Как я посетил конференцию AntiFraudRussia 2011

Интересность:       ▃ ▄ ▅ ▆
Организация:        ▃ ▄ ▅ ▆
Питание:                ▃ ▄ ▅
Местоположение: ▃ ▄ ▅ ▆ ▇

Что понравилось: доклады по состоянию киберпреступности.
Что не понравилось: рекламные доклады спонсоров, 3 параллельные секции со сбитым расписанием (т.е. интересные доклады были размазаны по разным секторам).

теперь подробнее (много текста и фото)

Говорить о всех докладах и докладчиках смысла нет, поэтому расскажу о самых интересных:

1 место. Илья Сачков из Group-IB.

Стоит отметь особую энергетику, с которой рассказывает Илья. Его доклады насыщены фактами, говорит он чётко и ясно, без маркетингового двоемыслия, однако  иногда его слишком заносит на "светлую сторону силы" и картины, которые он пытается нарисовать, становятся уж слишком черно-белыми.
Начал Илья рассказом про Куваева, закончил намёками на Врублёвского (оба дела достаточно громкие и очень показательные, поэтому не буду копипастить... гуглите).
Илья считает, что если не принять серьезных мер в ближайшее время, через два года ИТ мир впадёт в криминальную анархию. Свою позицию он убедительно аргументирует показателями доходов теневого бизнеса, которые, я уверен, заставили задуматься над правильностью выбора профессии половину аудитории :).
Илья раскритиковал поправки в ст. 272-274 УК (похвалил только поправку в 274 статью. Ранее осудить по этой статье можно было только в комплексе с другими), пожурил Совет Европы за попытки легализовать шпионаж под видом Будапештской конвенции, сказал что мы сделаем свою конвенцию с блэк джеком и шлюхами с продвинутой классификацией киберпреступлений,  а так же выступил с критикой в сторону правоохранительных органов:

• дела открывают там где злоумышленники вывели деньги (т.е.  в Африке), а не там где украли из ДБО (т.е. в России);
• дела летают по всей стране месяцами, от одного следователя к другому;
• погрешности весов Фемиды: Куваев первый раз откупился от правосудия, а за порно на рекламном щите наказали значительно строже чем за кражу 10 млн. долларов.

Сама Group-IB запустила проект в Сколково и свой CERT, что, в целом, круто.

2 место. Сергей Гордейчик из PT.

Позитивный доклад Сергея вызвал одни только позитивные эмоции :).

Сергей рассказал несколько занимательных историй (например про взлом системы через веб-сервер веб-камеры) и показал несколько типовых схем фрода. Больше всего понравилось утверждение Сергея о том, что 90% взломов можно предотвратить вполне стандартными методами ИБ. Достаточно редко встретишь представителя компании-производителя средств защиты, который говорит что и без наших суперпрограмм можно построить безопасную систему. 

Еще сергей повторил, что 90% дыр в браузерах это старая Java + Flash + Adobe Reader. Т.ч. обновления, патчи и еще раз обновления!

Интересный термин, который я услышал от докладчика - это "феодализм администраторов". ИТ администраторы - отдельная суперкаста, часто исповедующая принцип "правила для слабых", что может привести к очень простым и серьезным дырам в системе типа "радмин наружу с тупым паролем".

Ну и далее уже без призовых мест :):

Комаров, Group IB.

Ребята проанализировали 10 000 документов и по энтропии байтов (wtf?) понаходили зловредов. Рассказали про нехороший Ситибанк, который ради совместимости со своим вебклиентом заставлял юзеров сидеть на старой дырявой Java. Весьма интересной показалась мне идея с флешкой-эмулятором USB клавиатуры, которая при подключении к USB порту успевала отправить виртуальные нажатия клавиш (например, открыть cmd, добавить админа, закрыть cmd).

Показали скриншоты админки Zeus с "клиентами" и модули управления ботнетом. В конце презентации представили новую услугу от Group IB - социальный пентест (как я понял, они предлагают засылать своих "казачков" прямо в коллектив администраторов-феодалов).

В целом было интересно, много наглядных "боевых" скриншотов и схем, но без "паладинского пламени в глазах", как у Сачкова.

Сергей Корсун, Альфа-банк

Сергей представил презентацию на Flash (а не PowerPoint, как все остальные), что само по себе весьма примечательно. Плавная анимация и безграничная рабочая область - это то, чего мне порой самому очень не хватает в PP.

Сергей рассказал про развитие Альфа-клика с нуля, про первые проблемы с безопасностью и современные методы борьбы с фродом, применяемые в Альфа-банке. 

Виртуальная клавиатура в Альфа-банке была "взломана" за неделю (троян научился скриншотить область вокруг клика мыши). 

Смс подтверждения операций - один из самых надежных способов защиты, однако там, где не действует технический взлом - прекрасно работает соц.инженерия. 

Сергей Хренов, Мегафон

Много говорили о мошенничестве с платными СМС. О миллионах рублей, не доставшихся мошенникам из-за действий СБ Мегафона. 

Совсем не говорили о миллионах рублей, которые Мегафон зарабатывает как посредник на обманутых гражданах (могли хотя бы установить по-умолчанию запрет на отправку платных смс). О крупнейшей утечке ПДн, в которой замешан и Мегафон, а так же о мероприятиях по недопущению подобного тоже не говорили. 

Рассказал пару интересных схем обхода смс-уведомления в интернет-банкинге:

1. Узнаем логин+пароль, узнаем номер телефона;

2. Идём в офис Мегафона с фальшивой доверенностью и перевыпускаем симку;

3. Обналичиваем деньги либо через чужой банковский счет на подставное лицо, либо мобильным переводом перегоняем на другой номер.

Второй способ интересней:

1. Подменяем страницу Интернет-банка, добавляем поле "номер телефона";

2. На телефон приходит смс "от разработчиков" с ссылкой на "патч для телефона ;)";

3. Мобильный троян скрытно пересылает смс злоумышленнику.

С правовой точки зрения, очень тяжело привлечь к ответственности злоумышленника, укравшего менее 1000р у каждого из граждан в разных частях страны.

Напоследок, Сергей попросил коллег из органов "хоть кого-нибудь поймать и посадить". Им очень нужна прецедентная база :)

Представители правоохранительных органов жаловались на отсутствие подготовленных кадров, слабое тех.оснащение, "правовые" дыры.

Ольга Тушканова (на фото слева) задала интересный вопрос, когда речь шла об электронной подписи: "У кого из вас руководитель подписывает документы электронной подписью лично сам?". В ответ была тишина. Поэтому Ольга Владиславовна предложила считать ЭП аналогом печати, а не подписи. Ещё она ругала облака и тут я с ней полностью согласен.
Все представители органов отметили рост кардинга и скимминга, а так же национальную окраску этого криминального бизнеса - рулят тут молдаване - и мировой характер преступных группировок. Воруют в одной части света, а обналичивают в другой. Один банкомат, установленный в людном месте, снимает данные 100-300  карточек в день. Обналичивают уже не дропы - проще сливать в электронные платежные системы где-нибудь в Коста-Рике (попробуй отследи!).
Интерпол создал свою соц.сеть - I 24/7. Теперь делиться фотками и отмечать на них знакомых смогут сотрудники полиций всех стран :).

Теперь по банкам.

Поспелов Алексей Леонидович, представитель ГУБЗИ Банка России, рассказал о Национальной Платёжной Системе.
Стандарт Банка России СТО БР ИББС и требования PCI DSS будут играть роль китов, на которых будет строиться безопасность НПС.
По словам Алексея Леонидовича, Банк России наблюдает рост мошенничества в сфере дистанционного банковского обслуживания. Средний ущерб может достигать 200 тыс. долларов.
Из правовых проблем - ст. 26 "О банках и банковской деятельности" становится большим препятствием к обмену сведениями о злоумышленниках, когда в аферу вовлечено несколько банков.

Стоит так же упомянуть и о выступлении Сергея Железняка. Думаю, даже если бы я и не знал кто это, то догадался бы что Сергей  - политик. Уж очень двоякими фразами он выражался:

Опять говорил про самую интернетную страну в Европе (напомню, что по относитетельному показателю в Германии 62% людей пользуются Интернетом, в России - только 35,5%);
Сказал, что пиратство в России останавливает инновации (ну как? ну как это связанно??);
Сказал, что законодательство не может быть совершенным, т.к. все очень быстро развивается и что они продолжат работать над законодательной базой в области безопасности высоких технологий 5 декабря (Сергей ведь из Единой России... 5 декабря все депутаты ЕдРа видимо будут работать в "штатном режиме").
Еще Сергей пожурил большие компании и предложил им самим выходить с инициативой по ужесточению ответственности в области фрода и утечек (он, по-сути, предложил тому же Мегафону выступить за ужесточение штрафов за утечку ПДн. Интересно, проснётся ли у Мегафона совесть?).

Наверное так же стоит отметить и самые скучные и неинтересные доклады конференции. Имхо по-праву это место заслужили оба сотрудника Джет Инфосистемс. Являясь генеральными спонсорами конференции, они поспешили этим воспользоваться и вогнали всю аудиторию в сон. Думаю, если хочешь объективно рассказать о чем то - рассказывай не только о своём огороде.

В целом, съездить в Москву было приятно.
Подарили фирменную сумку для ноутбука! Погода, кстати, была теплей чем в Краснодаре.