Из мыслей о фантастике_ предапокалипсис

Лично мне крайне не понятно, почему всегда «закат» цивилизации наступает от ядерной бомбардировки. По этому поводу в свое время очень здраво высказался Аркадий Стругацкий, сняв все диспуты на эту тему, не дав им даже зародиться. Прошло время, больше нет с нами Аркадия Натановича, некому остановить растущий по цепной реакции ком демагогии на тему ядерного ужаса. Встречаются хорошие книги, но они, скорее исключение. Хорошо уже то, что человечество все же задумалось о последствиях игры с мирным (?) атомом, задумалось массово, но как-то слишком рьяно, что не вольно возникают мысли, а вдруг что, что тогда? Опасность же гораздо ближе, чем кажется.
Самая же фантастика, как жанр литературы, давным-давно утратила свою ветвь, из-за которой автор этих строк, собственно говоря, и увлекся фантастикой – нет в современной литературе научной фантастики, боевая есть, кибер-панк есть, постапокалипсис тоже есть и очень популярен и прочие-прочие подвиды, формирующие современную мифологию, а научная почему-то стала не актуальной и скучной.
Хотя причиной такого спада, лично я считаю, реформу образования, хотя не исключено, и обратное из-за отсутствия качественной научной фантастики, призванной популяризировать науку, подрастающие поколение отдает предпочтение магии и колдовству: взмахнул волшебной палочкой, и отпала необходимость изобретать велосипед.
Разработки в области не боевой фантастики тоже ничего хорошего не дают, но интересное наблюдение: все меньше людей, служивших в рядах вооруженных сил и все больше знатоков военного искусства, оружия, тактики и стратегии, рукопашного боя – вопрос: откуда? Вот и получается, что писать надо «либо про то, что очень хорошо знаешь, либо про то, что не знает никто». Вот и пишут многие с надеждой, что темой никто не рулит, и только единицы, зная ее досконально. Но от этого мир глобальных катаклизм дальше не становится. Быстрее, наоборот – приближается.

На мой взгляд наиболее интересным будет является жанр фантастики, описывающий непосредственно период до катастрофы. Сама катастрофа – сотые секунды, но это те секунды, которые коренным образом меняют расстановку сил, как действуют люди в тот, момент пока ничего не ясно? И какая именно техника техногенной катастрофы, как она создается, как выходит из-под контроля, как развивается, ликвидируется – лично я на эту тему пока встретил только книгу, давшую толчок этому блогу.

Mark's blog. Подготовка к кибер-атакам

Пара слов от переводчика.

Статья Марка Руссиновича (оригинал можно посмотреть здесь) взяла за живое.
Комментарий к тексту будет не большим: дата публикации - сентябрь, страна - США, т.е. если по тексту идет "наша страна", то понимайте так "Соединенные Штаты Америки". В данном случае (как стараюсь при любом переводе) не трогал текст, а просто его переводил. Так что приятного чтения. Да прибудет с вами сила в понимании этого мира.

Пост

рисунок Тима Фолей

Мир все больше и больше начинает завесить от компьютеров, и системы, обеспечивающие жизнедеятельность в нашей стране, исключением не являются. Отключение электроэнергии, нарушения в пищевой промышленности, угрозы связанные с водоснабжением или снижения индексов фондовых бирж приводят к серьезному экономическому ущербу, зачастую даже к смерти людей.

В электрических сетях компьютеры применяются для осуществления мониторинга распределения электрической энергии; графики разгрузок, распределения продовольствия, как правило, храниться в компьютерах; очистные системы осуществляют контроль за содержанием химикатов в воде с помощью компьютеров; банковские и финансовые системы полностью полагаются на компьютеры в своей работе – так как большинство наших денег существует в виде наборов символов в компьютерах, то и мы тоже очень сильно зависим от них.

Угрозы атак на вышеописанные критические значимые для жизни системы исходят от наших традиционных врагов: Китая, Ирана, Северной Кореи, террористов с политическими или религиозными целями, или же одиночек, чем-то недовольных. По многим объективным причинам угроза кибер-атаки гораздо более актуальна, чем угроза физической атаки.

Кибер-атаки можно проводить, пользуясь виртуальной анонимностью, что делает сложным, а подчас и невозможным, вычислить нападавшего и произвести контратаку. Крупномасштабные атаки на физические инфраструктуры требует затрат значительных сил и координацию ими, такая атака довольно дорогостоящая и сложно скрываемая; кибер же атака лимитируется не количеством атакующих, а количеством атакуемых машин, играющих важную роль в процессе жизнеобеспечения.

По этой причине самые очевидные цели: военные министерства – используют самую лучшею политику безопасности и соответствующие программные решения для выполнения этой политики. Но и даже в сети Министерства Обороны были проникновения за последние годы. В 2008 году кибер-шпионы проникли в компьютеры армии, осуществляющие контроль операций в Ираке и Афганистане. За последнее время несколько подрядчиков военных, в их числе Локхид Мартин и Буз Алэн Хамилтон, так же некоторые военные лаборатории признались, что подверглись слежке в то время, как считалось, что их системы проверены и чисты. И это только некоторые известные случаи.

Большинство же критически значимых инфраструктур находятся в частных руках, не под присмотром государства. И если военизированные сети более устойчивые к кибер-атакам, то гражданский сектор – гораздо более легкая цель.

Газетные заголовки крупных компаний от Sony в Citigroup до Automatic Data Processing (ADP) в Aetna пестрят сообщения о проникновениях хакеров в системы компаний. В некоторых случаях компании даже предупреждали, что они подвергнуться нападению, но даже будучи предупрежденными компании не сумели ничего противопоставить атаке. В прошлом месяце, хакерская группа Anonymous объявила о своем намерении атаковать систему Сан-францисской подземки, BART, протестуя против решения о блокировке работы мобильных телефонов. Несколькими днями позже они воплотили в жизнь свои угрозы.

Методы, используемые атакующими для доступа к сетям, разнообразны. Общедоступные веб-сайты, не проверяющие на неверный ввод, только позволяют более в этом убедиться. Если компьютеры, управляющие критически важными секторами инфраструктуры, доступны через такие веб-сервисы, атакующий может найти способ проникновения в эту машину, применяю другие уязвимости и в итоге получить управление инфраструктурой. Ошибочно сконфигурированный фаэрвол, отсутствие антивируса или устаревшие его сигнатуры, слабозащищенный пароль – основные уязвимости, так же как, впрочем, и пользователи, слабоподготовленные в вопросе безопасности.

Одно из слабых мест наших систем – банально плохо написанное программное обеспечение. Программы, разрабатываемые без учета того, что они будут атакованы, не использующие механизмы защиты, только облегчают эксплуатацию таких уязвимостей. К сожалению, некачественные с точки зрения безопасности программы составляют костяк в управлении критически важными частями инфраструктуры, большинство таких программ были созданы до разработки систем кибер-безопасности, что является не маловажным фактором.

Прошлогодняя атака вируса Stuxnet, целью которой, как полагают, били иранские атомные объекты, продемонстрировала все общие принципы. Компьютеры заразились вредоносным кодом, разработанным Израилем, возможно, при участии Соединенных Штатов, выводящем из строя центрифуги, используемые иранской атомной программой. Такое же или похожее на атакованное программное обеспечение применяется в инфраструктуре нашей страны.

Другого рода проблем создается в системах инфраструктур прямо или косвенно подключенных к интернету – создается дистанционный пульт к компьютеру, который они хотят атаковать. Между такой машиной и сетью должен быть создан «воздушный барьер» - компьютер не должен на прямую быть подключенным к сети.

Наконец, отсутствие мониторинга сети, программ обнаружения вторжения позволяет атакующим программам долгое время оставаться незамеченными. Многие из таких вот нарушителей не обнаруженные в течении месяцев, в ряде случаев даже лет – позволяют атакующему получить огромные объемы данных. В недавнем докладе специалистов по безопасности копании McAfee показано, что до обнаружения вредоносные программы сидели в сети Организации Объеденных Наций больше года. И Stuxnet работал около года, пока антивирусная компания не наткнулась на него.

После одиннадцатого сентября стали больше внимания уделять защите критически важной инфраструктуры. Но пока мы осознавали, что компьютеризация критически важных инфраструктурных объектов делает их более уязвимыми, мы уже наделали много ошибок. На Департамент Безопасности возложена ответственность по обеспечению кибер-безопасности критически важных инфраструктур, но даже у такого департамента не хватает полномочий, чтобы диктовать условия в частном секторе.

Из-за громких инцидентов в первой половине года, Конгресс усилил внимание к различным родам рискам, и начал подбирать более серьезную законодательную базу, для ужесточения раскрытия кибер-нарушений. Но предложенный законопроект оказался недостаточно работоспособным. Без фокусирования на проблемах, делающих инфраструктуру столь уязвимой, не возможно добиться успехов.

На современном этапе взаимодействия между частным и государственным сектором не может получиться желаемого результата – если только когда-нибудь. Реализация положенных мер безопасности требует инвестиций при соответствующей квалификации. У частного сектора нет стимулов для добровольной реализации такой политики. Конгрессу необходимо принять закон, наделяющий Департамент Национальной Безопасности более широкими полномочиями для реализации программы кибер-безопасности, включая частные сектора, управляющие критически важными инфраструктурами. Департамент Национальной Безопасности должен не только разрабатывать некий стандарт, но и обладать мандатом и графиками проверок и аудита по исполнению этого стандарта, так же определять меры наказания за его не выполнение.

Регламент – трудная пилюля для любой их отраслей промышленности – особенно в трудные времена экономики – но в истории есть примеры, когда правительство успешно использовало эту меру для обеспечения безопасности без чрезмерного бремени для сектора, которым оно управляло. Хоть все это и используется в политических целях, но в последнее время жесткое регламентирование оправдало себя в таких критически важных частях инфраструктуры как при проведении футбольных матчей, охране окружающей среды, пищевой медицинской промышленности.

Настало время принять кибер-угрозы такими, какие они есть на самом деле.

Для самых маленьких_ Будущие не за горами

Оружие – оно разное, для одних это снайперская винтовка, для кого-то нож, пистолет, бита или кулаки, ну а для кого-то обычный карандаш является оружием массового уничтожения, для других же – компьютер с выходом в сеть – оружие, с разрушительной силой не меньше ядерной ракеты – все относительно, и никогда нельзя забываться и недооценивать противника. Само наличие оружия не говорит об умении его использовать: Афганистан и многие локальные конфликты это показали. Очень многое зависит от квалификации того, кто взял в руки это оружие.
Данный пост является скорее даже анонсом перевода к статьям из англоязычной прессы – просто наболело, поэтому решил поделиться своими мыслями: сумбурными и без ссылок на первоисточник, скорее все даже наметить план тематики блога на ноябрь месяц, так же хочется проанонсировать повесть, отрывки из которой я здесь размещаю, как только они соответствуют тематике.
Суть же данного поста, скорее всего даже в анекдоте времен перестройки, когда вожди прошлого смотрят на политику Михаила Сергеевича и обсуждают ее: «Владимир Ильич, ты что-то строил? – Да кого там: революция, гражданская война не до того было. – А ты, Иосиф Виссарионович? – Нет, воевали, шпионов ловили. Я вот тоже кукурузу сажал, так что там Мишка вот уже пятый год перестраивает?» Пока мы реформируем образование (и не только – просто реформа образования уже начинает сказываться на качестве подготовке персонала) американцы запускают новую программу обучения кибер-безопасности, приравняв кибер-пространство к земле, воде, воздуху и космосу. Если мы еще имеем шанс собрать боеспособное подразделение для кибер-войны, то лет через пять-шесть (при самом лучшем развитии ситуации) это сделать будет не возможно, при всем моем положительном взгляде на подрастающее поколение – они слабее нас, хотя бы потому, что мы не хотим воспитывать людей сильнее.
Про реформу образования говорить можно бесконечно, но самое маленькое может сделать каждый из нас: ведь многие могут научить нашу смену тому, что в школах не преподавали и в лучшие годы.
Анонс, думаю получился. Да прибудет с нами Сила!

Из "Высокого Напряжения". Реакция СМИ на кибератаку

Продолжаю публиковать отрывки из повести с рабочим названием "Высокое Напряжение". Это отрывок показывает реакцию официальных СМИ на технологическую катастрофу, произошедшую из-за сбоя в работе компьютеров

Официальные СМИ транслировали обращение президента к нации. Из более чем получасового обращения выудить какую либо полезную информацию, кроме констатации факта нарушения электроснабжения в масштабах целой страны, повлекшие за собой перебои электроснабжения в близлежащих зарубежных странах, выудить не получалось. Президент говорил много, оперировал какими-то цифрами, прогнозами каких-то аналитиков, одинокого далеких, как от энергоснабжения так и от обеспечения кибербезопасности, но зато хорошо разбирающихся в экономике, звучали какие-то фамилии виноватых, впрочем понять степень вины из-за обилия информации было не возможно. Президент в своем выступлении очень витиевато и долго говорил про то, о чем говорить не стоит и пока не время, что смысл того, про что говорить все же стоит терялся. Складывалось впечатление, что верховный главнокомандующий расписывался в своей некомпетенции, поручая разобраться в обстановке еще более некомптентных людей.

Зато цензура взялась за работу с усиленном рвением, на какое-то время показалось, что фильтруется даже твиттер, хотя официально оставалась свобода слова и печати, но многие статьи, подготовленные серьезными специалистами энергетики и информационной безопасности, увидели свет только в блогах авторов, получив признания и разлетевшись по всему миру.

Пока официальные СМИ рапортовали об успехах топ-менеджеров, силами которых была восстановлена энергосистема страны в рекордно короткое время, что для этого было сделано, какие средства затратились, как скоро они окупятся, неофициальные СМИ, собранные энтузиастами в своих блогах рисовали картину произошедшего, уточнялись сводки погибших и понесенных потерь.

Из Презентации Black Hat_Алгоритм лечения машины

Сложного в этом мире нет ничего. Что касательно вычислительной техники, или, как сейчас принято говорить, кибер пространства, то там все задачи оделяться на интересные и не совсем. Лично мой подход таков: возможности человека безграничны, в конкретном месте и в конкретное время они ограничиваются той технической базой, которая доступна человеку, отсюда вывод: что одни человек сделал, другой за всегда сломать может. Только ломать – не наш метод. Мы ко всему подходим конструктивно: главное изучить – да прибудет с нами Сила.
Кибер пространство базируется на теории алгоритмов, от этого не убежать, как бы далеко не шагала вычислительная техника, поэтому все, что есть в мире процессоров, можно алгоритмизировать (естественно, не вдаваясь в подробности каждого конкретного случая – алгоритмы могут быть очень сложными и запутанными). Нас же интересует алгоритм лечения заболевшего компьютера.
Марк Руссинович в своей презентации на BlackHat (о ней я уже начинал говорить) предлагает следующий остаточно простой алгоритм:

Алгоритм очистки машины от вредоносных программ
• Отсоединитесь от сети
• Определитесь со злонамеренным процессом или драйвером
• Приостановите и оборвите идентифицированный процесс
• Определите и удалите методы автозапуска вредоносных программ
• Удалите вредоносные файлы

А вот реализации конкретных шагов, может быть, кроме первого и завершающего, посвящены сотни тысяч страниц на разных языках мира и с первого взгляда сложно разобраться, стоит ли конкретная статья Вашего внимания.

Расследования. Дело об ошибки установки Run-Time Error

Пара слов от переводчика

Продолжаю публиковать переводы статей системных администраторов. Реальные случаи, реальные проблемы, реальные ошибки, реальное их разрешение, реальный язык. Стараюсь делать переводы «близкие к тексту», сохраняя стиль автора. Так что наберитесь терпения, стиль повествования и перевода будет очень отличаться от обычных постов моего блога, но на смысловой нагрузке поста это никак не сказывается. Учитесь читать «между строк», да прибудет с Вами сила

Пост

Это сделать гораздо легче, чем вылечить – переустановить, и для установки большинства распространенных приложений, используемых компанией, мы используем специальное меню установки, чтобы не рыться по серверам в поисках пакетов и скриптов. Однажды, переустанавливая приложение, наш технический сотрудник натолкнулся на такую ошибку:Installer. Run-time error ‘-2147024770 (8007007e)’: Automation error – The specified module could not be found.”

Через час он позвал меня помочь разобраться в происходящем. С нашей машины я скопировал Process Monitor, запустил его, установил фильтр. Сначала было дело отсутствия модуля, затем, фильтруя результаты, проглядывая активность, а после из Tools > Count Occurrences сделал дальнейшую фильтрацию, чтобы получить результат:

“PATH NOT FOUND” может быть более общий, но просматривать другие результаты, казалось на столь целесообразно:

Это оказалось интересным, так как файл не имел ничего общего с теми приложениями, которые мы поддерживаем. Так как у нас был потерян модуль, то искал я scrrun.dll в более распространенных местах для dll файлов - C:\Windows\System32:

Это запускаемый скриптовый модуль Microsoft, который необходим для запуска Visual Basic скрипта и так же для запуска .exe файлов. Так почему приложение не в состоянии определить местонахождения scrrun.dll? Я предположил, когда trademanager устанавливался, он зарегистрировал scrrun.dll в пути программы (C:\Program Files\trademanager\…). В какой-то момент приложение перестали использовать, возможно, удалили, удалили неправильно, или же удалили scrrun.dll без должной регистрации. Чтобы решить поставленную задачу, я просто запустил команду regsvr32 scrrun.dll, которая должным образом зарегистрирует с папки system32. После этого, приложение запустилось нормально.

Потом, чтобы окончательно разобраться, я поэкспериментировал с trademanager program (AliIM2011_ATM(6.30.11E).exe), установил ее и проверил, что, когда scrrun.dll удаляется вместе с модулями программы, обратно в папке system32 scrrun.dll не регистрируется.

Mark's Blog. Дело о тайных перезагрузках

Пара слов от переводчика:
Перезагрузка системы – довольно интересный трюк. Первый раз с ним я столкнулся в студенческие годы, я не имею ввиду проблемы с системой, а именно из-за хулиганских действий, когда один мой знакомый подкладывал красивым девушкам «свинью»: тогда он руками в реестре писал рандомную перезагрузку системы (и ведь считал себя крутым знатоком операционной системы), ну да время все расставило на место. Хотя специалист он железе хороший, но hard и soft немного разные вещи. И анонсируя пост Марка Руссинович, хочу сказать: Знайте свои сильные и слабые стороны и применяйте их целью создать, а не разрушить, да прибудет с Вами Сила!
Пост
Данное дело началось тогда, когда продвинутый пользователь, имеющий опыт работы Sysinternals, работающий системным администратором в большой корпорации, получил от своих друзей сообщение, что их ноутбук не пригоден к эксплуатации. Дело было в том, что всякий раз, когда ноутбук подключался к сети, он просто уходил на перезагрузку. Наш опытный пользователь и герой данного дела, добравшись до этого ноутбука, первым делом решил проверить его поведение, подключив к беспроводной сети. Система внезапно перезагрузилась, сначала в безопасном режиме, потом снова в нормальном. Наш пользователь попробовал перезагрузить ноутбук в безопасном режиме, надеясь, что причина такого его поведения будет неактивной в этом режиме, но вход в систему (logging) получался только в результате автоматического выхода (logoff). Перезагрузившись в нормальный режим, он заметил, что Microsoft Security Essentials (MSE) установлен и пробует запуститься. Двойной клик по иконке результата не дал, а двойной щелчок по входу в Программах на панели управления выдал вот такое сообщение:
 

Наведение же курсора мышки на иконку MSE в меню Пуск объяснило эту причину: ссылка указывала на файл с большой степенью вероятности вредоносный:

Доступа в сеть не было, поэтому он не мог легко восстановить поврежденный MSE. К счастью Sysinsternals инструменты могли помочь, он скопировал Process Explorer и Autoruns сначала на флэшку, затем на ноутбук, в инфекции которого наш пользователь не сомневался. Запущенный Process Explorer приветствовал нашего пользователя вот таким деревом процессов:

В своей презентации для Blackhat «Удаление вредоносных программ Нулевого Дня с помощью Sysinternals» (я начал перевод этой увлекательной презентации, вот ссылка на то, что уже сделано - ArkSmoke) я показываю список общих характеристик вредоносного процесса. У них нет собственной иконки, имени компании или описания, размещаются в %Systemroot% или %Userprofile% папках и упакованы (зашифрованы или сжаты). Хотя, на самом деле, есть очень извращенные программы, у которых нет этих признаков, но все же большинство вредоносных кодов их имеют. Данное дело – великолепный того пример. Process Explorer просматривает подписи распространенных инструментов для сжатия, таких как UPX, используя эвристику, чтобы определить движок, с помощью которого происходило сжатие файла, и отображение цветом. Цвет по умолчанию – фукция (признаться, названия этого цвета не знал, но приведу его параметры: f754e1 или же 247, 84, 225 – в RGB - ArkSmoke), подсветил с дюжину процессов в просмотрщике процессов. Так же, в подсвеченных процессах отсутствуют описания, имена компаний (хотя, у некоторых процессов есть иконки).
Многие из имен этих процессов совпадают с легитимными именами, используемыми Windows. У одного из нижеприведенных подсвеченных процессов имя используемого Windows процесса - Svchost.exe, и иконка, заимствованная у Adobe Flash, и в довесок не стандартная папка размещения: C:\Windows\Update.1:

У других процессов имена, не используемых Windows процессов, но вот это имя - Svchostdriver.exe вполне способно завести в ступор кого угодно, кто не так близко знаком с устройством Windows. В действительности же процесс устанавливает TCP/IP сокет соединение, предположительно для связи с ботнетом:

В действительности же не осталось сомнений, что машина жестко заражена. Autoruns вредоносные программы, используя несколько различных точек активации, и объяснил, почему должным образом не работает даже Безопасный Режим с поддержкой командной строки. Причина - Services32.exe (еще один процесс с именем, похожим на легитимное), зарегистрировалась в безопасном режиме в AlternateShell, где по умолчанию стоит Cmd.exe (командная строка):

Мой совет, чтобы очистить машину от вредоносных программ, первым делом надо воспользоваться утилитами для уничтожения вредоносных программ, если есть такая возможность. Защиты от вредоносных программ могли бы решить вопросы с инфекциями, почему бы не поработать им, если у Вас не получается? Но система не могла подключиться к интернету, не давая возможности легкого лечения, установив MSE, или другие защиты от вредоносных программ на подобие Microsoft Malicious Software Removal Tool (MSRT). Герой нынешнего дела видел, как я на конференции Process Explorer’ом приостанавливал выполнение вредоносных процессов, чтобы они не запускали другие, мешая вылечить машину. А может быть, если он приостановит выполнение всех подозрительных процессов, появится возможность подключиться к сети без перезагрузки системы? Игра стоила свеч.
Кликая правой кнопкой мыши по каждому подозрительному процессу, он выбирал из контекстного меню Suspend (приостановить), чтобы «подвесить» процесс:

Когда все было сделано, дерево процессов выглядело как на картинке ниже, с помеченными серым цветом приостановленными процессами:
 

Теперь же, чтобы посмотреть, прошла ли его хитрость, он подключился к беспроводной сети. Бинго, машина на перезагрузку не ушла! Сейчас она была в сети, он скачал MSE, установил его, и начал сканировать систему. Программа работал довольно долго. Когда же она закончила, выдала четыре штампа: Trojan:Win32/Teniel, Backdoor:Win32/Bafruz.C, Trojan:Win32/Malex.gen!E и Trojan:Win32/Sisron:

После перезагрузки, в этот раз она прошла видимо быстрее, чем обычно, машина подключилась к сети без всяких проблем. Делая контрольный выстрел, наш сегодняшний герой запустил Process Explorer, посмотреть остались ли какие-нибудь подозрительные процессы. Дерево же процессов выглядело девственно:

Еще одно дело разрешилось благодаря инструментам Sysinternals! Новое «Руководство администратора Sysinternals», написанное мной в соавторстве с Айроном Маргисом, описывает все утилиты в мельчайших деталях, раскрывая перед Вами технические возможности решения проблем, связанных медленной загрузкой и обманчивыми сообщениями об ошибках, и возможность разобраться в аварийных дампах (данная книга – мощный инструмент, для практического освоения лечения машин, про книгу я говорил, и, думаю, скажу еще много раз – так что следите за обновлениями - ArkSmoke). Если же Вы интересуетесь компьютерной безопасностью, то обязательно приобретите технотриллер «Нулевой День».