risspa app sec trend micro

Уязвимости в веб-приложениях как критичный фактор развития киберпреступности

Денис Безкоровайный, CISA, CISSP

Технический консультант

Agenda

Способы монетизации веб-уязвимостей

Способы защиты

Защита самих веб-приложений

Защита пользователей

Выводы

История Samy и MySpace

• 10/04/2005, 12:34 pm: У Вас 73 друга.

• 1 час спустя, 1:30 am: У Вас 73 друга и 1 запрос на добавление в друзья.

• 7 часов спустя, 8:35 am: У вас 74 друга и 221 запрос на добавление в друзья.

• 1 час спустя, 9:30 am: У Вас 74 друга и 480 запрос на добавление в друзья.

• 4 часа спустя, 1:30 pm: У Вас 2503 друзей и 6373 запросов на добавление в друзья.

История Samy и MySpace

За 20 часов – 1 005 831 запросов на добавления в

друзья

MySpace перестал работать

http://namb.la/popular/

It's All about the Benjamins

Как заработать на уязвимостях?

6PROFIT!

???????

Получить контроль над жертвами

Провести массовое заражение

Найти уязвимости веб-приложений (XSS, Injection, etc)

Разместить вредоносный контент

Как от веб уязвимостей страдают пользователи?

• Кража cookies

• Сбор паролей и прочих данных через подложные формы

• Заражение вредоносным ПО (боты, трояны и тд)

Методы монетизации ботнетов

• Кража данных и учетных записей– кредитные карты– онлайн –банкинг– FTP– социальные сети– электронная почта

• Click Fraud и перехват поискового трафика– партнерские программы

• знакомства / adult• легальные системы – оплата трафика

• Установка программ (pay per install)– FAKEAV – ложные антивирусы– SMS-вымогатели

• Распределенные вычисления– распознаватель CAPTCHA

дальнейшее распространение вредоносного ПО

продажа или вывод средств

Пример монетизации:Pay per install

Image © Trend Micro

Пример монетизации:Search poisoning

Image © Trend Micro

ЗАЩИТА WEB-ПРИЛОЖЕНИЙ

Classification 07/15/10 11

Защита веб-приложений

• Обнаружение–Сканеры безопасности

• Защита–Web Application Firewall

• Предотвращение–SDLC-стандарты

Web Application Firewall Evaluation Criteria

– Section 1 - Deployment Architecture– Section 2 - HTTP and HTML Support– Section 3 - Detection Techniques– Section 4 - Protection Techniques– Section 5 - Logging– Section 6 - Reporting– Section 7 - Management– Section 8 - Performance– Section 9 – XML

Trend Micro Deep Security – защита web-приложений

• Защищает от ключевых уязвимостей:– XSS

– SQL Injection

• Закрывает уязвимости– До выпуска исправления– Вместо исправления кода

• Программное решение– Меньшая стоимость

(закупки и последующая) в в в в сравнении с аппаратными решениями

Trend Micro Deep Security Защита web-приложений в действии

15 © Third Brigade, Inc.

С помощью IBM Rational AppScan просканировано web-приложение созданное на Microsoft.NET

• выполнено 5 428 теста

без защиты защита Deep Security

ЗАЩИТА ПОЛЬЗОВАТЕЛЕЙ

Как защитить пользователей

• Антивирус? – может защитить только от установки ПО

• Не защищает от кражи данных

– количество образцов постоянно растет– сигнатурный метод – не панацея– реактивные меры

• Черные списки?

• Защита от XSS на клиенте?

Черные списки в браузерах?

• Кнопка «Продолжить все равно»

• Неполные списки

NoScript?

• Плюсы

• Контроль запуска плагинов (Flash, PDF) с недоверенных сайтов

• Фильтрует XSS

• Минусы

• Снижает удобство

• Требует небольшой квалификации

• Только для Firefox

• Обходится социальной инженерией

Как защитить пользователей?

• Минимизировать последствия• Самый большой вред – установка ПО

• Предотвратить заражение = запретить доступ к URL загрузчика

• система должна быть очень динамичной

• должна блокировать доступ только к зараженным частям сайтов (а не всему домену)

Как построить динамичную и эффективную систему?

• Постоянный анализ• Спам (ссылки)

• Автоматизированный анализ сайтов

• Honeypots

• Реверс-инжиниринг ботов, троянов и вирусов

• Корреляция полученных данных• Динамическое пополнение баз репутации

• Принудительная защита

Релизация подхода в Trend Micro Smart Protection Network

Анализ угрозTrendLabsIP

Репутация почты

Веб репутация

Файлы

Файловая репутация

Корреляция

Сбор информации об угрозах

• Спам-сообщения• Honeypots• Web-crawlers• Схемы обратной связи• Клиенты• Партнеры• Исследования TrendLabs

•5 млрд. запросов URL в день•5 центров обработки данных (США, Европа, Ближний Восток, Африка, АТР)

•1000 рабочих серверов

Что дает реверс-инжиниринг?

• Дроп-зоны

• Центры управления

• Сервера обновлений и распространения

• Базы данных мулов

• Сайты партнерских программ с дистрибутивами для pay per install

Клиентская машина

Как происходит защита клиентов

Приложение / Браузер

Сервис проксиБаза

репутацииВеб сайт

Желаемое соединение

Реальное соединение

Получение репутации URL

Keep alive

Если разрешено политикой, установка сессии

Принудительная защита

• Защищаются все соединения, а не только запросы из браузера

• Нет кнопки «продолжить все равно»

Заключение

• Большинство веб-приложений уязвимы

• SDLC

• сканеры

• Web application firewall

• Для защиты пользователей нужен комплексный подход:

• Система репутации, подобная Smart Protection Network

• Принудильная блокировка доступа

risspa app sec trend micro

Documents

sap risspa

risspa. Евгений Климов. "Тренды и...

risspa adorofeev

Мастер-класс risspa «Что такое...

risspa apt мария сидорова

mobile security risspa

trend lines trend memiliki 3 arah -...

risspa trend micro

2.demidov bitrix-risspa

risspa suhanov

ohŘÍvaČe vody trend n a trend · ohřívače trend n 3...

office sec. sec. sec, office sec. sec. corrdoe work rm

< o hg4p-oo hg3p-oo-a hg4p-ol hg3p-ol-a hg4p …hg4p-13...

x64 rootkits risspa

risspa suhanov-2010-2

#mobile security risspa

[marketing trend] 2014 상반기 marketing trend

remote: trend prediction/ the trend book

pt devteev-risspa

Выступление на risspa