Записи с меткой «веб-ресурс»

DDoS, доступный каждому

Доступность веб-ресурса является важнейшим фактором при ведении бизнеса:
длительное время отклика и недоступность приводит к прямым убыткам в
виде потерянных потенциальных клиентов. Именно поэтому разработчики и
владельцы веб-приложений уделяют особое внимание процедурам нагрузочного
и стрессового тестирования. В свою очередь, появились сервисы,
осуществляющие проверку веб-ресурсов, имитируя активность посетителей.
Эксперты «Лаборатории Касперского» рассказали о том, как эти
полезные службы могут быть использованы злоумышленниками, а также о
возможных последствиях такой неправомерной эксплуатации.

Стрессовое тестирование — это процедура оценки характеристик
работоспособности системы, проводимая за рамками предельного значения
нагрузки. Стресс-тесты в большинстве случаев ведут к аномальному
поведению системы или ее отказу в обслуживании аналогично DDoS-атакам.
Однако цели у стрессового тестирования и DDoS-атаки совершенно разные. В
первом случае задача — определить показатели предельной нагрузки
системы и проверить устойчивость к некоторым сценариям DDoS-атак, а во
втором — сделать недоступным атакуемый объект любыми эффективными
методами, нарушив тем самым работоспособность целевой инфраструктуры.

С ростом потребности подобных оценок появилось немало онлайн-сервисов,
позволяющих не утруждать себя настройкой сложных систем тестирования и
подготовкой облачной инфраструктуры: достаточно задать параметры
нагрузки и оплатить вычислительные мощности, ожидая затем отчет о
поведении ресурса. При этом некоторые службы для ознакомления бесплатно
предлагают короткий тест без регистрации. (http://www.kaspersky.ru/images/news/otchet.jpg)
Отчет о бесплатном нагрузочном тестировании, проведенном сервисом,
который не требует регистрации

Однако злоумышленники могут воспользоваться этой, на первый взгляд,
безобидной услугой в своих целях. Дело в том, что большинство сервисов
нагрузочного тестирования не требуют подтверждения того, что процедуру
заказывает его владелец — нет никаких дополнительных привязок к
телефонному номеру или кредитной карте. Так, из шести рассмотренных
специалистами «Лаборатории Касперского» сервисов только один
просит разместить на тестируемом ресурсе специальный файл — его
наличие означает гарантию того, что администратор сервера уведомлен о
процедуре. Более того, два сервиса позволили осуществить нагрузочное
тестирование вообще без регистрации — достаточно было ввести URL
ресурса. Эксперты «Лаборатории Касперского» пришли к
неутешительному прогнозу, представив несколько вариантов использования
злоумышленниками одного только бесплатного режима, не говоря уже про
более богатые платные возможности.

«Киберпреступники могут эксплуатировать подобные системы для
нанесения серьезных ударов владельцам некрупных веб-ресурсов. Во
избежание такого сценария каждый сервис нагрузочного тестирования должен
запрашивать согласие от владельца: просить его разместить уникальный код
или баннер на сайте, только после чтения которого будет запущен трафик.
В дополнение следует использовать технологию CAPTCHA при работе с
сервисом. Подобные процедуры верификации помогут избежать неправомерных
действий со стороны злоумышленников и роботов бот-сетей», —
прокомментировал Денис Макрушин, менеджер по техническому
позиционированию «Лаборатории Касперского».

Для ознакомления с возможными последствиями злонамеренного использования
сервисов нагрузочного тестирования пройдите по ссылке
http://www.securelist.com/ru/blog/207768945/Veb_pod_davleniem
(http://www.securelist.com/ru/blog/207768945/Veb_pod_davleniem).

Реклама

Компания «Доктор Веб» считает, что сегодня одним из самых распространенных в мире видов киберпреступлений по праву можно назвать фишинг. Именно с помощью мошеннической «рыбалки» у интернет-пользователей чаще всего похищают аккаунты в различных сервисах и банковскую информацию. Мы призываем пользователей быть бдительными и представляем новый раздел нашего сайта, посвященный фишингу: antifraud.drweb.com/phishing. Изучайте и не попадайтесь на уловки мошенников!

Новый раздел позволит получить исчерпывающую информацию о фишинге. Помимо целей фишеров, данных о фишерских площадках и способах заражения вы сможете узнать, как защититься от фишинга, получить советы по безопасности от экспертов компании «Доктор Веб», ознакомиться с примерами мошенничества и даже проверить полученные знания с помощью тестов на образовательном проекте ВебIQметр.

Цель раздела — дать интернет-пользователям максимум полезных сведений о фишинге и помочь избежать фишерских атак в будущем.

Мы уверены, что новые знания не окажутся для вас лишними!

ИСТЧНИК

Фишинг. Советы по безопасности

  • Фишинг (англ. phishing, от fishing — рыбная ловля, выуживание) — вид компьютерного мошенничества, основная цель которого — обманным путем вынудить жертву предоставить мошеннику нужную ему информацию. Это компьютерное преступление, которое преследуется по закону.
  • Фишер — мошенник или группа мошенников, которые занимаются фишингом.

Примерный сценарий фишинга

  1. Мошенник создает сайт, как две капли воды похожий на официальный веб-ресурс, например, банка, почтового сервиса или социальной сети, и с почти таким же адресом (примеры), с той только разницей, что поддельный сайт подготовлен для атаки на посетителя (например, инфицирован).
  2. Затем ссылка на эту подделку под видом официального письма с предложением, например, получить приз или прочитать важное сообщение отправляется на электронную почту как можно большему числу потенциальных жертв.
  3. Далее с помощью разнообразных уловок мошенник добивается, чтобы жертва посетила инфицированный сайт, установила на свой компьютер какую-либо программу, открыла файл, собственноручно выдала пароли к аккаунтам социальных сетей, номера банковских счетов, PIN-коды и многое другое.
  4. Перейдя на вредоносный сайт по полученной в письме ссылке, ничего не подозревающая жертва вводит свои данные для входа в систему.
  5. Введенные данные отправляются фишеру, а обманутый пользователь перенаправляется уже на настоящую страницу организации, даже не заподозрив неладное.

Сегодня фишинг — один из самых распространенных в мире видов киберпреступлений, с помощью которого чаще всего похищают аккаунты и банковскую информацию.

ИСТОЧНИК

Как нас заманивают в сети?

Ссылки для перехода на фишинговый сайт чаще всего приходят в письмах или отображаются в сервисных окнах программ под видом:

  • важного сообщения (например, от банка) с предложением срочной установки некоего сертификата безопасности, необходимого для дальнейшего получения финансовых услуг (примечательно, что часто жертвы такого рода фишинга даже не являются клиентами этого банка, но все равно из любопытства переходят на поддельную страницу);
  • срочного обновления операционной системы/браузера/приложения/онлайн-игры, для загрузки которого жертве следует указать в соответствующей форме свой номер мобильного телефона и ввести пришедший в ответном СМС код. Таким образом, пользователь соглашается с условиями платной подписки, за которую со счета его мобильного телефона будет регулярно списываться определенная сумма;
  • ОЧЕНЬ выгодной акции, которая проводится только сегодня и участвовать в ней надо немедленно, для чего нужно перейти на некий сайт;
  • сообщения о подарке или выигрыше (например, в онлайн-казино или лотерее), для получения которого надо ввести номер мобильного телефона или отправить платное СМС;
  • предложения ответить на вопросы анкеты и получить подарок (для получения подарка требуется ввести номер банковской карты и пароль доступа к интернет-банку);
  • сборника обоев для рабочего стола или другого бесплатного контента (тут возможны сотни вариантов), доступ к которому можно получить, нажав на кнопку в письме/приложении.

Новые сценарии атак появляются ежедневно!

Некоторые примеры фишинговых сайтов

После того как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приемами (эти методы именуются «социальной инженерией») побудить его ввести свои логин и пароль, что позволяет преступникам получить доступ к аккаунтам и банковским счетам жертвы.

Главная опасность фишинга заключается в том, что на его удочку может попасться КАЖДЫЙ, — как компьютерный новичок, так и опытный пользователь с многолетним стажем работы в сети Интернет.

Фишер — тонкий знаток различных струн души интернет-пользователя. Изобретая все новые и новые способы мошенничества, он как опытный психолог использует в своих преступных целях наши предсказуемые реакции на различную информацию. Вот только некоторые виды приманок, которые используются в этой криминальной «рыбалке».

  • Запугивание — потребность устранить причину испуга, исправить ситуацию, разобраться, в чем проблема (ввести телефонный номер, чтобы получить код разблокировки и устранить проблему).
  • Эмоциональный порыв — как порыв, основанный на желании поучаствовать и получить что-то, так и сезонный (предпраздничный) порыв — сделать ярче или спокойнее свое участие в чем-либо, обрести эмоциональную гармонию (основной позыв: «Я просто не могу это пропустить!»)
  • Дисциплинированность, послушность (упор на воспитание, убеждения, опыт жертвы) — потребность следовать полученной инструкции (установить предлагаемую программу).
  • Потребность в везении, ощущение себя успешной личностью — желание получить выигрыш немедленно (переход на сайт для получения выигрыша).
  • Задетые политические взгляды/религиозные убеждения — возмущение и потребность его выразить (перейти на предлагаемую страницу).
  • Невнимательность, беспечность — склонность жать на все кнопки без разбора, следовать любым «советам», участвовать в любых акциях.
  • Любопытство (потребность все время узнавать новое; провокация, ощущение того, что все уже давно в курсе; нечто необычно выглядящее, легко доступное).

Далее узнайте о том, как при помощи фишинга происходит заражение.

ИСТОЧНИК