надо меньше питаться

Милиционеры, которых "президент" Лукашенко недавно распекал за чрезмерное применение силы (а новый глава МВД Караев смущённо кивал), месяц назад зверски избили человека. Он сейчас в реанимации.

- Мой брат Денис с другом и его девушкой 20 июля поехали на автофестиваль SunDay под Гродно, - рассказала наша подписчица. - Чуть выпили, а потом брата ненадолго оставили одного. К нему подошли два сотрудника ОМОН, взяли под руки и утащили в лес, где, как он потом рассказал, на нём "тренировали удары" и "отрабатывали приёмы". Избили страшно, а затем наряд во главе с участковым Карпуком завёз брата в РОВД для составления протокола. Оттуда - в вытрезвитель.

Через три дня у Дениса начали сильно болеть нога и ягодица, при том, что ни одного синяка на них видно не было (били профессионально). А в течении пары недель развился некроз мышц. Сейчас он лежит в реанимации и перенёс уже 6 операций. Грозит ампутация ноги, а возможен и летальный исход. У парня - жена и трое маленьких детей.

Можемповторение против реальности

Предисловие
Кто-то заливает депрессию алкоголем. Кто-то - чем-то более серьёзным. Кто-то бежит, и делает совершенно верно. Кто-то остаётся на месте... я же пытаюсь сделать то, что могу - рефлексирую, выдавая большое количество текста. Весь этот поток сознания - попытка принять, осознать, поиронизировать и переварить события последних дней (да и не только их). Все желающие приглашаются в комменты для холиваров, обвинений или обмотки ватой. 
Автор не ставил целью доказательство каких-либо других мыслей кроме "война - это плохо", и "не будь пассивным дерьмом", но если вы их там обнаружили - ну, спасибо, ай удружили. 

Ладно, погнали... 

Мобилизация, которая еще пока не успела стать могилизацией (хотя уже не вечер), идёт полным ходом. Я думаю уже все видели колоссальные очереди в аэропортах и пропускных пунктах, а кто-то, возможно, даже стоял в них. Стоит ли говорить, что именно настолько мужское население России поддерживает войну. Настолько сильно, что бежит как можно дальше, пытаясь сохранить свою жизнь.

Как оказалось, если дело доходит до чего-то настоящего, а не эфемерного - реальность очень больно бьёт по голове. Среднестатистический зритель/гражданин, обласкан режимом, который будет убеждать его что всё хорошо - там эти проблемы, они где-то далеко, их уже решают самые лучшие специалисты, ты главное не отвлекайся, отдыхай, работай, выстраивай свою жизнь, только вот политикой не интересуйся, это всё не для тебя, в остальном же мы обо всём позаботимся, цифровизацию проведём чтобы было удобно, вот ипотека удобная с конскими процентами на 146 лет, ты главное занимайся своими делами и всё будет хорошо. Этого зрителя годами убеждают что всё хорошо - мы всех победили 75 лет назад, и мы гордо победим всех сейчас, и будем побеждать в будущем, потому что мы народ победитель, и вообще "Мы можем повторить".

И скорее всего этот зритель не задаётся вопросом - а с чего это мы должны победить сейчас? Мы что - монополисты на победу? Но он с радостью кушает "можемповторение", потому что в этом термине сливается так много событий для русской души - тут и гордость за дедов, тех самых, которые воевали; и угроза врагам - мол, ууу, мы злые и один раз уже победили 75 лет назад, значит победим еще; и задел на будущее - на всякий пожарный, можем еще раз повторить.

Да, победобесие стало фирменной карточкой режима, а можемповторение - одной из главных мантр, для очень тупых людей, которые сейчас очень резко осознали, что ничего повторить уже не получится. Ведь, вырванный из своей сомнамбулической неги, среднестатистический житель страны, хочет повторять только на словах, и иногда через наклеивание латинский буквы z на машину, но никак не собирается воплощать в жизнь эту клишированную, уже всем набившую оскомину, идею. Этот зритель годами был в колыбели безопасности и неучастия, он просто плыл по течению, или пребывал в святой уверенности, что "ну, там знающие люди разберутся". Годами режим взращивал пассивность и аполитичность в своих гражданах. А теперь, с первыми ударами колокола, выяснилось, что можемповторение надо повторять, и не на словах, а своей кровью и жизнью. Совершенно внезапно, ура-патриотизм стал требовать от своих последователей не только громко кричать политические частушки, но еще и какие-нибудь конечности отдать… Но как это возможно, когда протяжении десятилетий, граждан убаюкивали, успокаивали, и рассказывали что всё хорошо?

Реальность - это достаточно отстойная штука. Она очень болезненная, всегда трезвая, и вообще на топ-модель не похожая. Никому не хочется пребывать в реальности слишком долго (а вообще - стоило бы). Потому что в реальности выясняется, что король голый, судно изъедено крысами, а пистолетик стреляет пластиковыми пульками. Но сейчас, пистолетик начнут заряжать жизнями людей и… ничего не поменяется. Потому что оставшиеся зрители будут думать, что на сей раз пронесло и им выпала счастливая карта, значит пусть кто-то другой проливает кровь или умирает там, за сомнительные ценности режима. Но нет, к сожалению, эта мобилизация не частичная, а всеобщая. Потому что нет нигде критериев частичности. Она просто называется "частичной". Вот и всё. А что касается смешных рассказов о том, что берут только тех кто прошёл подготовку или был военным… ну, мы вроде как не в яслях, про гипертрофированные пределы я писал в прошлый раз, и эту фигню никто не отменял - любой закон в России будет исполняться отталкиваясь от доступных максимальных значений.

После 24 февраля, мир навсегда изменился для меня. Я понял, что никогда ничего не будет как прежде, никогда не получится загладить что-либо, или извиниться. Умом я понимаю, что это война одного сумасшедшего деда, решившего, что можно поиграть в великого собирателя земель. Но её восприятие для меня было настолько острым, что мне казалось, что это у меня во дворе разрываются снаряды. Я стал заядлым поклонником дум-скроллинга. Война сломала мою жизнь на "ну, я надеюсь, что когда-нибудь, когда заработаю много денег или получу какое-нибудь зарубежное предложение по работе, то попробую уехать из России", и на "Я ДОЛЖЕН СПАСТИ СВОЮ СЕМЬЮ И КОШКУ". По какой-то совершенно невообразимой причине, я думал, что сейчас митинги начнутся несмотря на запреты, но оказался не прав. Наш народ или был занят выживанием, или, что значительно хуже - клеил себе z-ки в разные места. И последнее, на мой взгляд - просто дикость. Чисто теоретически - о чём может думать такой человек-гражданин, поддерживающий войну? Мол, мы сейчас всех убьём и заживём счастливо? Я не понимаю как это работает… Ну то есть, если конечно в образовании этого человека не было слишком сильных пробелов, то скорее всего в школе ему рассказывали про ужасы войны, про "мы жертвовали собой, чтобы вы жили", про "чтобы это никогда не повторялось" и так далее. Школьная программа по истории ХХ века достаточно хорошо показывает и рассказывает - нехер воевать, это полный отстой. Литература (которую я не любил), тоже подпевает Истории и говорит - смотри, вон, Андрей Болконский за небом наблюдает - просёк фишку, что война - это отстой, вот и тебе это надо бы намотать на ус. И эта штука работала достаточно эффективно. Возможно она не готовит убеждённых антимилитаристов, хотя стоило бы, но по меньшей мере, до текущего момента, школьная программа здраво показывала негативную сторону военных конфликтов.

Мне совершенно не жаль людей, которые налепили себе на лоб z-ки и увешали машины отвратительными наклейками "на берлин", "Обама чмо", и прочими можемповторителями. Они, в полной мере, заслуживают такого отношения. Любишь режим, топишь за него - значит неси за него ответственность, докажи что ты мужик (и да, именно такие любят доказательства мужиковатости), ведь "не служил - не мужик". Вот и давай. Родина требует твою жизнь, а не наклейку. Покажи чего стоишь на самом деле. Выживешь - станешь мужиком, так уж и быть. Какие там дальше не-мужики? Не сидел - не мужик, не надел - не мужик, не поел - не мужик. То есть это была только первая часть из 4-х. А если не выживешь - ну, хотя бы на Ладу Весту семье дадут денег. Если, конечно, кто-то сможет доказать что ты погиб геройской смертью (ведь у нас не может быть иначе), а не пропал без вести или еще хуже - дезертировал.

И будет ли этот кто-то искать истину в смерти не-мужика, который в свои лучше годы сидел перед теликом и рассказывал про то как он браво будет давить репилоидо-бандеровских националистов (контролирующих умы людей через план Даллеса, секс-наркотики-рокнролл и кока колу, несущих смертельный вирус убийства исключительно россиян через ген-мутант, который будут распространять боевые гуси, а гуси-гуси - га-га-га)? Или вместо мытарств по разным инстанциям, этот кто-то просто забьёт на поиски истины, выпьет водки за упокой не-мужика и поедет на новой Ладе по разбитой дороге в родное село, ведь соседям еще похвастаться надо, рассказать что не-мужик как настоящий патриот, отдал жизнь за страну (и не важно, что она вела захватническую войну, и была агрессором, это как Библия - "тут засчитывается старание" (с) Пираты Карибского Моря), а мы теперь вот, на машинке катаемся.

Затрагивая патриотизм нельзя не вспомнить про Шкребца. Как же долго ему рассказывали, что Москва вообще не утонула, а отрицательно поднялась на мокрый песок, и её вообще не было такого корабля, Москва - это же город, какие тут претензии? А экипаж, ну, его частично дезинтегрировал свет отразившийся от Альфа-Центавры, но это точно никак не связано с тем, что мы ведём войну с Украиной, и вообще "их там не нет". И хорошо, что он хотя бы добился чего-то, хоть как-то пролил свет на это поганое дело. Хотя, я не уверен что слово "хорошо" подходит к этой ситуации. У немцев есть понятие Schadenfreude, это когда испытываешь радость от чужого провала, и иногда даже испытываешь неловкость от этого. Синонимом в русском может быть "злорадство", но оно обладает очень негативной коннотацией, в то время как Schadenfreude - может быть даже одобряемой штукой. Но возможно сейчас набегут знающие немецкий и закидают меня чем смогут, потому что я ничего не понял и всё вывернул наизнанку. Прошу, вам всегда тут рады =) И вся эта история с Шкребцом, его поисками, разочарованием, переобуванием, угрозами, уходами, снятием и натягиванием ватника обратно, - это один большой Schadenfreude. По-человечески, его можно понять - мужик потерял сына на бессмысленной войне… но нормальный человек воспитывать патриота современной России не будет. На мой, очень скромный взгляд, лучше всего на тему современного патриотизма высказался Невзоров (да, я понимаю, что его многие вполне заслуженно не любят, и он, личность, весьма специфичная) сказав в далёком 2015-ом: "Так что, каким бы ни был патриотизм на самом деле, каким бы хорошим и полезным ни было это явление, в контексте современной России это то, что никогда нельзя развивать в детях. Это то, от чего нужно спасать и прятать. Потому что иначе после того, как вы вырастите детей, вы передадите пульт управления ими, их поступками и жизнями в руки напившемуся коньяку мерзавцу, который ткнет в кнопку лишь по той причине, что у него есть палец, которым эта кнопка нажимается." И, я должен заметить, что цитата оказалась пророческой. Мерзавец действительно тыкает кнопку.

К слову, забавно что нынешний президент - это первый правитель, который довёл страну до мобилизации за последние 80 лет. То есть, со времён Сталина мобилизаций не было. Только вдумайтесь в эту мрачную аналогию. Вторая Мировая Война была последним событием, когда объявлялась мобилизация. Ни Афганская война (которая тоже официально войной не называлась), ни распад СССР, ни лихие 90-е, ни последовавшие за этом конфликты в республиках - не требовали мобилизации. А нынешняя, захватническая война в Украине - потребовала. Автоматически напрашивается заявление - то есть, положение настолько плохо, а военные настолько закончились, что затыкать дыры надо будет клерками, продавцами бытовой техники, и теми, кто не смог сбежать, или покорно доверил свою судьбу режиму (развязавшему первую, за 80 лет, межгосударственную, фронтовую войну в Европе). А это ТОЧНО удачная идея? Но мне думается, что тот кто эту мобилизацию объявил, ответит - "да". И это точно заявка на победу… в списке самых идиотских достижений за последние полвека.

А помните, как совсем недавно кто-то (Дерипаска) обещал 10 лет стабильности и процветания, потому что оппозиция себя "подорвала"? Точно, ведь когда-то была оппозиция… ну эти странные чудики, какие-то там либералы, демократы… А знаете что точно сейчас будет к месту? Посмотреть на демократические методы и узнать что они предлагают. Например: сменяемость власти - достаточно классная штука, нужна для того, чтобы один человек не задерживался слишком много и не подвязывал на себя важные решения и связи. Или вот еще интересная вещь - механизм сдержек и противовесов. Эта фиговина нужна для того, чтобы уравновесить все ветви власти - они должны быть равноценны и обязаны следить друг за другом, не перетягивая одеяло в какую-то одну сторону, а так же, не допустить концентрации власти в одних руках. Ой-ой, вот еще один достаточно прикольный принцип - компромисс и поиск консенсуса. Это когда вы не объявляете войну, потому что она уничтожит не только соседнее государство, но и ваше в том числе, а находите оптимальный способ разрешить конфликт или принять решение, учитывая все позитивные и негативные стороны. Любопытные пункты, не так ли? А ведь именно их, под тем или иным соусом, предлагали те самые чудики, которых разогнали ради "10 лет стабильности и процветания", говорят, кого-то даже отравили, или посадили… А еще вовсе не 5-ая колонна (или даже не Обама с Байденом), увеличила пенсионный возраст, внесла поправки в Конституцию, начала войну с соседним государством, войну эту уже проиграло, а теперь объявило всеобщую мобилизацию, и отправляет на убой своих граждан. Странно, и кто бы, интересно, это мог быть?..

Ладно, отменяем иронию. Недавно появились новости о том, что людям, задержанным на протестах против мобилизации вручают повестки и отправляют на фронт. Серьезно? Это какая-то карусель комедий. Окей, забудем о нарушении всех возможных законов и наплевательского отношения к Конституции, про права людей в России даже говорить не стоит, их просто нет. Но как можно отправлять на фронт, активных и политически подкованных людей, с твёрдой позицией "против"? Мало того, что это очень глупая идея, это еще и аукаться будет очень долго и очень болезненно. Ведь человек, попавший против своей воли в условия, которым он далеко не рад, нанесёт вреда в 1000 раз больше, чем ракета противника. Он будет подрывать моральный дух солдат, всячески саботировать деятельность и максимально плохо исполнять приказы. Просто потому что его, против воли, запихнули туда, где ему находиться совсем не хочется. А так как таких будет достаточно много (ведь далеко не все рады насильной мобилизации), стоит ли говорить о каком-либо моральном духе?

Моральный дух - любопытная, сейчас, тема. У кого-то его нет, а кто-то им преисполнился (настолько в своём понимании). Мне вот как это видится. Если ты защищаешь свою землю, свой дом, свою семью, то скорее всего он будет очень высок. Ведь в случае провала, ты теряешь всё, включая будущее своих детей. И это значит, что провала не может быть, а мотивация буром своим пронзает небеса (с). А вот если ты находишься в сомнительном месте, в котором тебе не хочется быть; ради сомнительного захвата чужих территорий, под очень мутным предлогом; в постоянном стрессе, потому что противник спит и видит как превращает тебя в фарш и чертовски мотивирован исполнить это; если вокруг тебя такие же напуганные лица, которые до этого клацали по клавиатуре или приносили суши на деревянном подносике… то я очень сильно сомневаюсь, что твой боевой дух будет на высоком уровне. А еще масла в огонь могут подливать те, кого сюда насильно отправили сразу после митингов.

И последняя мысль на сегодня - вы ведь понимаете, что НА НАС НИКТО НЕ НАПАДАЛ? Я понимаю, что пропаганда подаёт всё под соусом защиты… "И если бы, за 6 чшасоу". И так далее. Но. В стране, на которую никто не нападал, которая даже не защищается от какого-то внешнего вторжения, объявляют мобилизацию. Да всё даже еще хуже - ведь Украина не нападала на пресловутый (уоу, ничего против не имею, но в качестве объекта пропаганды он задолбал сильно) Донбас (хотя так на секундочку, по уму, это всё еще их территория). Это Россия напала. На Украину. А потом, получив хорошенько сдачи, объявила, что её обидели, но всё идёт по плану, "вы главное не волнуйтесь, вас точно не заберут, брать будут только тех кто может", и теперь всё население России должно умереть за обиду царька и сказки про нацизм. Шикарно. Просто шикарно. К слову, остался ли кто-нибудь, кто не интересуется политикой? Ах святые, наивные души… Думаю они первыми попадут в рай, как Путин и обещал, ведь наши попадают в рай, а враги просто сдыхают. Эталонная готтентотская философия.

Логика бравых проплаченных русских полит патриотов на пикабу

Создатель ЧВК «ЕНОТ» с черепом в руках заявил, что все украинцы должны быть убиты. По его словам, это череп защитника «Азовстали»

Российский наемник Игорь Мангушев (позывной «Берег») провел стендап с черепом. Со сцены он заявил, что это череп украинского солдата, убитого под «Азовсталью».

По его словам примирения между русскими и украинцами быть не может.

«Мы еще живы, а этот чувак уже нет. Пусть горит в аду. Ему не повезло, и из его черепа сделают кубок, возможно. (...) Наша война - это не просто война с людьми из крови и плоти. Наша война - это война с идеей. С идеей Украины, как антироссийского государства. Почему не может быть никакого примирения? Украина должна быть деукраинизирована. Русские земли «Малороссии» должны быть возвращены назад», - заявил Мангушев. «Все, кто считает себя украинцами, будут уничтожены», - добавил наемник.

Мангушев называет себя «политтехнологом». Он является лидером ЧВК «ЕНОТ», которая была создана создана на базе националистического движения «Светлая Русь» и ассоциации военно-патриотических клубов «Резерв». «Еноты» участвовали в военных кампаниях на востоке Украины и в Сирии, а также при аннексии Крыма. Сами участники организации утверждали, что это были не боевые, а гуманитарные операции, но при этом на фото и видеозаписях позировали в камуфляже с различным оружием. СМИ называли Мангушева одним из авторов идеи использования буквы «Z» как символа российского вторжения в Украину. Мангушев по некоторым данным работает также на «Лигу безопасного интернета» Константина Малофеева.

На заявление Мангушева отреагировал экс-поссол США в России Майкл Макфол, назвав его отвратительным.

«Отвратительно. Я надеюсь, что все самоназванные «реалисты» просмотрят это видео, а затем снова попытаются объяснить нам, как эта война является просто оборонной/превентивной/рациональной/логической «специальной военной операцией», направленной на остановку расширения НАТО и не имеющей ничего общего с имперскими идеями и идентичностью».

(Без понятия, как встраивать пост с твиттера, так что ссылкой)

https://twitter.com/den_kazansky/status/1563753741697916928

https://twitter.com/den_kazansky/status/1563755138891800578

https://theins.ru/news/254476

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

13 дней войны, больше 300 убитых, несколько тысяч раненных

В Карабахе объявлено временное перемирие между Арменией и Азербайджаном

В ходе завершившихся в Москве многочасовых переговоров Баку и Ереван договорились о прекращении огня в Нагорном Карабахе с 12:00 субботы, 10 октября. Также Армения и Азербайджан приступают к субстантивным (без посредников) переговорам с целью скорейшего достижения мирного урегулирования

Прокремлёвские каналы сообщили о гибели "сотен" мобилизованных в результате украинского удара

Сурс

В результате удара украинской армии по казарме в пригороде Донецка Макеевке, где располагались российские мобилизованные, могли погибнуть сотни человек. Об этом сообщают прокремлёвские телеграм-каналы. Управление стратегических коммуникаций украинской армии сообщило о 400 убитых.

Мобилизованные были размещены в здании профтехучилища №19 на Кремлёвской улице. Российские источники сообщают, что удар по объекту был нанесён в новогоднюю ночь высокоточной ракетой из комплекса HIMARS

Российский провоенный канал "Царьград" сообщил, что в местных чатах число погибших оценивают "сотнями человек." Пророссийский канал "Оперативные сводки" сообщил о 500 погибших. Освещающий войну российский военный блогер Борис Рожин сообщил в телеграме, что вечером 1 января "завалы ещё разбирают".

В России вступила в силу обязательная регистрация беспилотников