Верховна Рада приняла закон, разрешающий на продажу сельхозземель
Верховная рада Украины на внеочередном заседании принял закон, который отменяет с 1 июля 2021 года мораторий на продажу сельскохозяйственных земель. Решение поддержали 259 депутатов при необходимом минимуме в 226 голосов. Документ еще должен подписать президент Украины Владимир Зеленский. В первоначальной редакции закона предполагалось, что закон вступит в силу с 1 октября 2020 года. Принятие документа является критически важным для заключения новой кредитной программы с Международным валютным фондом.
Согласно законопроекту, покупать землю смогут украинские физические и юридические лица, территориальные общины и государство. Право собственности предлагают также предоставить банкам и кредитным учреждениям, но лишь в случае взыскания залога.
Голоса за закон распределились следующим образом:
"Слуга народа" - 206 человек;
"Европейская солидарность" - 23;
"Голос" - 13;
"Доверие" - 12;
Внефракционные депутаты - 5.
Фракции "Оппозиционная платформа - За жизнь", "Батькивщина" и группа "За будущее" не дали ни одного голоса в поддержку проекта.
P.s. Вопрос знатокам, это зрада зрадная или всё таки польза есть?
P.p.s. И что это за ситуативный союз Зе и Порох против Йули и рыгов?
Развернуть
Отличный комментарий!
Для бизнеса польза, так как невозможно будет вымогать взятки за продление аренды земли. Для бабок у подъезда плохо, так как родину продают
На границе Беларуси и России будет действовать пограничный режим. Минск уходит из-под влияния Москвы. Лукашенко взял курс на Запад? - спрашивает карикатурист Сергей Елкин.
Антивоенный комитет призывает к независимому международному расследованию преступлений российской армии и признанию геноцидом бессудных казней и убийств мирных жителей на занятой российскими войсками территории Украины.
Отвод российской армии от Киева открыл всему миру ужасающую картину: сотни мирных жителей, чьи тела просто брошены на улицах украинских городов; люди со связанными руками, расстрелянные в упор; убитые женщины, дети, целые семьи, которые явно не могли быть приняты за вооруженных противников.
Это лицо путинской войны. Войны, которую теперь невозможно называть иначе как геноцидом украинского народа. Название небольшого города Буча в Киевской области за один день стало таким же нарицательным, как и боснийская Сребреница. Свидетельства жестоких расправ, расстрелов жителей Бучи, следы мародерства и насилия со стороны российских войск обошли все мировые СМИ. Эти свидетельства бесспорны и их невозможно игнорировать.
С самого начала путинская агрессия против Украины являлась военным преступлением. Каждый день и час этой несправедливой, захватнической войны уносили жизни украинских граждан. Но открывающиеся сейчас свидетельства из Бучи, Мотыжина, Мариуполя и других городов и сел неоспоримо доказывают целенаправленное уничтожение российскими войсками мирного и гражданского населения захваченных областей Украины.
То, что, начиная с 24 февраля 2022 года, происходило и происходит на территории Украины, согласно определению ООН, является геноцидом украинского народа. Это преступление путинского режима не просто против Украины, а против человечности. Это преступление не имеет сроков давности и должно быть должным образом расследовано и наказано. Все, принимавшие участие в геноциде украинского народа – от рядовых до верховного главнокомандующего – должны быть выявлены и привлечены к ответственности международным судом.
До момента, когда такой суд станет возможным, мы призываем все мировое сообщество и, в особенности, страны Европейского Союза использовать все возможности для прекращения войны и геноцида украинского народа. Мы понимаем, что правительства демократических стран не готовы рисковать жизнями своих солдат. Но в ситуации продолжающегося геноцида вы обязаны пожертвовать своей экономикой. Ни одна человеческая жизнь не стоит денег или экономических показателей.
Мы призываем немедленно прекратить все торговые отношения с агрессором и наложить эмбарго на приобретение российских нефти и газа и принять следующие из такого решения экономические потери, вооружить Украину самым современным оружием, боеприпасами и топливом, открыть полноценный ленд-лиз.
Каждый день промедления с принятием этих решений стоит сотен человеческих жизней.
Конечно, возможно, Путина хватит апоплектичный удар табакеркой и его преемники будут вынуждены отвести войска, признать поражение и выплатить контрибуции. Или простой народ очухается от пропаганды, свергнет режим и тогда воцариться мир. Возможно, рискуя спровоцировать ядерную войну, Коллективный Запад забросит в Кремль десант, который уничтожит правящую верхушку РФ и обесточит ядерную кнопку. И самый невероятный вариант развития событий - в Путине взыграет совесть.
А так, до конца апреля РФ будет всё это сворачивать. Попытаются окружить войска Украины на Донбассе. Обрубят им снабжение и будут постреливать ракетами. Может немного мясом закидают, ведь надо успеть к 9 мая на парад. А на параде верховному главнокомандующему отчитаются, что всё было выполнено в строгом соответствии с планом.
Демилитаризация? Ракетами и бомбами разбомбили все аэродромы и заводы? А сколько дорого разрушено, по которым могла передвигаться техника противника. Значит демилитаризовано.
Денацификация? Полк "Азов" уже тридцать раз уничтожили, а ведь именно там главные нацисты. А сколько казарм со спящими солдатиками порушили. А все бойцы ВСУ точно нацисты. Ведь кто с автоматом против руzzкого - тот априори нацист. Так что денацифицировали.
Освобождение? Ребятки, нас ждут ХНР и МНР. ДНР и ЛНР приросли территориями. Хотелось бы ещё, конечно, ОНР и Днепр в Днепропетровск, но это так, мелочи. Так что все кто надо освобождены.
Ну а дальше... Простому люду не привыкать жить без яблочной техники и поездок в Ниццу. У них и так китайфоны и поездки в Турцию и Египет. Пореже ездить будут. Надо ж ещё накопить с тех зарплат, что остались. Но и к этому россиянам не привыкать. Стерпят. Санкции так и остануться, но газ и нефть всё равно будут покупать. Может, к 2025 году, как европейские чиновники распланировали, и попытаются слезть с российских углеводородов, но за эти годы десять раз успеют передумать, задуматься о выгодности, да ещё РФ занесёт нужным чиновникам. Единственное, что поменяется, так это мордор станет более мордористым.
Ты меня на мысль натолкнул. Я все понять не мог, зачем рф поперлась воевать весной? Она же знает, что по расхлябанной тающей пересеченке техника плохо движется и вязнет, плюс солдаты мерзнут. Так зачем? Скорее всего, из-за одержимости рф памятными датами, она решила приурочить "войну с нацистами" в Украине к 9 мая.
Ещё с 90-ых ходят упорные слухи, что жители Кремля очень верят во всякую мистику и эзотерику. Поэтому там, в те годы, кормилась масса экстрасенсов, колдунов и гадалок. И как бы не хотелось верить в эти слухи, но реальность только подтверждает это. Да блять, они шамана Габышева испугались. Думали придёт к Кремлю и реально порчу на царя-батюшку наведёт.
Та же война с Грузией - 08.08.2008 г. Вторжение в Украину (на территории ОРДЛО) - 22.02.2022 г. Присоединение Крыма - 23 февраля.
И ладно цифры. А как они любят символизм. Победобесный символизм. Все эти георгиевские ленточки, красные флаги. Блять, были же адекватные символы. Та же лента шла в дополнение к наградам (вроде к Георгиевскому кресту), а они всё испоганили и теперь этой ленты только на упаковке контрацептивов нет. А чего стоят парады на 9 мая в Донецке. Особенно в первые годы, когда по городу провели колонну пленных украинцев, а вслед провели помывочные машины. Типа как на Красной площади в 45-ом за пленными нацистами помыли, так и тут повторили. Повторятели херовы.
Да блять, у РФ есть свой храм, сука, войны. Ладно, пардон, храм вооружённых сил РФ. И в нём ещё хранятся реликвии, в том числе и мощи Гитлера. Это же вылитый Вархаммер.
Так что ебанутости руководства РФ не стоит удивляться. Оно всегда было таким.
Если признать, что нет никакого заговора богомерзских англосаксов против Святой Руси, а есть лишь реакция на нарушение Россией международных правовых норм то тогда и объединяться вокруг сильного лидера и не потребуется, и закрывать глаза на "недочеты и перекосы" власти необходимости нет. Если нет внешнего врага желающего уничтожить твою страну ты начнешь не к войне готовиться, а решать повседневные дела и вот тогда поймешь что страной управляют казнократы для которых благо своего народа не имеет ни какого значения. Казнакраты этого очень не хотят и поэтому изо всех сил создают образ внешней угрозы и несправедливого к России отношения.
Если коротко то дроны хоть и сделаны кустарно и из общедоступных частей, но при разработке нужны хорошие знания. Например использовали моторы от мотокосилок. Один дрон был оснащен камерой, а ВВ в бомбах делается в том числе и на Украине
Начальник Управления строительства и развития системы применения БПЛА Генерального штаба ВС РФ генерал-майор Александр Новиков провел брифинг для представителей российских и зарубежных СМИ
В ночь с 5 на 6 января 2018 г. российская авиабаза «Хмеймим» подверглась атаке террористов с использованием ударных беспилотных летательных аппаратов.
В ударе по российским военным объектам были задействованы 13 беспилотников самолетного типа.
Средствами разведки воздушного пространства авиабазы все воздушные цели были обнаружены на безопасном удалении от аэродрома.
7 беспилотников уничтожены зенитно-ракетными пушечными комплексами «Панцирь-С», 6 - с использованием средств радиоэлектронной борьбы посажены в заданных точках.
При этом 3 беспилотника в ходе посадки разрушились в результате подрыва подвешенных на них боеприпасов.
Необходимо отметить, что Минобороны России ведется постоянный мониторинг применения всех типов вооружения и военной техники боевиками на территории Сирии и вырабатываются необходимые меры противодействия.
Это в полной мере относится и к беспилотным летательным аппаратам.
В целях противодействия их применению боевиками на авиабазе Хмеймим и в порту Тартус созданы эшелонированные системы, включающие средства обнаружения, огневого и радиоэлектронного поражения и подавления.
Что позволило гарантированно отразить атаку террористов в ночь с 5 на 6 января.
До недавнего времени боевиками беспилотники использовались в основном для ведения воздушной разведки. Отмечались лишь единичные случаи их применения в ударном варианте.
Как правило, это были дроны кустарного производства, собранные из деталей, имеющихся в свободной продаже.
В середине 2016 года для ведения воздушной разведки и нанесения ударов начали применяться квадрокоптеры зарубежного производства.
При этом следует отметить, что появление дронов новых типов и модификаций у боевиков в Сирии фиксировалось нами буквально через считанные дни после поступления их в свободную продажу в различных странах.
Беспилотники, использовавшиеся боевиками для нанесения ударов по объектам Вооруженных Сил Российской Федерации в ночь с 5 на 6 января 2018 года, были применены впервые.
Специалистами Минобороны России проведена детальная оценка конструкции и возможностей данных дронов.
При кажущейся простоте для их создания необходимо значительное время и специальные знания, в том числе в области аэродинамики и радиоэлектроники.
Кустарное производство таких дронов возможно только при наличии схем сборки и необходимых комплектующих, ранее опробованных в ходе многочисленных испытаний.
Используемые для производства подобных беспилотников комплектующие: двигатель, рулевые машинки, аккумуляторные батареи можно приобрести по отдельности в свободной продаже.
Однако сборка и применение их в единой системе представляет собой сложную инженерную задачу, требующую специальной подготовки, знаний в различных наукоемких областях и практического опыта создания подобных аппаратов.
Приведу несколько примеров. На беспилотниках установлены двигатели внутреннего сгорания, применяющиеся для мотокосилок и веломопедов и, как вы понимаете, без соответствующей доработки они не могут быть установлены на дроны.
Кроме того, для применения с беспилотников средств поражения необходимо специальное программное обеспечение.
При этом для достижения необходимой эффективности применения боеприпасов должны быть получены точные координаты целей, а также учитываться многие параметры: высота, скорость полета, направление и скорость ветра и другие.
Проведенные исследования показывают, что установленное на беспилотниках радиоэлектронное оборудование, обеспечивало их автоматизированный, заранее запрограммированный полет и сброс боеприпасов, исключало постановку помех системам их управления.
Кроме того, координаты, заложенные в программах управления беспилотниками, по точности превышают общедоступные данные, которые можно получить, например, в интернете.
Для получения необходимых летно-технических характеристик планера, даже изготовленного кустарным способом, должны быть выполнены необходимые расчеты и проведены летные испытания.
Соответствующей подготовки и знаний требует и организация боевого применения беспилотников.
Массовый запуск дронов на российские военные объекты в Сирии был произведен с одного места в относительно короткое время.
На слайде представлены расшифрованные данные с захваченных беспилотников об их запрограммированных и реальных маршрутах полетов и точках сброса боеприпасов.
При этом один из беспилотников был оснащен видеокамерой и предназначался для контроля и, при необходимости, корректирования наносимых ударов.
С учетом этого для организации атаки необходимо было выполнить детальные инженерно-штурманские расчеты, обеспечивающие эффективность группового применения дронов.
Заслуживают внимания используемые на беспилотниках боеприпасы. Это самодельные взрывные устройства массой около 400 грамм, снаряженные поражающими элементами в виде металлических шариков, с радиусом поражения до 50 метров.
Каждый беспилотник, участвующий в атаке, нес 10 таких боеприпасов. Предварительные исследования показали, что в качестве основы взрывчатого вещества в боеприпасах использовался ТЭН, превосходящий по мощности гексоген.
Указанное взрывчатое вещество производится рядом стран, в том числе на Украине на Шосткинском заводе химических реактивов. Оно не может быть изготовлено в кустарных условиях или извлечено из других боеприпасов.
В настоящее время проводятся специальные исследования с целью установления страны – изготовителя.
Результаты анализа полученных образцов дронов и их применения позволяют сделать следующие основные выводы:
- первый – создание беспилотников такого класса невозможно в кустарных условиях. При их разработке и использовании задействовались специалисты, прошедшие специальную подготовку в странах, производящих и применяющих комплексы с беспилотными летательными аппаратами;
- второй – появление реальной угрозы, связанной с применением беспилотных летательных аппаратов в террористических целях в любой точке мира, которая требует принятия соответствующих мер по ее нейтрализации.
Отмечается что не следует путать примитивную сборку представленных на брифинге ударных дронов с заложенными при их разработке инженерно-техническими решениями.
Разработка таких смертоносных машин требует хороших специальных знаний, практических навыков и опыта эксплуатации беспилотников. Факт передачи боевикам из-за рубежа технологий сборки и программирования ударных беспилотных средств говорит о том, что масштаб этой угрозы не ограничивается границами Сирии.
Аналогичные смертоносные дроны могут быть применены террористами и в других странах. И не только в отношении военных объектов.
Для нейтрализации подобных угроз уже сегодня требуется серьезное внимание и организация взаимодействия всех заинтересованных сторон на международном уровне. #МинобороныРоссии#СИРИЯ#Хмеймим#БПЛА
Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…
Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин. То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора: Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами. И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
Всё началось с гипотезы
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств… Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Ещё камеры
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Asus
Dell (их подавляющее большинство)
Supermicro
Из серверов виртуализации встречаются ESXi, Proxmox и oVirt
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)
5. Системы управления ИБП
6. Внутренние сервисы
Что-то похожее на мониторинг состояния систем обеспечения здания.
Система управления кондиционированием и вентиляцией
Различные системы управления табло на перронах :-)
Эта самая красивая
Некий терминал, но внутри модифицированный дебиан.
Таких нашёл около 20
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет. Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
И все же кто же хозяин?
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Например, вот это вокзал Уфы
Антропово Костромской области
Развёрнута профессиональная система видеонаблюдения.
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Как же так получилось?
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN «Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено. Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
Стоимость уязвимости
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД». Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два. Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий? Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят. Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
Вот честно, каждый раз как все это вижу, просто выть как волк хочу. Люди терпят, терпели и будут терпеть. А потом, как один человек тут хорошо сказал, будут повара хирургические оптрации проводить...
![4r G A He3amnmeH0 | 10 4/cgi/url_redirect.cgi?url_name=mainmenu © System © Summary [J»l Java iKVM Viewer v1.69.26 [1 .4] - Resolution 1024 X 768 - FPS 9 Virtual Media Record Macro Options User List Capture Power Control Exit © FRU Reading © Hardware Informatioi Vttuare ESXi 6.0.0](http://img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421376.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
![4r O A He3aiiii/iuieHO | 10 131 M0X3 j Main Menu Cl Overview Cl Basic Settings Cl Network Settings l'C3 Serial Settings LCl Port 1 1Operating Settings LCl Port 1 Cl Accessible IP Settings 1-^3 Auto warning Settings l-Q E-mail and SNMP Trap ;-Q Event Type ] Digital 10 |-Q DIO Settings 1 Cl DIO](http://img0.reactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421378.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
Отличный комментарий!