

Чем развлечь себя после 12 ночи?

Заклеить конверты с заданиями PHD CTF.


Что можно сделать за час до открытия?
Проинструктировать ведущего и переводчиков...

Подключить купленные ночью патчи...

Дописать презентацию для мастер-класса по VOIP...

Вымыть полы...

Наконец-то настроить все видео в залах...

Выдохнуть...


Встретить гостей!

PHD IS WOW!!!

Battle for Monolith

Полным ходом идет подготовка к одному из центральных событий Positive Hack Days 2011 - командным соревнованиями по защите информации PHD CTF 2011.
В этом году соревнования пройдут под кодовым названием:

Cyber Wars
Battle for Monolith

Про должная традицию, заложенную на Ruscripto CTF 2010 подходим к CTF не как к набору разрозненных задач, но как к реальной ситуации, элементы которой мы черпаем из своего опыта работ по оценке защищенности.
В прошлом году игрокам CTF пришлось побывать в шкуре ИТ-директора компании "Пицца Коза Ностра" пытающемуся предотвратить крах ИТ-зависимого бизнеса в условиях жесткой и невсегда легальной конкурентной борьбы.
В этом году командам придется примерить форму капитана войск связи, сражающемуся на полях кибернетической войны за управление Монолитом внеземного происхождения. Генератором, обеспечивающим производство 90% всей энергии, потребляемой землянами.
Правда Монолит не генератор вовсе. И не монолит... Но об этом - 19 мая, в 17:45. Не раньше.

Не смотря на фантастический оттенок легенды, задачи CTF взяты из реальной жизни. Это то, с чем приходится сталкиваться атакующим и защитникам каждый день. И по сути - PHD CTF 2011 это полевые учения.

Немного фактов о соревновании¹:

10 команд - 50 участников
Россия
США
Индия
Европа
Более 20 систем и приложений
Web-сайты
SCADA
Серверы и рабочие станции
Специализированные сетевые приложения
Сетевая инфраструктура
Более 100 уязвимостей и заданий
Более 10 изменений в сети
Темы заданий
computer forensics
web application security
WAF management
blackbox vulnerability assessment and mitigation
whitebox vulnerability assessment and mitigation
reverse engineering
network infrastructure security
SCADA security
logs and traffic analysis
Призовой фонд
1 место $5.000
2 место $3.000
3 место $2.000

¹ Внимание! Команда создателей PHD CTF настоятельно рекомендует участникам иметь с собой на соревнованиях дополнительный мозг!

0day для SCADA на Positive Hack Days

Юрий Грукин из Gleg на PHD представит 0-day для CoDeSyS ENI Server.

Специально для Positive Hack Days!

Программа Positive Hack Days 2011

Опубликована финальная программа PHD 2011

Конференция, проходящая в рамках форума, сформирована из трех основных частей:
- бизнес-семинаров
- технических семинаров
- практических мастер классов

Полная программа форума доступна по ссылке: http://phdays.ru/Программа%20PHD%202011.pdf.

Описание секций и выступлений: на сайте (http://phdays.ru/master-classes.asp).

Напоминаю, что будет организованна онлайн-трансляция, поэтому у всех будет возможность посетить мероприятие online.

PHD приближается!

Осталось немногим более 20 дней до 19 мая.

Окончательно сформирована программ мастер-классов и технических семинаров.

Ознакомится с ними можно по следующим ссылкам:

http://phdays.ru/program-tech.asp

http://phdays.ru/master-classes.asp

Много, много интересного.

От PT будут крайне занимательные доклады по боевому использованию DNS Rebinding (будем ломать ESX в режиме реального времени), VOIP, сетевой инфраструктуре.

Юрий Гуркин грозится принести свежий 0-day для SCADA, а Александр Терешкин (ex-Invisible Things Lab) продемонстрировать недостатки системы полнодискового шифрования PGP....

Да... PHD хотят все!

Опрос экспертов по регулированию в сфере безопасности

Опубликован в CIO под громким названием "Безопасность и закон".

Ваш покорный слуга тоже что-то ляпнул авторитетно прокомментировал этот актуальный вопрос.

Полный текст:

http://www.ibusiness.ru/10853

Эгегей - Positive Hack Day!

Давно не писал.

Теперь могу сказать, почему.

Кроме работы был занят подготовкой PHD - принципиально нового для России мероприятия по информационной безопасности.

Ссылка:

http://www.phday.ru/

Миссия PHD — объединить хакеров и компании ИБ-индустрии, чтобы они смогли понять, насколько они нужны друг другу. На Форум приглашены: самые продвинутые знатоки из России, Европы, США и Китая, представители ведущих российских и зарубежных ИТ-компаний, независимые эксперты.

В программе PHD

- конкурсы по анализу защищенности, взлому и защите всего, что возможно и невозможно взломать и защитить;

- мастер-классы от известных практиков, где можно будет увидеть, насколько реально защитить свои ресурсы от злоумышленников;

- круглые столы с участием ведущих отечественных и зарубежных экспертов рынка по сложнейшим вопросам информационной безопасности;

- командные соревнования PHD CTF 2011.

Будет круто.

Истинная цена Compliance

Цитата

Расходы организаций, не соблюдающих правила информационной безопасности, в среднем превышают расходы организаций, их соблюдающих, в 2,65 раза, подсчитали аналитики из Ponemon Institute.

http://hitech.newsru.com/article/02feb2011/moresafe

http://www.tripwire.com/ponemon-cost-of-compliance/pressKit/True_Cost_of_Compliance_Report.pdf

Смело заявление. Надо покурить методику.

Чем больше смотрю телевизор, тем меньше понимаю ..

...зачем он существует. Из 6-часовых съемок нарезали 20 секунд вспышек.

военная тайна 15-01-2011 from devteev on Vimeo.

Зачем запрещать Skype?

Интересная новость о рекомендациях по запрете Skype и открытых служб электронной почты в подразделениях правительства Свердловской области.

Подробности:

http://www.rian.ru/technology/20110113/321205530.html

ЗЫ. Поможет ли это от "сливов"? Неа. Но глупых "случайностей" может быть меньше. Если, конечно, контролировать исполнение запрета.

272 или не 272?!

Интересный казус рассматривается тут.

Цитирую:

... Некий сайтовладелец отписал в местном форуме предложение посмотреть его новый сайт. .... А герой нашего рассказа решил проверить этот ресурс на уязвимости.
Долго искать дыру ему не пришлось. Сайт оказался сделан на распространённом движке (CMS), а доступ в его административный интерфейс был закрыт дефолтным паролем...

Наш герой поступил так, как ему подсказала совесть. Сменил дефолтный пароль на новый (чтоб закрыть уязвимость) и написал сайтовладельцу сообщение об этом...

Cайтовладелец немедля пишет заявление в милицию, и там возбуждают уголовное дело по ст.272. Неправомерный доступ к охраняемой законом компьютерной информации....

Ситуация неприятная, но понятная. Некто сглупил сменив пароль, некто повел себя как ..., в общем суд.

В блоге Infowatch разгорается полемика по вопросу - 272 или не 272. Чистая манипуляция имхо. Потому как 272. Если читать текст статьи а не только название, то ...

Неправомерный доступ к охраняемой законом компьютерной информации,
то есть информации на машинном носителе, в электронно-вычислительной машине
(ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование,
модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ
или их сети

Модификация и блокирование на лицо.

HackQuest 2010 закончен!

В конкурсе приняло участие более 750 специалистов из 20 стран мира, включая Россию, Китай, Украину, Казахстан, Германию, США.

По итогам соревнования, среди участников, которые успешно справились со всеми заданиями, лидерами являются следующие участники:

• rdot.org (первое место);
• Andrey1800 (второе место);
• nucro (третье место).
  

Примечательно также и то, что шесть из восьми победителей соревнования – из России, а двое из Украины.

Подробности:
http://devteev.blogspot.com/2010/12/hq2010.html
http://www.securitylab.ru/contest/403763.php

Огромное спасибо всем, кто приложил к конкурсу свою руку, голову и кошелек!
Хвала победителям!
И естественно - спасибо участникам!

Борьба с мошенничеством в сфере высоких технологий

Вчера посетил конференцию "Борьба с мошенничеством в сфере высоких технологий".

http://antifraudrussia.ru/

Получилось достаточно живо, и "по теме".

Mobile telecom technical fraud

View more presentations from qqlan.

Жду комментариев