Бабенко Алексейстарший аудитор

«Информационная безопасность 2011: противодействие внешним и внутренним угрозам»г. Алмата, 18 марта 2011 года, отель Intercontinental

Защита ДБО и интернет-банков

По данным Global Security Report 2011, Trustwave

Что интересует злоумышленника?

Пути проникновения

По данным Global Security Report 2011, Trustwave

Эволюция векторов атаки

1980199020002010

физический доступ

сетевой доступ

e-mail, приложения, Wi-Fi

клиентские приложения, мобильные технологии, социальные сети

По данным Global Security Report 2011, Trustwave

Ни у кого не может возникнуть необходимость иметь компьютер в своем доме

«»

Кен Олсон – основатель и президент корпорации Digital Equipment Corp., 1977 г

По данным Annual Security Report 2010, Cisco

Спрос рождает предложение

Нас это не касается?

По данным Global Security Report 2011, Trustwave

Нас это не касается?

Особенности систем ДБО и интернет-банкинга

• Практически неограниченный доступ к системе из сети Интернет

• Работа с платежной информацией• Большое и динамически меняющиеся

количество пользователей• Ориентировка на любой уровень ИБ-

грамотности пользователя• Собственные разработки без учета

практик безопасного программирования

Модель нарушителя

• С правами в системе:– клиент системы– оператор системы– администратор системы

• С полным отсутствием прав:– подготовленный злоумышленник– слабо подготовленный злоумышленник– злоумышленник, реализующий атаку типа

«Отказ в обслуживании».– инсайдер провайдера.

Оценка приложения

• Оценка архитектуры системы, dataflow с позиции безопасности

• Оценка безопасности конфигурации окружения системы– настройки веб-сервера, СУБД и др.

• Оценка защищённости приложения (black/grey/white box) от наиболее опасных и популярных атак:– OWASP Top 10– SANS CWE Top 25– CERT Secure Coding

Работы по анализу защищенности

Анализ уровня безопасности системы

Формирование плана

Контроль исправления найденных уязвимостей

Устранение несоответствий

— техническая документация, схемы сети— исходные коды— конфигурации системных компонентов— тестовый доступ

Бабенко Алексей старший аудитор

a.babenko@infosec.ru+7 (495) 980-23-45 доп.458 www.infosec.ru

Вопросы?