– Некорректная конфигурация базы данных. На сайте публиковались так называемые «подсмотренные» фото женщин, которые не подозревали, что их фотографируют. Примечательно, что среди утекших данных были обнаружены адреса электронной почты и IP, относящиеся к военным ведомствам и государственным органам как нашей империи, так и некоторых наших союзников.

– Что еще утекло?

– Логины, пароли, даты рождения и некоторые логи сайта, такие как «дата регистрации», «дата последней публикации», «репутация». Финансовой информации среди этих данных обнаружено не было.

– Ого! Но, вероятно, это не все?

– Увы, нет. Наиболее печально то, что среди похищенных данных находились адреса электронной почты, зарегистрированные в зонах. gov и. mil, что может привести к шантажу чиновников и военных.

– Согласен, это чрезвычайно важно. Вы уже сообщили руководителям этих пользователей о необходимости срочно сменить почтовые адреса? А скомпрометированные поставить на контроль?

– Безусловно.

– Придется еще раз напомнить пользователям о запрете использования корпоративных почтовых ящиков в личных целях!

Увы, эта история состоялась на самом деле. Персональные данные почти 180 тыс. пользователей подпольного сайта «для взрослых» The Candid Board попали в сеть из-за некорректно сконфигурированной базы данных. Примечательно, что среди утекших данных были обнаружены адреса электронной почты и IP, относящиеся к военным ведомствам и госорганам США, Великобритании и Австралии.

Сказки о безопасности: Как агентов раскрыли

– Иоганн! Приезжайте скорее! Машина за вами уже вышла! Ваши ведущие специалисты тоже оповещены! Все отозваны из отпусков! У нас ЧП! Вернее, даже не так. У нас беда! В силовых структурах объявлена высшая степень готовности! На моей памяти такого еще не было! Всем рекомендовано прервать отпуска и прибыть к месту службы. Охране объектов выдано автоматическое оружие, а всем агентам обязательно носить с собой личное оружие. Вернее даже не только агентам, а всем сотрудникам, включая вспомогательный персонал.

– Да что случилось, Мари!

– Не знаю, шеф! Машина уже должна подъезжать к дому. Да! Учтите, вы поедете не в департамент, а на объект «Озеро»!

– Понял, выезжаю.

Прошло полчаса.

– Итак, господа, у нас чрезвычайное происшествие. В Интернете обнаружена база данных, содержащая более 250 тыс. имен, фотографий, домашних и электронных адресов агентов департамента имперской безопасности. Кроме того, там же находятся данные о членах их семей, о состоянии их карточных и банковских счетов, номера автомобилей и номера их рабочих, домашних и мобильных телефонов. Кроме того, на этом сервере обнаружены копии 160 тыс. файлов из внутренней системы ведения дел и расследований.

Это самая грандиозная утечка данных! Император в бешенстве. От нас ждут ответа, получил ли кто-либо кроме исследователей безопасности из фирмы А доступ к этим данным.

– Шеф, как давно они обнаружили утечку?

– Позавчера.

– А при каких обстоятельствах?

– Абсолютно случайно, в том-то и дело. База данных обнаружена на домашнем сервере в облаке. Сервер принадлежит одному из разработчиков департамента имперской безопасности. Это его домашний сервер!

– Погодите, правильно ли я понимаю, что он вынес все эти данные домой???

– Абсолютно верно! Официальная причина – он хотел усовершенствовать некоторые свои программы и работал с ними дома.

– Вызовите ко мне руководителя отдела разработки, начальника службы ИБ этого департамента и начальника службы ИТ. И пригласите присутствовать на беседе директора департамента! Безобразие какое! Они что, не контролируют внешние устройства? Не контролируют копирование совершенно секретной информации? Они что, не понимают, что они делают?

– Судя по всему, именно так!

– Марк, вы возглавите расследование. Полномочия у нас с вами самые широкие. Император уже подписал приказ.

Прошло две недели.

– Иоганн, вы будете удивлены, но лица, скопировавшие всю эту информацию, реально хотели сделать как лучше и не планировали ее продавать или предоставлять к ней доступ кому-то другому. Они просто стремились усовершенствовать свое же программное обеспечение!

– Ужасно. Вот уж действительно, дорога в ад вымощена благими намерениями. Нам с вами придется самим заняться построением системы информационной безопасности этого департамента.

– Но у нас нет столько людей.

– Придется привлекать студентов старших курсов Академии, а куда деваться?

Увы, похожая история произошла в Department of Homeland Security, США. Согласно документам, полученным в мае USA TODAY, на домашнем (!) сервере сотрудника DHS была обнаружена конфиденциальная персональная информация 246 тыс. сотрудников этого ведомства.

Кроме того, на этом же сервере обнаружены копии 159 тыс. файлов из внутренней системы ведения дел и расследований генеральной прокураторы.

Сказки о безопасности: Говорящий мусор

Это утро в полицейском участке началось с того, что капитан собрал детективов и задал им вопрос.

– Коллеги, доброе утро! У нас проблема. Нам нужно как можно быстрее собрать максимально полную информацию о жителях дома 17 на 5-й улице. Это частный одноэтажный коттедж. Мы не знаем, сколько в нем проживает людей. Мы не знаем, мужчины это или женщины. Фактически мы ничего не знаем. Ваши предложения?

– Попробовать поискать что-то в социальных сетях?

– Поговорить с соседями?

– Оба предложения не подходят. В социальных сетях люди не пишут свой почтовый адрес. Говорить с соседями – нельзя, мы вспугнем их. Думайте, коллеги, думайте!

– Поговорить с провайдером, который предоставляет Интернет в этот дом? И заодно с представителями энергетической компании. Так мы сможем приблизительно понять, сколько людей там проживает (по среднему потреблению электроэнергии).

– Запросить у мобильного провайдера данные о мобильных телефонах по этому адресу?

– Отлично! Итак, что еще?

– Шеф, а почему мы не думаем о самом полном источнике информации? О мусоре! Под видом мусорщиков пришлем туда наших ребят и проанализируем их мусор!

– Гениально, стажер! Вот этим и займитесь вместе с Карлом и Дином. Вывоз мусора у них сегодня вечером. Жду результаты.

Наступил вечер. Анализ мусора занял половину ночи.

Утром пришло время очередного доклада.

– Шеф, в доме живут трое. Судя по найденным в мусоре чекам из магазина и пиццерии, едоков там на троих. Кроме того, мобильный провайдер указывает на минимум три мобильных телефона. Кстати, самое интересное. В дом заказали товары бытовой химии, которые применяются для изготовления взрывчатых веществ, а также три недорогих мобильных телефона. Значит они собираются создать минимум три бомбы с мобильными взрывателями.

– Погоди, может они уже собрали эти бомбы?

– Нет. Один из компонентов заказан только на завтра. А без него эти штуки не взорвутся.

– Вызывайте спецназ. Будем штурмовать здание. Они внутри?

– По сведениям мобильной компании – да. Но сейчас проверим.

– Как?

– Сын соседки регулярно запускает квадрокоптер. А сегодня вместо него коптер запустит наш специалист. А мы посмотрим картинку. В том числе в тепловом диапазоне. И точно будем знать, что происходит.

– Стажер, вы получите от нас наилучшие рекомендации! Все же хорошо вас учат в Академии!

А вы всегда смотрите, что выбрасываете в мусор?

Сказки о безопасности: Записанный маршрут

Утро сегодня, как и много дней подряд, началось с того, что за окном шел дождь. Вернее, даже не просто дождь, а что-то непонятное, не то дождь, не то туман. Погода кажется шептала всем, чтобы они оставались дома и спали дальше. Но нужно идти на службу.

– Капитан, у нас происшествие.

– А когда было иначе? Что случилось?

– Утром патруль попытался остановить черный автомобиль с номерами соседнего округа. Но вместо того, чтобы остановиться, пассажир начал отстреливаться, а машина попыталась скрыться.

– Вы объявили «Перехват»?

– Конечно. Через полчаса водитель не справился с управлением, машина сорвалась с обрыва в пропасть. Водитель и пассажир мертвы. Автомобиль находится на нашей стоянке.

– Вы обследовали машину?

– Криминалисты сейчас заканчивают, а вот и они.

– Шеф, неудивительно, что они пытались скрыться. В машине около двух килограммов наркотиков.

– Личности водителя и пассажира установлены?

– Водителя пока нет, а пассажир – Лео Норт. Известный наркоторговец.

– Он продает в розницу?

– Нет, опт. Второй, судя по всему, его водитель. Машина принадлежит Лео. Он всегда плохо водил машину.

– Н-да… Что еще мы сможем узнать? Если бы знать маршруты этого автомобиля…

– Шеф, стажер Мартин Рид к вам просится. Говорит, что это очень срочно.

– Что ты хотел, малыш?

– Шеф, я хотел сказать, что мы сможем узнать маршруты этого автомобиля с привязкой по времени и всеми остановками.

– Да? И как?

– Шеф, я как раз в Академии писал курсовую работу по этим автомобилям. Машины фирмы К используют встроенные GPS-навигаторы с запоминанием маршрутов. Чтобы не прокладывать их заново.

– Ты сможешь извлечь из этого хлама маршруты?

– Да. За последние пару месяцев. Больше – нет.

– Что тебе нужно для этого?

– Да ничего особенного. Ноутбук и стол. Ну и сам навигатор. Я уже его снял.

– Молодец. Жду результаты.

Прошло два часа.

– Шеф, вот его маршруты. Обратите внимание. Раз в три дня, в одно и то же время, он приезжал в старый парк в центре города. Потом уезжал к себе.

– А точнее сможешь указать?

– Ну, я могу найти точку приблизительно. Потом нужно будет обыскать в радиусе приблизительно 100—200 м вокруг. Думаю, там тайник.

– Молодец, стажер. Что еще?

– Еще могу сказать, кому и как он переводил деньги. Я отследил его платежи.

– Ну что ж. Вас толково учат. Я напишу об этом в отзыве о стажировке.

Сегодня автомобиль марки Chrysler оборудуется навигатором с запоминанием маршрутов движения для более быстрого построения маршрута. Так что это совсем не сказка.

Сказки о безопасности: Для определения местоположения можно обойтись без геолокации

Вчера была вьюга, а сегодня как в насмешку над понедельником утро выдалось солнечным. Так не хотелось идти на работу. Однако несмотря на солнечное утро, день выдался хмурым. Впрочем, таким же было и настроение. Непонятно, что делать с последней просьбой комиссара полиции. Нужно было разобраться, как отследить местоположение преступника. Он не использовал GPS, да и в принципе не пользовался GSM. Когда ему нужно было позвонить, он использовал ближайшую бесплатную Wi-Fi точку и звонил через Интернет. Что делать и как?

– Марк, Рита, может вы подскажете, что делать?

– Шеф, в принципе задача сводится к тому, как на его смартфон заслать нужный троян, который установит нужное нам приложение.

– Погоди, Рита, а разве существует приложение, которое позволит нам отследить его точное местоположение, если на устройстве отключен GPS?

– Конечно существует. Современные смартфоны и планшеты оборудованы огромным количеством датчиков, которые фиксируют множество различных данных, которые мы можем сравнивать с различными внешними источниками, например, топографическими картами, картами погоды, картами Wi-Fi покрытия и т. д. В принципе таких данных достаточно для того, чтобы отслеживать перемещения пользователя.

– Рита, вы гений! Нам нужно в срочном порядке в тестовой лаборатории апробировать такой подход. А что еще можно собирать?

– Давайте попробуем собрать данные об IP-сетях и Wi-Fi подключениях и сверим их с общедоступными базами данных сетей Wi-Fi, а затем нанесем их на карту.

– А если также использовать данные гироскопов, акселерометров и датчиков высоты для определения скорости, направления движения, остановки объекта и текущей высоты? А после этого объединить все и с помощью специального алгоритма определить способ передвижения владельца, например, шел ли он пешком, ехал на поезде, автомобиле или же летел на самолете?

– А причем тут сведения о погоде?

– Можно использовать показания датчиков температуры, влажности и атмосферного давления, сравнивая полученную информацию с отчетами службы прогноза погоды для проверки и подтверждения полученных ранее результатов.

Прошло две недели.

– Что показал эксперимент?

– Точность обнаружения удовлетворительная. Главное, чтобы сторонние сервисы давали правильные данные. А то у нас выйдет как с датчиком погоды. Вспомни, Марк!

– Ага. Карта погоды соврала. А мы два дня думали, что с программой.

– Хорошо. А как заразить, придумали?

– Это самая простая задача. Придумали.

А вы думали, что, отключив GPS, вы станете незаметны? Не обольщайтесь! Исследователи безопасности из Принстонского университета разработали PoC-приложение PinMe, позволяющее отслеживать точное местоположение пользователя, даже если на устройстве отключен GPS. Оно было установлено на трех тестовых телефонах – Samsung Galaxy S4 i9500, Apple iPhone 6 и Apple iPhone 6S. Программе удалось отследить перемещения испытуемых без доступа к данным о геолокации устройств.

Сказки о безопасности: Автомобильный медиа-центр

Погода этой зимой была какой-то странной. На улице снег сменялся дождем, постоянно за окном висели тучи и свет в комнате приходилось включать практически на весь день. Это очень раздражало Иоганна, ведь он любил яркое солнце, а тут день напоминал сумерки. Вот и сегодня с утра было непонятно, утро это или вечер. Любимую прогулку по парку пришлось отложить. В такую погоду не сильно хотелось идти пешком.

Заехав во двор департамента, Иоганн заметил на служебной стоянке арендованный автомобиль. Это было крайне необычно, и потому он подозвал к себе начальника караула.

– Доброе утро, Вилли! Что случилось? Кто это приехал на арендованном автомобиле и почему он стоит на площадке для служебных?

– Это Карл. Он сказал, что автомобиль нужен ему для какого-то расследования и просил предупредить, когда приедете вы, Марк и Рита.

– А они уже здесь?

– Да. Ждут только вас.

– Доброе утро, коллеги! Что случилось? Попросите кто-нибудь приготовить нам кофе, а то в такую погоду очень хочется спать, а не работать!

– Кофе готов! Сейчас принесут.

– Карл, что такое? Машина сломалась? Мог бы на такси доехать.

– Шеф, вчера моя жена арендовала машину и подключила свой телефон к ее медиа-центру.

– Для чего?

– Ну хотелось ей слушать любимую музыку со смартфона и использовать свою телефонную книгу в поездке. Кроме того, так как в прокатном автомобиле установлена навигационная программа, то она использовала ее для прокладки маршрута.

– Курт и что тут криминального? Я сама так иногда делаю.

– Рита, в принципе криминального ничего. Но самое интересное начинается дальше. Вы ж знаете о моей паранойе. Перед тем, как вернуть автомобиль, я решил посмотреть, что осталось в его медиа-центре. Ведь при подключении происходит синхронизация вашего телефона с медиа-центром машины и все ваши данные сохраняются в его внутренней памяти. То же самое касается и маршрутов ваших поездок.

– И что ты увидел?

– Я увидел передвижения моей жены и шесть синхронизированных телефонных книг предыдущих водителей. Потом я дал запрос во все прокатные компании. Оказалось, политики стирать данные предыдущих клиентов нет ни у одной из них.

– Курт, ты поднял весьма и весьма интересную проблему. Но ты ж знаешь, у нас инициатива наказуема. Ты поднял вопрос, тебе и готовить документы. Нужно докладывать об этом императору. А кроме того, в пятницу вечером в вечерней передачи на первом канале телевидения империи тебе же придется выступать по этому поводу.

– Шеф, а давайте выступит Мари. Она куда фотогеничнее меня.

– Ну что ж, готовьтесь выступать вдвоем.

Увы, эта история совсем не фантастика, это реальность. Помните об этом, когда будете арендовать автомобиль.

Сказки о безопасности: Инсайдерское ограбление

– Потапыч, сможете помочь?

– Что случилось?

– Нам нужна ваша консультация. У нас в банке произошло хищение денег со счетов клиентов. Всего пострадали порядка 20 человек.

– А что именно вы выяснили?

– Мошенники регистрировали SIM-карту на имя жертвы, затем заходили в мобильное приложение банка и подавали заявление на замену банковской карты, используя поддельную нотариальную доверенность.

– Вы выяснили, что общего у ограбленных клиентов?

– Да. Все они обслуживались в одном отделении банка. Кроме того, все они, положив деньги на счет, не обращались в банк на протяжении длительного срока.

– Ну что, ищите в первую очередь среди персонала отделения, причем скорее всего это будет кто-то из высокопоставленных сотрудников с высоким уровнем доступа к информации о счетах клиентов. Но мне интересно другое.

– Что именно?

– Ну не в руках же выносили информацию. Неужели у вас до сих пор никто не отслеживает отправляемую электронную почту? Или у вас до сих пор не смотрят за использованием внешних носителей? Чего вы ждете? Пока вынесут все отделение? Вместе с креслом заведующего?

– Ну зачем вы так? Все нужное оборудование и программное обеспечение закуплено. Осталось его просто внедрить. Правда это затягивается.

– Ну вот потому вы и получили то, что получили.

Прошло две недели.

– Потапыч? Это вас беспокоят из банка. Вы были правы. Это заведующая отделением передавала данные о счетах. А наблюдать за ее почтой администратор просто остерегался. Ну вы ж понимаете, для безопасности все равны, но некоторые равнее всех.

– Ну вот вы и получили.

Такая история может произойти практически в любом банке. Вы так не думаете?

Сказки о безопасности: Троян из техподдержки

Иоганн очень не любил зиму. И не потому, что было холодно. Чаще всего температура держалась около нуля, но ветер, снег с дождем и проникающая сырость могли свести с ума кого угодно. Да еще и вечное отсутствие солнца. Все время темно. Идешь на работу – темно, возвращаешься домой – темно! Но радовало одно. Еще какие-то два месяца и будет значительно светлее.

Вот и сегодня погода не задалась. С утра шел дождь, на улицах народ старался как можно быстрее добежать до места назначения, чтобы меньше вымокнуть. В такую погоду Иоганн вызывал служебный автомобиль, а не шел пешком.

– Доброе утро, шеф! Вас уже дважды спрашивали из городской полиции. Их представитель дожидается вас в конференц-зале.

– Ты не знаешь, что случилось?

– Я не спрашивала. Сидит – значит так надо.

– Принеси, пожалуйста, нам кофе.

– Доброе утро! Что привело вас к нам так рано?

– У нас убийство. Причем наши ребята заметили, что все записано на этом ноутбуке. Мы не выключали его и ничего не трогали. Я приехал к вам, может вы поможете. К сожалению, здесь записано само убийство, но лицо убийцы не разобрать.

– Хорошо, мы сейчас займемся вашей проблемой.

Прошло полчаса.

– Шеф! Эта запись выложена в DarkWeb и набирает все больше просмотров. Она выложена на специальном сервере, на который выкладываются ролики с реальными убийствами и насилием. За просмотр там платят деньги, причем не маленькие. Таким образом мы можем сказать, что это убийство было осуществлено с целью заработать.

– Погодите, но не мог же убийца сказать: «Погодите, я камеру включу, а потом буду вас убивать!»

– Конечно нет.

– Значит компьютер был взломан заранее. Займитесь ним.

– Хорошо.

Прошло два часа.

– Шеф, а компьютер не был взломан.

– Как? А кто ж тогда включил видео?

– Судя по всему, видео включили удаленно. Данный ноутбук обслуживает фирма М. Они осуществляют техническую поддержку.

– Придется проехать в эту фирму и уточнить, кто занимался этим компьютером. Вызывайте полицию и привезите того, кто это делал.

На следующий день комиссар полиции лично приехал в департамент интеллектуальных преступлений, чтобы поблагодарить Карла за хорошую работу. Как выяснилось, ПО для видеосъемки было установлено удаленно специалистом технической поддержки фирмы М. Он давно занимался незаконной видеосъемкой, продавая фильмы в DarkWeb. Ранее это была преимущественно домашняя порнография, а когда это стало приносить мало денег, уговорил своего друга на продажу убийств.

Мрачная история. Вывод, который нужно сделать весьма прост. Доверяя технической поддержке, все же смотрите, что вам устанавливают. Учитесь! Иначе вас могут легко обмануть…

Сказки о безопасности: Личная безопасность на поверку – 1

После нескольких попыток взлома персональной информации в империи задумались о необходимости тестирования систем персональной безопасности. В связи с этим решено было создать подразделение, которое бы тестировало безопасность частных лиц и потом доводило рекомендации до широкого круга граждан. Причем как высокого ранга, так и обычных. Так появился проект, названный «Взлом системы».

Главой вновь образованного отдела департамента интеллектуальных систем был назначен Роберт Ноланд, работавший до этого оперативным сотрудником.

Первым делом этого отдела стала проверка уровня защищенности руководителя подразделения государственной компании N г-на Грина.

– Итак, господа, мы должны проверить что мы сможем узнать о Джордже Грине. Время, поставленное на задачу всего неделя.

– Понятно, шеф!

– Г-н Грин уверен в своей безопасности. Попробуем его разочаровать. Вы, Жанна, должны будете проследить за его автомобилем. В напарники вам мы дадим Эльзу.

– Шеф, ну почему я не удивлена?

– Все верно. Две очаровательные молодые девушки всегда смогут отговориться невнимательностью. Какого цвета его машина?

– Белого!

– Поэтому вы возьмете тоже белое авто.

На следующее утро девушки занялись слежкой. И Джордж ее не заметил.

Как заметить слежку? Проще всего, увидев, что за вами следует какой-то автомобиль, повернуть направо, проехать два-три квартала и снова повернуть направо. Затем через пару кварталов снова повернуть направо и повторить то же самое. Таким образом вы опишете круг. Ни один обычный автомобилист не будет так делать и, если вы увидите, что за вами все время следует один и тот же автомобиль – за вами следят. Остановитесь, но ни в коем случае не выходите из авто. Вызывайте полицию.

Следующий этап проверки – место работы. Как ни странно, на работе большинство сотрудников уверены в своей безопасности. А совершенно зря! Ведь по статистике от 30 до 70% пользователей на работе банально воруют информацию, в том числе персональную.

– Джейсон, вы с Питером завтра отправляетесь на работу к г-ну Грину. Представитесь техниками по ремонту копировальных машин из компании «Copy Doctor». Униформу получите на складе. Не забудьте сделать себе пропуска.

– Но шеф, мы же не знаем, как выглядят пропуска этой компании.

– Ха! Именно в том и прелесть! Стандартной формы пропуска не существует. Загляните к ним на сайт, посмотрите, как выглядит их логотип и создайте себе пропуска с любым штрихкодом.

– Понятно. Наша задача проверить, что угрожает ему на работе?

– Все верно!

Джейсон и Питер приехали на работу к Джорджу Грину. Итак, первая линия обороны. Администратор. Пустит ли она их в офис?

<1 2 3 >

На страницу:

Перейти

2 из 3