Убежище Беркута

Импортозамещение средств защиты информации как средство обеспечения информационной безопасности: современное состояние и перспективы

2024-06-04T06:16:41.291Z

Аннотация

В данной статье автор рассматривает отечественные продукты ведущих компаний в сфере защиты информации: Код Безопасности и ИнфоТеКС. Обсуждаться будут средства защиты информации, программно-аппаратные комплексы, современное состояние и перспективы их использования. Код Безопасности имеет продукты по защите от несанкционированного доступа и защите рабочих станций на операционных системах Windows под названием Secret Net Studio, Secret Net LSP для защиты рабочих станций Linux, многофункциональные межсетевые экраны Континент и программно-аппаратный комплекс для доверенной загрузки Соболь. У компании ИнфоТеКС есть продукты для работы с электронной подписью ViPNet PKI и выдачей сертификатов для подключения к защищенной сети в ViPNet Administrator, шлюзы безопасности ViPNet Coordinator, программно-аппаратный комплекс ViPNet IDS NS и ViPNet Client для взаимодействия между сотрудниками по Деловой Почте.

Ключевые слова: средства защиты информации, Код Безопасности, ИнфоТеКС, информационная безопасность

Введение

В настоящее время в России крупные компании сталкиваются с оценкой сопутствующих рисков и целесообразностью использования программных средств иностранных производителей. 30 марта 2022 года вышел указ Президента «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации» в котором сказано, что с 31 марта 2022 г. Запрещено осуществлять закупки иностранного программного обеспечения, в том числе и программно-аппаратных комплексов. С 1 января 2025 года будет запрещено использовать иностранное программное обеспечение на значимых объектах КИИ [1].

В настоящее время федеральная служба по техническому и экспортному контролю при обнаружении уязвимости в иностранном программном обеспечении выкладывает информацию в своем банке данных угроз безопасности информации о том, что после введения санкций против Российской Федерации рекомендуется устанавливать обновления ПО только после оценки всех рисков. Это может как поспособствовать более раннему переходу на отечественные средства защиты информации, так и наоборот отсрочить этот переход, чтобы дать ведущим компаниям по созданию СЗИ для улучшения их продуктов. Последующие сертификации от ФСТЭК будут осуществляться только в сторону российского ПО, что позволит некоторым компаниям проявить себя на нашем рынке в сфере безопасности информации.

Импортозамещение средств защиты информации является одним из важнейших направлений в обеспечении информационной безопасности России. Это связано с тем, что в условиях современных технологий и развития интернета угрозы для информационной безопасности становятся все более серьезными и разнообразными. В этой связи, необходимо создание и использование отечественных средств защиты информации, которые были бы надежными и эффективными.

Материалы и методы

Код безопасности – российская IT-компания, сферой деятельности которой является разработка средств защиты информации. Более 90000 организаций защищены её продуктами и около 3.000.000 защищенных рабочих мест. Компания обладает 9 лицензиями и более 60 сертификатами ФСТЭК, ФСБ и Минобороны. Также она является членом профильных организаций и ассоциаций АРПП «Отечественный софт» и «Доверенная платформа» [2].

ИнфоТеКС – российский разработчик программно-аппаратных VPN-решений и средств криптографической защиты информации. Более 10.000.000 рабочих станций, защищенных продуктами ViPNet, более 60 продуктов для защиты информации, а продукты ИнфоТеКС регулярно проходят сертификацию в ФСБ и ФСТЭК [3].

На сегодняшний день Россия уже достигла значительных успехов в области импортозамещения средств защиты информации. В частности, на рынке появились отечественные антивирусы, системы защиты от DDoS-атак, системы контроля доступа и многое другое. Кроме того, национальные производители активно работают над созданием новых продуктов и улучшением уже существующих.

Одним из основных достижений в области импортозамещения средств защиты информации является создание национальной криптографической системы. В 2015 году была запущена система "КриптоПро CSP" которая является аналогом зарубежных криптографических продуктов. Это позволило российским компаниям и организациям использовать отечественные средства защиты информации, не прибегая к использованию зарубежных продуктов. Второй продукт, которая может заменить КриптоПро – это ViPNeT PKI. Она имеет аналогичный набор функций и средств, которые позволят работать с цифровой подписью и криптографической защитой информации. Также следует отметить, что на российском рынке имеется сертифицированное ФСБ СКЗИ КриптоАРМ, которое позволяет подписывать и шифровать важные документы по ГОСТу 34.10-2012, ГОСТ 34.12-2015 и ГОСТ 34.13-2015, а также имеет совместимость с сертификатами ViPNet, которая обеспечена в КриптоАРМ для ViPNet.

Следующим следует обсудить какие продукты имеются у ИнфоТеКС. ViPNet позволяет создавать защищенные каналы связи между удаленными офисами, филиалами и сотрудниками, работающими из дома или в офисе. Для этого используются различные технологии, такие как VPN, шифрование данных, аутентификация пользователей и другие методы защиты.

программные и программно-аппаратные средства организации виртуальных частных сетей (VPN) и инфраструктуры открытых ключей (PKI);

ViPNet имеет встроенную инфраструктуру открытых ключей (PKI), которая позволяет создавать и управлять цифровыми сертификатами для аутентификации пользователей и защиты данных. Это обеспечивает высокий уровень безопасности при передаче конфиденциальной информации.

средства межсетевого экранирования и персональные сетевые экраны;

ViPNet также включает в себя средства межсетевого экранирования (firewall) и персональные сетевые экраны (personal firewall). Средства межсетевого экранирования позволяют ограничить доступ к сети извне и контролировать трафик между различными сегментами сети. Это позволяет предотвратить несанкционированный доступ к информации и защитить сеть от внешних угроз.

средства шифрования данных, которые хранятся и обрабатываются на компьютерах и в сети;

Одним из средств шифрования данных является ViPNet Client, который предоставляет защищенный канал связи между удаленными компьютерами. Он использует сильные алгоритмы шифрования, такие как AES и RSA, для защиты передаваемых данных от несанкционированного доступа.

системы централизованного управления и мониторинга СЗИ;

Система централизованного управления позволяет администраторам настраивать политики безопасности, управлять пользователями и группами, а также контролировать доступ к информации. Она также предоставляет инструменты для мониторинга активности пользователей и обнаружения возможных угроз безопасности. Система мониторинга СЗИ позволяет администраторам отслеживать состояние системы безопасности и получать уведомления о возможных угрозах. В ней имеются инструменты для анализа журналов событий и выявления потенциальных проблем.

программно-аппаратные комплексы (или самостоятельные сетевые устройства) обнаружения компьютерных атак ViPNet IDS [3].

ViPNet IDS (Intrusion Detection System) – это программно-аппаратный комплекс, который используется для обнаружения компьютерных атак на информационные системы. Он состоит из аппаратных компонентов и специального программного обеспечения.

Аппаратные компоненты ViPNet IDS включают в себя сенсоры, которые устанавливаются на сетевых устройствах (маршрутизаторах, коммутаторах и т.д.). Сенсоры мониторят трафик на сети и передают данные о потенциальных атаках на центральный сервер.

Программное обеспечение ViPNet IDS обрабатывает данные, полученные от сенсоров, и использует алгоритмы анализа трафика, чтобы определить, является ли активность на сети атакой или нет. Если система обнаруживает потенциальную угрозу, она генерирует предупреждение и отправляет его администратору. Также может использоваться для мониторинга соответствия политикам безопасности и для обнаружения несанкционированного доступа к данным. Он предоставляет дополнительный уровень защиты для информационных систем и помогает предотвратить компьютерные атаки.

ViPNet может быть использован в различных отраслях, таких как банковское дело, государственный сектор, энергетика, телекоммуникации и другие. Комплекс имеет сертификаты соответствия ФСТЭК и ФСБ.

В целом ViPNet является мощным инструментом для обеспечения информационной безопасности организаций и государственных учреждений. Он позволяет создавать защищенные каналы связи и обеспечивать безопасность при передаче конфиденциальной информации.

Следующая компания, которая занимается созданием средств защиты информации – это Код Безопасности

Код Безопасности – это компания, которая разрабатывает программные продукты для обеспечения безопасности информационных систем. Они предлагают несколько продуктов, включая:

Secret Net Studio
Secret Net LSP
vGate
Программно-аппаратный комплекс Соболь

Первые продукты для обсуждения – это Secret Net Studio и Secret Net LSP

Secret Net Stuido – комплексное решение для защиты рабочих станций на операционной системе Windows. В ней имеются следующие модули:

Контроль устройств – позволяет контролировать изменение конфигурации подключаемых устройств, блокировка съемных носителей для предотвращения выполнения вредоносного кода, контроль оперативной памяти и её изменения, логирование всех подключенных и отсоединенных устройств от рабочей станции

Дискреционное управление доступом. Данный модуль нужен для удаленного доступа к рабочему месту для устранения неполадок.

Замкнутая программная среда позволяет установить контроль целостности при запуске и контролировать режим работы устройства.

Полномочное управление используется для настройки уровней конфиденциальности для конкретных пользователей, установки контроля потоков терминальных подключений.

Контроль печати позволяет настроить маркировку документов в зависимости от их уровня конфиденциальности, а также не позволить пользователям с высоким уровнем конфиденциальности печатать секретную информацию на принтере с более низким.

Защита и шифрование дисков – позволяет создавать защищенные криптоконтейнеры, к которым имеется доступ только у определенных пользователей, имеющих защищенные USB-токены с ключом пользователя и паролем. Помимо этого, защита диска позволяет шифровать данные и получать доступ к нему только после введения пароля при загрузке системы.

Персональный межсетевой экран используется для регламентации доступа к сетевым сервисам (TCP/IPv4) и защиты ICMP. Он позволяет включить режим обучения, в котором будет организован режим анализа для последующего сохранения информации о процессе, адресах и портах локального хоста, а также адресах и портах удаленного хоста.

Модуль обнаружения вторжений – настроен лабораторией Касперского. Используется для анализа трафика и обнаружения атак В нём имеются детекторы сканирования портов, ARP-spoofing, SYN-FLOOD, аномального трафик, DoS и DDoS.

Модуль доверенной среды позволяет загружать систему только при наличии токена с идентификатором пользователя.

Полнодисковое шифрование является последним модулем и используется для шифрования разделов для ограничения несанкционированного доступа к защищаемой информации.

Secret Net LSP имеет схожие характеристики, реализованные на операционных системах Linux.

Следующий продукт – это многофункциональный межсетевой экран (NGFW/UTM) с поддержкой алгоритмов ГОСТ. Он предназначен для защиты сетевой инфраструктуры и создания VPN-сетей. Основные преимущества:

Единая политика безопасности.

Выделение механизмов менеджмента с устройств защиты в Центр управления сетью упрощает эксплуатацию сети, минимизирует риск простоя из-за ошибок, а также ускоряет ввод в строй новых сегментов.

Управляемая многофункциональность.

Разнообразие функциональности и производительности модулей и платформ в едином контуре управления эффективно решает разноплановые задачи сетевой безопасности.

Эффективная эксплуатация.

Поддержка SNMP, централизованный сбор отладочных журналов, а также выгрузка политики в XML-файл снижают риски простоя сети в нештатных ситуациях и время решения проблем.

Телекоммуникационное оборудование российского производства.

Собственная разработка аппаратных платформ позволила создать сбалансированные устройства с интерфейсами 10 Гбит, а локализованное в РФ производство подтверждает доверие на физическом уровне [4].

Последним продуктом является программно-аппаратный комплекс Соболь

Представляет собой программно-аппаратное средство, предназначенное для защиты компьютера от несанкционированного доступа и обеспечения доверенной загрузки. Основные достоинства:

Интегрированное централизованное управление

Интеграция в контур управления Secret Net Studio позволяет сэкономить на эксплуатации и мониторинге состояния большого количества Соболей.

Высокая защищенность доверенной аппаратной составляющей

Хранение критичных данных в независимом модуле памяти не позволяет злоумышленнику обойти систему защиты даже в случае взлома программной части.

Составная часть криптографических систем

Соболь входит в список необходимого оборудования для использования средств криптографической защиты информации для класса КС2 и выше [5].

Все продукты Код Безопасности предназначены для обеспечения высокого уровня безопасности информационных систем и защиты от компьютерных атак. Они могут быть использованы как отдельно, так и в комбинации друг с другом для создания комплексной системы безопасности.

Также стоит отметить, что в России создана мощная инфраструктура для тестирования и сертификации средств защиты информации. Это позволяет гарантировать надежность и качество отечественных продуктов, а также обеспечивает их соответствие международным стандартам.

Результаты

Данный обзор лидирующих компаний по созданию средств защиты информации показывает, что Россия вышла на высокий уровень по безопасности информации. Код Безопасности и ИнфоТеКС - это две компании, которые предлагают средства защиты информации. Они могут помочь в импортозамещении иностранных СЗИ путем предоставления аналогичных или более эффективных продуктов. Код Безопасности специализируется на разработке и производстве систем защиты информации, включая системы шифрования, контроля доступа и мониторинга. Они предлагают решения для защиты данных на различных уровнях – от персональных компьютеров до корпоративных сетей. Кроме того, Код Безопасности предоставляет услуги по аудиту безопасности и консультациям. ИнфоТеКС также занимается разработкой и производством средств защиты информации, включая системы криптографического шифрования, контроля доступа и защиты от вредоносного программного обеспечения. Они предлагают продукты для различных отраслей, включая государственные учреждения, банки, телекоммуникационные компании и промышленные предприятия. ИнфоТеКС также предоставляет услуги по аудиту безопасности и консультациям. Обе компании могут помочь в импортозамещении иностранных средств защиты информации, предоставляя российским компаниям и организациям альтернативные продукты высокого качества. Это также может способствовать развитию отечественной промышленности и научно-технического потенциала.

Обсуждение

В будущем импортозамещение средств защиты информации будет продолжаться, и это будет способствовать укреплению информационной безопасности России. В частности, национальные производители будут работать над созданием новых продуктов, которые будут более эффективными и надежными, чем зарубежные аналоги. Кроме того, в рамках импортозамещения средств защиты информации будет уделяться большое внимание развитию кадрового потенциала. На данный момент в России есть недостаток квалифицированных специалистов в области информационной безопасности. Поэтому в будущем будет проводиться работа по повышению квалификации и подготовке новых специалистов. Также стоит отметить, что импортозамещение средств защиты информации будет способствовать развитию национальной экономики. Создание отечественных продуктов позволит уменьшить зависимость от зарубежных поставщиков и создаст новые рабочие места.

Основные проблемы в области импортозамещения средств защиты информации:

Недостаток квалифицированных кадров в области разработки и производства средств защиты информации.
Высокие затраты на исследования и разработки новых технологий и продуктов.
Недостаточная поддержка государства для отечественных производителей средств защиты информации.
Ограниченный доступ к сырью и компонентам для производства средств защиты информации.
Низкая конкурентоспособность отечественных продуктов на мировом рынке.
Отсутствие единой методологии и стандартов в области импортозамещения средств защиты информации.

Основные преимущества в области импортозамещения средств защиты информации:

Снижение зависимости от импорта и укрепление национальной безопасности.
Развитие отечественной инфраструктуры и технологического потенциала.
Создание новых рабочих мест и развитие экономики страны.
Улучшение качества и доступности средств защиты информации для государственных и коммерческих организаций.
Повышение конкурентоспособности отечественных продуктов на мировом рынке.
Укрепление имиджа страны как надежного производителя средств защиты информации.
Возможность более гибкой и быстрой реакции на изменения внешней политической и экономической ситуации.

Заключение

Таким образом, импортозамещение средств защиты информации является важным шагом в обеспечении национальной безопасности и развитии экономики страны. Развитие отечественной инфраструктуры и технологического потенциала, создание новых рабочих мест, повышение конкурентоспособности отечественных продуктов на мировом рынке — все это является положительными последствиями импортозамещения. Кроме того, укрепление имиджа страны и возможность более гибкой и быстрой реакции на изменения внешней политической и экономической ситуации также являются важными аспектами этого процесса. В целом импортозамещение средств защиты информации является эффективным средством обеспечения информационной безопасности и развития страны.

Литература

1. Указ Президента Российской Федерации от 30.03.2022 № 166 "О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации" URL: http://publication.pravo.gov.ru/Document/View/0001202203300001?index=1&rangeSize=1

2. Код Безопасонсти – лидер в области средств защиты информации. URL: https://www.securitycode.ru/?&page=60

3. ИнфоТеКС, О компании. URL: https://infotecs.ru/about/

4. Код безопасности. Континент 4. URL: https://www.securitycode.ru/products/kontinent-4/

5. Код безопасности. Соболь. URL: https://www.securitycode.ru/products/pak_sobol/

6. Фундамент будущего: вызовы ИТ и ИБ-2023. URL: https://securitymedia.org/info/fundament-budushchego-vyzovy-it-i-ib-2023.html

Научная статья была опубликована в сборнике статей по итогам Международной научно-практической конференции "ТЕОРИИ, ШКОЛЫ И КОНЦЕПЦИИ УСТОЙЧИВОГО РАЗВИТИЯ НАУКИ В СОВРЕМЕННЫХ УСЛОВИЯХ", 96 стр. 3 мая 2023 г.

Maltego как средство для обнаружения информации в открытых источниках

2024-06-04T06:10:07.238Z

Аннотация

В данной статье автором приводится программное обеспечение, основанное на анализе связей между субъектами и объектами, под названием Maltego. Данное программное обеспечение используется для разведки, криминалистики и выявления связей между людьми, компаниями, веб-сайтами и сетевыми инфраструктурами. Связь определяется посредством поиска в открытых источниках. Maltego имеет интуитивно понятный графический интерфейс, который позволяет провести разведку по всем возможным взаимосвязям интернет ресурса или человека. Она написана на языке программирования Java, следовательно, работает на большинстве известных платформ от Windows до Linux. ПО может использоваться как для сбора информации, связанной с безопасностью, так и для анализа взаимосвязей между разыскиваемыми целями.

Ключевые слова: Maltego, информационная безопасность, персональные данные.

Введение

В настоящее время все больше происходит случаев, связанных с угрозами хищения персональных данных. По статистике, с 2004 г. Около 15 млрд пользователей стали жертвами утечки личных данных. На планете Земля проживает около 7,96 млрд человек. Россия находится в списке самых уязвимых стран. Примерно 5 из 10 утечек в Европе приходятся именно на нашу страну. Европейский пользователь как минимум 6 раз стал жертвой утечек личных данных. На июнь 2022 года в даркнете обнаружили около 24 млрд украденных пар логин-паролей [1]. Для предотвращения таких случаев получения неправомерного доступа к ПДн нужно использовать приложение Maltego. Данное программное обеспечение поможет пользователю проверить, как много личной информации он найдет о себе в открытых источниках. Также его могут использовать в крупных компаниях для анализа структуры сайта и как много личной информации на нем находится, чтобы провести диалог с потенциально уязвимыми сотрудниками для предотвращения хищения данных путем социальной инженерии. Функциональным назначением ПО является анализ потенциальных угроз информационной безопасности.

Материалы и методы

Плавно переходя к изучению программного обеспечения, хотелось бы отметить, что перед использованием программы нужно зарегистрироваться на официальном сайте и создать бесплатный аккаунт, так как без этих действий доступ к программе будет ограничен.

При первом запуске будет показано окно с приветствием и с просьбой выбрать продукт (рис. 1).

Рисунок 1. Всплывающее окно при первом запуске программы.

Нужно выбрать Maltego CE (Free). Это базовая версия, в которой содержатся все необходимые утилиты для работы [2].

Далее принимаем лицензионное соглашение, выполняем вход по паре логин-пароль (рис. 2) и приступаем к обзору ПО.

Рисунок 2. Лицензионное соглашение и последующие настройки.

Перемещаясь в главное меню программы (рис. 3) можно увидеть утилиты партнеров, интегрированные в ПО. Данное взаимодействие используется для получения более достоверной информации и полезных результатов поиска

Рисунок 3. Главное меню Maltego Community Edition

На данной странице имеются все необходимые дополнения для дальнейшей работы с программой. Некоторые дополнения ищут информацию в определенных поисковых системах, некоторые анализируют хост сайта через закрытые источники информации, а другие предоставляют информацию о наличии вирусов в найденных файлах.

Например, Google Social Network Transforms (рис. 4) для своей работы использует поисковую систему Google и подбирает информацию из открытых источников.

Рисунок 4. Утилита Google Social Network Transforms

Второе дополнение STIX 2 Utilities (рис. 5) анализирует инфраструктуру запрашиваемого интернет ресурса, ищет зарегистрированные киберугрозы и шаблоны атак.

Рисунок 5. Утилита STIX 2 Utilities

Перейдя к работе с данными и кейсами, следует отметить, что программа и партнерские утилиты позволяют настроить рабочее пространство, как только будет угодно пользователю. Начиная с разных иконок, заканчивая внешним видом самой сети связей.

После создания кейса появится пустое окно, ожидающее дальнейших действий пользователя. Для примера были добавлены некоторые иконки для демонстрации возможностей софта (рис. 6).

Рисунок 6. Основное меню для работы с кейсами Maltego

Следует отметить некоторые важные особенности программы. Слева находится список «сущностей» которые можно добавить в рабочее пространство. Автором были выбраны следующие иконки: мобильный номер, электронная почта, компания, URL ссылка, портативное устройство, GPS локация, Bitcoin кошелек, марка автомобиля, социальные сети и люди. Также можно добавить ситуативные ярлыки для последующей работы. Судимости, место жительства, место работы, устройства, организации и т.д.

Справа сверху можно увидеть небольшую карту для дальнейшей ориентации в рабочей области, т.к. создавая большой кейс, пользователь может иметь затруднения с поиском нужной ему информации.

При отдалении иконки сменяются на окружности, которые отличаются по цветам для более удобного поиска нужной информации (рис. 7).

Рисунок 7. Отдаленный вид кейса и идентификаторы

Программное обеспечение компании Maltego позволяет устанавливать связи между ярлыками для построения иерархии. Например, нужно найти информацию по человеку в открытых источниках и отметить информацию, которую удалось заметить на просторах интернета. На рисунке 8 представлена готовая иерархия данных для дальнейшей работы, а также для последующего анализа.

Рисунок 8. Выстроенная иерархия полученных данных в ручном режиме.

Также программа может искать информацию самостоятельно (рис. 9) используя как внутренние сервисы своих партнеров, так и собственные разработки.

В качестве примера было выбрано ФИО - Иванов Иван Иванович.

Рисунок 9. Выстроенная иерархия посредством автоматизированного поиска

На рисунке 9 можно увидеть найденные почты и интернет ресурсы, на которых было упоминание Иванова Ивана Ивановича.

Результаты

Maltego – это мощный инструмент для обнаружения информации в открытых источниках, который позволяет собирать, анализировать и визуализировать данные из различных источников. С помощью Maltego можно быстро и эффективно исследовать любую тему, связанную с информационной безопасностью, киберпреступностью или другими сферами деятельности. При использовании Maltego для поиска информации об угрозах безопасности можно получить следующие результаты:

- Идентификация и анализ компаний и организаций, которые были подвержены утечке персональных данных.

- Исследование социальных сетей и поиск связей между факторами угроз, которые могут быть связаны с хищением персональных данных.

- Анализ утечек данных и поиск общих факторов, которые могут привести к возникновению таких ситуаций.

- Поиск информации о законодательстве и правовых нормах, связанных с защитой персональных данных.

- Визуализация полученной информации в виде графов и диаграмм для лучшего понимания связей между различными элементами. В целом Maltego является очень полезным инструментом для обнаружения информации в открытых источниках, который может быть использован для различных задач в области информационной безопасности и киберпреступности.

Обсуждение

Хищение персональных данных является серьезной проблемой в наше время, особенно в связи с развитием технологий и распространением интернета. Каждый день миллионы людей используют интернет для совершения покупок, общения, работы и других целей. При этом они оставляют свои личные данные, такие как имя, адрес, номер телефона, электронный адрес и т.д. К сожалению, не все компании и сайты защищают эти данные должным образом, что может привести к их утечке и использованию злоумышленниками. Это может привести к краже личных сбережений, мошенничеству и другим проблемам. Одна из основных причин хищения персональных данных – это недостаточная защита информации. Многие компании не обеспечивают достаточную защиту своих баз данных от хакерских атак и других видов киберпреступности. Кроме того, многие пользователи не осознают риски, связанные с оставлением своих личных данных на сайтах и в социальных сетях. Для борьбы с хищением персональных данных необходимо принимать меры по защите своих личных данных, такие как использование надежных паролей, установка антивирусного программного обеспечения и регулярное обновление программного обеспечения на компьютере. Кроме того, компании должны обеспечивать надежную защиту своих баз данных и информационных систем. В целом проблема хищения персональных данных является серьезной и требует внимания со стороны как пользователей, так и компаний. Только совместными усилиями можно обеспечить безопасность личных данных в интернете.

Заключение

Подводя итог вышесказанному, следует отметить, что на сегодняшний день увеличилось количество случаев, связанных с хищением персональных данных. В статье автором были рассмотрены примеры поиска информации в открытых источниках. Злоумышленники могут составить подробную иерархию для поиска родственников потенциально уязвимых людей к методам социальной инженерии. Такими родственниками обычно являются пожилые люди, которые не всегда могут знать, как правильно вести себя в ситуациях, когда их родственнику «угрожает опасность». В целях обеспечения сохранности такой информации компаниям следует проводить профилактические беседы с сотрудниками, чьи данные могли быть выставлены в открытые источники информации. Использование таких инструментов в сочетании с правильными мерами по защите личных данных может значительно повысить безопасность в интернете. В конечном итоге защита персональных данных - это задача каждого человека, и мы должны принимать это серьезно, чтобы обезопасить себя и своих близких.

Литература

1. Число жертв кражи персональных данных вдвое превысило население Земли. URL: https://safe.cnews.ru/news/top/2022-06-17_kolichestvo_vzlomannyh_setevyh (дата обращения: 31.10.2022)

2. Знакомимся с Maltego. URL: https://itsecforu.ru/2021/10/29/знакомимся-с-maltego/

Airgeddon как средство аудита беспроводных сетей

2024-06-04T05:57:18.623Z

Аннотация

В данной статье автором приводится одно частное средство аудита беспроводных сетей под названием Airgeddon. Это универсальная и интерактивная меню-оболочка сторонних инструментов для аудита беспроводных сетей, используемая для пентестинга, проведения атак на WPS/WPA, атак типа DoS и Злой Двойник, а также может использоваться для оффлайн расшифровки паролей из WPA/WPA2 Handshake. Данный скрипт имеет полностью русский интерфейс, совместимость со многими дистрибутивами Linux, простую навигацию, автоматическое определение Http прокси для обновлений и контроль за выходом, задачами очистки и временными файлами. Одним из способов обеспечения сетевой безопасности является программное обеспечение Airgeddon. На данный момент нет ни одного отечественного ПО, обладающего подобными свойствами. Это говорит о том, что необходимо использовать возможности данной программы в профессиональной деятельности госучреждений и органов СМИ как наиболее уязвимых. Программа имеет открытый код на сайте GitHub, тем самым правоохранительные органы смогут с легкостью проверить исходные файлы и внедрить данную меню-оболочку как средство для работы с беспроводными сетями.

Ключевые слова: airgeddon, Злой Двойник, DoS, спуфинг, сниффинг, брутфорс, пентестинг, Handshake, MitM.

Введение

В настоящее время в России усилилось негативное воздействие от атак киберпреступников. По статистике киберугроз, на 2022 год приходится 45% случаев, связанных с утечкой конфиденциальной информации. Из них 55% -скомпрометированные данные, а 25% - финансовые потери.
Для сравнения: в IV квартале 2021 года доля атак составляла 13%. На данный момент эта цифра увеличилась до 22% от общего количества. Наиболее атакуемыми структурами внутри государства являются СМИ и госучреждения [1]. Распространение шпионского ПО также детерминирует необходимость усиления защиты персональных устройств от проникновения, в том числе и увеличения борьбы с киберпреступлениями. Функциональным назначением программы является проверка уязвимостей беспроводных сетей.

Материалы и методы

WPA (Wi-Fi Protected Access)- стандарт безопасности для устройств с беспроводным подключением к сети. Существует несколько протоколов защиты беспроводных сетей – это WPA2 и WPA3. WPA2 является обновленной версией WPA с внедренной технологией RSN (Robust Security Network), обеспечивающей динамический обмен информацией между двумя устройствами при выполнении аутентификации. WPA3, в свою очередь, имеет индивидуальное шифрование, протокол SAE (Simultaneous Authentication of Equals), а также усиленную защиту от атак методом подбора пароля [2].

WPS (Wi-Fi Protected Setup)- технология полуавтоматического развертывания беспроводной сети. Целью протокола является упрощение настройки сети. С его помощью пользователь может не затрудняться по поводу включения шифрования либо внедрения WPA-ключа.

Handshake (Рукопожатие)- процесс обмена ключами между клиентом и точкой доступа, который происходит в несколько стадий.

Когда клиент подключается к сети Wi-Fi с использованием WPA2 (802.11i), используя стандартную аутентификацию по паролю, он использует пароль в качестве предварительно общего ключа (PSK). На практике PSK передается через функцию получения ключа (KDF) на основе SHA1, после создает попарный главный ключ (PMK), который используется для получения дополнительных ключей для связи. PMK – это долгосрочный ключ, используемый для настройки всех соединений между клиентами (например телефонами, ноутбуками) и точкой доступа (маршрутизатором). Когда происходит аутентификация, маршрутизатор превращает пароль (PSK) в ключ (PMK) который используется в процессе подтверждения связи. Первая часть квитирования используется для создания попарного временного ключа (PTK) который используется для аутентификации, шифрования сетевого трафика и проверки подлинности сообщений.

PMKID- это уникальный идентификатор ключа, используемый AP для отслеживания PMK (Pairwise Master Key) применяемого клиентом.

Спуфинг- Тип кибератаки, предусматривающей маскировку под устройство и использование в виде средства проникновения в сеть путем фальсификации данных.

Сниффер- программное обеспечение, позволяющее захватывать, модернизировать и прослушивать входящих и сетевой трафик. Оно следит за активностью пользователя в интернет пространстве. Посещение сайтов, загрузка и выгрузка файлов[3].

Сниффинг- метод захвата, модернизации и прослушивания сетевых пакетов. Крупную опасность представляет получение конфиденциальной информации пользователя: пароли, логины. В последствие чего эти данные могут быть использованы в корыстных целях.

Злой Двойник- спуфинг-атака, посредством которой создается поддельная точка доступа беспроводной сети, имитирующая подлинную беспроводную сеть, используя SSID как у неё.

Человек посередине (Man in the Middle, MitM)- один из видов кибератаки, при работе которой идет ретрансляция трафика от одного устройства к другому с возможностью его модификации.

DoS-атака (Отказ в обслуживании) – вид направленной атаки из одной точки. Используется для выведения вычислительных систем до отказа, чтобы пользователь не смог получить доступ к системным ресурсам или серверам.

DDoS-атака- разновидность DoS атаки, которая идет от множества точек точек доступа. Направлена данная атака на нарушение работоспособности сервисов посредством отправки избыточных запросов в целях заполнения целевой машины для перегрузки системы.

Брутфорс (Brute force)- метод подбора ключа доступа, работающий на переборе установленных комбинаций символов, пока не будет найдена нужная вариация ключа.

Атака по словарю- атака по заранее заданной базе данных, включающей в себя набор символов разной длины и регистра.

ПенТестинг (Penetration Testing)- Метод оценки защищенности информационной системы от проникновения посредством использования конкретных уязвимостей. При оценке используются следующие методы: Анализ на наличие уязвимостей, которые могут спровоцировать некорректную работу системы.

Приступая к перечислению зависимостей и инструментов, используемых в скрипте Airgeddon, следует отметить, что для полной реализации потенциала программы нужны все ниже перечисленные средства. Скрипт проверяет их наличие при запуске.

Стоит перейти к базовым инструментам:

Ifconfig- команда, которая использовалась для настройки сети в Linux.

Iw- утилита командной строки, используемая для сканирования, прослушивания и т.п.

Iwconfig- устаревшая версия более новой утилиты Iw.

Airmon-ng- скрипт, который позволяет перехватывать сетевые пакеты посредством смены режима сетевого интерфейса в режим монитора без аутентификации в точке доступа.

Aircrack-ng- набор программ для работы с беспроводными сетями, который позволяют анализировать трафик, проводить аудит ключей шифрования, а также совершать пентест.

Iwconfig- устаревшая версия более новой утилиты.

Awk- язык программирования, основанный на построчном разборе и обработки входного потока по заданным шаблонам.

Airodump-ng- утилита, используемая для захвата пакетов, а также их хранения для дальнейшего анализа.

Xterm- эмулятор терминала для среды X Window System.

Опциональные инструменты для работы вторичных функций:

Wpaclean- используется для очистки рукопожатий от лишней информации.

Crunch- генератор словарей методом перестановки и комбинации.

Aireplay-ng- утилита для создания поддельного трафика в беспроводной сети. Подмен, инъекция зараженных пакетов.

Mdk4- утилита для деаутентификации клиента от точки доступа, посредством DoS-атаки.

Hashcat- инструмент для восстановления паролей, использующий метод подбора паролей брут-форсом.

EtterCAP- программное обеспечение для совершения атак MitM(Man-in-the-Middle). Метод ретрансляции между точкой доступа и клиентом, в котором идет прослушивание трафика.

BetterCAP- улучшенная версия программы EtterCAP. Более удобная для использования, часть опций отображается в списке, покажет, включены ли они.

EtterLOG- скрипт для анализа логов, созданных в EtterCAP/BetterCAP.

Hostapd-wpe- Утилита, реализующая атаки выдачи себя за аутентификатора и сервера аутентификации для получения данных клиента.

SSlstip- прокси-сервер, организовывающий способ обхода HTTPS для перехвата HTTP трафика, посредством подмены HTTPS на HTTP двойник

DNSspoof- атака посредством DNS спуфинга.

Wash- утилита для идентификации точек доступа с включенным WPS.

Reaver- программа для подбора ключей WPS методом подбора и перебора.

Bully- скрипт, используемый для атаки брутфорса WPS.

PixieWPS- инструмент для оффлайн брутфорса WPS пина.

Плавно переходя к программному обеспечению, хотелось бы отметить, что меню является интуитивно понятным в плане навигации и позволит пользователю понять, за что отвечает та или иная функция. Никаких команд вводить не нужно, так как файлы для расшифровки можно перетаскивать прямо в рабочее окно программы (рис. 1).

Рисунок 1. Главное меню Airgeddon.

Помимо простого интерфейса, программа будет выдавать подсказки в некоторых секциях во время работы с ней (рис. 2).

Рисунок 2. Подсказка в меню инструментов для работы с Handshake/PMKID.

В первую очередь перейдем к самому распространенному виду кибератак из главного меню - DoS атаки. В программе реализованы 6 видов таких атак.

Атака деаутентификации /разъединения amok mdk4 - атака с последующим отключением клиента от точки доступа посредством DoS атаки.

Атака деаутентификации aireplay – вид DoS атаки с подменой трафика. Основана атака на отправке пакетов для деаутентификации клиентов от беспроводной точки доступа. После запуска скрипта происходит отправка пакетов для отключения клиентов от точки доступа, что позволяет получить рукопожатие.

Атака запутывания WIDS / WIPS / WDS - атака отправляет большое количества фрагментированных RTS-фреймов и система перезагружается из-за нестандартной ситуации.

Beacon flood атака- программа отправляет фреймы маяков для создания видимости множества точек доступа. Может вывести из строя сканеры сети и драйверы.

DoS атака деаутентификации- стандартная атака с отключением клиента от точки доступа посредством отправки бесконечного количества пакетов, что приводит к отказу в обслуживании.

Атака «Michael shutdown exploitation»- Атака с возможностью отключения точки доступа. Использует шифрование TKIP и расширение QoS c 1 перехваченными и 2 введенными пакетами данных (рис. 3).

Рисунок 3. Меню DoS атак.

Следующим по списку идет меню инструментов для работы с Handshake/PMKID. Оно предназначено для захвата данных пакетов, а также для очистки/оптимизации кода в файле с рукопожатием (рис. 4).

Рисунок 4. Меню работы с Handshake и PMKID.

Третье меню – это меню офлайн расшифровки WPA/WPA2.

Есть два вида расшифровки- Personal (Рис. 5) и Enterprise (Рис. 6). Отличие только в методах и утилитах для расшифровки.

Атаки могут быть реализованы как с помощью центрального процессора (CPU), так и с помощью процессора видеокарты (GPU).

Рисунок 5. Меню расшифровки WPA/WPA2 Personal.

Рисунок 6. Меню расшифровки WPA/WPA2 Enterprise.

Меню атак Злой Двойник. Для выполнения атаки нужно быть очень близко к целевой точке доступа или иметь очень мощную Wi-Fi антенну. Сигнал должен достигать клиентов с такой же силой, или даже сильнее, чем легитимная точка доступа (рис. 7).

Рисунок 7. Меню атак Злой Двойник.

Далее идет меню с видом атак на WPS. Атака по нулевому PIN-коду очень быстрая и мгновенно получает пароль, но уязвимы только некоторые виды точек доступа (рис. 8).

Рисунок 8. Меню атак на WPS.

Последним пунктом является меню Enterprise атак. Работает аналогично атаком Злой Двойник, используя библиотеку hostapd-wpe (рис. 9).

Рисунок 9. Меню Enterprise атак.

Результаты

Как и любой инструмент для тестирования безопасности, результаты использования Airgeddon зависят от того, как он используется. В правильных руках он может помочь выявить уязвимости в беспроводных сетях, а в неправильных - привести к нарушению законов и нанести вред другим пользователям.

Некоторые из возможных результатов использования Airgeddon могут включать:

- Обнаружение уязвимостей в беспроводных сетях: Airgeddon может использоваться для сканирования беспроводных сетей и поиска уязвимостей, таких как слабые пароли или незащищенные точки доступа. Это может помочь администраторам сетей улучшить безопасность своих сетей.

- Нарушение безопасности сети: Если Airgeddon используется злоумышленником, он может использоваться для нарушения безопасности беспроводной сети. Например, злоумышленник может использовать Airgeddon для перехвата трафика в беспроводной сети или для получения доступа к защищенным данным.

- Нарушение законов: Использование Airgeddon для нарушения безопасности чужой сети является незаконным и может привести к уголовной ответственности. Поэтому, если вы не являетесь администратором сети или не имеете разрешения на тестирование безопасности сети, использование Airgeddon может привести к негативным последствиям.

- Улучшение безопасности: Если Airgeddon используется администратором сети или специалистом по безопасности, он может помочь улучшить безопасность беспроводной сети. Например, Airgeddon может использоваться для проверки наличия уязвимостей в сети и для устранения этих уязвимостей.

В целом, результаты использования Airgeddon зависят от того, как он используется. Если он используется правильно, он может помочь улучшить безопасность беспроводных сетей. Однако если он используется неправильно, он может привести к нарушению законов и нанести вред другим пользователям.

Обсуждение

Эксперты в области кибербезопасности прогнозируют, что киберугрозы будут продолжать расти в 2022 и 2023 годах. Это связано с тем, что все больше людей используют онлайн-сервисы и хранят свои данные в облаке, что делает их более уязвимыми для кибератак.

Ожидается, что киберпреступники будут использовать все более сложные методы атак, такие как социальная инженерия и фишинг, чтобы получить доступ к персональным данным. Кроме того, ожидается увеличение числа кибератак на крупные организации и правительственные учреждения.

По итогам событий 2022 года индустрия кибербезопасности подошла к необходимости переосознания основных принципов построения защиты и реагирования на угрозы в масштабах бизнеса, отраслей и страны, и в 2023 году кибербезопасность как индустрию ожидает период активной пересборки с большей ориентированностью на практику результативной защиты. В ближайшие годы рынок ИБ в России окончательно станет рынком отечественных производителей и будет расти в разы, еще больше возрастет востребованность технологий, позволяющих предотвращать хакерские атаки до того, как компаниям будет нанесен непоправимый ущерб. В частности, трендом следующего года можно считать рост интереса к платформам Bug Bounty у компаний различных сфер бизнеса (включая государственные), практическим киберучениям и средствам защиты с максимальным уровнем автоматизации в части выявления хакерских атак и противодействия им. Также на промежутке 1—2 лет стоит ожидать появления на рынке новых прогрессивных средств защиты в нишах, традиционно занимаемых до сих пор зарубежными игроками. Так, в первую очередь мы увидим обновления линеек решений в классе NGFW, защиты контейнерных сред и облаков. [4]

Для защиты от киберугроз в будущем необходимо будет продолжать следить за обновлениями программного обеспечения и использовать надежные пароли и двухфакторную аутентификацию. Также важно будет обучать себя и своих близких основам кибербезопасности и регулярно резервировать свои данные. Кроме того, организации и правительства будут вынуждены улучшать свои меры безопасности и защиту от киберугроз.

Заключение

Подводя итог вышесказанному, следует отметить, что на сегодняшний день количество киберугроз только растет, поэтому нужно заниматься обеспечением безопасности внутренних сетей посредством аудита теми или иными утилитами. Утилита Airgeddon прекрасно подходит для ПенТестинга беспроводных сетей, а Metasploit помогает найти уязвимости внутри системы. Учитывая особенности преступлений, можно прийти к выводу, что кибератаки способствуют дестабилизации государственных структур и предприятий. Для повышения качества защиты от воздействия со стороны на беспроводные сети требуется изучать документацию тех или иных инструментов для защиты внутренних сетей и как можно чаще заниматься аудитом во избежание утечек или фактов мошенничества.

Литература

1. Актуальные киберугрозы: I квартал 2022 года. URL: https://www.ptsecurity.com/ru-ru/research/analytics/cybersecurity-threatscape-2022-q1/ (дата обращения: 14.10.2022);

2. WPA. URL: https://ru.wikipedia.org/wiki/WPA (дата обращения: 14.10.2022);

3. Что такое сниффер и как не лишиться данных после покупок в интернете. URL: https://trends.rbc.ru/trends/industry/60f6c2af9a7947fc32ae0a91 (дата обращения: 16.10.2022);

4. Кибербезопасность в 2022-2023. Тренды и прогнозы. URL: https://www.ptsecurity.com/ru-ru/research/analytics/ogo-kakaya-ib/

Social-Engineer Toolkit как проект социальной инженерии

2024-06-04T05:49:26.332Z

Аннотация

В данной статье автор приводит программное обеспечение, специализируемое на социальной инженерии, под названием Social-Engineer Toolkit (SET). Данный фреймворк используется для тестирования на проникновения с использованием методов взаимодействия с пользователем. В нем рассматриваются виды атак, основанные на отправке E-Mail писем, подделывании сайтов и использовании полезной нагрузки в системе жертвы. ПО не имеет русского интерфейса, но пользователю не составит труда решить проблему, так как отсутствие языка компенсируется простотой использования и широким вектором утилит для аудита конкретной среды. На данный момент нет ни одной отечественной программы с похожим функционалом. Сотрудники отделов по обеспечению информационной безопасности могут её использовать для проведения аттестации среди сотрудников, которые взаимодействуют с персональными данными.

Ключевые слова: Social-Engineer Toolkit (SET), социальная инженерия, информационная безопасность.

Введение

В настоящее время происходит все больше случаев, связанных с утечкой баз данных пользователей. Только в 2022 году было зафиксировано не менее 14 громких случаев утечки персональных данных. Этими компаниями являются: Яндекс.Еда, Delivery Club, СДЭК, Почта России, Kari и другие [1].

В 2023 году зафиксировано 27 утечек персональных данных, в результате которых в сеть попали 165 млн. записей [2]. Также Лаборатория Касперского обнаружила 80 тысяч фишинговых писем [3]. Не исключено, что данные были похищены, но не стоит забывать о некомпетентных сотрудников, которые могли допустить неправомерный доступ к базам данных посредством заражения через файл-троян по причине недостатка знаний в области информационной безопасности. 2 октября в компании DNS произошел случай неправомерного доступа к серверам с базами данных, который мог быть осуществлен либо из-за слабой защиты компании, либо из-за оплошности сотрудника. В открытый доступ попало порядка 16,5 млн. записей с данными пользователей DNS [4]. Во избежание подобных случаев следует проводить исследование защищенности сети компании, создать форму-опрос для аттестации или использовать данный фреймворк для удаленного и внезапного аудита с конкретными сотрудниками, у которых есть доступ к базам данных с персональными данными пользователей. Функциональным назначением ПО является проведение атак социальной инженерии.

Материалы и методы

Социальная инженерия – психологическое манипулирование людьми с целью совершения определенных действий или разглашения конфиденциальной информации [5].

Фишинг- получение неправомерного доступа к конфиденциальной информации пользователя. Существует два типа фишинга по способу получения данных.

Первым методом сбора является поддельный сайт. Злоумышленники копируют интерфейс сайта и изменяют вид ссылки.

Второй способ – это вредоносный файл. При открытии файла хакер получает доступ к системе, что может привести к утечке конфиденциальных данных.

Фишинговая атака – рассылка электронных писем и принуждение пользователя перейти по вредоносной ссылке скачать зараженное вложение [6].

Начиная с разбора пунктов меню и интерфейса программного обеспечения, хотелось бы отметить, что они являются интуитивно понятными и любой пользователь, даже с базовым знанием английского языка, сможет понять, что за функция ему нужна.

Рисунок 1. Главное меню Social-Engineer Toolkit.

В главном меню указана версия программы, домашняя страница утилиты и GitHub ресурс для обновления.

Атаки социальной инженерии

Первый пункт – это Social-Engineering Attacks. В данном подменю имеются все виды атак, которые работают посредством социального взаимодействии с пользователем.

Рисунок 2. Меню Social-Engineering Attacks.

Spear-Phishing Attack Vectors- фишинговая E-mail атака, способная отправлять письма большому или малому количеству людей с файлом трояном (рис. 3). Имеется 3 опции для разных видов атак. Perform a Mass Email Attack (Выполнение массовой Email атаки), Create a FileFormat Payload (создать формат файла с нагрузкой) и Create a Social-Engineering Template (создать шаблон атаки социальной инженерии).

Рисунок 3. Форматы полезной нагрузки для Spear-Phishing Attack.

Website Attack Vectors- Векторы атаки на веб-сайты. Способ использования атак (рис. 4), используемый для угрозы определенному интернет ресурсу.

Рисунок 4. Виды атак из меню Website Attack.

Перейдем к пояснению каждой из атак.

Java applet Attack Method- данный метод способен подменять сертификат Java и отправлять полезную нагрузку от Metasploit.

Metasploit Browser Exploit Method- использование эксплоитов для браузеров Metasploit.

Credential Harvester Attack Method- клонирование веб-сайта для получения пары логин-пароль.

Tabnabbing Attack Method- метод подмены страницы после перехода пользователя на другую вкладку.

Web Jacking Attack Method- метод замены URL ссылки на вредоностную.

Multi-Attack Web Method- метод множественных атак из списка за один раз.

HTA Attack Method- клонирование сайта с последующей инъекцией powershell через HTA файлы.

Infectious Media Generator- генератор заражённого носителя.

Данная атака создает исполняемый файл autorun.inf на съемном носителе USB/CD/DVD с полезной нагрузкой от Metasploit (рис. 5).

Рисунок 5. Виды полезной от Metasploit в меню Infectious Media Generator.

Create a Payload and Listener- создание полезной нагрузки и слушателя.

Создание полезной нагрузки для входа в определенную систему и слушателя, который после входящего запроса создаст туннель для удаленного доступа.

Mass Mailer Attack- атака массовой рассылкой.

Данный метод социальной инженерии имеет 2 основные опции. Первая нужна для отправки письма одному пользователю, другая множеству (рис 6.).

Рисунок 6. Опции из меню Mass Mailer Attack

Arduino-Based Attack Vector- Вектор атаки основанной на Arduino

Атака позволяет создать полезную нагрузку (рис. 7) для USB-устройств со встроенным хранилищем. Например, устройство регистрируется как клавиатура. Она сможет обойти системную защиту и добавить автозагрузку в реестр без прав администратора.

Рисунок 7. Виды полезной нагрузки для меню Arduino-Based Attack Vector.

Wireless Access Point Attack Vector- вектор атаки беспроводной точки доступа.

Данный модуль создаст точку доступа, используя встроенный или внешний сетевой интерфейс, и перенаправит DNS запросы устройству, с которого проходит атака.

QRCode Generator Attack Vector- Вектор атаки генерацией QRCode

Создание QRCode с вредоносной ссылкой для жертвы используется после выполнения другой атаки (например, Java applet Attack Method).

Powershell Attack Vectors- Векторы атаки Powershell

Создание атак, основанных на PowerShell (рис. 7). Доступно на версиях Windows Vista и выше.

Рисунок 8. Виды атак из меню Powershell Attack Vectors

Ускоренное тестирование на проникновение

Penetration Testing (Fast-Track)- меню используется для проведения атак посредством автоматизации тестирования на проникновения. Все векторы (рис. 8) были настроены с нуля для улучшения функциональности.

Рисунок 9. Векторы атак из меню Penetration Testing (Fast-Track)

Microsoft SQL Bruter- брут-форс Microsoft SQL

Атака используется для идентификации серверов MSSQL для брут-форса паролей аккаунтов.

Custom Exploit- пользовательские эксплойты

В меню предоставлен список мало популярных эксплоитов (рис. 9), написанных на языке программирования Python.

Рисунок 10. Виды эксплоитов из меню Custom Exploit.

SCCM Attack Vector- вектор атаки SCCM

Атака SCCM использует SCCM конфигурации для формирования структуры программного обеспечения на сервере.

Dell DRAC/Chassis Default Checker- утилита для проверки конфигураций по умолчанию Dell DRAC/Chassis

Используется для поиска стандартных установок. После удачного поиска предоставляется доступ для удаленного администрирования. После этого мошенник сможет скомпрометировать всю инфраструктуру.

RID_ENUM - User Enumeration Attack- атака перебора пользователей

Инструмент для перебора пользовательских аккаунтов через атаку нулевых сессий. Для успешной работы сервер должен иметь включенную функцию нулевых сессий.

PSEXEC Powershell Injection- атака инъекции PSEXEC PowerShell

Атака внедряет полезную нагрузку в систему через инъекцию памяти Powershell. Данный способ позволяет обойти антивирусное программное обеспечение, т.к. не будет взаимодействия с жестким диском.

Сторонние модули

Third Party Modules.

RATTE (Remote Administration Tool Tommy Edition) Create Payload only- создание полезной нагрузки

RATTE Java Applet Attack- атака удаленного администрирования.

Google Analytics Attack- атака на сервис Google Analytics.

Результаты

Результаты использования Social-Engineer Toolkit (SET) могут включать успешное получение доступа к системе, уклонение от защиты от вредоносных программ и получение конфиденциальной информации. Этот инструмент предоставляет множество опций для социальной инженерии и может быть использован как для тестирования безопасности сети, так и для злоумышленных целей.

Одна из основных проблем социальной инженерии – это то, что она может быть трудно обнаружена и предотвращена. В отличие от технических атак, социальные атаки могут быть проведены без использования компьютера или технических навыков. Кроме того, социальные инженеры могут использовать психологические методы, чтобы убедить цель выполнить определенные действия.

Другой проблемой социальной инженерии является то, что она может быть успешной только при наличии некоторой степени доверия между атакующим и целью. Например, фишинговая атака может быть успешной только в том случае, если цель доверяет отправителю письма и переходит по ссылке. Если цель подозревает, что что-то не так, то атака не будет успешной.

Обсуждение

Кроме того, социальная инженерия может быть использована для получения доступа к конфиденциальной информации, такой как пароли, данные банковских карт и т.д. Если злоумышленник получает доступ к такой информации, он может использовать ее для своих личных целей, таких как кража денег или идентификационной информации.

Чтобы предотвратить утечки конфиденциальной информации через социальную инженерию, необходимо обучать пользователей и сотрудников быть более бдительными и осторожными в своих действиях. Они должны знать, как распознавать фишинговые атаки и другие виды социальной инженерии, а также следовать правилам безопасности информации. Хорошим методом обучения пользователей является тест от Лаборатории Касперского на платформе ASAP (Automated Security Awareness Platform). У данной программы осведомленности есть бесплатный тест по электронной почте и фишинговым письмам [7]. От фишинга нет универсальной защиты, кроме бдительности. Проблема заключается в постоянном развитии методов атаки. Мошенники могут запустить персональную кампанию, направленную только на сотрудников определенной организации, или лишь на чересчур доверчивых людей, занимающихся сбором средств [8].

Кроме того, компании могут использовать различные технологии для защиты от социальной инженерии, такие как системы контроля доступа и мониторинга сетевой активности. Однако, ни одна технология не может быть эффективной без правильного обучения и обучения пользователей о том, как защитить себя и свою информацию от социальной инженерии.

Заключение

Подводя итог вышесказанному, отметим, что на сегодняшний день количество утечек персональных данных постепенно растет. Использование Social-Engineer Toolkit может быть полезным инструментом для проверки уровня безопасности компании и ее сотрудников, но необходимо использовать его с осторожностью и только с согласия руководства. Кроме того, обучение пользователей основам информационной безопасности является ключевым фактором для предотвращения утечек конфиденциальной информации через социальную инженерию. Компании должны вкладывать время и ресурсы в обучение своих сотрудников и следить за их безопасностью, чтобы защитить себя и своих клиентов от потенциальных угроз.

Литература

1. 14 компаний, откуда утекли данные пользователей в 2022 году. URL: https://www.sravni.ru/text/14-kompanij-otkuda-utekli-dannye-polzovatelej-v-2022-godu/

2. Роскомнадзор зафиксировал 27 случаев утечки данных в 2023 году. URL: https://www.securitylab.ru/news/536955.php

3. DNS подтвердила факт утечки данных пользователей. URL: https://habr.com/ru/news/t/691112/

4. В 2023 году «Лаборатория Касперского» обнаружила в России 80 тысяч фишинговых писем, отправленных с использованием IPFS. URL: https://www.kaspersky.ru/about/press-releases/2023_v-2023-godu-laboratoriya-kasperskogo-obnaruzhila-v-rossii-80-tysyach-fishingovyh-pisem-otpravlennyh-s-ispolzovaniem-ipfs

5. Социальная инженерия. URL: https://ru.wikipedia.org/wiki/Социальная_инженерия

6. Полное руководство по фишинговым атакам. URL: https://habr.com/ru/companies/varonis/articles/544140/

7. Тест Электронная почта. URL: https://k-asap-free-lesson.logrusit.com/

8. Как защититься от фишинга: 10 советов. URL: https://www.kaspersky.ru/blog/phishing-ten-tips/9744/

Научная статья была опубликована в сборнике статей по итогам Международной научно-практической конференции "ВЫЗОВЫ ВРЕМЕНИ И ВЕДУЩИЕ МИРОВЫЕ НАУЧНЫЕ ЦЕНТРЫ", 67 стр. 24 апреля 2023 г.

DSTIKE Watch. Программируемый инструмент для аудита беспроводных точек доступа

2024-06-04T05:43:25.131Z

Аннотация

В данной статье автором рассматривается программируемое устройство для проведения атак на Wi-Fi сети под названием DSTIKE Watch D&B V4. Данный микрокомпьютер на плате Arduino Leonardo ATmega32u4 позволяет не только тестировать беспроводные сети на наличие уязвимостей и проверки защиты используемого сетевого оборудования, но и подключаться к персональному компьютеру пользователя для проведения атаки BadUSB, что, в свою очередь, поможет проверить уровень защищенности системы от проникновения со стороны USB устройств. DSTIKE Watch имеют 2 порта USB 2.0 типа Micro-B, один из которых отвечает за прошивку и зарядку часов, а другой - для проведения атаки типа BadUSB. Также часы имеют встроенную антенну для увеличения диапазона поиска беспроводных точек доступа, LED индикаторы зарядки и готовности атаки. Данное устройство является полностью программируемым, а это значит, что оно может быть использовано для разных целей.

Ключевые слова: DSTIKE, BadUSB, беспроводные точки доступа, Wi-Fi сети.

Введение

В современном мире Интернет стал неотъемлемой частью повседневной жизни. Люди смотрят погоду, заказывают еду и посылки из других стран. По результатам исследования, аналитики Cisco полагают, что к 2023 году в России будет 113 млн пользователей Интернета (78% населения) по сравнению с 92,7 (64% населения) в 2018 году [1]. Но не все потребители готовы заниматься обеспечением безопасности своей внутренней сети. По статистике киберугроз за 2022 год, самыми распространенными объектами являются: компьютеры, серверы, сетевое оборудование и люди. Преступники прибегали к методам социальной инженерии и использовали вредоносное программное обеспечение [2]. Распространение ВПО детерминирует необходимость усиления защиты сетевого оборудования и улучшения протоколов защиты от различных типов атак, не связанных с социальным взаимодействием.

Материалы и методы

Плавно переходя внешнему виду DSTIKE Watch V4, хотелось бы отметить, что они имеют квадратную форму с размерами 50 мм х 50 мм и толщиной 15 мм. Часы имеют чёрный корпус из пластика с матовой отделкой и прозрачным защитным стеклом над дисплеем. На передней панели расположен 1,3-дюймовый цветной IPS-дисплей с разрешением 240 х 240 пикселей.

Рисунок 1. Внешний вид DSTIKE Watch V4 и DSTIKE Watch V2.

С правой стороны устройства находятся кнопка управления и 2 USB Type Micro-B, для подзарядки и BadUSB. С левой стороны имеются 5 кнопок и антенна Wi-Fi, 2 из которых отвечают за включение и сброс, а остальные 3- за исполнение программного кода, заранее заложенного в Arduino IDE. DSTIKE Watch V4 имеют съёмный ремешок из силикона, который легко меняется на другой, если необходимо [3]. Ремешок имеет ширину 20 мм и длину 240 мм. Часы имеют простой и минималистичный дизайн, который делает его удобным в использовании и незаметным в повседневной жизни.

DSTIKE Watch V4 BadUSB является не только часами, но и устройством для взлома информационных систем. Он имеет следующий функционал:

1. Возможность использовать как HID-устройство для ввода клавиатурных команд в компьютер. Это позволяет выполнить различные действия на компьютере, такие как запуск программ, создание новых файлов, изменение настроек и т.д.

2. Возможность использовать как USB-устройство для кражи данных. Это позволяет получить доступ к файлам и документам на компьютере, скопировать их или отправить на удаленный сервер.

3. Возможность использовать как USB-устройство для внедрения вредоносных программ на компьютер. Это позволяет заражать компьютеры вредоносным ПО, которое может украсть личные данные, перехватывать пароли и т.д.

4. Возможность использовать как USB-устройство для перехвата трафика на сетевых устройствах. Это позволяет получить доступ к паролям и другой защищенной информации, которая передается через сеть

5. Возможность использовать как инструмент для тестирования безопасности сетей и информационных систем. Это позволяет проверять на прочность различные системы безопасности, выявлять уязвимости и устранять их.

6. Возможность использовать как USB-устройство для управления другими устройствами, подключенными к компьютеру. Это позволяет запускать программы и выполнять команды на других устройствах, таких как камеры, микрофоны, принтеры и т.д.

При запуске DSTIKE Watch появляется загрузочный экран (рис. 2) с информацией о загрузке. Он является полностью программируемым и его можно настроить по собственным нуждам.

Рисунок 2. Загрузочный экран DSTIKE Watch V4.

После полной загрузки появляется главное меню (рис. 3) с основными функциями:

Scan – сканирование точек доступа и клиентов беспроводных сетей.

Select – позволяет выбрать цели для вектора атак.

Attack – интерактивное меню, в котором имеются виды тестирования маршрутизаторов и точек доступа на стрессоустойчивость.

Packet Monitor – сканирует все сети и показывает количество отправленных пакетов в секунду.

Clock – часы.

LED – световой индикатор, можно использовать как фонарик.

В целом, никаких отличий от предыдущих версий часов они не имеют. Программное обеспечение является единым для серии как DSTIKE Watch, так и для других микрокомпьютеров на основе ESP8266.

Рисунок 3. Главное меню DSTIKE Watch V4.

Двигаясь по порядку, нужно выбрать меню Scan (рис. 4), в котором можно увидеть следующие пункты:

Scan AP + ST – полное сканирование точек доступа и станций.

Scan Aps – узконаправленное сканирование, направленное на точки доступа.

Scan Stations - сканирование станций. Под станциями можно понимать телефоны, планшеты и т.д.

После выбора соответствующего пункта запустится процесс сканирования (рис. 4), в котором можно увидеть количество беспроводных точек доступа, станций, количество пакетов и прогресс поиска.

Рисунок 4. Меню Scan и процесс сканирования

После сканирования необходимо перейти в меню Select чтобы выбрать точки доступа (рис. 5) или станции для проведения атак.

Рисунок 5. Меню выбора точек доступа.

Также, в данном разделе имеются пункты Names и SSID. Первый пункт отвечает за сохраненные имена точек доступа, когда второй пункт предоставляет список поддельных точек доступа (рис 6) для трансляции в эфире. Clone APs используется для копирования и создания поддельных SSID.

Переходя к меню атаки, сначала хотелось бы выделить некоторые теоретические моменты по поводу атак.

1) Атака DeAuth – это атака на беспроводную сеть, которая заключается в отправке фреймов DeAuth на адреса доступных точек доступа. Эти фреймы принуждают устройства, подключенные к сети, отключиться от нее. Когда устройства отключаются, они пытаются подключиться снова, но атакующий может перехватить их запросы на подключение и использовать их для получения доступа к сети или для сбора информации о подключенных устройствах.

2) Атака Beacon – эта атака предназначена для создания поддельных точек доступа [4]. Данные точки доступа, с повторяющимися SSID (рис 6.), не имеют возможности для передачи пакетов между пользователями. Данная атака предназначена для ввода в заблуждение пользователей, так как отсутствует возможность подключиться к данным точкам доступа.

3) Атака Probe – это атака заключается в отправке большого количества запросов Probe. Запросы Probe используются устройствами для поиска доступных сетей. Однако, при отправке большого количества запросов Probe, сеть может перегружаться и становиться недоступной для подключения устройств. Эта атака может быть использована для нарушения работоспособности беспроводных сетей или для отвлечения внимания от других атак.

Рисунок 6. Поддельные точки доступа, появившиеся после проведения Beacon-атаки.

Четвертым пунктом является меню Packet Monitor (рис. 7). Как было сказано ранее, данное меню показывает количество пакетов в секунду на разных каналах в виде графика

Рисунок 7. График анализа из меню Packet Monitor.

Вспомогательными пунктами меню являются Clock и LED (рис.8). Первый показывает текущее время, второй может быть использован для подсвечивания темных областей, если под рукой отсутствует фонарик.

Рисунок 8. Вспомогательные пункты Clock и LED.

При использовании атаки типа BadUSB хотелось бы отметить, что программирование функций может быть осуществлено в программном обеспечении под названием Arduino IDE. Так же, у данного устройства имеется веб интерфейс, которые может отвечать как за настройки самих DSTIKE Watch, так и за проведение атак.

Чтобы осуществить подключение, требуется зайти в доступные беспроводные сети и выбрать сеть с SSID под названием pwned. Стандартный пароль – deauther. Для входа требуется написать в адресной строке браузера IP 192.168.4.1. После успешного подключения и перехода, пользователя встречает окно с предупреждениями о работе устройства (рис. 9)

Рисунок 9. Начальная страница с предупреждениями об использовании.

В целом, данный интерфейс является интуитивно понятным и имеет те же самые функции, что и сами DSTIKE Watch, только имеет отличие в виде удобства использования с использованием графического интерфейса (рис. 10).

Рисунок 10. Меню сканирования

Если рассматривать меню настроек, то хотелось бы отметить, что доступ к нему можно получить с любого устройства, которое имеет доступ технологии беспроводной передачи данных. В настройках можно сменить как название точки доступа, так и пароль (рис. 11). По желанию можно сделать точку доступа скрытой после подключения к веб интерфейсу.

Рисунок 11. Меню настроек DSTIKE Watch V4.

Результаты

Данный пример показывает, что специальные технические средства по аудиту беспроводных сетей в настоящее время вышли на такой высокий уровень, что появилась возможность работать с ними как малоопытным специалистам, так и начинающим хакерам. Ношение с собой DSTIKE Watch V4 является намного удобным и неприметным, чем применение ноутбуков, которые являются громоздкими и тяжелыми. Не стоит забывать, что данное устройство является полностью программируемым, и его можно использовать для разных сфер деятельности. Например, существует возможность написания кода по перехвату рукопожатий и их последующей записи во внутреннюю память для последующей расшифровки. Второй пример – клонирование точек доступа. Конечно, у создаваемых в DSTIKE Watch поддельных точках доступа отсутствует аутентификация, но ничто не мешает дополнить основной код такой возможностью для проведения атаки MitM (Man in the Middle – Человек посередине). Также во избежание блокировки маршрутизатором аномального трафика или большого количества PING пакетов можно поменять MAC-адрес устройства. Это является главной проблемой, т.к. при блокировке устройства в белых и черных списках MAC адресов в маршрутизаторах можно обойти эти ограничения обычной сменой адреса. К сожалению, другие методы идентификации устройств у роутеров отсутствуют.

Обсуждение

Проблемы беспроводных сетей и протоколов защиты могут быть различными, но основные из них:

1. Низкая скорость передачи данных: Скорость передачи данных в беспроводных сетях ограничена радиочастотным диапазоном и другими факторами окружающей среды, такими как препятствия и электромагнитные помехи. Это может привести к замедлению работы сети и задержкам в передаче данных.

2. Ограниченный диапазон действия: Беспроводные сети имеют ограниченный диапазон действия и могут быть подвержены внешним воздействиям, таким как погода, атмосферные условия и электромагнитные помехи. Это может привести к потере связи или неполадкам в работе сети.

3. Небезопасность: Беспроводные сети могут быть подвержены хакерским атакам, таким как перехват данных, взлом паролей и клонирование точек доступа. Это может привести к утечке конфиденциальной информации и нарушению безопасности сети.

4. Несовместимость устройств: Некоторые устройства могут не поддерживать беспроводные сети или не совместимы с протоколами защиты, что может привести к проблемам в работе сети.

5. Интерференция: Беспроводные сети могут подвергаться интерференции от других устройств, работающих на той же частоте, что может привести к потере связи и неполадкам в работе сети.

Также не так давно была обнаружена фундаментальная уязвимость беспроводных сетей под названием CVE-2022-47522. Данная уязвимость позволяет вмешиваться в эфир и временно отключить точку доступа для создания очереди из фреймов, которые будут переданы на точку доступа. Это позволит изменить контекст безопасности фреймов и заставит точку доступа передавать фреймы в виде открытого текста, т.е. без шифрования или шифровать с помощью собственного алгоритма. В следствие чего злоумышленник сможет без труда увидеть информацию и использовать её (рис. 12).

Рисунок 12. Метод атаки за счет использования уязвимости CVE-2022-47522

Под угрозой могут быть миллиарды устройств. Специалистами в сфере информационной безопасности было обнаружено, что недочет находится в алгоритмах безопасности, а именно в системе формирования очередей буферизации фреймов, которые были подготовлены для отправки клиентам беспроводной точки доступа. Это достигается за счет инъекций в фрейм MAC-адресов принимающего и передающего устройства [4]. Фреймы – это цифровая единица передачи данных в беспроводных сетях. Его также можно назвать мини-архивом, который представляет собой контейнер для одного сетевого пакета [5,6].

Также данная уязвимость может быть использована для внедрения в TCP-пакеты вредоносного контента. Из-за отсутствия шифрования можно внедрить произвольный код JavaScript в HTTP-соединения с целью использования фишинговой атаки или уязвимостей браузера[7].

Заключение

Подводя итоги, в первую очередь хотелось бы отметить, что DSTIKE Watch V4 являются мощным инструментом для взлома и тестирования информационных систем. Они обладают широким функционалом и могут быть использованы в различных ситуациях, где требуется проверить на прочность системы безопасности. Однако следует помнить, что использование таких устройств может быть незаконным и нанести вред чужим информационным системам. Поэтому перед использованием данного устройства необходимо убедиться в законности своих действий и получить разрешение от соответствующих органов. Рекомендуется обращаться к профессионалам в области кибербезопасности для получения консультаций по использованию подобных устройств и защите от возможных атак. Также не стоит забывать, что уязвимости беспроводных сетей являются серьезной проблемой для безопасности информации в нашей цифровой эпохе. Киберпреступники постоянно ищут новые способы проникновения в сети, используя различные уязвимости. Однако, с помощью правильных мер безопасности, таких как использование надежных паролей, шифрования данных и обновления программного обеспечения, можно существенно уменьшить риски для своей сети.

Литература

1. Cisco: к 2023 году число пользователей Интернета в России достигнет 113,3 млн. URL: https://servernews.ru/1008384

2. Актуальные киберугрозы: I квартал 2022 года. URL: https://www.ptsecurity.com/ru-ru/research/analytics/cybersecurity-threatscape-2022-q1/

3. DSTIKE D&B Watch(V4). URL: https://dstike.com/products/dstike-d-b-watchv4

4. Деаутентификатор Wi-Fi. URL: https://dzen.ru/a/WuhXWVgWaRMTnYrZ

5. В Wi-Fi обнаружена фундаментальная «дыра». Все пользователи интернета под угрозой взлома. URL: https://www.cnews.ru/news/top/2023-03-29_v_wi-fi_obnaruzhena_fundamentalnaya

6. Frame (Networking) URL: https://en.wikipedia.org/wiki/Frame_(networking)

7. Типы фреймов 802.11. URL: https://komway.ru/stati/wi-fi/texnicheskie-stati/wifi-frames-management-control-data

8. Уязвимость в базовом Wi-Fi протоколе позволяет злоумышленникам перехватывать сетевой трафик. URL: https://www.securitylab.ru/news/537277.php

Научная статья была опубликована в сборнике статей по итогам Международной научно-практической конференции "ВЫЗОВЫ ВРЕМЕНИ И ВЕДУЩИЕ МИРОВЫЕ НАУЧНЫЕ ЦЕНТРЫ", 75 стр. 24 апреля 2023 г.