Участник на практических примерах получит навыки использования аналитических технологий в реальных задачах конкурентной разведки, в том числе: приемы быстрого обнаружения утечек конфиденциальной информации; приемы быстрого обнаружения открытых разделов на серверах; приемы проникновения на FTP-сервера без взлома защиты; приемы обнаружения утечек паролей; приемы доступа к конфиденциальным документам в обход DLP; приемы проникновения в разделы, закрытые кодом 403. Приемы демонстрируются на примерах порталов заведомо хорошо защищенных компаний (как, например, лидеров рынков ИТ и ИБ, крупных гос. структур, спецслужб и т.п.).

1. Международный форум по практической безопасности Конкурентная разведка в Интернете МАСАЛОВИЧ Андрей Игоревич Руководитель направления конкурентной разведки, член совета диреторов ЗАО «ДиалогНаука»am@inforus.biz 517-33-83

2. Конкурентная разведка Конкурентная разведка(англ. CompetitiveIntelligence, сокр. CI) — сбор и обработка данных из разных источников, для выработки управленческих решений с целью повышения конкурентоспособности коммерческой организации, проводимые в рамках закона и с соблюдением этических норм (в отличие от промышленного шпионажа); а также структурное подразделение предприятия, выполняющее эти функции. Конкурентная разведка – это информационное обеспечение победы над конкурентами «Я просто не люблю неожиданностей»

3. Философия конкурентной разведки: Не используем затратные методы Не используем трудоемкие методы Не нарушаем закон Не нарушаем этических норм Не оставляем следов

4. Основа деятельности – статья 29, ч.4 Конституции РФ Статья 29 4. Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется федеральным законом.

5. Арсенал обычного пользователя Использование гиперссылок Поисковые системы Базы данных

6. Наш арсенал: уязвимости Top Ten 2010 OWASP - А4 и А8 OWASP.ORG – Open Web Application Security Project OWASP Top 10 2011: A1: Injection A2: Cross-Site Scripting (XSS) A3: Broken Authentication and Session Management A4: Insecure Direct Object References A5: Cross-Site Request Forgery (CSRF) A6: Security Misconfiguration A7: Insecure Cryptographic Storage A8: Failure to Restrict URL Access A9: Insufficient Transport Layer Protection A10: Unvalidated Redirects and Forwards

7. OWASP A4 – уязвимая ссылка A4 - Insecure Direct Object References Applications frequently use the actual name or key of an object when generating web pages. Applications don’t always verify the user is authorized for the target object. This results in an insecure direct object reference flaw. Testers can easily manipulate parameter values to detect such flaws and code analysis quickly shows whether authorization is properly verified.

8. OWASP A8 – уязвимое хранение A8-Failure to Restrict URL Access Applications are not always protecting page requests properly. Sometimes, URL protection is managed via configuration, and the system is misconfigured. Sometimes, developers must include the proper code checks, and they forget.Detecting such flaws is easy. The hardest part is identifying which pages (URLs) exist to attack.

9. Примеры Аналитические справки, которых нет в Интернете Документация и список клиентов – http://www.ameritechsecurityllc.com/manuals/manual_ademco_vista_15p.pdf Список клиентов – ExcelBizDir.xls Защита паролей информационной системы одной из ветвей власти

10. Наш арсенал: уязвимости человека Процессор: Мозг кроманьонца Создан 40 000 лет назад. No upgrades Операционная система: Наше сознание Инсталлирована 40 000 лет назад. No patches

11. Основные уязвимости:7 смертных грехов Гордыня Алчность Блуд Зависть Чревоугодие Гнев Уныние

12. Используем Алчность: гос.секреты Украины по 6 гривен База Ligazakon.ua Для службовогокористування

13. Действительно, работает

14. Интернет: традиционный взгляд Открытый Интернет Защищенные ресурсы

16. Коллективное хранение

17. Удаленное обучение

19. Социальные сети

20. Блоги, форумы

21. Сайты компроматаСсылки Поисковики Базы И многое, многое другое...

22. 4 простых метода нахождения открытых папок 1. Отсечение 2. Index of 3. Брутфорс стандартных имен 4. Удлинение адреса Мониторинг вместо поиска

23. Простые методы поиска открытых разделов на ftp По адресу: ftp://ftp.tribobra.ru По ftp в адресной строке - Google Спец. Поисковики – FileWatcher По использованию порта 21: ftp://логин:пароль@ftp.tribobra.ru:21

24. Информационная безопасность – общее определение Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации

25. Высший уровень конфиденциальности -Государственная тайна Государственная тайна - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации (Закон «О государственной тайне» - ФЗ № 5485-1 от 21 июля 1993 года, действующая редакция)

26. Коммерческая тайна Информация, составляющая коммерческую тайну, - научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны (Закон «О коммерческой тайне» - Федеральный закон Российской Федерации от 29 июля 2004 г. N 98-ФЗ )

27. Пример: доступ к документам «Строго конфиденциально» без нарушения защиты Шаг 1. Открытый документ, уязвимая адресация https://partner.microsoft.com/download/global/40043498

28. Шаг 2. Нумерация страниц: обратный отсчет https://partner.microsoft.com/download/global/40043497

29. Шаг 3. Документ «Строго конфиденциально» https://partner.microsoft.com/download/global/40043496

30. Конкурентная разведка Конкурентная разведка (англ. Competetive Intelligence, сокр. CI) — сбор и обработка данных из разных источников, для выработки управленческих решений с целью повышения конкурентоспособности коммерческой организации, проводимые в рамках закона и с соблюдением этических норм (в отличие от промышленного шпионажа); а также структурное подразделение, выполняющее эти функции

31. Пример. Доступ к секретным документам без нарушения защиты Материалы конференции Тихоокеанской группировки армии США – гриф Classified US Pacific Command S & T Conference – июль 2008

32. Доклад зам. министра обороны США «Перспективные системы и концепции»

33. Доклад «Перспективные системы и концепции» (продолжение)

36. Изучаем документы Пентагона..2005. Отчет «Спецслужбы России» Отчет Спецслужбы России Лояльность, коррупция, анти-террор Университет специальных операций Август 2005 36 страниц

38. Возможные цепочки в Ливан

39. Возможные цепочки в КолумбиюПоследняя фраза отчета: «...time works for us and against Russia»

40. Изучаем документы Пентагона..2005. Анализ ситуации в Венесуэле Отчет Венесуэла: Уго Чавес, боливарский социализм и методы ассиметричной войны Институт стратегических исследований Октябрь 2005 г 39 страниц

42. 10 Ми-35М (огневой поддержки)

43. 3 Ми-26Т2 (тяжелый транспорт)

45. Готовится контракт на поставку эскадрильи ударных Ми-28НЭ (конец 2009 г)Справка от 04 июня 2009 г)

46. Изучаем документы Пентагона..2005. Стратегия сотрудничества с Индией Отчет Региональная безопасность в Азии и перспективы стратегического сотрудничества Индии и США Институт стратегических исследований Сентябрь 2005 215 страниц

47. Изучаем документы Пентагона..2006. Стратегия сотрудничества с Индией Отчет Стратегическое сотрудничество США и Индии: возможности и препятствия в XXI веке Колледж высшего командного состава 2006 г 137 страниц

48. Российско-индийский истребитель пятого поколения

49. Российский истребитель пятого поколения: взгляд из США

51. Рекомендации Как обеспечить прогнозирование, выявление, предупреждение и пресечение угроз бизнесу, репутации и устойчивому развитию

52. Экспресс-курс «Конкурентная разведка» - 1 день Базовый курс «Методы и приемы конкурентной разведки» - 2 дня Курс «Конкурентная разведка» с гос. сертификатом – 8 дней Шаг 1. Обучение специалистов

53. Шаг 2. Начальный мониторинг утечек конфиденциальной информации Выявляются все факты появления конфиденциальной информации в Интернете В том числе – в т.н. «Невидимом Интернете» Анализируется деятельность конкурентнов Даются рекомендации по защите

54. Шаг 3. Развертывание системы интернет-мониторинга

55. Новое решение – технология интеллектуального поиска Avalanche Персональная версия Avalanche 2.5 – 100 Евро за рабочее место

56. Avalanche – ежедневный мониторинг компаний, персон, фактов и т.д.

57. Важная функция – аудит утечек конфиденциальной информации

58. Системы интернет-мониторинга на основе технологии Avalanche

59. Шаг 4. Расширение Политики Безопасности Дополнение Политики безопасности компании в части: Использования методов конкурентной разведки Противодействия методам конкурентной разведки

60. Выполнение указанных шагов позволит обеспечить Прогнозирование Выявление Предупреждение Пресечение угроз бизнесу, репутации и устойчивому развитию

61. Спасибо за внимание МАСАЛОВИЧ Андрей Игоревич E-mail: am@inforus.biz +7 (495) 517-33-83