Как сообщает пресс-служба УФСБ по Владимирской области, 33-летний взломщик придумал хитрый план заработка. Он установил программу, с помощью которой можно было бы взять все личные данные зарегистрированных на сайте пользователей, а именно их логины и пароли к почтовым ящикам. Это дало бы хакеру возможность забирать деньги с электронных счетов людей.
Судя по данным ФСБ, компьютерного преступника удалось поймать еще до того, как он «хакнул» сайт администрации. Он успел только установить соответствующее ПО для копирования личной информации.
Сейчас на хакера заведено уголовное дело за «создание, использование и распространение вредоносных компьютерных программ».
Мы попросили
Юрия Монахова, доцента кафедры информатики и защиты информации ВлГУ, объяснить, как мог произойти взлом сайта администрации:
Фото http://izi.vlsu.ru/?q=taxonomy/term/8
– Как правило, есть несколько программ, которыми это делается. Они используются в определенной последовательности. Когда злоумышленник что-то взламывает, у него есть несколько стадий, которые он проходит. То есть он, допустим, проходит стадию разведки: начинает собирать информацию о системе, которую собирается взломать, узнает версию платформы, на которой эта система развернута. Вокруг этого есть какие-то имена, адреса серверов. Все это ему нужно для того, чтобы найти в последствии ту уязвимость, которую он сможет сломать. Если мы говорим о сайтах, то там скорее всего используются какие-то автоматизированные средства поиска уязвимостей. Автоматизированные средства поиска XSS (Cross–Site Scripting) – так называется эта уязвимость, которая позволяет выполнить произвольный JavaScript Code на странице сайта. Или, допустим, автоматизированное средство поиска SQL инъекций. Это, грубо говоря, позволяет злоумышленнику сделать произвольный код на сервере базы данных.
– А есть какие-либо способы предотвратить подобные взломы, укрепить защиту?
– На самом деле проблема этих взломов – она комплексная. Обычно все пытаются сделать вид, что это какая-то исключительно техническая проблема, но это далеко не так. Любой специалист вам скажет, что это не только техническая проблема, но и организационная. Ее решение – обучение пользователя.
Что касается организационной составляющей, надо наладить нормальный механизм сдачи приёмки. Совершенно ясно, что этот сайт кем-то разрабатывался, а потом его, например, госорганы или администрация принимали. Там процедура приёмки была – проверка, удовлетворяет ли сайт требованиям, которые были указаны в техническом задании. Если с принимающей стороны есть компетентные люди, то скорее всего они могли проверить, т.е. сделать процедуру тестирования на предмет уязвимостей. И могли бы просто выявить, допустим, уязвимости еще на стадии приёмки, если они есть. Точнее, не принять сайт, а отправить его на доработку. Как правило, в техническом задании должны быть какие-то требования по информационной безопасности, при чем их должен составлять специалист по защите информации – он знает перечень актуальных угроз, от которых нужно защититься в настоящий момент.
Технически это вообще делается не очень сложно. Нужно только исполнять ряд мер по защите, которые в принципе любому специалисту известны. Проверять все, что вводится в каждое поле. Делать какую-то фильтрацию символов, Java-скрипта, если он в полях не нужен… ну, в общем, это сугубо технические вопросы.
И последнее – это, конечно, обучение. Вот взламывается этот сайт. Что мы имеем? Мы имеем адреса электронных почт пользователей с сайта, например. И какие-то пароли – допустим, от этого сайта или от форума на этом сайте. Совершенно ясно, что эти пароли могут подходить к ящикам электронной почты. Т.е. пароль от сайта – это не пароль от почты, он может подойти или не подойти.
У тех, у кого пароль подходит – у них проблемы, потому что они один пароль использовали два раза. У тех, у кого не подходит, злоумышленник будет скорее всего проводить гибридную атаку по словарю. Он берет словарь, в котором перечислены, допустим, эдак 100 тысяч наиболее часто встречающихся паролей. И он их начинает перебирать. А «гибридной» атака называется потому, что он их не просто так перебирает, а модифицирует в них несколько символов. По установленным правилам.
Мне не хотелось бы повторять то, что все говорят уже на протяжении 20 лет, что нужно использовать сложные пароли. Не нужно их использовать. Нужно использовать, допустим, фразу. Берете 4 случайных слова из словаря. Допустим, «правильная лошадь батарейка степлер». Легко запомнить. Символов много, энтропия высокая, взломать трудно. Если какой-нибудь символ поменять на спецсимвол, то будет еще труднее. Те ресурсы, которые связаны с какими-то финансовыми данными или с личными, поддерживают двухфакторную идентификацию. Это когда два пароля: один, допустим, приходит к вам на сотовый, а второй вы вводите просто так. Там, где ее можно включить, ее нужно включить.
Те госслужащие, которые пользуются сайтами – их нужно учить этому. У них должны быть соответствующие инструкции, которые им следует исполнять. И специалист по информационной безопасности, который тщательно следит за исполнением этих инструкций.
Работа по информационной безопасности должна вестись по трем этим направлениям. Если хотя бы одно направление будет недостаточно развито, то будут ломать.
ВИКТОРИЯ ЩЕРБАКОВА
