theSAS2015
Саммит аналитиков безопасности «Лаборатории Касперского» (Security Analysts Summit 2015) подкинул много немало для размышлений, и в этой статье мы отберем из Twitter несколько (на самом деле даже порядочно) ярких моментов двух дней выступлений и презентаций, посвященных вопросам безопасности.
Лучшие твиты #TheSAS2015
Tweet
«Слабая безопасность – не совпадение, а следствие», — отметил в своем выступлении известный специалист по безопасности Дэн Камински.
Wise words from @dakami — insecurity isn't coincidence, it's consequence. #TheSAS2015
— Costin Raiu (@craiu) February 16, 2015
В самом деле, мудрые слова. И безопасность, и отсутствие оной являются следствием тех или иных решений и действий, а халатность – тоже своего рода действие.
Весьма ошибочно полагать, что уязвимости, эксплуатируемые киберпреступниками, берутся ниоткуда: они могут быть неожиданными, но это «ожидаемая неожиданность». Правильный подход к безопасности позволяет защититься почти от любой угрозы. В действительности же, «дырки в заборе» вездесущи (только взгляните на график ниже), что позволяет устраивать крупномасштабные кампании.
Vulnerability stats by product/library from @Kym_Possible. It's not only about Flash and Java. #TheSAS2015 pic.twitter.com/bAKHtZU3DU
— Threatpost (@threatpost) February 17, 2015
(«Threatpost: Статистика по уязвимостям в пакетах/библиотеках от @Kym_possible. Дело не только в Flash и Java»)
Carbanak, например, или другой герой SAS 2015: APT Equation. Много уже сказано о них обоих: Carbanak, например, является масштабной APT-кампанией – Великим банковским ограблением второй декады XXI века. Доклад обо всё ещё активной APT на SAS представили исследователи «Лаборатории Касперского» Сергей Голованов и Сергей Ложкин. Аудитория осталась под сильным впечатлением от выступлений, посвящённых Carbanak.
https://twitter.com/k8em0/status/567366634038251520
(Кейти Муссурис: «Среди моих любимых пен-тестов — попытка «чеканить» деньги/грабить банки. Carbanak просто оставил себе деньги. #TheSAS2015)
Полный отчёт читайте здесь.
Equation также привлекла к себе большой интерес, в особенности тот факт, что данная APT имеет некоторые очевидные связи с Stuxnet (и на самом деле ему предшествует).
Suite of Sophisticated Nation-State Attack Tools Found With Connection to Stuxnet — http://t.co/FsaH0Jzq5O
— Kim Zetter (@KimZetter) February 16, 2015
(«Ким Зеттер: Выявлен набор сложнейших инструментов для проведения атак на уровне, который могут себе позволить только государства, выявлены связи со Stuxnet»)
Люди просто не могли пройти мимо сказочного Гжегожа Бженчищикевича. Сколько раз вы пытались запомнить, как это правильно произносится?
Grzegorz Brzęczyszczykiewicz https://t.co/jvKEAK8kOJ @vkamluk #TheSAS2015
— David Barroso (@lostinsecurity) February 17, 2015
А самым интересным в Equation оказался тот факт, что её главный компонент, по-видимому, уничтожается только путём физического разрушения зараженного жесткого диска. Фотографии полностью разбитого накопителя ретвитили очень многие.
The only way to remove nls_933w.dll #TheSAS2015 #EquationAPT pic.twitter.com/zfVE1kKyha
— Fabio Assolini (@assolini) February 16, 2015
(Фабио Ассолини: Единственный способ удалить nls_933w.dll #TheSAS2015 #EquationAPT)
Слабая безопасность – не совпадение, а следствие (с) Дэн Камински #TheSAS2015
Tweet
Аппаратное обеспечение было горячей темой на всем протяжении SAS 2015. Как подытожила Руна Сандвик: «Такое чувство, как будто вы проснулись, почитали Twitter и после этого уже вообще не можете доверять ни одному устройству, что у вас есть».
That feeling when you wake up, read Twitter, and question whether you can trust any of the hardware you own.
— Runa Sandvik (@runasand) February 20, 2015
И в самом деле — вот вам уже и биохакинг:
https://twitter.com/k8em0/status/567446257950400513
…а за ним — сбор данных путём сканирования Bluetooth-совместимых носимых устройств:
Data which can be easily obtained via Bluetooth scan of wearables devices in the range #IoT #TheSAS2015 pic.twitter.com/zdGbeoqmyg
— Dmitry Bestuzhev (@dimitribest) February 17, 2015
Тот самый прославленный интернет вещей, которого с таким нетерпением все ждут, совсем уже не выглядит безопасным теперь, однако его реализация идёт быстрыми темпами. Даже на городском уровне, как отметил Сезар Серрудо из IOActive Labs, эксперт по ICS/SCADA и «Умным городам», «Умный город превращается в Тупой, когда технологию внедряют без учёта каких-либо соображений безопасности».
"Smart city becomes Dumb city when the tech is implemented with no security in mind" @cesarcer #theSAS2015
— Eugene Kaspersky (@e_kaspersky) February 17, 2015
Отсутствие подхода «из соображений безопасности» является краеугольным камнем многих проблем безопасности современных программ, особенно тех, что имеют унаследованный код и устаревшую АСУ, разработанную ещё в доинтернетную эпоху. Если «Умные города» будут страдать от тех же проблем, как-то даже страшно представить себе последствия.
Полный отчёт о Саммите безопасности «Лаборатории Касперского» читайте в нашем блоге.
Советы