Информационная безопасность: преступление и наказание
, ,


Источник изображения

В соответствии с УК РФ преступлением признаётся противоправное, общественно опасное деяние, ответственность за совершение которого предусмотрена УК РФ. В отечественном УК отдельная глава посвящена преступлениям в сфере компьютерной информации, однако на практике грань между преступным и правомерным настолько тонка, что возникают сложности при квалификации тех или иных деяний. В данной статье мы постараемся рассмотреть некоторые составы преступлений на примере конкретных ситуаций.

Проводя обучение по программам практической подготовки в области информационной безопасности, мы сталкиваемся с вопросами, которые по сути относятся к теме, но выходят за пределы этих программ. Такие вопросы мы решили разбирать отдельно.

Использование «патчей», «активаторов», «кряков»
Судебная практика по данному вопросу неоднозначная. В одних случаях, когда дело касается преступлений, связанных с нарушением авторских прав, данное ПО признаётся вредоносным, в других – нет. Это связано с тем, что отсутствуют чёткие критерии «вредоносности» программы. Если обратиться к статье 273 УК РФ, можно выделить два критерия «вредоносности» программы:
1) программа работает несанкционированно;
2) работа программы приводит к одному из правовых последствий: уничтожению, блокированию, модификации, копированию информации, к нарушению работы ЭВМ, системы ЭВМ, сетей ЭВМ.

Кроме того, лишь определённые уголовным законом действия влекут за собой ответственность. Таковыми являются: создание вредоносных программ или внесение изменений в существующие; использование таких программ; их распространение, в том числе на материальном носителе.

Также следует учитывать и значение самого термина «компьютерная информация». В настоящий момент данное понятие в законодательстве отсутствует, но исходя из системного толкования норм ФЗ «Об информации, информационных технологиях и о защите информации», термин «компьютерная информация» можно сформулировать следующим образом: это те или иные сведения, представленные в электронной форме, пригодной для восприятия человеком с использованием ЭВМ. Таким образом, исходный код программы понятием «компьютерная информация» не охватывается. Следовательно, и использование перечисленных «вредоносных» программ не является действием по модификации и блокированию компьютерной информации, а значит, и состав преступления по ст. 273 УК отсутствует. Но, несмотря на это, пользователь такой «вредоносной» программы может быть привлечён к уголовной ответственности по статье 146 УК РФ «Нарушение авторских и смежных прав», если стоимость лицензионного ПО превышает 100 тысяч рублей. Читать далее Информационная безопасность: преступление и наказание

Тестирование на проникновение или мы медленно снимаем с себя ответственность
, , , , ,

Под тестом на проникновение понимается санкционированное проведение атак на сетевом уровне и на уровне приложений на все публично доступные сервисы компании из сети Интернет (т.е. внешний тест на проникновение) и внутренние ресурсы, входящие в область аудита PCI DSS (внутренний активный аудит защищённости). Тест на проникновение призван подтвердить или опровергнуть возможность несанкционированного доступа к защищаемой информации, используя найденные в процессе тестирования уязвимости.

В процессе проведения тестирования на проникновение не исключены ситуации, когда действия пентестера могут причинить ущерб интересам третьих лиц. Например, когда тестирование проводится в облачной среде. Возникает вопрос: кто будет нести ответственность? Давайте разбираться.

В первую очередь, основанием проведения тестирования на проникновение является договор. В силу ст. 432 ГК РФ договор считается заключенным, если сторонами достигнуто соглашение по всем существенным условиям. Для договора на оказание услуг существенными являются условия о предмете, цене и сроке оказания услуг. Следовательно, в обязательном порядке в договоре необходимо согласовать следующие моменты:

  • Предмет договора, включающий в себя объект тестирования и перечень действий, которые необходимо произвести. Здесь следует указать количество сетей, подсетей, компьютеров, диапазон IP-адресов в одной сети. Важно чётко обозначить объект тестирования, исключив те объекты, которые проверять не нужно.
  • Срок оказания услуг — период времени, когда будет проводиться тестирование на проникновение.
  • Стоимость проведения тестирования на проникновение.

Читать далее Тестирование на проникновение или мы медленно снимаем с себя ответственность

Мамкин брутер: перебор паролей от SSH до Web
, , , , , ,

Brute-force (атака полным перебором) обычно используется в контексте хакерских атак, когда злоумышленник пытается подобрать логин/пароль к какой-либо учетной записи или сервису. Рассмотрим инструменты, которые можно использовать для выполнения атак методом перебора: Hydra 8.6, Medusa 2.2, Patator 0.7 и Metasploit Framework 4.17.17-dev, входящие в состав Kali Linux 2019.1. В зависимости от поддерживаемых протоколов будем использовать наиболее подходящие инструменты. Словарь паролей и пользователей сгенерируем самостоятельно с использованием Crunch.

Читать далее Мамкин брутер: перебор паролей от SSH до Web

ZTE SSL Remote Code Execution
, , , , ,

Я хочу рассказать про уязвимость в ZTE роутерах, доступному по URI router_ip:443/web_shell_cmd.gch. Уязвимость заключается в том, что мы посылаем POST-запрос с ошибкой и ее типом, а в ней — код для выполнения.

Читать далее ZTE SSL Remote Code Execution

Cisco RV130W 1.0.3.44 — Remote Stack Overflow & RCE
,

Разберём свежий эксплойт для переполнения буфера Cisco RV130W версии 1.0.3.44. Переполнение буфера — это явление, возникающее, когда компьютерная программа записывает данные за пределами выделенного в памяти буфера, и как правило, что записывается за пределами буфера называется — shellcode.

Shellcode — код запуска оболочки, это двоичный исполняемый код, который обычно передаёт управление командному процессору, например /bin/sh. Важно знать: один стек равен 4 байтам.

Читать далее Cisco RV130W 1.0.3.44 — Remote Stack Overflow & RCE

NSE или обратная сторона Nmap
, , , , , , , ,

Кролики — это не только ценный мех, но и три — четыре килограмма диетического, легкоусвояемого мяса.

Сегодня мы рассмотрим один из наиболее универсальных инструментов пентестера — Nmap — культовый кроссплатформенный сканер, который расшифровывается как «Network Mapper». Инструмент сам по себе довольно мощный, но его чаще всего используют в связке с другими утилитами, не предполагая, что, помимо способности сканировать сеть, Nmap имеет массу других возможностей. Основная из них — это использование скриптов с помощью NSE (Nmap Scripting Engine) — компонента Nmap, в основе которого лежит скриптовый язык Lua, напоминающий JavaScript. Именно NSE делает Nmap таким универсальным.

Допустим, мы просканировали хост и увидели открытые порты:

Читать далее NSE или обратная сторона Nmap

Сравниваем бесплатные версии WAF: NAXSI vs Nemesida WAF Free
, , , , , , ,

Сегодня мы хотим протестировать и сравнить работу двух бесплатных WAF: NAXSI и Nemesida WAF Free. В сравнении будут учитываться простота использования, качество предустановленных сигнатур, количество пропусков атак и частота ложных срабатываний.

NAXSI расшифровывается как Nginx Anti XSS & SQL Injection. Работает по принципу: всё, что не разрешено — запрещено. Каждый HTTP-запрос (GET|PUT|POST) проверяется на соответствие шаблонам запрещающих правил, заданных по умолчанию в файле naxsi_core.rules. Эти правила охватывают 99% всех возможных вариантов зловредных запросов. Например, по умолчанию запрещены все запросы, в URI которых содержится символ двойной кавычки. Если для нормальной работы приложения такой символ необходим, то вручную нужно внести соответствующие исключения в белый список. Но есть и обратная сторона медали — если разрешающие правила будут проработаны плохо, то NAXSI будет блокировать еще и часть легитимных запросов. Поэтому ответственность за конечный результат разработчики модуля целиком и полностью возлагают на администратора системы. Как и большинство модулей для Nginx, NAXSI из репозитория недоступен, поэтому его придется вручную скачивать и компилировать.

Nemesida WAF Free — бесплатная версия Nemesida WAF, представляющая собой динамический модуль для Nginx и обеспечивающая базовую защиту веб-приложения от атак класса OWASP на основе сигнатурного метода.

Отличительной особенностью Nemesida WAF Free является собственная база сигнатур, выявляющая атаки на веб-приложения при минимальном количестве ложных срабатываний, а также:

  • минимальные требования к аппаратным ресурсам;
  • обновление из репозитория;
  • установка и настройка за несколько минут;
  • обработка содержимого всех типов HTTP-запроса;
  • простота в обслуживании.

Читать далее Сравниваем бесплатные версии WAF: NAXSI vs Nemesida WAF Free

Релиз Kali Linux 2019.2 и Hydra 9.0
, ,

Kali Linux 2019.2

Состоялся релиз Kali Linux 2019.2, который несет в себе обновленную версию ядра 4.19.28, исправление множества ошибок, а также обновление пакетов. Обновление инструментов коснулось seclists, msfpc и exe2hex.

Kali Linux представляет собой дистрибутив, содержащий множество инструментов, предназначенных для проведения тестирования на проникновение. В состав дистрибутива входят инструменты как для поиска уязвимостей веб-приложений так и для взлома сетей и повышения привилегий в целевой системе.

Скачать последнюю версию Kali Linux можно на странице загрузок. Доступна загрузка как в виде ISO-файлов, так и образа для виртуальной машины. Также можно обновить текущий дистрибутив. Для начала проверьте актуальность репозиториев:

root @ kali: ~ # apt update && apt -y full-upgrade

Перед обновлением (apt -y full-upgrade) может потребоваться «перезагрузка»:

root @ kali: ~ # grep VERSION /etc/os-release 
VERSION = "2019.2" 
VERSION_ID = "2019.2" 

root @ kali: ~ # uname -a 
Linux kali 4.19.0-kali4-amd64 # 1 SMP Debian 4.19.28- 2kali1 (2019-03-18) x86_64 GNU / Linux

Hydra 9.0

Доступна новая версия инструмента — Hydra 9.0, основными особенностями которого стали обновленный модуль rdp, позволяющий использовать библиотеки FreeRDP, и обновление модуля http, позволяющего теперь выбирать тип аутентификации http. Помимо этого были добавлены модули memcached и Mongodb. Скачать последнюю версию инструмента можно по ссылке.

Корпоративные лаборатории Pentestit — от тестирования на проникновение до расследования инцидентов ИБ
,

Информационная безопасность стала очень популярной штукой. И может быть вы уже слышали о лабораториях тестирования на проникновение Test lab, которые мы публикуем в открытом доступе каждый год? Лаборатории, где любой желающий может проверить и закрепить свои навыки поиска и эксплуатации уязвимостей.

Читать далее Корпоративные лаборатории Pentestit — от тестирования на проникновение до расследования инцидентов ИБ