![Frontend в режиме реального времени [05.03.15]](https://cdn.slidesharecdn.com/ss_thumbnails/eeh0i5kisbkv56szcixw-signature-87182bed8adf16ebcd4cb929e51afeda6be95727ade3cfd07fc594d6fa128840-poli-150309110626-conversion-gate01-thumbnail.jpg?width=560&fit=bounds)
More Related Content
What's hot (20)
Similar to Татьяна Новикова (Казахстан), ЦАРКА. Как мы мониторим Казнет с помощью WebTotem (20)
More from KazHackStan (18)
Татьяна Новикова (Казахстан), ЦАРКА. Как мы мониторим Казнет с помощью WebTotem
- 2. #whoami • эксперт ЦАРКА • один из разработчиков проекта WebTotem • к.ф.-м.н.
- 3. ЦЕЛИ Для всех сайтов Казнета: • промониторить доступность • проверить сертификат SSL • получить информацию о хостере, владельце, домене и платформе сайта
- 4. ЦЕЛИ А также: • проверить на сайте наличие дефейса; • научиться мониторить попытки атак на сайт; • проверять файлы на наличие несанкционированных изменений и залитых веб-шеллов; • to be continued…
- 5. ТРУДНОСТИ И ВОПРОСЫ • скорость • технологии • сбор сигнатур • эффективность • и многое другое…
- 6. WebTotem
- 7. ТЕХНОЛОГИИ Языки: • Python 3.6 • Go • Node JS Хранилища: • Redis.io • PostgreSQL
- 8. SSL Какой процент сайтов в Казахстане имеет валидный сертификат SSL?
- 9. SSL Какой процент сайтов в Казахстане имеет валидный сертификат SSL? 8%
- 10. Да что там SSL! Сколько сайтов у нас вообще рабочих? ОБЩАЯ ДОСТУПНОСТЬ
- 11. Да что там SSL! Сколько сайтов у нас вообще рабочих? ОБЩАЯ ДОСТУПНОСТЬ Отвечающих хоть что-то – 72% Отвечающих 200 ОК – 63% 64%8% 28% 200 - OK 4xx - Client errors 5xx - Server errors
- 12. CMS 43% 24% 8% 6% 5% 3% 3% 8% Chart Title Wordpress Joomla! 1C - Bitrix Drupal Opencart DataLife Engine ModX остальное
- 13. CMS Wpscan Joomscan Drupalscan Kali scanner CMS map … Одним словом, простор для творчества хакеров
- 14. ДЕФЕЙСЫ • что считать дефейсом? • насколько их много в Казнете? • как часто они появляются и как долго держатся? • как их искать-то вообще?
- 15. • что считать дефейсом? • насколько их много в Казнете? • как часто они появляются и как долго держатся? • как их искать-то вообще? ДЕФЕЙСЫ
- 16. Первый триггер: изменение размера - множество false-positive результатов + хороший триггер + быстро работает ! позволил собрать множество интересных случаев
- 17. Первый триггер: изменение размера - множество false-positive результатов + хороший триггер + быстро работает ! позволил собрать множество интересных случаев
- 18. НАХОДКИ
- 19. НАХОДКИ
- 20. Второй триггер: сигнатуры + значительно сократил false-positive случаи + позволяет находить следы вмешательства, явно не отображенные на странице - требует тщательного сбора сигнатур
- 22. Дата первой фиксации дефейса – 03.10.2017
- 23. Но уже 5-го октября висел новый
- 24. И следующий – 9-го
- 25. А потом – 10-го, чего тянуть
- 26. А 11-ого у одного из них день рождения
- 27. И все бы хорошо…
- 28. Третий триггер - OCR + решает проблему с отсутствием текста - требует картинки - работает крайне медленно + зато можно хранить картинки взломов, раз они все равно делаются
- 29. А если не все сигнатуры?
- 30. Четвертый триггер: перцептивный хэш 00181818107c3c38
- 31. Четвертый триггер: перцептивный хэш + можно осуществить тонкую настройку - также множество false-positive
- 32. СТАТИСТИКА Более 50% всех дефейсов в Казнете – ShadowTeam Еще 20% - одиночки, Mr.xXx, IndoXploit, suliman… Около 8% дефейсов носят религиозные и политические призывы
- 34. СТАТИСТИКА Рост количества дефейсов приходится на выходные Среди дефейсов: • около 50% - Wordpress • около 10% - OpenCart На 54 сайтах дефейсы висят с первого дня сканирования – уже больше месяца
- 37. В общем, проблем в Казнете много, и со всеми нужно что-то делать. Но нельзя защищать, не умея нападать…
- 38. ЗАЩИТНЫЕ МОДУЛИ Модуль превентивной защиты Модуль сканирования вредоносного кода в файлах