Как не дать хакеру заработать на вашем сайте. Григорий...
TRANSCRIPT
![Page 1: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/1.jpg)
Как не дать хакеру заработать на вашем
сайте
// RIW 2015
Григорий Земсков, компания «Ревизиум»
![Page 2: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/2.jpg)
Интернет вчера—дружелюбный, почти безопасный
![Page 3: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/3.jpg)
Интернет сегодня—агрессивный,опасный
—постоянные атакина сайт:- брутфорс админ-панели,- поиск админок,- поиск чувствительных файлов,- проверка уязвимостей и …
![Page 4: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/4.jpg)
Последствия взлома— дефейс
— вирусы
— спам-рассылки
— фишинговые страницы
— несанкционированная реклама
— шпионаж, кража конфиденциальных данных
— пессимизация поисковыми системами
— блокировка доступа со стороны антивирусных сервисов
— сайты-клоны
— …
![Page 5: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/5.jpg)
Последствия взлома— …или хулиганство
![Page 6: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/6.jpg)
Интернет наших дней— ежедневно взламывают более 30 000 сайтов
— взломать может даже школьник
— практически ничего не стоит
— приносит деньги
— большие финансовые потери для компаний
![Page 7: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/7.jpg)
Зачем взламывают сайты?
—финансовая выгода
—ресурсы для хакера
—хулиганство, эксперименты
![Page 8: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/8.jpg)
Заблуждения и мифы
—Миф №1: «Кому я нужен?»
—Миф №2: «Меня заказали конкуренты»
![Page 9: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/9.jpg)
«Мелочь» взламывают— брутфорс и DOS других ресурсов
— спам-рассылки
— звено в «связке» сплойтов
— фишинг
— хостинг для «вредоносов»
— атаки на «соседей»
![Page 10: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/10.jpg)
«Обезличенный» взлом
— примерно 75% атак на сайты - нецелевые
— …если сайт есть в поисковом индексе
— …если сайт «среднестатистический»
![Page 11: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/11.jpg)
Пример нецелевого взлома 1— По Google Hacking Database ищется целевой запрос
![Page 12: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/12.jpg)
Пример нецелевого взлома 2— Извлекается список обнаруженных сайтов
![Page 13: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/13.jpg)
Пример нецелевого взлома 3— Из незащищенных файлов узнаем пароли, явки
![Page 14: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/14.jpg)
Чем грозит взлом сайта?
— потеря прибыли или бизнеса
— ущерб для репутации
— санкции со стороны надзорных органов
![Page 15: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/15.jpg)
Варианты монетизации— вымогательство, шантаж
— заказной взлом
— продажа SEO-ссылок, статей
— заработок на размещении рекламы
— заработок на партнерках (WAP, рефералы)
— продажа доступов к сайту, шеллов
— продажа РИПов сайтов
![Page 16: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/16.jpg)
Шантаж— “Я вам нашел [и исправил] уязвимости. С вас 10 000 руб.”
— “Ваш интернет-магазин атакован умными ботами…с вас 100 000 руб., чтобы мы остановили атаку”
— “Мы вас DDOS’им…с вас 150 000 руб., чтобы мы остановили атаку”
![Page 17: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/17.jpg)
Заказной взлом— Взлом сайтов конкурентами,
недоброжелателями
![Page 18: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/18.jpg)
Редиректы на «партнерки»— Мобильные «партнерки»
— WAP редиректы
![Page 19: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/19.jpg)
«Черное» SEO— Размещение спам-ссылок на страницах
— Загрузка дорвеев (десятков тысяч спам-страниц)
— Клоакинг
![Page 20: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/20.jpg)
Продажа доступов— Продажа доступов ко взломанным сайтам
Далее:
- распространение вирусов - спам-рассылки - организация ботнета - размещение рекламы - «черное» SEO - атаки на другие сайты - создание клонов сайтов - шантаж владельцев - …
![Page 21: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/21.jpg)
Что делать?
![Page 22: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/22.jpg)
Защищаем сайт— осознать проблему и инвестировать в безопасность
— диагностика + превентивная защита
— «политика безопасности» сайта
— безопасность как процесс, не процедура
— безопасность для сайтов любого масштаба
![Page 23: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/23.jpg)
Правда жизни
— требует финансовых инвестиций
— требует инвестиций времени
— безопасность - это неудобно
![Page 24: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/24.jpg)
Технические меры—аудит безопасности сервера (хостинга) и сайта: пентест, анализ кода, сканирование файлов
— установка защиты от взлома
— защита от атак: антиDDOS, WAF, проактивная защита
—регулярный мониторинг показателей сайта
![Page 25: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/25.jpg)
Политика безопасности
—инструктаж персонала и подрядчиков
—контроль за подрядчиками
—защита от соц. инженерии
—план реагирования на инциденты
![Page 26: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/26.jpg)
Если небольшой проект?
—не быть «среднестатистическим» сайтом
—безопасность собственными силами
—инвестиции в безопасность в масштабе 1:43
![Page 27: Как не дать хакеру заработать на вашем сайте. Григорий Земсков, Ревизиум, RIW 2015](https://reader036.vdocuments.mx/reader036/viewer/2022062401/588963931a28abef658b6f13/html5/thumbnails/27.jpg)
Безопасность - процесс!
—регулярный аудит
—регулярный мониторинг
—обновление ПО и средств защиты
—контроль за выполнением инструкций