Тенденции развития киберпреступности в России и в мире в 2009 году Илья Сачков CISM Group-IB (Группа информационной безопасности) sachkov@group-ib.ru. - презентация

1 Тенденции развития киберпреступности в России и в мире в 2009 году Илья Сачков CISM Group-IB (Группа информационной безопасности)

2 Преступная группа

3 Мой любимый реальный пример Как Вы думаете, сколько зарабатывает создатель «средней» по технологии бот сети?

4 Реальный пример $ за 1.5 года

5 Нарушение информационной безопасности Цель нарушения информационной безопасности – получение прибыли. Большой прибыли.

6 Реальный пример Простой вирус блокировки ОС Заработок через агрегатора одного партнера: 27000$ в месяц

7 Ответственность за нарушение ИБ Отсутствие ответственности удешевляет стоимость нелегальных услуг и сводит работу информационной безопасности в гонку вооружений. 20$ стоимость заражения 1000 машин 200 – 500 Euro – DDoS атака до 20Гб (24 часа)

8 Проблема Информационная безопасность – это бизнес. Сейчас она развивается не в направлении борьбы с нарушениями информационной безопасности, а в направлении получения прибыли. Откатная экономика Самодурство

9 Вектора развития КиберпреступностьИнформационная безопасность Технологии Цель: прибыль

10 Процент ИТ бюджета, который тратится на информационную безопасность

11 Как много инцидентов произошло у вас в компании за последний год?

12 Задачи расследования 1.Привлекать в ответственности преступников Если этого не делать, то стоимость услуг будет далее дешеветь, а качество возрастать. Как увеличить шансы успешного расследования: 1.Помогать правоохранительным органам 2.Обмениваться информацией (дела по одним и тем же людям лежат в разных подразделениях от разных заявителей) Нет идеальных преступлений

13 С чем нам пришлось столкнуться? Мошенничество с ДБО Взлом web-серверов Распространение вредоносного ПО DDoS Фишинг

14 Бот-сети. Тенденции Децентрализация. Управляющие центры переносятся в «абузоустойчивые» страны и децентрализуются. Многоступенчатость управляющих центров. 2. Появление большого количества непрофессиональных бот сетей: с помощью конструкторов или специальных программ для их создания. Для создания и управления такой сетью не требуются специальные знания. 3. Профессиональные бот сети стали использовать передовые технологии для управления и обеспечения анонимности 4. Распространение партнерских бот-сетей («партнерки»).

15 Бот-сети. Технологии 1.Интеллектуальные боты 2.First come – установление патчей после заражения; 3. Port knocking – аутентификация; 4. Использование пиринговых сетей для управления бот-нетом. Skype, torrent и т.д. 5. Fast flux - назначение любому полнофункциональному доменному имени множества IP-адресов. Переключение между ними в потоке происходит с обескураживающей быстротой, при этом используется комбинация циклического набора IP-адресов и очень маленького значения TTL для каждой отдельной записи в DNS. Новый набор IP- адресов именам хостов может назначаться с периодичностью в три минуты. 6. Текстовые управляющие центры (социальные сети, блоги)

16 Бот-сети. Проблемы 1. Отсутствие в России работающих CERTов (Computer Emergency Response Team) 2. Отсутствие работающих международных соглашений и законодательства по борьбе с подобными явлениями. 3. Техническая безграмотность населения и простота заражения ПК вирусами. Стоимость заражения 1000 машин вирусами начинается от 20 долларов США. 4. Малое количество успешных уголовных дел

17 DDoS атаки В 2009 году основными сферами деятельности, подвергшимися DDoS атакам являлись: Банковские платежные системы Системы электронных платежей Предприятия электронной коммерции Средства массовой информации Телекоммуникационные компании Расходы на атаку евро в день.

18 Реагирование на DDoS атаку Задачи: Минимизация потерь Восстановление сервиса Сбор доказательств Что важнее? – решать оценке рисков Но задачи должны выполняться параллельно.

19 DDoS атака: минимизация потерь DDoS – не просто так. Постараться быстро ответить на вопрос: Почему идет атака? Как на ней зарабатывают? Это поможет определить цель реальных действий.

20 DDoS атака: минимизация потерь 1.Если Вы Банк – проверьте платежки!!! 90% DDoS на Российские банки за последние 3 месяца (за 12 месяцев 70%) – прикрытие по выводу денег со счетов клиента. Авторизация по телефону Проверка крупных сумм Вывод на «физиков» Антифрод решения - если есть деньги Проверка IP, времени - если нет денег 2. Клиент с украденными ключами: не портить доказательства, заблокировать ключи в других банках.

21 Оперативная классика Оперативная: 1. Перенаправление трафика в распределенную сеть (а-зоны, клипаги) (20 минут) 2. Защита на ISP (не всегда эффективна) Защита на Вашей стороне – работает только от самых самых простых атак.

22 DDoS: расследование и остановка Используем бесплатные возможности Honeynet

23 DDoS: расследование и остановка Бот под контролем GET /main/rand/test.php?ver=0001id=151D4f12E2&cmd=0102 HTTP/1.0 Host: zlozlozlo.cn HTTP/ OK Date: Tue, 26 Aug :16:50 GMT Server: Apache/2 X-Powered-By: PHP/ Vary: Accept-Encoding,User-Agent Content-Length: 17 Connection: close Content-Type: text/html

24 DDoS: расследование и остановка Бот под контролем Host: zlozlozlo.cn IP: далеко.далеко.далеко.далеко Делаем трассировку!

25 DDoS: расследование и остановка В реальности все ближе Tracert IP: далеко.далеко.далеко.далеко :7 11msk.datacentr.ru ( ) ms ms ms ( ) ms ms ms ( ) ms ms ms 7 te2.msk.dadadata.ru ( ) ms ms ms ( ) ms ms ms ( ) ms ms ms 7 tmsk.datacentr.ru ( ) ms ms ms ( ) ms ms ms 9 далеко.далеко.далеко.далеко (далеко.далеко.далеко.далеко) ms ms ms Abuse / Spam house / CERT Блокируем/просим писать дамп

26 DDoS: расследование и остановка Преимущества: Быстро Бесплатно Если сервер в РФ расследование упрощается в разы Есть вредоносная программа(273 по старой практике) Недостатки: Не всегда работает (новые технологии ботнетов) Бота может не быть в Honeynet

27 Останавливаем её за 20 минут. Неклассический способ Бота нет в Honeynet 1. Делаем выборку по атакующим IP адресам (не работает со «заспуфленными») 2. Смотрим ближайших ботов по ISP. 3. Просим «помочь» ISP (используя рычаги)

28 Сбор доказательств на стороне ISP 1.В договоре на оказание телекоммуникационных услуг добавьте пункт о Ваших требованиях по хранению и содержанию логов. 2.Оповещение со стороны ISP в случае атаки – в SLA

29 Хорошие новости В новых комментариях к УК РФ, выпущенных Верховным судом РФ – официальное признание создание бот сетей, а так же осуществления DDoS атак – преступлением.( )

30 Бот-сети. Наши меры Информация для IPS в режиме реального времени о нахождении бот- машин в их сетях. Распределенная кооперативная система для расследования DDoS атак и остановки StopDDOS.ru (Константин Тимашков)

31 Бот-сети. Наши меры Создание, поддержание, развитие Российского сегмента Honeynet Project Бесплатно устанавливаем HoneyPots, WatchDogs и другие кооперативные агенты для отслеживания и изучения бот-сетей. Предоставление и обмен информацией на некоммерческой основе.

32 Бот-сети и киберпреступность. Наши меры Срочная бесплатная рассылка Group-IB & RISSPA: методы совершения компьютерных преступлений; сообщения с распределенных IDS систем о сетевых атаках и эпидемиях, о проводимых в данный момент DDoS атаках и информацию об активных бот-нета; данные с систем Honey Net о новых типах вредоносного ПО и способа его распространения. Ассоциация RISSPA ( Russian Information Systems Security Professional Association,

33 Илья Сачков CISM Группа информационной безопасности ?