Искусство вторжения
Добавить в закладки К обложке
- Предисловие - Страница 1
- Глава 1.Ограбление казино на миллионы долларов - Страница 2
- Глава 2.Когда террорист звонит - Страница 13
- Глава 3.Хакерство в Техасской тюрьме - Страница 27
- Глава 4.Полицейские и воры - Страница 36
- Глава 5.Хакер Робин Гуд - Страница 48
- Глава 6.Мудрость и глупость проверок безопасности - Страница 62
- Глава 7.Вы уверены, что ваш банк безопасен, не правда ли? - Страница 75
- Глава 8.Ваша интеллектуальная собственность не в безопасности - Страница 82
- Глава 9.На континенте - Страница 106
- Глава 10.Социальные инженеры: как они работают и как их остановить - Страница 119
- Глава 11.Короткие истории - Страница 132
20.1.2 Ввод/обновление передачи сведений по проводам
Меню: передача сведений (Wires)
Функция: ввести/обновить передачу сведений
Эта возможность используется для входа в неповторяемые линии и выбора повторяемых линий. Неповторяемые линии предназначены для тех пользователей, которые редко осуществляют переводы или для тех, кто не является пользователем, но хочет совершить перевод. С помощью этой функции, входящие линии также могут использоваться после разгрузки. Когда выбрана эта функция, появляется такой экран.
Wire transfers
Wire transfers 11:35:08
Outgoing
Type options, press Enter.
2=Change, 4=Delete, 5=Display Position to …
Opt From account To beneficiary Amount
F3=Exit F6=Add F9=Incoming F12=Previous
Когда эта функция используется впервые, линии еще не выбраны. Чтобы сделать это нажмите F6=Add и появится следующий экран.
Целая глава была посвящена подробному изложению — шаг за шагом — процедуры для установки линии связи, чтобы передать по ней средства из данного банка какому-то человеку или другой финансовой организации. Теперь Габриэль знал все необходимое для того, чтобы осуществить такой перевод. Он получил в свои руки «ключи от замка».
ПОСЛЕДСТВИЯ
Несмотря на совершенно неограниченный доступ к системе банка и огромные возможности, Габриэль не воспользовался всем этим. В его планы не входило красть деньги или портить какую-то банковскую информацию, хотя у него и была идея повысить кредитный рейтинг двух своих приятелей. Будучи всего-навсего студентом, изучающим системы безопасности в местном колледже. Габриэль смог нащупать слабости в системе безопасности банка.
«На их сервере я нашел массу документов об их системе физической безопасности, но ни слова о хакерах. Я нашел сведения о том, что банк приглашает консультантов по безопасности каждый год, но этого явно недостаточно. Они делают неплохую работу по выявлению брешей в физической безопасности, но совершенно недостаточно —в сфере компьютерной безопасности».
АНАЛИЗ
Сайт эстонского банка — это легкая мишень. Юхан обнаружил бреши в защите, когда он просматривал коды программ Интернет-сайта банка. Они использовали скрытые параметры, которые содержали имена файлов форм, которые загружались текстом CGI и показывались пользователям в их Интернет-браузере. Он изменил эти параметры так, чтобы они указывали на файл паролей сервера, — «раз-два», и у него на экране появился этот файл паролей. Удивительно, что это файл не был замаскирован, поэтому он получил доступ ко всем зашифрованным паролям, которые он впоследствии взломал.
Взлом банка « D i x i e » продемонстрировал еще один пример необходимости «глубокой зашиты». В данный момент сеть банка была гладкой; то есть, без серьезной защиты за пределами сервера Citrix. После того, как в одну из систем сети проникал атакующий, он мог соединиться с любой системой сети. Методика «глубокой защиты» могла бы помешать Габриэлю получить доступ к AS/400.
Служба безопасности банка испытывала абсолютно ложное ощущение безопасности, возникшее после внешних аудитов, которые неоправданно завысили оценку уровня их общей безопасности. Хотя проведение подобных проверок и аудитов — очень важный шаг при выяснении вашей способности противостоять атакам, еще более важным элементом является процесс правильного управления сетью и всеми работающими в ней системами.
КОНТРМЕРЫ
Повторюсь: проникновение в банк Dixie дает еще один пример необходимости «глубокой защиты». В этом случае сеть банка оказалась гладкой. После того, как в одну из систем сети проникал атакующий, он мог соединиться с любой системой сети. Методика «глубокой защиты» могла бы помешать Габриэлю получить доступ к AS/400.
Сайт онлайнового банка должен требовать, чтобы все разработчики Интернет-приложений придерживались фундаментальных правил безопасности и чтобы у них проводился аудит всех кодов. Лучше всего ограничить число пользователей, имеющих доступ к текстам на сервере. Для этого надо использовать сложные имена файлов и засекреченных констант, что естественно повысит уровень безопасности приложения.
Недостаточный контроль сети и слишком простые пароли на сервере Citrix — главная ошибка в рассматриваемом случае, именно она позволила Габриэлю свободно путешествовать по сети, устанавливать программу для записи набираемых на клавиатуре текстов, следить за другими пользователями и внедрять программы — трояны. Хакер написал небольшую программу и поместил ее в стартовую папку администратора, поэтому, когда администратор входил в компьютер, он неосознанно записал программу pwdump3. Габриэль уже имел права администратора. Хакер должен был только дождаться, когда администратор домена войдет в компьютер, после чего он мог украсть его привилегии и автоматически извлечь пароли из первичного контроллера доменов. Спрятанная программа называется трояном или «черным ходом». Вот краткий список контрмер:
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
- 41
- 42
- 43
- 44
- 45
- 46
- 47
- 48
- 49
- 50
- 51
- 52
- 53
- 54
- 55
- 56
- 57
- 58
- 59
- 60
- 61
- 62
- 63
- 64
- 65
- 66
- 67
- 68
- 69
- 70
- 71
- 72
- 73
- 74
- 75
- 76
- 77
- 78
- 79
- 80
- 81
- 82
- 83
- 84
- 85
- 86
- 87
- 88
- 89
- 90
- 91
- 92
- 93
- 94
- 95
- 96
- 97
- 98
- 99
- 100
- 101
- 102
- 103
- 104
- 105
- 106
- 107
- 108
- 109
- 110
- 111
- 112
- 113
- 114
- 115
- 116
- 117
- 118
- 119
- 120
- 121
- 122
- 123
- 124
- 125
- 126
- 127
- 128
- 129
- 130
- 131
- 132
- 133
- 134
- 135
- 136
- 137
- 138
- 139
- 140