Новости
Разыскиваются молодые ученые
25 января, в День студента, открывается прием заявок на участие во всероссийском конкурсе PHDays Young School. Его цель — найти в университетском сообществе перспективных исследователей в области информационной безопасности. Конкурс предназначен для студентов, аспирантов и независимых молодых ученых, ведущих оригинальные исследования по следующим направлениям ИБ: новые атаки, классы уязвимостей, способы обхода защитных механизмов; безопасность веб-приложений; обнаружение вредоносных программ, методы противодействия ему; анонимность в Интернете; безопасность мобильных устройств и приложений; безопасность операционных систем; обнаружение сетевых атак, методы противодействия; противодействие спаму, фишингу и прочим «социальным» атакам. Победителей определят ведущие эксперты ИБ-индустрии и исследовательских лабораторий из Positive Technologies, Microsoft, Advanced Monitoring, Digital Security, ERPScan, «Яндекса», журнала «Хакер», ВМК МГУ, МИФИ, СПИИРАН, Дармштадтского технического и Тюбингенского университетов, Defcon Russia Group. Прием заявок и тезисов завершится 1 марта 2013 года. Программный комитет отберет восемь лучших работ, авторы которых примут участие в финале конкурса. Победители будут приглашены на форум Positive Hack Days III, где смогут представить результаты своих исследований перед крупнейшими мировыми экспертами в области ИБ. Кроме того, эти восемь исследований будут опубликованы в рецензируемых журналах из перечня ВАК. Победителю конкурса — автору самой сильной работы — достанется специальный приз. Конкурс работ молодых ученых в области информационной безопасности проводится второй раз. Впервые PHDays Young School прошел в 2012 году. Представители ведущих IT-компаний (Microsoft, «Яндекс» и др.), образовательных и научных учреждений (МГУ, МИФИ, СПИИРАН) и профильных изданий (журнал «Хакер») подробно рассмотрели все присланные заявки и выбрали семь наиболее любопытных. В финал PHDays Young School прошли ребята из учебных заведений Красноярска, Москвы, Новосибирска, Санкт-Петербурга и Таганрога. Для участия в конкурсе необходимо ознакомиться с правилами оформления тезисов доклада и подать заявку с контактной информацией на адрес youngschool@phdays.ru до 1 марта 2013 года.
Осталось три дня до начала отборочного этапа PHDays CTF
Осталось три дня до начала отборочного этапа PHDays CTF Напоминаем, что PHDays CTF Quals стартует 15 декабря и продлится три дня. Зарегистрировалось уже около 300 команд из более чем 30 стран мира. Вы еще можете присоединиться! Регистрация на отборочные соревнования продлится до 17 декабря 2012 года. PHDays CTF Quals пройдет с 10:00 15 декабря по 10:00 17 декабря 2012 года (время московское). Участники соревнований опробуют свои силы в оценке защищенности, поиске и эксплуатации уязвимостей, выполнении задач, связанных с обратной разработкой. Условия PHDays CTF Quals, в отличие от многих других подобных соревнований, максимально приближены к «боевым»: использованные уязвимости не выдуманы, а действительно встречаются в современных IT-системах. Победителями станут команды, которые наберут наибольшее количество баллов раньше остальных. Самые сильные из них будут приглашены на PHDays III CTF. Финальный этап соревнований по защите информации, проводимых по принципу Capture The Flag состоится 22—23 мая 2013 года в Москве во время третьего международного форума по информационной безопасности >Positive Hack Days III.
Стартует PHDAYS CTF Quals — отборочный этап самого реального хакерского соревнования
Стартует PHDAYS CTF Quals — отборочный этап самого реального хакерского соревнования К сведению специалистов по ИБ, системных администраторов, программистов — всех тех, кто знаком с поиском уязвимостей и готов блеснуть своими навыками в битве хакеров! В декабре стартует PHDays CTF Quals — отборочный этап международных соревнований по защите информации, проводимых по принципу Capture The Flag в рамках форума Positive Hack Days. Участники опробуют свои силы в оценке защищенности, поиске и эксплуатации уязвимостей, выполнении задач, связанных с обратной разработкой. Условия PHDays CTF Quals, в отличие от многих других подобных соревнований, максимально приближены к «боевым»: использованные уязвимости не выдуманы, а действительно встречаются в современных IT-системах. Победителями станут команды, которые наберут наибольшее количество баллов раньше остальных. Самые сильные из них будут приглашены на PHDays III CTF. Регистрация на отборочные соревнования откроется 28 ноября и завершится 17 декабря 2012 года. PHDays CTF Quals пройдет с 10:00 15 декабря по 10:00 17 декабря 2012 года (время московское). Основные состязания состоятся 22—23 мая 2013 года в Москве во время третьего международного форума по информационной безопасности Positive Hack Days III. Как это было В прошлогодних отборочных соревнованиях приняли участие команды из России, Великобритании, Германии, Канады, Кении, Нидерландов, Перу, США, Туниса, Украины, Франции, Швейцарии, Южной Кореи и Японии. Первое место досталось команде rdot.org из Санкт-Петербурга. Финальные соревнования PHDays CTF 2012 с призовым фондом 300 000 руб. стали центральным событием программы второго форума PHDays, организованного компанией Positive Technologies. На протяжении двух дней и одной ночи в режиме нон-стоп 12 команд из 10 стран взламывали сети противников и защищали свои. Победу одержала российская команда Leet More, получившая 150 000 руб., вторыми стали представители Швейцарии из 0daysober (100 000 руб.), а бронзу и сумму в 50 000 руб. завоевали испанцы из int3pids. Масштабная аналитическая работа, посвященная PHDays 2012 CTF, опубликована по этому адресу.
Форуму Positive Hack Days III — быть! Открывается Call For Papers
Форуму Positive Hack Days III — быть! Открывается Call For Papers Внимание, внимание! Решение о проведении Positive Hack Days III принято. Уже сейчас начинается полномасштабная подготовка к третьему международному форуму по практической безопасности, бессменным организатором которого выступает компания Positive Technologies. Форум пройдет в Москве 22—23 мая 2013 года. Правила остаются прежними: максимум практики, минимум формальностей, 0% рекламных материалов и унылой коммерческой пропаганды. Call For Papers Гостей PHDays III ожидает множество круглых столов, конкурсов, соревнований, мастер-классов и практических демонстраций. И конечно — множество докладов, которые представят специалисты по информационной безопасности со всего мира. Вы можете стать одним из докладчиков. У нас нет жестких ограничений: рассматриваются заявки как от признанных экспертов в области ИБ, так и от начинающих исследователей. Наша цель — создать условия для живого неформального общения между всеми представителями индустрии. Основные требования — интересный доклад по одной из проблем информационной безопасности, новизна и актуальность освещаемых вопросов, профессионализм и компетентность. Если вы хотите поделиться своим опытом, результатами исследований или продемонстрировать свои навыки, то в конце мая 2013 года мы ждем вас в Москве. Без вас это событие не состоится! Советуем поспешить: первый этап приема заявок начинается 29 октября 2012 г. и заканчивается 27 января 2013 г. Напомним, что в 2012 году форум собрал 1500 специалистов со всего мира. Состоялось более 50 докладов, мастер-классов, семинаров и круглых столов. Среди выступавших — легендарный Брюс Шнайер, председатель IMPACT Датук Мохд Нур Амин, Александр Песляк (Solar Designer), Трэвис Гудспид и Александр Гостев. Подробную информацию о форматах и правилах участия, перечень наиболее интересных нам тем для докладов и инструкции для подачи заявки смотрите здесь
До мастер-класса по взлому тестовой системы ДБО осталось два дня
До мастер-класса по взлому тестовой системы ДБО осталось два дня 11 августа с 12:00 до 15:00 в московском хакспейсе Neúron состоится мастер-класс, посвященный итогам конкурса «Большой ку$h» (PHDays 2012). Участники мастер-класса не только узнают, как хакеры взламывали систему дистанционного банковского обслуживания PHDays I-Bank, но и смогут повторить подвиги участников конкурса, продемонстрировав свои навыки взлома подобных систем. Напомним, что система PHDays I-Bank была создана специально для соревнований по защите информации, проходивших в рамках форума PHDays 2012 (конкурс «Большой ку$h» и битва CTF vs HackQuest). Интернет-банк содержал в себе реальные типовые уязвимости систем ДБО, найденные специалистами компании Positive Technologies в ходе проведения тестов на проникновение в различных финансовых организациях. Следует отметить, что уязвимости систем ДБО выходят за рамки классических веб-уязвимостей (таких как XSS или SQL Injection): уязвимости в PHDays I-Bank по большей части логические. Спешите зарегистрироваться для участия в мастер-классе! Ждем вас! P. S. Система PHDays I-Bank была разработана специально для конкурсов в рамках форума PHDays 2012, и НЕ ЯВЛЯЕТСЯ системой, которая действительно работает в каком-либо из существующих банков.
Мастер-класс по взлому тестовой системы ДБО в хакспейсе Neúron
Мастер-класс по взлому тестовой системы ДБО в хакспейсе Neúron Число преступлений, связанных с системами дистанционного банковского обслуживания, за последние несколько лет выросло в несколько раз. Из российских банков ежегодно исчезают сотни миллионов долларов. Чтобы специалист по ИБ мог эффективно противодействовать злоумышленникам, ему необходимо знать основные уязвимости систем ДБО. Менее чем через месяц мы предоставим всем желающим возможность повысить свой профессиональный уровень. 11 августа с 12:00 до 15:00 в московском хакспейсе Neúron состоится мастер-класс, посвященный итогам конкурса «Большой ку$h» (PHDays 2012). Участники мастер-класса не только узнают, как хакеры взламывали систему дистанционного банковского обслуживания PHDays I-Bank, но и смогут повторить подвиги участников конкурса, продемонстрировав свои навыки взлома подобных систем. Напомним, что система PHDays I-Bank была создана специально для соревнований по защите информации, проходивших в рамках форума PHDays 2012 (конкурс «Большой ку$h» и битва CTF vs HackQuest). Интернет-банк содержал в себе реальные типовые уязвимости систем ДБО, найденные специалистами компании Positive Technologies в ходе проведения тестов на проникновение в различных финансовых организациях. Следует отметить, что уязвимости систем ДБО выходят за рамки классических веб-уязвимостей (таких как XSS или SQL Injection): уязвимости в PHDays I-Bank по большей части логические. Для участия в мастер-классе необходимо зарегистрироваться. Ждем вас! P. S. Система PHDays I-Bank была разработана специально для конкурсов в рамках форума PHDays 2012, и НЕ ЯВЛЯЕТСЯ системой, которая действительно работает в каком-либо из существующих банков.
PHDays 2012 во Владивостоке: как это было
PHDays 2012 во Владивостоке: как это было 30 и 31 мая город студентов, как иногда называют Владивосток, стал одной из крупнейших региональных площадок международного форума по информационной безопасности Positive Hack Days 2012. «Съезд хакеров» Дальнего Востока прошел на базе Дальневосточного федерального университета (ДВФУ) в рамках инициативы PHDays Everywhere, собравшей под свое крыло десятки учебные заведений и хакспейсов из разных стран. Помощь в организации и работе IT-форума в «советском Сан-Франциско» оказали студенты и аспиранты Школы естественных наук ДВФУ. Абсолютными победителями Positive Hack Days во Владивостоке стали хакеры команды Luckers. На втором месте оказались будущие IT-специалисты из команды GrayCap. Третье место завоевала команда АСОИУ. Поздравить лучшие команды и вручить призы 7 июня приехал технический директор Positive Technologies Сергей Гордейчик. Приятным бонусом от технического директора Positive Technologies, как пишет официальный сайт ДВФУ, оказалась небольшая лекция «Белые пятна информационной безопасности», послушать которую пришли не только студенты ДВФУ, но и будущие IT-специалисты из других вузов города. Еще одной хорошей новостью из уст Сергея Гордейчика стало то, что ДВФУ присоединился к образовательной программе Positive Education компании Positive Technologies. «Мы запустили эту программу, чтобы помочь вузам и предложить им новые способы обучения в деле подготовки действительно хороших IT-профессионалов, которых так не хватает на современном рынке. Для студентов ДВФУ так же, как и для других 14 вузов, входящих в нашу образовательную программу, обучение совершенно бесплатно», — отметил Сергей Гордейчик. Аспирант Школы естественных наук и один из самых активных организаторов дальневосточного «съезда хакеров» Сергей Култышев открыл небольшой секрет: «Совместно с нашими новыми партнерами — компанией Positive Technologies — в 2013 году мы планируем провести на базе ДВФУ международную неделю информационных технологий и собрать айтишников и хакеров со всего Азиатско-Тихоокеанского региона — тем самым вывести это мероприятие на новый уровень».
Совершенно честное ограбление банка: конкурс «Большой Ку$h» на PHDays 2012
Банковская секция «Как защищают деньги?» на PHDays 2012 завершилась, как хороший триллер: участники, только что обсуждавшие насущные проблемы информационной безопасности в отрасли, стали свидетелями ограбления банка. Оружием для «преступников» служили ноутбуки, а роль банка исполняла тестовая система ДБО, разработанная специалистами компании Positive Technologies. Участники конкурса «Большой Ку$h» должны были продемонстрировать свои навыки в области эксплуатации типовых уязвимостей в службах систем ДБО — главным образом логических, а не типичных веб-уязвимостей, таких как Cross-Site Scripting или SQL Injection. Специально для этого соревнования мы с нуля разработали собственную систему ДБО и заложили в нее типичные уязвимости, выявленные экспертами Positive Technologies в ходе анализа защищенности подобных систем. Разработка получила название PHDays I-Bank и представляла собой типичный интернет-банк с веб-интерфейсом, PIN-кодами для доступа к счету и процессингом.
Смотрите презентации докладов с Positive Hack Days 2012
Смотрите презентации докладов с Positive Hack Days 2012 Предлагаем вам ознакомиться с презентациями докладов и мастер-классов, состоявшихся в рамках форума Positive Hack Days 2012. Чтобы вам было удобнее изучать материалы PHDays 2012, мы приводим ссылки не только на слайды, но и на видеозаписи выступлений (если они имеются). Ключевые доклады Видео с докладом Брюса Шнайера доступно по этой ссылке (начиная с 13:00). Гуру криптографии рассказал о своей философии безопасности, которая многих удивила. Нарушители закона (хакеры), по его мнению, — не только вредны, но и полезны. Датук Мохд Нур Амин является председателем Международного многостороннего партнерства против киберугроз (IMPACT), первого общественно-государственного объединения при ООН, которое направлено на борьбу с киберугрозами и сотрудничает с Международным союзом электросвязи (МСЭ), специализированным учреждением ООН. IMPACT признается крупнейшим в мире объединением, обеспечивающим безопасность в киберпространстве. В его состав входят 137 стран [видео] [презентация ENG]. Телеком Доклад: Сергей Гордейчик, «Как взломать телеком и остаться в живых — 2. Достучатся до биллинга» [видео] [презентация ENG]. Где хранятся ключи от технологической сети? Как завладеть биллингом, не создав проблем для основного бизнеса компании? Об этом, а также о новых показательных и забавных случаях тестирования на проникновения телекоммуникационных сетей Сергей рассказал в своем докладе. Доклад: Роман Капля, «Борьба с мошенничеством — сфера кооперации операторов» [презентация]. Государственный сектор Доклад: Михаил Емельянников, «Когда и почему невозможно не нарушить российский закон о персональных данных» [видео] [презентация]. Доклад: Андрей Валерьевич Федичев, ФСТЭК России, «Почему государственные секреты появляются в Интернете?» [видео] [презентация]. Доклад: Алексей Лукацкий, «Как выборы Президента России влияют на рынок информационной безопасности, или Куда движется регулирование?» Видео доступно по этой ссылке (начиная с 16:00) [презентация]. Защита сетей Доклад: Владимир Стыран, «Правда про ложь: социальная инженерия для безопасников» [видео] [презентация]. Мастер-класс: Андрей Масалович, «Конкурентная разведка в Интернете». Видео доступно по этой ссылке (начиная с 16:08), [презентация]. Участники мастер-класса на примерах реальных задачах конкурентной разведки познакомились с аналитическими технологиями, в частности с приемами быстрого обнаружения утечек конфиденциальной информации, а также открытых разделов на серверах, приемами проникновения на FTP-серверы без взлома защиты и обнаружения утечек паролей, приемами получения доступа к конфиденциальным документам в обход DLP и проникновения в разделы без наличия соответствующих прав (ошибка 403). Демонстрация проводилась на примерах порталов заведомо хорошо защищенных компаний (лидеров рынков ИТ и ИБ, крупных госструктур, спецслужб). Мастер-класс: Дмитрий Рыжавский, «Безопасность беспроводных ЛВС: как взломали вашу сеть и как вы могли этого избежать» [видео] [презентация]. В ходе выступления рассматривались наиболее актуальные методики получения несанкционированного доступа к сети Wi-Fi, были продемонстрировано действие механизмов, предлагаемых комплексным решением Cisco Unified Wireless Network для защиты от описанных атак. Мастер-класс: Никхил Миттал, «Творим хаос c помощью устройств ввода-вывода» [видео] [презентация ENG]. На этом мастер-классе обсуждался очень важный, но повсеместно игнорируемый аспект компьютерной безопасности — уязвимость устройств, предназначенных для взаимодействия с человеком (Human Interface Devices, HID). Доклад: Сильвен Мюно, «Использование злоумышленниками телефонов Calypso» [видео] [презентация ENG]. Доклад: Андрей Костин, «PostScript: опасность! Взлом МФУ, ПК и не только» [видео] [презентация ENG]. Видео демонстраций: Доклад: Сергей Клевогин, «CEH. Этичный хакинг и тестирование на проникновение» [видео], [презентация]. Участники мастер-класса познакомились с типичными уязвимостями сетевых протоколов, операционных систем и приложений. В ходе своего выступления ведущий описал последовательности различных видов атак на компьютерные системы и сети, а также дал рекомендации по укреплению их защищенности. Слушатели погрузились в практическую среду и увидели, как по-настоящему взломать систему, — чтобы впоследствии предугадывать действия хакера и успешно им противостоять. Доклад: Трэвис Гудспид, «Эксплуатация радиопомех при помощи технологии Packets-in-Packets» Видео доступно по этой ссылке (начиная с 15:10) [презентация ENG]. Докладчик рассказал об особенностях эксплойтов PIP и привел примеры для сетей стандарта IEEE 802.15.4 и маломощных радиомодулей Nordic RF. SAP, SCADA, ERP Доклад: Алексей Юдин, «ERP глазами злоумышленника». Видео доступно по этой ссылке (начиная с 15:00) [презентация]. Доклад: Евгения Шумахер, «Как узнать зарплату коллеги, не вставая с рабочего места, или Безопасность SAP HR» [видео] [презентация]. Доклад: Александр Михайлович Поляков, «Небезопасность SAP: новое и лучшее» [видео] [презентация ENG]. Доклад был посвящен десяти наиболее интересным уязвимостям SAP-систем — от проблем с шифрованием до обхода аутентификации, от забавных ошибок до сложных векторов атак. С немалой частью представленных в докладе уязвимостей широкая публика познакомилась впервые. Мастер-класс: Алексей Юдин, «Безопасность SAP своими руками» [видео] [презентация]. Участники этого мастер-класса научились проводить базовый анализ безопасности систем SAP R/3 и NetWeaver (включая серверы приложений и инфраструктуру) с использованием доступных инструментов. Доклад: Михаил Афанасьев, «Безопасность АСУ ТП (SCADA). Веб-вектор» [презентация]. Веб-безопасность Мастер-класс: Владимир Лепихин, «Атаки на веб-приложения. Основы». Видео доступно по этой ссылке (начиная с 09:00) [презентация]. В докладе были систематизировано представлены механизмы реализации атак на веб-приложения, приемы и инструменты нарушителей (специализированные сканеры безопасности, утилиты, использование результатов их работы в ходе ручного анализа). На практических примерах были наглядно продемонстрированы основные слабости веб-приложений, делающие возможным проведение атак, а также проиллюстрированы недостатки используемых средств защиты и методы их обхода. Доклад: Мирослав Штампар, «Утечки данных через DNS: использование sqlmap» [видео], [презентация ENG]. Докладчик представил технику DNS-эксфильтрации с помощью SQL-инъекций, рассказал о ее преимуществах и недостатках, а также провел наглядные демонстрации. Доклад: Владимир Воронцов, «Атаки на веб-клиентов сетей Microsoft» [видео] [презентация 1 ENG] [презентация 2 ENG]. В докладе были описаны методы, позволяющие проводить атаки пользователей браузера Internet Explorer в рамках сетей Microsfot, и рассмотрены атаки, нацеленные на получение конфиденциальных данных пользователей, расположенных как на удаленных серверах (обход ограничений политики доступа), так и на локальных ПК. Мастер-класс: Андрес Рьянчо, «Безопасность Web 2.0. Продвинутые техники» [видео] [презентация ENG]. На мастер-классе были рассмотрены техники защиты от атак, использующих XML, HPP/HPC, а также атак типа Click Jacking и Session Puzzling. Доклад: Сергей Щербель, «Не все PHP одинаково полезны». Видео доступно по этой ссылке (начиная с 16:00) [презентация ENG]. В докладе были рассмотрены выявленные проблемы безопасности и особенности эксплуатации веб-приложений при использовании сторонних реализаций PHP, а также приведены примеры уязвимостей нулевого дня. Доклад: Тибо Кёхлен, «Naxsi — брандмауэр веб-приложений с открытым кодом, основанный на позитивной модели безопасности» [видео] [презентация ENG]. Доклад: Алексей Москвин, «О безопасном использовании PHP wrappers» [видео] [презентация]. Видео демонстрации: Доклад: Владимир Кочетков, «Взломать сайт на ASP.NET? Сложно, но можно!» [видео] [презентация ENG]. В докладе были рассмотрены примеры новых уязвимостей нулевого дня и возможные техники их эксплуатации, включая принципиально новый вид атак класса «Внедрение кода». Безопасность мобильных устройств Мастер-класс: Маниш Часта, «Безопасность приложений для Android» [видео], [презентация 1 ENG], [презентация 2 ENG]. В докладе были кратко освещены техники обнаружения и устранения уязвимостей в приложениях Android Mobile. Кроме того, в презентации затрагивались вопросы получения прав администратора для устройств, работающих на платформе Android (Android rooting), анализа баз данных SQLite, применения пакета Android Debug Bridge (ADB) и угроз, связанных с мобильным сервером. Вниманию слушателей также был представлен список десяти самых опасных угроз для мобильных приложений, опубликованный сообществом Open Web Application Security Project (OWASP). Доклад: Маркус Нимиц, «Перехват пользовательского интерфейса в Android» [видео] [презентация ENG]. Мастер-класс: Сергей Невструев, «Практические аспекты мобильной безопасности» [видео] [презентация]. Доклад: Артем Чайкин, «Мобильный троян in-action» [презентация]. Видео демонстраций: первое и второе. Борьба с ботнетами Доклад: Мария Гарнаева, «Методы вставки палок в колеса ботмастерам: ботнет Kelihos». Видео доступно по этой ссылке (начиная с 09:10) [презентация]. Доклад: Александр Лямин, «DDоS: практическое руководство к выживанию. Часть 2». Видео доступно по этой ссылке (начиная с 17:03) [презентация ENG]. Доклад: Федор Ярочкин, Владимир Кропотов, «Жизненный цикл ботнетов и их обнаружение путем анализа сетевого трафика» [видео] [презентация ENG]. Мастер-класс: Пьер-Марк Бюро. «Win32/Georbot. Особенности вредоносных программ и их автоматизированный анализ» [видео] [презентация ENG]. Первый в мире мастер-класс по данному ботнету. Проблемы парольной защиты Доклад: Алексей Евгеньевич Жуков, «Легковесная криптография: нетребовательная к ресурсам и стойкая к атакам». Видео доступно по этой ссылке (начиная с 12:00) [презентация]. Доклад: Дмитрий Скляров, Андрей Беленко, «Secure Password Managers и Military-Grade Encryption для смартфонов: "Чё, серьезно?.."». Видео доступно по этой ссылке (начиная с 10:15) [презентация ENG]. Доклад: Александр (Solar Designer) Песляк, «Парольная защита: прошлое, настоящее, будущее» [видео] [презентация ENG]. В рамках выступления были рассмотрены вопросы парольной защиты, история развития и ближайшие перспективы технологии аутентификации. Доклад: Бенжамен Делпи, «Mimikatz. Восстанавливаем пароли Windows 8» [видео], [презентация ENG]. Хакеры и деньги Доклад: Александр Матросов, Евгений Родионов, «Уязвимости смарт-карт с точки зрения современных банковских вредоносных программ». Видео доступно по этой ссылке (начиная с 11:07) [презентация ENG]. При подготовке доклада его авторы провели исследование наиболее распространенных вредоносных программ, а также выявили интересные уязвимости при использовании двухфакторной аутентификации и смарт-карт. В докладе были рассмотрены ухищрения злоумышленников, препятствующие проведению криминалистической экспертизы. Доклад: Миха Боррманн, «Расплачиваетесь кредитной картой в Интернете? Будьте готовы к головной боли» [видео] [презентация ENG]. Доклад: Никита Швецов, «Три новейшие истории об атаках на системы ДБО» [презентация]. Доклад: Дмитрий Кузнецов, «Защищенность платежных приложений» [презентация]. Практическая безопасность Мастер-класс: Борис Рютин, «Безопасность без антивирусов» [видео]. Презентации: [первая], [вторая], [третья], [четвертая]. Четырехчасовой мастер-класс, участники которого получили базовые навыки выявления троянских программ в операционной системе, изучили самые современные технологии разработки троянов для Windows (SpyEye, Carberp, Duqu), рассмотрели трояны для Android, а также познакомятся с анализом актуальных эксплойтов (PDF, Java). Доклад: Дмитрий Евдокимов, «Средства анализа кода: светлая и темная сторона» [видео] [презентация ENG]. Дмитрий рассмотрел способы инструментации исходного кода, байт-кода и бинарного кода. Доклад: Никита Тараканов, Александр Бажанюк, «Средство автоматического поиска уязвимостей». Видео доступно по этой ссылке (начиная с 17:00) [презентация ENG]. Доклад: Игорь Котенко, «Кибервойны программных агентов: применение теории командной работы интеллектуальных агентов для построения киберармий» [видео] [презентация]. Доклад: Ульрих Флек, Мартин Айзнер, «Атаки от 0-day до APT на примере популярного фреймворка» [видео] [презентация 1 ENG] [презентация 2 ENG]. Доклад: Алексей Лафицкий, «Защита индустриальных информационных систем – фактор выживания человечества» [презентация]. Доклад: Алексей Синцов, «Как взломать VMWare vCenter за 60 секунд» [презентация ENG]. Anonymous и LulZ Доклад: Джерри Гэмблин, «Какой урок можно (и нужно) вынести из истории с LulzSec» [видео] [презентация]. Доклад: Хейзем Эль Мир, «Как Тунис противостоял Anonymous». Видео доступно по этой ссылке (начиная с 14:10) [презентация ENG]. Другие темы Доклад: Евгений Царев, «Система противодействия мошенничеству по-русски» [презентация]. Доклад: Василий Пименов, «Применение количественной оценки рисков в противодействии мошенничеству на сети связи» [презентация]. Доклад: Константин Мыткин, «Смарт-технологии, взгляд со стороны разработчика»[презентация]. Доклад: Александр Дорофеев, «Технологии социальной инженерии: сложно ли "взламывать" людей?» [презентация]. Круглый стол: Дмитрий Ершов, «Кадры, инструкция по сборке» [презентация]. P. S. Все презентации собраны на SlideShare. Если вы хотите прочесть заметки о форуме в Твиттере (или перечитать твиттер-трансляцию) — воспользуйтесь нашим хэштегом #PHDays.
Программа Positive Education поможет преподавателям вузов в подготовке специалистов
Программа Positive Education поможет преподавателям вузов в подготовке специалистов Кадровый голод — основная проблема российского рынка информационной безопасности. Ежегодно в профессию приходят около 250 специалистов по ИБ — на порядок меньше того, что требуется. В одной только компании Positive Technologies каждый год возникает более 100 профильных вакансий. Эксперты компании разработали программу Positive Education, в рамках которой будет оказываться содействие российским вузам в подготовке кадров в области информационной безопасности. Об этом сообщил на международном форуме Positive Hack Days 2012 в Москве технический директор компании Сергей Гордейчик. «Сегодня компании вынуждены перекупать, выращивать с нуля, либо "доращивать" специалистов. Цель программы Positive Education — воспитание квалифицированных кадров еще в университетах, — пояснил Гордейчик. — Современные выпускники технических вузов, как правило, неплохо разбираются в математике, но у них слабые практические навыки, поэтому им приходится доучиваться уже в процессе работы». От будущих сотрудников, по словам Сергей Гордейчика, в настоящий момент требуются твердые знания и навыки в области ИТ, включающие близкое знакомство с сетевыми технологиями, операционными системами, СУБД, приложениями и веб-приложениями; понимание защитных механизмов и их реализации на примере конкретных систем; навыки анализа защищенности; опыт в одной из специализаций — в разработке, сопровождении, проектировании, анализе; умение разрабатывать документацию (ЕСКД, ГОСТ). Сергей Гордейчик подчеркнул также, что имеет место некоторый «перекос»: вузы готовят специалистов по стандартам ИБ, тогда как рынок в настоящее время остро нуждается в системных инженерах в области ИБ, специалистах по веб-приложениям, по антивирусной и системной безопасности, по анализу защищенности, системных аналитиках и разработчиках в области ИБ. Российским вузам для самостоятельного создания практических курсов зачастую не хватает ресурсов — как технических, так и кадровых. Аппаратная инфраструктура и программное обеспечение требуют значительных материальных вложений. Компания Positive Technologies готова предоставлять необходимые компоненты для создания практических учебных программ, а также обеспечить российские вузы поддержкой со стороны специалистов компании, имеющих богатый практический опыт в области информационной безопасности. Программа Positive Education — это стенды виртуальных инфраструктур, программные продукты для проведения работ, теоретический материал к практикумам, пошаговое описание лабораторных работ, поддержка и мастер-классы для преподавателей. Специалистами Positive Technologies уже разработаны лабораторные практикумы по темам «Инструментальный анализ защищенности», «Тестирование на проникновение» и «Анализ безопасности веб-приложений». «Мы предлагаем заинтересованным вузам активно подключаться к программе», — заявил Сергей Гордейчик. В настоящий момент к инициативе присоединились 15 российских вузов: · Воронежский институт МВД (ВИ МВД РФ), · Дальневосточный государственный университет путей сообщения (ДВГУПС), · Дальневосточный федеральный университет (ДВФУ), · Институт безопасности бизнеса Национального исследовательского университета «Московский энергетический институт» (ИББ НИУ МЭИ), · Кубанский государственный технологический университет (КубГТУ), · Московский государственный технический университет им. Н. Э. Баумана (МГТУ), · Московский государственный университет им. М. В. Ломоносова (МГУ), · Новосибирский государственный университет экономики и управления (НГУЭУ), · Национальный исследовательский университет «МИЭТ» (НИУ МИЭТ), · Национальный исследовательский ядерный университет «МИФИ» (НИЯУ МИФИ), · Омский государственный технический университет, кафедра «Автоматизированные системы обработки информации и управления» (ОмГТУ, кафедра АСОИУ), · Санкт-Петербургский государственный инженерно-экономический университет (ИНЖЭКОН), · Томский государственный университет систем управления и радиоэлектроники (ТУСУР), · Удмуртский государственный университет (УдГУ), · Томский государственный университет, кафедра управления инновациями (ТГУ, кафедра УИ). Программа Positive Education — далеко не единственная инициатива Positive Technologies в сфере образования. Ранее специалисты компании проводили спецкурсы и семинары для студентов российских технических вузов, запускали серию бесплатных вебинаров по актуальным вопросам информационной безопасности. Кроме того, на форуме PHDays 2012 был организован конкурс молодых ученых Young School. В подтверждение высокого уровня конкурса работы всех финалистов были одобрены для публикации в журнале «Безопасность информационных технологий», входящего в перечень ведущих рецензируемых научных журналов и изданий ВАК.