С чего начать изучение информационной безопасности в 2020 году

Viber представил новую функцию — сообщения, которые исчезают в обычных чатах, но удалил возможность создавать новые секретные чаты.

Читайте также

  • 1 февраля, 2021 Топ-25 самых вкусных блюд февраля: салатные фантазии, грибные супы, мясо по-особенному и романтическая выпечка
  • 30 января, 2021 20 интересных пословиц и поговорок о борще: вкус, история и любовь
  • 29 января, 2021 Поймать Зеленского. Как Россия готовит с ОРДЛО петлю для Украины
  • 29 января, 2021 Виталий Портников: Зеленский лишается и популярности, и власти
  • 29 января, 2021 Мертвые петли Семенко, компот из патиссонов и псевдо-одесситы из Нежина — 5 книг, которые стоит прочитать зимой

В мессенджере Telegram появился бот, который может подменять номера исходящих вызовов и менять голос, рассказал глава отдела информационной безопасности «СерчИнформ» Алексей Дрозд.

Поделитесь этой новостью //

Отмечается, что этот бот платный. После оплаты он позволяет ввести в специальное поле номер абонента и тот номер, который этот абонент должен увидеть. Специалист отметил, что для звонка пользователю не нужно выходить из Telegram, в то время как другие сервисы с подменой номера требуют использования отдельных программ и настройки интернет-телефонии, которая в Telegram уже есть.

По словам заместителя руководителя центра реагирования на инциденты информационной безопасности Group-IB Ярослава Каргалева, такая схема опасна тем, что мошенник может представиться родственником, другом или работодателем, чтобы украсть деньги.

Однако чаще всего злоумышленники, использующие подмену номера, все-таки представляются сотрудниками службы безопасности банка и во время беседы уговаривают жертву, чтобы она перевела деньги на счет мошенника, уточнил Дрозд.

Появление все более простых инструментов для телефонного мошенничества может способствовать его распространению, считает технический директор Trend Micro в России и СНГ Михаил Кондрашин. Но, с другой стороны, бот может оказаться полезен в поимке злоумышленников. Это станет возможным, если разработчики пойдут на контакт с правоохранительными органами и будут передавать им реальные номера телефонов мошенников.

По материалам: «Коммерсантъ».

Новости СМИ2

История первая. Покупка компании с бонусным вирусом

Одна телеком-компания потеряла базы данных — информацию украли из корпоративных компьютеров. Выяснилось, что незадолго до происшествия эта крупная компания поглотила другую, не очень большую, в сети которой «жил» вирус. Началось объединение и интеграция инфраструктур. Вирус находился на изолированном компьютере и до поры до времени мешал только его работе.

Читайте также:  Обзор LG G7 ThinQ — корейское разочарование

Когда же злоумышленники увидели, что корпоративные сети объединились и у них появилась возможность с помощью давно внедренного «зловреда» проникнуть на серверы, где хранятся конфиденциальные данные крупной компании, они не стали терять времени даром.

При этом утечка баз данных, содержащих различную информацию о клиентах, может обернуться очень негативными последствиями. Если речь идет, например, о банке, то один из самых распространенных способов мошенничества сегодня — это звонок от имени службы поддержки или безопасности реального банка с целью выманить у человека информацию, необходимую для получения доступа к его счетам в онлайн-банке. И чем больше у злоумышленника личной информации, тем более достоверным может выглядеть такой разговор. Остаток на счете клиента, последние покупки — такая информация может убедить, что речь идет о реальном звонке из банка.

Насколько безопасен Viber

Вся персональная информация, используемая в программе, хранится на специальных серверах. Личные данные ни в коем случае не передаются третьим лицам. Отправленные в программе, но не полученные сообщения, хранятся на серверах в течение двух недель, после чего удаляются. Таким образом, если абонент появится в сети за это время, то он получит послание. После того как сообщение будет доставлено на устройство, оно будет храниться только на нём. Разработчики утверждают, что на их серверах переписка отсутствует.

Некоторые пользователи предпочитают обезопасить свою переписку и спрятать её от посторонних. Для этого они стремятся установить пароль на вход в приложение. Разработчики мессенджера такой возможности не предусмотрели, хотя не исключено, что подобная функция появится в ближайшем будущем. Обеспечить безопасность переписки поможет установка дополнительных утилит, предназначенных для установки пароля на смартфон.

Подробнее об установки пароля на приложение читайте тут

Для того чтобы другой пользователь не мог увидеть ваш профиль или отправить вам сообщение, его можно заблокировать. Настройки конфиденциальности встроены в мессенджер. Отправить нежелательного абонента в чёрный список можно буквально за несколько секунд.

Внесенные изменения в политику конфиденциальности

Специалисты Вайбер сообщают, что вызовы пользователей не прослушиваются, содержание сообщений также не просматривается. Сообщения не хранятся на серверах более 2 недель. Сквозное шифрование не используется для сообществ, публичных аккаунтов и ботов.

При посещении собственной учетной записи Вайбер через соцсети, юзер автоматически соглашается предоставить личные данные, в том числе, профиль, учетные записи, список друзей, электронная почта, город, дата рождения, образование, интересы, работа, история просмотра видео.

Читайте также:  Сравнение Samsung Galaxy Note 8 и Samsung Galaxy S8+ — Битва собратьев

Все пользователи видят данные о просмотре и получении сообщений, приеме вызовов, о входящих и исходящих, а также времени, продолжительности, статусе подключения. Однако, юзер может через настройки приложения ограничить эту информацию.

При работе в секретном чате все собеседники будут уведомлены о том, что один из них сделал скриншот.

Viber собирает данные о приложениях, загруженных через него, в том числе, играх, сервисах, знает о том, как долго и часто вы ими пользуетесь.

Уникальная информация, которая анализируется через устройство: беспроводная сеть, язык браузера, операционки, оператор мобильной связи, сам браузер.

Данное приложение никоим образом не нарушает частную жизнь пользователя и является безопасным для общения и обсуждения любых тем.

Должный уровень: что, зачем и почему – определим основное

Если хотите стать  пентестером или специалистом по ИБ,  нужно иметь познания некоторых базовых вещей.

Желательный ординар знаний должен быть, как минимум, таковым: 

  • Вы должны понимать синтаксис и уметь писать базовые скрипты на таких языках программирования, как : Python, JS, PHP ( включая SQL). Просто быть ознакомленным с синтаксисом HTML и CSS.
  • Иметь познания о принципах работы глобальной паутины – Интернет: суть модели OSI, TCP , IP, Ethernet. Также стоит учесть типы сетей и существующие сетевые устройства.
  • Уметь работать в Windows и UNIX-подобных системах, разбираться в их настройке.

Личное заключение автора состоит  в том, что он пытался несколько раз сделать первые шаги  по просторам ИБ, но у него мало что получалось. После его затянуло программирование, где он достиг определённых успехов, вернувшись к тематике информационной безопасности – стал понимать намного больше, что написано в материалах, представленных ниже  и его это увлекло.  

Операционные системы: что выбрать, кто лучше

Серьёзно говоря, на данный момент на просторах Всемирной паутины уйма скриптов, методов и программ, выискивать каждую, а после проверять, анализировать и составлять перечень должного – очень долго и трудоёмко, поэтому люди объединили всё в одном, создав  специальную OC. 

Строго подходящих под наши задачи, а именно тестирования на проникновения, операционных систем достаточно много, но я выделил два дистрибутива Linux, которые на мой взгляд самые совершенные:

  • Kali linux
  • Parrot OS

Вторая, лично на мой взгляд походит больше для WEB тестов, потому мой взор упал, как и многих других, именно на Kali.

Сам использую и рекомендую, стоит на втором диске, совместно с гражданской ОС.

«Почему Linux? Создали же какую-то Ninjutsu OS на Windows», — скажут некоторые.

Windows больше для геймеров, блогеров и рядовых пользователей , а Unix-подобные ОС больше подойдут для пентестинга. Так как ядро Linux бесплатное и с открытым исходным кодом, соответственно дистрибутивы на базе Linux тоже являются бесплатными.

Ninjutsu OC не такая проверенная, как Kali или Parrot, например,  внутри Ninjutsu OC могут быть майнеры или другого рода вредоносное ПО, потому склоняюсь к использованию того, что имеет доверие на базе многолетнего использования .

Список полезной литературы: какие книги почитать же

Не дошёл до узко специализированных книг по Reverse или по криптографии, поэтому перечислю перечень известных и обобщенных:

  • Certified Ethical Hacker Review Guide.(Это руководство для экзамена на сертифицированного хакера).
  • Hacking: the Art of Exploitation (Переведена на русский).
  • The Basics of Hacking and Penetration Testing: Ethical Hacking and Penetration Testing Made Easy
  • Gray Hat Hacking The Ethical Hackers Handbook
  • The Shellcoder’s Handbook: Discovering and Exploiting Security Holes (Переведена на русский).
  • RTFM: Red Team Field Manual
  • Kali Linux 2018: Assuring Security by Penetration Testing (Переведена на русский, Читаю сам, перевод местами плохой, приходится самому по смыслу догадываться).
  • Компьютер глазами хакера. 3-е изд. М. Е. Фленов
  • Тестирование на проникновение с помощью Kali Linux 2.0

После этих книг приступайте к узкоспециализированным. Например по Reverse или уязвимостях самой популярной операционной системы для мобильных – Android.

На английском литературу загружаю в переводчик документов.  Если размер книги слишком велик, делю на части. Иногда, перевод странный, но понять можно.

Список можно дополнить, но я оставлю ссылки на библиотеки с книгами. Не советую выбирать старые книги,  информация уже, наверное, устарела с момента их написания:

  • Библиотека Codeby!
  • CoderNet
  • MonsterBook
  • Information Security Squad

Что нужно запомнить:

  1. Внимательно отнеситесь к созданию и хранению паролей.
  2. Изучите политику конфиденциальности сайтов и приложений, запретите вашему браузеру автоматически сохранять пароли, регулярно удаляйте cookies.
  3. Отключайте геолокацию в смартфоне.
  4. Пользуйтесь блокировщиками рекламы.
  5. Оставляйте личные данные только на сайтах с защищённым соединением. Не пользуйтесь общественными сетями Wi-Fi для передачи конфиденциальной информации.
  6. Если вы столкнулись с травлей в сети, блокируйте пользователя, который отправляет вам агрессивные сообщения. Обратитесь в службу поддержки сайта или социальной сети, сообщите родителям. Не вступайте в дискуссии с агрессивно настроенными пользователями.
  7. Чтобы не стать жертвой интернет-мошенников, перепроверяйте всю информацию, полученную по электронной почте или в сообщениях социальных сетей и мессенджеров, не сообщайте незнакомым людям и не публикуйте в открытом доступе личные данные.