Новости
На PHDays студенты нашли уязвимости в АСУ ТП
На PHDays студенты нашли уязвимости в АСУ ТП Студент первого курса Северо-Кавказского федерального университета Михаил Елизаров (г. Невинномысск, Ставропольский край) и студент из Минска Арсений Левшин стали победителями конкурса по анализу защищенности АСУ ТП, который проходил во время международного форума Positive Hack Days III. АСУ ТП используются для управления критически важными объектами в сферах энергетики, транспорта и многих других. К примеру, такие системы устанавливаются на атомных электростанциях и скоростных электропоездах. Нарушение работоспособности АСУ ТП может привести к настоящей катастрофе и большому ущербу, однако разработчики таких систем все еще уделяют недостаточно внимания защищенности своих продуктов, что и было доказано результатами конкурса. В ходе соревнования под названием Choo Choo Pwn участники должны были найти и воспользоваться уязвимостями промышленного оборудования, отвечающего за управление и автоматизацию технологических процессов. Цель соревнования — получить доступ к системе управления моделью железной дороги и погрузки контейнеров, а также, в качестве дополнительного задания, нарушить работоспособность системы видеонаблюдения. Разработкой модели железной дороги и АСУ ТП, представленных на соревновании, занимались эксперты по информационной безопасности Positive Technologies Александр Тиморин, Илья Карпов, Глеб Грицай и Дмитрий Ефанов. Михаил Елизаров рассказал о ходе выполнения задания: «Сначала мы пытались получить контроль над системой погрузки контейнеров, которая работала на протоколе Modbus. Нам удалось найти в сети программу, которая эмулировала работу этого протокола, что помогло подобрать управляющие биты и передать его системе, получив управление над краном для погрузки. Мы успели обнаружить уязвимости не во всех представленных на конкурсе протоколах: нам просто не хватило времени». По словам Елизарова, в SCADA-системах содержится большое количество уязвимостей, поскольку разработчики рассчитывают на то, что эти системы не будут иметь непосредственного соединения с Интернетом, и поэтому не уделяют должного внимания безопасности. «Честно сказать, это был мой первый опыт работы с промышленными протоколами. На конкурсе была представлена вполне серьезная эмуляция SCADA, так что поучаствовать в соревновании по анализу защищенности системы было очень интересно», — сказал Арсений Левшин. «После появления Stuxnet и целенаправленных атак на АСУ ТП защита промышленных систем стала горячей темой для публикаций, конференций и исследований. С другой стороны, во многом это направление является terra incognita и требует серьезных инвестиций. Подобные конкурсы помогают наглядно продемонстрировать насколько низок текущий уровень безопасности критически важных объектов информационной инфраструктуры», — прокомментировал результаты соревнования заместитель генерального директора Positive Technologies Сергей Гордейчик. Отметим, что Михаил Елизаров также победил в конкурсе по взлому банкомата, который проходил во время форума. Победители получили призы от организаторов PHDays, компании Positive Technologies, — и от спонсоров мероприятия.
Специалист из Перми победил в конкурсе по анализу защищенности сетевой инфраструктуры на PHDays
Специалист из Перми победил в конкурсе по анализу защищенности сетевой инфраструктуры на PHDays Безопасность сетевой инфраструктуры — важнейшая задача для бизнеса. Нередки случаи, когда компании терпят колоссальные убытки и даже совсем разоряются из-за того, что злоумышленникам удалось проникнуть во внутреннюю сеть организации и похитить критически важные данные. При этом оборудование, на основе которого построена сеть, зачастую играет ведущую роль в обеспечении высокого уровня защищенности. Российский эксперт по сетевому администрированию и безопасности Станислав Миронов из Перми, ныне работающий в коммерческом банке в Москве, победил в конкурсе по взлому сетевой инфраструктуры NetHack. В ходе соревнования участники должны были в условиях жестких временных ограничений получить доступ к игровой сети и добраться до немаршрутизируемого сегмента, в котором находилась специальная автоматизированная система. В игровую сеть, построенную специально для конкурса, были заложены типичные уязвимости и ошибки сетевой инфраструктуры, встречавшиеся специалистам Positive Technologies в ходе проведения аудитов безопасности и тестирований на проникновение. Для победы необходимо было всего за час получить доступ к пяти сетевым устройствам, добыть флаги и ввести их в форму на специальной веб-странице. Всего в соревновании приняли участие семь человек. Сетевая инфраструктура для конкурса была разработана экспертами отдела сетевой безопасности исследовательского центра Positive Technologies Михаилом Помзовым и Сергеем Павловым. Первый флаг быстрее всех взял Алексей Кашин, который участвовал в соревновании под ником Foxter. На это ему потребовалось чуть менее 10 минут. Следует отметить, что каждое следующее задание было сложнее предыдущего. Для получения следующего флага потребовалось уже 15 минут. Второй флаг быстрее всех взял Юрий Шкодин (marsei). Затем лидер сменился: Станислав Миронов (st.Ass) взял оставшиеся три флага и одержал таким образом победу в соревновании. На конкурс организаторы выделили 50 минут, но поскольку явного победителя на протяжении этого времени выявить не удалось, конкурс был продлен на 15 минут, которые и решили исход состязания. На последних секундах дополнительного времени Станислав Миронов сумел взять пятый флаг. Остальным участником этого сделать не удалось. В итоге второе место занял Юрий Шкодин, а третьим стал Сергей Станкевич, — оба участника взяли по четыре флага. По словам Станислава Миронова, задания были составлены интересно, и в условиях недостатка времени решить их было совсем непросто, однако в реальной жизни специалист хорошего уровня не должен допускать ошибок в настройке оборудования, подобных тем, которые встречались в игровой сети конкурса. «В серьезных организациях существуют стандарты и процедуры сканирования, которые помогают выявлять ошибки и предотвращать проблемы. Хотя, конечно, ошибки случаются и в реальной жизни», — отметил Миронов. «Предложенные в рамках конкурса задания в основном являются ошибками обслуживания и конфигурирования масштабных сетевых инфраструктур. Они возникают вследствие отступления от требований стандартов и передового опыта. Одним из средств минимизации рисков является использование автоматизированных средств контроля уязвимостей и соответствия стандартам», — сказал руководитель отдела анализа безопасности сетевых устройств Positive Technologies Сергей Павлов. Победители конкурса получили специальные призы от технологического спонсора PHDays, компании Cisco, а также подарки от организатора форума — Positive Technologies.
Владимир Жириновский на PHDays III: «Работать надо на позитиве!»
Владимир Жириновский на PHDays III: «Работать надо на позитиве!» В рамках форума по практической безопасности Positive Hack Days III обсуждалась одна из острейших проблем отрасли — кадровая. Вузовские методики обучения устаревают, одаренные специалисты не востребованы и уходят в криминал. Об этом и повели речь член Совета Федерации Руслан Гаттаров, лидер фракции ЛДПР в Госдуме и член Госсовета РФ Владимир Жириновский, заместитель начальника департамента регулирования радиочастот и сетей связи Министерства массовых коммуникаций и связи Георгий Грицай, сотрудник ЦИБ ФСБ Оксана Докучаева, Борис Симис и Елена Бастанжиева из Positive Technologies, а также член оргкомитета Volga CTF Юлия Шестакова (компания «Информзащита») и супермодератор хакерского интернет-форума «Античат» Сергей (Rebz). Вел заседание круглого стола Алексей Лукацкий, бизнес-консультант по ИБ компании Cisco. Алексей Лукацкий отметил особую важность выявленной проблемы: «Сегодня мы стоим на пороге значительных изменений в отрасли. До сих пор преобладало мнение, что молодежь не может найти себе место в информационной безопасности, во всяком случае в легальной ее области. Многие молодые люди уверены, что проще и выгоднее продавать уязвимости или работать на криминальные организации, чем работать над обеспечением безопасности. Круглый стол — это хорошая возможность всем вместе разобраться в наболевших вопросах». Руслан Гаттаров, представлявший на встрече Совет Федерации, признал, что власть очень долго не обращала внимания на информационную безопасность: «В России официально отсутствовала современная стратегия кибербезопасности и не было государственной программы разработки правовых актов, регулирующих эту сферу. Зарубежные коллеги уже много лет не стесняются вкладывать в эту область большие деньги: создавать боевые вирусы, увеличивать бюджеты и количество "киберсолдат" — иногда в десятки раз. Наша же государственная машина инертна, хотя главное — запустить этот маховик. Сейчас мы его со скрипом, но запустили. Президент России стал обращать пристальное внимание на отрасль, из его уст зазвучало слово "кибербезопасность"; в январе вышел Указ Президента № 31с — современный политический документ, который сделает информационную безопасность вопросом государственной важности». «Еще не так давно власть обращала внимание на "Античат" только в двух случаях — либо людей сажали, либо силой заставляли сотрудничать, — поделился опытом Сергей (Rebz), супермодератор "Античата", одного из самых популярных хакерских форумов. — Переломным моментом стал взлом сайта Олега Куваева, создателя Масяни. После громкого скандала, когда нас называли кибертеррористами, администрация "Античата" запретила атаки от имени ресурса. Сейчас мы выступаем категорически против DDoS и кардинга. Мы прилагаем значительные усилия, чтобы обелить "Античат", потому что всем уже понятно, что взломы — это тупиковый путь. Или ты идешь в организованную преступность, или работаешь в области информационной безопасности. Мы за второй вариант». Владимир Жириновский, лидер фракции ЛДПР в Госдуме, рассказал, что его коллеги-законодатели прежде сталкивались главным образом с негативными проявлениями информационной безопасности — взломами и атаками. «И хотя это совершенно новая область знаний, государству необходимо ее поддержать, — отметил Владимир Вольфович. — Поэтому мы готовы создать правовую базу, чтобы эксперты по безопасности могли работать и не бояться ответственности. В свое время даже частное предпринимательство было уголовно наказуемым. Вполне понятно любопытство, проявляемое юными хакерами: что-то взломать, разобрать, посмотреть, как устроено. Без этого нельзя создать ничего нового. Но когда этот интерес крепко замешан на деньгах, когда молодой человек уходит в криминал — плохо становится всем. Хакер — это тот же боксер. Может получать награды, заседать в Думе, как Валуев, быть уважаемым человеком. А может применить свои знания по-другому — в подворотне набить кому-нибудь физиономию и сесть на пять лет. И знать его будет не вся страна, а только работники полиции и прокуратуры. Мы должны сообща найти способы сделать так, чтобы молодые люди не становилась преступниками». «По состоянию на 2012 год в России есть колоссальная потребность в специалистах по ИБ, — заявил Георгий Грицай, заместитель начальника департамента регулирования радиочастот и сетей связи Минкомсвязи. — А вузы выпускают 25 тысяч специалистов в год, причем им требуется 5—7 лет для того, чтобы стать профессионалами-практиками. Спрос со стороны бизнеса есть, но он не встречает адекватного предложения: качеством образования работодатели часто недовольны. Вопрос выбора белой или черной стороны — во многом мировоззренческий. Однако в наших силах изменить баланс в сторону "светлой силы". Мы сейчас предпринимаем множество шагов, направленных на поддержку ИБ, начиная от расширения штата специалистов-безопасников в Минкомсвязи и заканчивая проработкой совместно с Министерством обороны вариантов прохождения военной службы по ИБ-специальностям». «Центр информационной безопасности обращает пристальное внимание на развитие движения CTF в России. Мы отмечаем достаточно высокий уровень знаний и навыков участников игр, которые, однако, могут быть использованы не только для защиты или аудита безопасности. При этом мы видим нехватку интереса к подобным играм со стороны органов государственной власти и управления. По нашему мнению, в условиях проблем с трудоустройством в регионах это может привести к вовлечению молодых специалистов в криминальную среду или к утечке мозгов за рубеж, — рассказала об отношении к межвузовским соревнованиям по информационной безопасности Оксана Докучаева, сотрудник ЦИБ ФСБ. — Учитывая важность данной проблемы, мы планируем рекомендовать регионам уделять больше внимания студенческим играм, в том числе для решения кадровых вопросов, а также отслеживать попытки криминальных кругов и зарубежных агентов вовлечь талантливую молодежь в деятельность, которая может нанести ущерб национальной безопасности». «Хакер — это человек с ружьем. Но любое оружие можно использовать как в мирных целях, так и в преступных, — говорит Борис Симис, заместитель генерального директора Positive Technologies. — Вы даже не представляете, сколько мы усилий приложили, чтобы слово Hack в названии форума перестало быть ругательным! Три года назад оно вызывало в обществе недоумение, а сегодня представителей государства на этом форуме — более 40%. Компания Positive Technologies давно занимается просветительской деятельностью: мы создали ведущий в своей области информационный портал SecurityLab.ru, проводим соревнования CTF, реализуем образовательную программу Positive Education. Форум PHDays — это возможность наладить диалог между людьми, которые традиционно находились по разные стороны баррикад». В завершение встречи Алексей Лукацкий отметил, что на законодательном уровне активно разрабатываются меры, направленные на повышение уровня знаний об информационной безопасности у самых широких групп населения, — от создания учебных программ для детских садов и школ до специальных образовательных проектов в СМИ.
Первый день PHDays подошел к концу
Первый день PHDays подошел к концу 23 мая в Центре международной торговли начал свою работу международный форум по практической безопасности Positive Hack Days III, для участия в котором в Москву со всего мира съехались профессионалы ИБ, хакеры, политики и представители интернет-сообщества. В ходе докладов, мастер-классов и разнообразных дискуссий участники мероприятия смогли познакомиться с реальной практической безопасностью, а также обсудить будущее всей отрасли. Молодежь и ИБ В дискуссии приняли участие представители Минкомсвязи, ЦИБ ФСБ, Совета Безопасности, Positive Technologies и RuCTF, а также член Совета Федерации Руслан Гаттаров и лидер фракции ЛДПР и член Государственного совета РФ Владимир Жириновский. В ходе беседы участники отметили, что государство пришло к пониманию роли кибербезопасности и постепенно начинает отвечать на угрозы. В связи с этим профессионалы в области ИБ будут играть все более важную роль. Владимир Жириновский рассказал о том, что его коллеги-законодатели сталкивались главным образом с негативными проявлениями информационной безопасности — взломами и атаками. Кроме того, политик отметил, что несмотря на молодость индустрии безопасности, ее поддержка необходима государству, поэтому Госдума готова создавать правовую базу, которая позволит экспертам по ИБ работать, не боясь ответственности. Безопасность SCADA Одной из важнейших тем, поднятых в первый день PHDays, стала защищенность промышленных систем. Состоялись доклад «Нужны ли модели АСУ ТП при обеспечении информационной безопасности промышленных систем?» Руслана Стефанова, секция «Безопасность АСУ ТП: оксюморон или задача десятилетия», модератором которой стал Гаральд Иванович Бандурин (РусГидро), а также выступление группы исследования безопасности АСУ ТП Positive Technologies «SCADA Strangelove: как создать собственный Stuxnet», в ходе которого был анонсирован выпуск двух новых утилит для проверки защищенности АСУ ТП. Кроме того, каждый участник форума смог ознакомиться с проблемами безопасности промышленных систем благодаря конкурсу Choo Choo Pwn. Его участники должны были получить доступ к модели системы управления (АСУ ТП) железной дороги и погрузки контейнеров, эксплуатируя уязвимости промышленных протоколов и обходя аутентификацию SCADA-систем и веб-интерфейсов промышленного оборудования. В середине дня состоялся соответствующий мастер-класс, посвященный безопасности железнодорожных АСУ ТП, который провели Илья Карпов, Александр Тиморин и Дмитрий Ефанов. Мастер-класс Leave ATM Alone Большой ажиотаж у публики вызвал и мастер-класс по безопасности ПО, установленного на банкоматах, — Leave ATM Alone, который Ольга Кочетова и Алексей Осипов дважды в течение дня провели в зоне соревнований. Слушатели узнали о методах, которые мошенники используют для кражи денег, а также о типичных банкоматных уязвимостях. Лабиринт Никого не оставил равнодушным и конкурс «Лабиринт». Участники преодолевали полосу препятствий, оборудованную лазерным полем и датчиками движения, открывали секретные двери, очищали комнату от «жучков», сражались в интеллектуальном поединке с искусственным разумом и обезвреживали бомбу. PHDays CTF: Levart D'Errorim Третий год подряд проходит эпическое соревнование хакеров PHDays CTF. Десять команд из шести стран мира схлестнулись в битве: им предстоит мощно атаковать системы соперников и твердо защищать свои. Как обычно, соревнования объединены одной легендой: на этот раз участникам уготовано спасти от гибели сказочное государство D’Errorim. Наблюдать за битвой можно не только на площадке форума, но и онлайн — посредством визуализатора на сайте PHDays и специальных мобильных приложений для iOS и Android. Завтра, 24 мая, помимо большого количества мастер-классов и докладов, гостей форума ждет выступление ключевого докладчика PHDays — Марка Хойзе (van Hauser), а также многочисленные соревнования (на площадке и онлайн) и финал PHDays CTF. Следите за новостями!
Онлайн-конкурсы на Positive Hack Days III
Онлайн-конкурсы на Positive Hack Days III Если по какой-либо причине вам не удастся 23 и 24 мая оказаться на площадке форума Positive Hack Days, это не означает, что вы не сможете поучаствовать в мероприятии. Благодаря конкурсной программе форума любой желающий получит возможность сразиться с соперниками со всего мира в ходе увлекательных онлайн-соревнований Positive Hack Days III. Лучший реверсер Цель конкурса — продемонстрировать навыки анализа исполняемых файлов для платформы Microsoft Windows. Конкурсантам будет предложено сгенерировать коды, успешно проходящие валидацию в специально подготовленной программе. Ввод каждого кода возможен только после успешной валидации предыдущего. Разрешается использовать любые методы, не нарушающие законы Российской Федерации. Победителем станет участник, который первым сгенерирует три правильных кода и представит жюри краткое описание процесса их получения. Участники, выполнившие условия конкурса позже победителя, или вычислившие только один или два кода, также займут призовые места по решению жюри. Конкурс будет длиться два дня, на протяжении всего мероприятия. Hash Runner Конкурс Hash Runner подвергнет проверке знания участников в области криптографических алгоритмов хэширования, а также их навыки взлома хэш-функций паролей. К конкурсу допускается любой интернет-пользователь. Конкурс продлится два дня, на протяжении всего форума. Конкурентная разведка Конкурс позволит участникам форума выяснить, насколько быстро и качественно они умеют искать полезную информацию в сети Интернет. На странице конкурса будут опубликованы вопросы, связанные с некой организацией, информацию о которой можно найти в Интернете. Задача участника конкурса — найти как можно больше правильных ответов на поставленные вопросы за минимальное время. Итоги будут подведены в конце второго дня форума. PHDays III Online HackQuest В дни проведения форума PHDays 2013 пройдет соревнование Online HackQuest, доступное из сети Интернет, участники которого смогут попробовать свои силы в решении различных заданий по информационной безопасности. Участникам будет предоставлен доступ к сайту со списком заданий. Задания разделены по типу и уровню сложности. В случае успешного решения задания участник получает доступ к ключу (флагу), который необходимо отправить жюри с помощью специальной формы. Если флаг правильный — за него будут начислены соответствующие баллы. Победителем конкурса станет участник, который раньше остальных наберет максимально возможное количество баллов. К соревнованию допускается любой интернет-пользователь. Регистрация осуществляется на сайте PHDays 2013 III (hackquest.phdays.ru) после начала форума. Конкурс будет длиться на протяжении всего форума. Победители конкурса (три первых места) получат памятные призы и подарки от организаторов форума PHDays, компании Positive Technologies, и спонсоров мероприятия. Регистрация для участия в соревнованиях в полном разгаре! Не упустите возможность продемонстрировать свои навыки и отлично провести время. Подробная информация о конкурсах и призах опубликована на официальном сайте Positive Hack Days.
Теория, практика и минимум формальностей: опубликована программа PHDays III
Теория, практика и минимум формальностей: опубликована программа PHDays III Уже через два дня возьмет старт международный форум по информационной безопасности Positive Hack Days III. Сегодня мы представляем вашему вниманию итоговую программу мероприятия, которая, как и в прошлом году, состоит из двух блоков — конференции и хакерских соревнований. Конференция включает в себя: - доклады, посвященные различным вопросам ИБ (и не только), которые представят ведущие профессионалы, такие как Марк Хойзе, Трэвис Гудспид, Ник Гэлбрет (IPONWEB), Владимир Воронцов (ONsec), Михел Остерхоф (RSA EMC); - мастер-классы: под руководством известных российских и иностранных специалистов можно получить практический опыт решения самых разных задач ИБ (подробнее в нашем хабратопике); - бизнес-секции, дискуссии с участием экспертов из разных стран, в рамках которых обсуждаются самые острые проблемы информационной безопасности — от киберпреступности до роли современной российской молодежи в развитии индустрии; - Hands-on Labs, ориентированные на более специализированную аудиторию, которые проведут авторитетные эксперты-практики; - Fast Track — более полутора десятков увлекательных ИБ-стендапов, во время которых слушатели узнают много интересного. Все доклады и мастер-классы PHDays ранжируются в соответствии с уровнем сложности: Уровень 100 — доклады, мастер-классы или семинары, рассчитанные на широкую аудиторию. Уровень 200 — выступления содержат специальную информацию, которую может быть сложно воспринимать, полагаясь только на общую эрудицию. Уровень 300 — целевая аудитория выступлений — специалисты, обладающие глубокими познаниями и существенным практическим опытом в области информационной безопасности. Подробное описание уровней размещено на официальном сайте форума. Конкурсная программа: - «Лабиринт» — хакерский аттракцион, настоящая полоса препятствий, в процессе прохождения которой участникам предстоит преодолеть лазерное поле и датчики движения, открыть секретные двери, очистить комнату от «жучков», обезвредить бомбу и сразиться в интеллектуальном поединке с искусственным разумом. - Choo Choo Pwn — соревнование по взлому промышленных систем (АСУ ТП), которые управляют движением поездов на построенной специально для конкурса железной дороге. Уникальная возможность пустить поезд под откос без катастрофических последствий. - Leave ATM Alone: в ходе этого конкурса любой желающий сможет попытать счастья в поиске и эксплуатации уязвимостей ПО, установленного в банкоматах. - Hash Runner —соревнование, в ходе которого интернет-пользователи должны будут продемонстрировать свои знания в области криптографических алгоритмов хэширования и навыки взлома хэш-функций паролей. - «Лучший реверсер» — еще одно онлайн-соревнование. Конкурсанты должны будут показать себя в анализе исполняемых файлов для платформы Microsoft Windows. Полный список соревнований, который пройдут на площадке форума и в режиме онлайн, опубликован на сайте PHDays. Кроме того, в рамках форума состоится эпичная битва хакеров PHDays III CTF. В ходе соревнований, построенных по принципу Capture the Flag, 10 команд из 7 стран будут защищать свои сети и атаковать системы соперников. Как обычно, чтобы придать изюминку состязанию, организаторы PHDays CTF разработали специальную легенду, в соответствии с которой по ходу конкурса будут вноситься изменения в инфраструктуру. P. S. Программа форума в формате PDF.
Завершился отборочный тур конкурса NetHack
Завершился отборочный тур конкурса NetHack На протяжении недели с 7 по 15 мая хакеры со всего мира ожесточенно боролись в отборочном туре состязания NetHack. Участники должны были продемонстрировать навыки получения контроля над сетевой инфраструктурой путем эксплуатации небезопасных настроек оборудования. Всего было получено 126 ответов на задания конкурса: каждый день поступало в среднем 14 писем с решениями, которые оценивались экспертами Positive Technologies по сетевой безопасности. Были определены 8 финалистов, показавших наилучшие результаты: eJay, Melange, VeDoK, st.As, Volt, marsei, Foxter и Platon. Финалисты получат приглашения на Positive Hack Days III и памятные подарки. Поздравляем! В финальном туре конкурса, который состоится на форуме 24 мая в 15:00, участникам предстоит за ограниченное время получить доступ к игровой сети, добраться до ее немаршрутизируемого сегмента, в котором находится специальная автоматизированная система, и получить к ней прямой доступ. Победитель получит специальный приз от технологического партнера мероприятия, компании Cisco. До встречи на PHDays!
Владимир Жириновский примет участие в Positive Hack Days III
Владимир Жириновский примет участие в Positive Hack Days III 23 мая лидер ЛДПР, одной из крупнейших фракций Государственной Думы, проведет рабочую встречу с представителями ИБ-сообщества, бизнеса и государственной власти на международном форуме по практической безопасности PHDays III, организатором которого третий год подряд выступает компания Positive Technologies. В рамках форума Владимир Жириновский даст старт всероссийскому веб-проекту ЛДПР под названием «Интернет без наркотиков» и примет участие в работе круглого стола «Роль современной молодежи на российском рынке информационной безопасности». Социальный веб-проект «Интернет без наркотиков» создан с целью информационной защиты подрастающего поколения и противодействия наркоторговцам, организующим в Интернете сбыт запрещенных к обороту наркотических средств и психотропных веществ. В ходе круглого стола будут обсуждаться пути взаимодействия IT-сообщества и российской власти в области развития этичного хакерства и поддержки образовательных программ в сфере высоких технологий. Среди участников — представители Совета Федерации, Минкомсвязи, ЦИБ ФСБ, Positive Technologies, Defcon Russia и хакерского сообщества, ученые, студенты, журналисты и блогеры. Positive Hack Days –– это площадка, на которой встречаются люди с разных сторон баррикад, хакеры и политики, ученые и бизнесмены, гуру информационной безопасности и студенты. Это место, где обсуждаются технологии и законодательство, где каждый может увидеть практическую безопасность в действии и лично принять участие в развитии отрасли. В рамках форума состоится профессиональная дискуссия на шести потоках конференции, пройдут более 50 выступлений с результатами новейших исследований, 14 бизнес-семинаров и круглых столов, международные соревнования по защите информации (CTF), мастер-классы и конкурсы. На форуме будут освещены вопросы безопасности систем АСУ ТП и критически важных объектов, проблемы защищенности систем ДБО и банкоматов, телекоммуникационных сетей, бизнес-приложений и ERP-систем. Эксперты расскажут об особенностях черного хакерского рынка, о противодействии атакам нулевого дня, расследовании инцидентов безопасности и способах защиты от DDoS. В этом году PHDays, который пройдет 23 и 24 мая в московском Центре международной торговли, посетят более 2000 участников. Регистрация на форум продолжается.
Бизнес-программа на PHDays III
Бизнес-программа на PHDays III В программе Positive Hack Days III— 14 бизнес-секций и круглых столов, на которых будут обсуждаться самые различные темы: боевой потенциал кибероружия, трудности сертификации, специфика обеспечения безопасности промышленных систем, тактика защиты секретов в российском суде, проблемы молодых специалистов и многие другие. Кибернетические войны давно шагнули со страниц фантастических романов в реальный мир. Что нас ждет в ближайшем будущем? Каков боевой потенциал кибервооружений различных стран мира? Модератором секции «Кибервойна: вчера, сегодня, завтра» станет Андрей Манойло, заместитель декана факультета политологии МГУ, шеф-редактор научно-политического журнала «Мир и политика». Во встрече примут участие Марианна Кочубей из Антитеррористического центра СНГ, Алиса Шевченко («Цифровое оружие и защита») и Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского», который выступит с докладом «Охота за Красным Октябрем». Тему серьезных изменений в отрасли, коренным образом меняющих картину мира многих специалистов в области ИБ, продолжат участники секции «Роль современной молодежи на российском рынке информационной безопасности». У многих выпускников возникает понятное желание побыстрее заработать на своих знаниях, что зачастую приводит к уходу одаренных специалистов в киберпреступность. Как бороться с этой проблемой? Какие шаги предпринимают государство и бизнес? Как найти применение знаниям и умениям молодых людей? Ведущим дискуссии станет Алексей Лукацкий, бизнес-консультант по ИБ компании Cisco. Среди участников — член Совета Федерации Руслан Гаттаров, представители Минкомсвязи, ЦИБ ФСБ, Совета Безопасности, Positive Technologies, Defcon Russia и ruCTF. Одна из причин распространения термина «кибероружие» — рост числа инцидентов и угроз, связанных с системами АСУ ТП (ICS/SCADA). Где грань между безопасностью АСУ ТП и общей IТ-безопасностью? В чем специфика промышленных систем как объекта защиты? Этим и другим проблемам систем промышленной автоматизации будет посвящен круглый стол «Безопасность АСУ ТП: оксюморон или задача десятилетия?», модератором которого станет Гаральд Бандурин, директор по ИТ компании «РусГидро». В дискуссии примут участие представители компаний Siemence, «НИИ СОКБ», «Лаборатории Касперского» и Positive Technologies. Не только безопасность, но и эффективность государственных институтов сегодня во многом зависит от IТ-систем. Однако компьютерное оборудование и применяемые в нем средства защиты информации (СЗИ) нуждаются в постоянном обновлении: требуется новая функциональность, выявляются уязвимости и новые угрозы, исправляются ошибки программного и аппаратного обеспечения, обновляются базы знаний. Позволяют ли существующие схемы сертификации и распространения СЗИ оперативно решать данную проблему? Этот вопрос предполагается обсудить в формате круглого стола «Сертифицированное и защищенное, или От теории к практике» с представителями регуляторов, ведущих отечественных и зарубежных компаний (Cisco, «Ростелеком», «Инфотекс», «ЦБИ» и др.) — разработчиков СЗИ, испытательных лабораторий и интеграторов. Модератором дискуссии станет начальник управления ФСТЭК Виталий Лютиков. Темы секций и круглых столов Positive Hack Days затрагивают самые разные вопросы ИБ. Артем Сычев совместно с представителями Ernst & Young и BSS поднимет тему противостояния разработчиков банковских приложений и преступников, Алексей Юдин обсудит с коллегами использование GRC-систем, а руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского» Руслан Стоянов рассмотрит основные стереотипы, которые сложились в обществе о киберпреступниках и киберпреступлениях. В свою очередь Муштак Ахмед, специалист отдела IT-безопасности и управления рисками авиакомпании Emirates Airline, расскажет, как встраивание безопасности в цикл разработки ПО поможет избавиться от уязвимостей. Наконец, в рамках секции управляющего партнера консалтингового агентства «Емельянников, Попова и партнеры» Михаила Емельянникова «Можно ли защитить секреты в российском суде» будут рассмотрены требования закона «О коммерческой тайне» и конкретные решения российских судов. Бизнес-программа PHDays позволит обсудить проблемы информационной безопасности в самых различных форматах. На форуме состоится открытая дискуссия «Чего мы хотим от правительства?», где любой желающий сможет высказать свои идеи о развитии ИБ. Пройдут также дебаты «Будущее информационной безопасности крупным планом» с участием ведущих экспертов по защите информации со всего мира. Кроме того, в рамках секции «Рынок ИБ: новинки, вопросы, ответы» руководители департаментов развития бизнеса и маркетинга ведущих компаний отрасли («Лаборатория Касперского», Stonesoft, «ЭЛВИС-ПЛЮС») представят свои продукты и решения. Модератор этой секции — Вениамин Левцов («Лаборатория Касперского»).
HackQuest завершен, стартует Best Reverser
HackQuest завершен, стартует Best Reverser Эпическое соревнование хакеров PHDays HackQuest подошло к концу. В конкурсе, организованном ONsec_Lab, в период с 1 по 13 мая приняли участие более 1400 интернет-пользователей, 112 из которых решили минимум по одному заданию. Результаты Гонка продолжалась до последних минут, почти до самого конца соревнования тройка лидеров выглядела так: JustRelаx, MERRON, Bo0om. Однако хитрая тактика добавления победных флагов за две минуты до завершения соревнования позволила участнику Karim занять в итого первое место. Bo0om также в последние минуты добавил флаг и отодвинул MERRON на 4 позицию, с которой тот был смещен участником Yngwie и занял в результате пятое место. Итак, с преимуществом в 50 баллов победил Karim (который был четвертым незадолго до конца игры). Лидировавшая практически на протяжении всего соревнования команда JustRelax стала второй, участник Bo0om смог сохранить третье место. Как мы и обещали, 10 конкурсантов, показавших лучшие результаты, получат приглашения на Positive Hack Days и футболки (1 место — 5 билетов, 2 место — 4 билета, 3 место — 3 билета, с 4 по 10 — по 1 билету). Кроме того, тройка призеров получит памятные дипломы. Финальная турнирная таблица, выполненная в стиле Norton Commander: Десятка лучших: 1. karim 4780 2. JustRelax 4730 3. Bo0oM 4530 4. Yngwie 3930 5. MERRON 3830 6. DarkByte 2920 7. RDot.Org 2750 8. Promix17 2730 9. Dor1s 2550 10. push 2530 Помимо этого, организаторы конкурса приняли решение, в соответствии с которым шестнадцать участников, набравшие больше 1000 очков, также получат по одному пригласительному на PHDays. Вот эти счастливчики: · Phobo5 2430 · dipi shmot 2420 · freeoks 2400 · movsx 2330 · kosmonavt 2330 · Samosad 2150 · Artemnv 1970 · flak 1800 · jick 1550 · n0ne 1430 · victor 1400 · daniel 1340 · kost 1110 · mrbio 1100 · Yoda 1070 · endragor 1030 Поздравляем! До встречи на форуме! Задания Наибольший интерес участников вызвало задание на факторизацию RSA 512 бит. Для ее решения победителю конкурса участнику Karim из команды Bushwhackers потребовалось 190 процессорных часов CPU на 20 CPU Intel XEON по 32 потока каждый. Отметим, что Karim стал единственным, кому удалось решить данное задание. Кроме того, многим понравилось задание «Старые книги» (oldbook), в ходе которого участники искали самую старую книгу о компьютерных науках. В зависимости от года издания находки начислялись дополнительные очки (по 100 баллов за каждые 5 лет). Вот два самых древних издания из числа тех, что удалось отыскать частникам: · Свобода А. Счетно-решающие механизмы. М.: Изд. ин. лит., 1949, · Муррей Ф. Теория математических машин. М.: Изд. ин. лит., 1949. Стоит отметить и еще одну раритетную книгу: Воронов А.А. Элементы теории автоматического регулирования. М.: Военное изд-во Министерства обороны Союза ССР, 1954. С интересным заданием, которое заключалось в поиске настоящего имени основателя и генерального директора ONsec Владимира Воронцова, справилась почти половина всех участников. Заметим, что «стоимость» нерешенных заданий повышалась каждый день, а некоторые очень сложные задачи по ходу соревнования были упрощены (в частности, sidkf, xlc и LIE TO ME). Best Reverser** Завершение HackQuest не означает, что вы больше не сможете сразиться с лучшими хакерами со всего мира в режиме онлайн. В дни проведения Positive Hack Days (23 и 24 мая) будет проходить конкурс «Лучший реверсер», поучаствовать в котором и продемонстрировать навыки анализа исполняемых файлов для платформы Microsoft Windows сможет любой интернет-пользователь. Правила проведения Участникам предлагается специально подготовленная программа. Необходимо сгенерировать такие коды, которые программа признает правильными. Разрешается использовать любые методы, не нарушающие законы Российской Федерации. Победителем станет участник, который первым сгенерирует три правильных кода и представит жюри краткое описание процесса их получения. Ввод каждого следующего кода возможен только после успешной валидации предыдущего. Участники, выполнившие условия конкурса позже победителя или вычислившие только один или два кода, — также займут призовые места согласно решению жюри. Главный приз — AR.Drone 2.0. Условия участия К соревнованию допускается любой интернет-пользователь. Регистрация осуществляется на сайте PHDays III после начала форума. Конкурс продлится два дня, на протяжении всего мероприятия. Для получения приза победитель должен предоставить контактную информацию (имя, телефон, почтовый адрес) или лично присутствовать на вручении призов. Технические детали Участники могут использовать любое программно-аппаратное обеспечение, имеющееся в их распоряжении. Подробная информация о конкурсной программе и призах опубликована на официальном сайте PHDays.