за шампанским пошли?
Результаты поиска по запросу «
Контактная линза
»
Беларусь длиннопост США ЕС политика
Евросоюз введёт санкции против финансовых операций Беларуси.
«Мы стремимся значительно нацелить санкции на экономическую структуру и финансовые операции Беларуси», - сказал глава МИД Германии Хайко Маас.
Санкции могут коснуться компаний, близких к режиму, сектора нефтепродуктов и экспорта калийных удобрений. Ранее про экономические санкции также заявил глава внешнеполитического ведомства ЕС Жозеп Боррель:
«Угон самолета и задержание двух пассажиров совершенно недопустимы, и мы начнем обсуждать введение секторальных и экономических санкций», — подчеркнул Боррель.
UPD: Глава дипломатии ЕС заявил, что два обсуждаемых главами МИД направления санкций по Беларуси — экспорт калийных удобрений и транзит российского газа.
Все это напрямую задевает Кремль, поэтому в будущих переговорах с Байденом, которые состоятся 16 июня, будет поднят белорусский кейс. Его и так планировали обсуждать, но его приоритетности внезапно возросла. Усатый уже успел высказаться на этот счёт:
По словам Лукашенко, Владимир Путин и американский лидер Джо Байден во время телефонного разговора успели обсудить Беларусь и, как пишет БелТА, «американскому лидеру пришлось оправдываться».
«В этом плане Путин очень порядочно поступил. Он мне потом звонил и извинялся, что без разрешения обсуждал Беларусь. Я говорю: "Да за это тебе спасибо, что ты ему так сказал"»,
— приводит слова Лукашенко БелТА. Он также добавил, что, по его мнению, если руководители США и России хотят обсудить Беларусь, то им лучше сделать это в Минске.
«Хорошо, пусть поговорят о Беларуси. Вот мы с Путиным в пятницу будем Америку обсуждать. Я только не знаю, о чем Байден (Путин-то в теме) будет говорить по Беларуси. Я за него переживаю в том плане, чтобы ему хоть карту дали и он посмотрел, где эта Беларусь находится. Они ведь абсолютно не владеют обстановкой, ситуацией», — заявил Лукашенко.
Эти слова прокомментировал Песков: попросил журналистов не воспринимать фразу об извинениях буквально, а скорее как «политдипломатическую корректность» и «фигуру речи».
Также Песков согласился с мнением, что санкции Запада по Беларуси косвенно затронут Россию и что они наносят ущерб: «Мы на постоянной основе оказываем помощь нашим беларуским партнерам. Неблагоприятный фон вокруг Беларуси ситуацию усложняет».
В связи с этим хочу поделиться некоторыми опасениями. Дело в том, что как стало недавно известно США не будут препятствовать постройке северного потока-2, что, с одной стороны, позволяет действительно Европе для себя безболезненно отказаться от белорусского транзита, но с другой стороны вызвал резонный шквал критики внутри США, поскольку данный прецедент восприняли как уступки Путину по части утверждения сырьевой зависимости Европы от РФ. Более того, если ЕС сейчас занимает, к всеобщему удивлению, очень жёсткую и принципиальную позицию по части Беларуси, то вот США, которые ещё совсем недавно воспринимались как куда более "серьезные ребята", уже за счёт разморозки старых санкций, которые уже ударили по экономике лукавого, то сейчас Вашингтон словно сохраняет дистанцию. Нет никаких смелых заявлений о режиме как было раньше, США даже не назвали действия Лукашенка террористическими, в отличие от ряда стран ЕС. Создаётся ощущение, что тем самым Америка хочет сохранить дискуссионный потенциал в преддверии переговоров, воздерживаясь от угрозы российским интересам напрямую, в то время как сам Кремль не скупится использовать императорскую риторику, про 9 белорусских губернией, 9 миллионов русских на территории РБ, которых нужно спасти от Лукашенко:
Правда такие заявления прозвучали только в течение одного дня, сейчас российская пропаганда перестала критиковать и снова облизывает Лукаша, заявляя, что он чуть ли не титульный защитниц нации. Ну правильно, попугали его перед тем как в Сочи поедет 28 мая – и будем. Сегодня наши премьеры встречаются для обсуждения текущей ситуации и регламента предстоящей встречи, поэтому с хлыста на пряник.
Возвращаясь к опасениям хотелось именно отметить, что некоторые аналитики и эксперты строят прогнозы пессимистичные, что в обмен на деэскалацию конфликта в Украине США отказывается от претензий связанных с Северным Потоком и признает Беларусь зоной интересов РФ, поэтому Байден воздерживается от частых комментариев по РБ и всей ситуации в целом, кидаясь общими фразами о глубокой озабоченности. Вы резонно возразите: "А что, без Байдена не можете сами свои проблемы решить?". И вы будете безусловно правы, мы обязаны в первую очередь сами решить свою усатую проблему, но без поддержки извне это будет сложнее реализовать. Сейчас вообще штабы запускают одну инициативу, которая напрямую связана с арестом усатого, но покуда регламент обсуждается и все находится на стадии пресс-релиза я не буду ее публиковать, ибо ещё сам слабо верю в потенциал ее реализации.
минкомсвязи пользователи данные ФСБ закон яровой политика
Минкомсвязи подготовило список данных о пользователях, которые интернет-сервисы должны передавать ФСБ
Минкомсвязи разработало проект требований к оборудованию для проведениях оперативно-разыскных мероприятий (СОРМ) и данным, которые интернет-сервисы должны будут предоставлять ФСБ в рамках таких мероприятий. Документ доступен для публичного обсуждения с 8 августа по 6 сентября 2017 года.
Речь идёт об оборудовании и программно-технических средствах, которые должны установить себе организаторы распространения информации (ОРИ), входящие в специальный реестр — например, «ВКонтакте», «Одноклассники», «Яндекс», Rambler&Co, Telegram, Snapchat и другие.
ОРИ обязаны хранить на территории России данные о действиях пользователей и при необходимости предоставлять их уполномоченным органам, например, ФСБ. С 1 июля 2018 года, когда в силу вступит так называемый «закон Яровой», ОРИ также должны будут в течение шести месяцев хранить все данные, которыми обмениваются пользователи, включая звонки и сообщения.
По мнению авторов документа, оборудование СОРМ должно собирать следующую информацию пользователей интернет-сервисов из реестра ОРИ:
идентификатор пользователя;
дата и время регистрации (в случае заключения договора на обслуживание также дату и время заключения соглашения);
псевдоним;
фамилия, имя, отчество;
дата рождения;
указанный пользователем адрес проживания;
данные паспорта или других документов, удостоверяющих личность;
список языков, которыми владеет пользователь;
список указанных пользователем родственников;
информация об учётных записях в других сервисах;
дата и время авторизации и выхода из сервиса;
IP-адрес;
контактные данные (номер телефона и адрес электронной почты);
используемое пользователем приложение;
текстовые сообщения;
записи аудио- и видеозвонков;
передаваемые файлы;
данные о совершённых платежах;
местоположение.
В сопровождающих материалах к проекту говорится, что отсутствие требований к оборудованию СОРМ, обязательного для установки организаторами распространения информации в интернете, «существенно затрудняет» работу правоохранительных органов при проведении оперативно-разыскных мероприятий, направленных на «обеспечение безопасности государства и обеспечение правопорядка».
В пресс-службе Mail.Ru Group сообщили, что компания внесёт свои предложения по документу, чтобы он учитывал интересы пользователей проектов холдинга, в который, в частности, входят «ВКонтакте» и «Одноклассники».
В «Яндексе» воздержались от комментариев, сославшись на необходимость изучить документ.
Путин Владимир Владимирович пенсионеры политика
Это какое-то зазеркалье, не иначе.
Позавчера Путин предложил "Единой России" после победы на выборах и формирования фракции выплатить пенсионерам по 10 тысяч рублей, а уже сегодня сам подписал указ о том, чтобы эта выплата была сделана уже в сентябре.
З.Ы. И коль скоро пенсии приходят где-то в середине месяца (по крайней мере моим родителям они приходят 12 сентября, не знаю, как у других), выплата придётся как раз на неделю голосования.
Zikabu Вторжение в Украину 2022 песочница политоты мобилизация могилизация. политика
Искал расшифровку своего ВУС наткнулся на это...
Одна из первых ссылок отправила на zикабу, после прочтения ощутил привкус кала в ротовой полости, так как на реакторе в ватник не лезу, это был мой первый experience. Чисто рэмбовцы ёбнутые.
гифки вертолеты Вторжение в Украину 2022 политика
В сети очевидцы начали выкладывать ролики на которых видны массовые переброски военных вертолетов России к границам Украины
Позже эти ударные вертушки армии РФ были засняты в полях под Белгородом.Переброска ЗРК «Бук-М3» в 30км от границы Украины
РЖД дыра уязвимость новости habr длинопост информационная безопасность it мопед не мой информационная небезопасность политика
Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…
Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
В поисках
Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
6. Внутренние сервисы
Различные системы управления табло на перронах :-)
Некий терминал, но внутри модифицированный дебиан.
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Развёрнута профессиональная система видеонаблюдения.
Нашёл презентацию по вокзалам.
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
Кстати, Евгений Игоревич, с повышением!
Источник
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
Всё началось с гипотезы
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
В поисках Немо владельца системы
Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Ещё камеры 
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Asus 
Dell (их подавляющее большинство) 
Supermicro 
Из серверов виртуализации встречаются ESXi, Proxmox и oVirt ![4r G A He3amnmeH0 | 10 4/cgi/url_redirect.cgi?url_name=mainmenu
© System © Summary
[J»l Java iKVM Viewer v1.69.26 [1 .4] - Resolution 1024 X 768 - FPS 9 Virtual Media Record Macro Options User List Capture Power Control Exit
© FRU Reading
© Hardware Informatioi
Vttuare ESXi 6.0.0](//img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421376.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
![4r G A He3amnmeH0 | 10 4/cgi/url_redirect.cgi?url_name=mainmenu
© System © Summary
[J»l Java iKVM Viewer v1.69.26 [1 .4] - Resolution 1024 X 768 - FPS 9 Virtual Media Record Macro Options User List Capture Power Control Exit
© FRU Reading
© Hardware Informatioi
Vttuare ESXi 6.0.0](http://img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421376.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc) ![4r O A He3aiiii/iuieHO | 10 131 M0X3
j Main Menu Cl Overview Cl Basic Settings Cl Network Settings l'C3 Serial Settings LCl Port 1 1Operating Settings LCl Port 1 Cl Accessible IP Settings 1-^3 Auto warning Settings l-Q E-mail and SNMP Trap ;-Q Event Type ] Digital 10 |-Q DIO Settings 1 Cl DIO](//img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421378.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
![4r O A He3aiiii/iuieHO | 10 131 M0X3
j Main Menu Cl Overview Cl Basic Settings Cl Network Settings l'C3 Serial Settings LCl Port 1 1Operating Settings LCl Port 1 Cl Accessible IP Settings 1-^3 Auto warning Settings l-Q E-mail and SNMP Trap ;-Q Event Type ] Digital 10 |-Q DIO Settings 1 Cl DIO](http://img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421378.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
5. Системы управления ИБП 
6. Внутренние сервисы
Что-то похожее на мониторинг состояния систем обеспечения здания. 
Система управления кондиционированием и вентиляцией 
Различные системы управления табло на перронах :-)
Эта самая красивая 
Некий терминал, но внутри модифицированный дебиан.
Таких нашёл около 20 
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
И все же кто же хозяин?
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Например, вот это вокзал Уфы 
Антропово Костромской области 
Развёрнута профессиональная система видеонаблюдения.
Нашёл презентацию по вокзалам.
macroscop 
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Как же так получилось?
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
Стоимость уязвимости
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
Кстати, Евгений Игоревич, с повышением!
Источник
https://habr.com/ru/users/LMonoceros/ - UPD: связались со мной специалисты РЖД и совместно закрыли уязвимости.
Премию дадут?
SasnyiSosok13.01.202117:19ссылка Аванс: его жизнь.
Оплата: его не посадят.
Оплата: его не посадят.
Хермоус Мора13.01.202117:19ссылкакоррупция счётная палата Россия политика
С баланса государства пропали десятки госкомпаний и активы на $90 млрд
Система управления госимуществом в России превратилась в хаос. У государства нет достоверных сведений о том, сколько госкомпаний ему принадлежит и какой объем собственности находится на балансе казны.
К таким выводам пришла Счетная палата, проверив деятельность Росимущества за 2017-19 гг.
При том что доля государства в экономике растет год от года и, по оценкам МВФ, достигает 40-50%, более 90% государственных акционерных обществ функционируют в «серой зоне» - их деятельность никак не анализируется и почти никак не контролируется.
Даже точное число госкомпаний государству неизвестно. В системе Росстата зарегистрированы 1059 государственных АО и 760 ФГУПов. Но на уровне Росимущества 34 АО и 134 ФГУПа неожиданно пропадают. Ведомство декларирует, что государство владеет только 1025 компаний первого типа и 626 - второго.
При этом из базы налогоплательщиков ФНС по неизвестной причине исчезает уже более 600 предприятий: «налоговая» видит только 218 госАО 792 ФГУПа.
О финансовых результатах деятельности подавляющего большинства госкомпаний у правительства информации нет, констатирует Счетная палата: Минэкономразвития отчитывается лишь об 1% государственных АО.
При этом выборочный анализ материалов по оставшимся юрлицам «показал, что многие из них нестабильны или имеют отрицательную динамику», говорится в отчете СП.
Хотя поступления в федеральный бюджет от прибыли и дивидендов госкомпаний выросли (на 30% по ФГУПам и 76% по АО), 97% итоговой суммы заплатили 20 акционерных обществ.
В то же время свыше 500 компаний в 2017-2019 годах вообще не платили дивиденды в казну, а задолженность по прибыли ФГУПов за три года выросла в 3,7 раза, до 718,2 млн рублей.
Размеры вознаграждения топ-менеджеров в госкомпаниях не зависят от экономических результатов и могут в десятки раз превышать среднюю зарплату остальных сотрудников, отмечает СП. Например, для руководства ФГУП «УВО Минтранса» зарплата установлена как 22 средние зарплаты работников, для ФГУП «Ведомственная охрана» Минэнерго - как 14,9 средней зарплаты.
Плачевно обстоят дела и с учетом собственности на балансе государства, следует из другого отчета СП, опубликованного 24 августа.
На 1 января 2020 года в бюджетной отчетности (по данным формы 0503168) числились активы, включая недвижимость, земельные участки и движимое имущество, на общую сумму в 9,346 триллиона рублей.
При этом реестре федерального имущества (РФИ) значилась собственность только на 2,652 триллиона рублей.
Расхождение в оценке составило 6,727 триллиона рублей, или 90 млрд долларов по текущему курсу - сумма, сопоставимая с размером ликвидной части Фонда национального благосостояния (110 млрд долларов).
Более 32 тысяч объектов государственной собственности остаются без учета, констатирует Счетная палата. «ЦА Росимущества не обладает в полной мере информацией о находящихся у него, территориальных органов и подведомственных организаций в пользовании объектов недвижимости и земельных участках и о зарегистрированных правах на них правах», - говорится в докладе ведомства.
В частности, остаются незарегистрированными право собственности Российской Федерации и иные вещные права (оперативное управление, хозяйственное ведение, постоянное (бессрочное) пользование), а также право аренды в отношении более 500 объектов недвижимого имущества и более 150 земельных участков, в РФИ не учтено более 400 объектов и 150 земельных участков.
Отдельные объекты исчезают из собственности при неустановленных обстоятельствах. В частности, в 2019 году списаны с баланса 2 квартиры. «При этом в момент принятия соответствующих решений не были изучены причины прекращения прав собственности Российской Федерации и оперативного управления», - говорится в докладе СП.
COVID-19 словакия тестирование коронавирус политика
Половина населения Словакии прошла тестирование на коронавирус за один день. Это 2,5 миллиона человек
COVID-19 выявили у 1% (25 850 человек), теперь они сидят в изоляции
Сам тест является бесплатным и добровольным, однако те, кто отказываются его делать, также вынуждены будут сидеть в изоляции
Премьер-министр Словакии Игорь Матович извинился за давление на людей для участия в тестировании, но заявил, что требование обосновано:
«Свобода должна сочетаться с ответственностью за тех, кто... самый слабый среди нас: онкологических больных, пожилых людей, людей с другими заболеваниями», ㅡ заявил он
По словам Матовича, такое тестирование является «единственным способом обратить вспять развитие пандемии»
Отличный комментарий!