Как защитить веб-сайт от хакеров и внешних атак

1

"НЕ ВСЕ ВНЕШНИЕ УГРОЗЫ ОДИНАКОВО …ВНЕШНИЕ"

Рустем Хайретдинов,   Заместитель генерального директора,АО Инфовотч 

22

Перенос активности в интернет,как в самый дешевый канал для:

- повышения прозрачности- осуществления финансовых транзакций

- обслуживания граждан

Развитие B2B/C/G

33

МОДЕЛЬ УГРОЗ

Внешние

Внутренние

Случайные Намеренные

Отключение питания

Malware DoS Хакерские атаки

Стихийные бедствия Политические риски

Непропатченные системы Уязвимости кода Ошибки в изменениях Ошибки персонала

Программные закладки Похищение

информации Мошенничество

3

44

Техническая составляющая

Функциональные последствия 

Социальные последствия

Недоступность сайта для пользователей

Граждане не могут получить государственную информацию или получить государственную услугу.

Рост нагрузки на приёмные, отказ пользователей от получения госуслуг в электронном виде.

Кража конфиденциальной информации и персональных данных путём взлома ключевых веб-ресурсов;

Информация пользователей портала скомпрометирована.

Санкции регуляторов: штрафы, определения в адрес ответственных лиц

УГРОЗЫ И ПОСЛЕДСТВИЯ 1

55

Техническая составляющая

Функциональные последствия 

Социальные последствия

Нарушение работоспособности веб приложения, включая изменение информации о мероприятиях, публикации новостей, удаление или искажение файлов и баз данных;

Получение гражданами неверной информации о государственном органе и его позиции, мероприятиях.

Падение доверия к государственному органу и государству вообще

Атаки на пользователей сайта путём заражения страниц сайта вирусами и размещения ссылок, содержащих инструменты взлома;

Теряется доверие к сайту, происходит отток пользователей. Сайт индексируется поисковиками, как опасный, что понижает его посещаемость.

Падение доверия к государственному органу и государству вообще

УГРОЗЫ И ПОСЛЕДСТВИЯ 2

66

УГРОЗЫ И ПОСЛЕДСТВИЯ 3

Угрозы и последствия (3)Техническая составляющая

Функциональные последствия 

Социальные последствия

Подмена содержания страниц: размещение противозаконного контента: призывы к экстремизму, порнография и т.п.;

Получение гражданами неверной информации о государственном органе и его позиции, мероприятиях.

Санкции со стороны регуляторов, вплоть до блокировки сайта. Штрафы

77

СПЕЦИФИКА

Непрерывная разработкаЗапросы на функции формируются изнутри (функциональный заказчик) и снаружи (требования, рынок)Нет времени на систематический анализРазработка заказная – заказчик одинSDL cлишком дорог, внешний контроль слишком дологФункционал превыше всегоЗатруднительно оценить ущерб от плохого кода, безопасность не на первом месте

88

ТРЕБОВАНИЯ И KPI

Дёшево: новые фичи на рынок

Быстро:Реализация

фантазийзаказчика

Качественно:Без инцидентов

и ущерба

99

БИЗНЕС-БЕЗОПАСНИК

У вас тут дырка

Да её не найдут

А найдут-не проэксплуатируют

А проэксплуатируют – не нанесут ущерба

А нанесут ущерб – он будет меньше, чем мы заработаем

1010

РАЗРАБОТЧИК –БЕЗОПАСНИК

У вас тут дырка

Нам она нужна для другого

Да она не эксплуатируемая

Знаем, но некогда исправлять

Если исправим, отвалится функционал

1111

ИЗ МЫШЕК ВЁЖИКИ

Все понимают, что так,как сейчас - плохо

Все понимают, как надо

1212

ЧТО ДЕЛАТЬ?

ВАРИАНТ 1, ФАНТАСТИЧЕСКИЙСделать всё правильно. Внедрить SDL, Научить программистов. Найти бюджеты. Построить процессы. Ага.

1313

ЧТО ДЕЛАТЬ?

ВАРИАНТ 2, СОВЕТСКИЙПолучить право вето. Пугать бизнес и

программистов. Ну-ну.

1414

ЧТО ДЕЛАТЬ?

ВАРИАНТ 3, ИДЕАЛЬНЫЙСтать полезным

1515

Специфика бизнес-приложений

Атаки не предотвращаются, а отражаются в ручном режиме, когда мало что можно изменить

Приложение проектируется, кодируется и внедряется без учёта требований информационной безопасности

Безопасники подключаются на этапе тестирования, когда исправлять приложение очень дорого или невозможно

Малейшее изменение системы требует перенастройки средств безопасности

Большое количество ложных срабатываний приводит к тому, что защита переводится в пассивный режим

1616

Противостоять таким атакам может лишь

• автоматизированное• самообучающееся • комплексное решение

Новые угрозы – новый подход

1717

InfoWatch Attack Killer

InfoWatch Attack Killer Custom Code

Scanner

InfoWatch Attack Killer

DynamicScanner

InfoWatch Attack Killer

AntiDDoS

InfoWatch Attack Killer

Web Application Firewall

Комплексный подход к борьбе

с угрозами

1818

Безопасная разработка

Проверка модулем

CCS

Выпуск кода в

продакшн

Проверка модулем

WAF

Виртуальный патчинг

Постановка задачи по

исправлению

Выпуск обновлений

Интеграция CCS и WAF значительно повысит качество кода и надежность веб-приложения.

1919

Комплексная защита веб-инфраструктуры

Проверка модулем

CCS

Выпуск кода в

продакшн

Проверка модулем

WAF

Виртуальный патчинг

Постановка задачи по

исправлению

Выпуск обновлений

Интеграция CCS и WAF и AntiDDoS

защитит веб-инфраструктуру

компании от большинства

интернет-угроз

Дополнение правил

блокировки на модуле

AntiDDoS

2020

Единый веб-интерфейс

• Управление всеми модулями через единый веб-интерфейс• Наглядная визуализация инцидентов• Не требует специализированных знаний для интерпретации

отчётов

Наглядные и детализированные отчеты о зафиксированных атаках, найденных уязвимостях, попытках их эксплуатации, аномальной активности приложений и DDoS-атаках, а также рекомендации по устранению

2121

РАЗРАБОТЧИК –БЕЗОПАСНИК

ОТНОШЕНИЯ РАЗРАБОТЧИК - БЕЗОПАСНИК

Вот дырка, вот эксплойт, вот рекомендации по исправлению

Спасибо, брат. Как ты это делаешь?

Вот этот запрос завалит базу, надо переписать вот так

Вот этот вызов уронит другое приложение, надо изменить

2222

БИЗНЕС-БЕЗОПАСНИК

ОТНОШЕНИЯ БИЗНЕС - БЕЗОПАСНИК

У вас в этой функции риск потери клиентских данных с

вероятностью 75%

Охренеть! Зайди за премией

Мы выдали рекомендации разработчикам, а пока

прикрыли компенсирующими мерами

Оптимизировали запросы, производительность колл-центра увеличится на 30%

2323

Почему Attack KIller?

• Решение, реализующее многоуровневый подход к обнаружению и защите от любых атак на веб-ресурсы

• Союз лучших в своем классеКомплексное решение представляет синергию технологий, лидирующих в своих продуктовых нишах

• Удобное управление через единый веб-интерфейс

2424

• Помогает  выполнять требования регуляторовПриказ ФСТЭК России №21 и №17, ФЗ-№152,  PCI DSS, СТО БР, НДВ4, SDL

• Простое автоматизированное решениеНе требует дополнительных ресурсов на обслуживание и поддержку

• Решение-конструкторПозволяет  использовать каждый модуль по отдельности, в любых сочетаниях, а также быстро расширить используемый комплекс до полного комплекта

Почему Attack KIller?

2525

Контакты:Тамара

Никифорова,Менеджер по продуктовому

маркетингу

Tamara.Nikiforova@infowatch.com