Вот представьте ситуацию.

Некий злоумышленник нашел дыру в безопасности вашей компании. Как — оставим за скобками(и не, это не из раздела "у моей подруги с ее парнем" — хакер из меня еще хуже, чем балерина, мне идея интересна) — идеальной защиты не бывает. Мало ли, мож инсайдер бывший, неважно.

Он едет в Украину. Покупает симку и несколько пакетов пополнения в ларьке с сигаретами типа "будка"(там, где покупатель и продавец друг друга не видят, но есть окошечко для обмена на уровне живота). Да, так это дело у нас продается(а могут и дать стартовый пакет в нагрузку с сигаретами, но в последнее время не встречал). Ну, баксов 10 потратит он на это. Еще 10 — на покупку старенького Сименса с ЖПРС и кабеля к нему на радиорынке(и получит благословение от продавца, радого, что у него это говно мамонта наконец-то купили). Злоумышленик меняет IMEI телефона(в Семене это элементарно). Вставляет симку, подключает, делает свое черное дело(тырит крупные суммы у вашей конторы). Отключается, утилизирует телефон и симку(это несложно, не труп же человека).

Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).

Здравствуйте, Eugeny__, Вы писали:

E__>Вот представьте ситуацию.

E__>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).
а безопасники тут причем? а ловить будут как и при обычном преступлении.

Здравствуйте, Eugeny__, Вы писали:

E> Вот представьте ситуацию.

Ты все усложнил. Не проще подцепиться к любой открытой Wi-Fi?

Здравствуйте, мыщъх, Вы писали:

E__>>Вот представьте ситуацию.

E__>>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).
М>а безопасники тут причем? а ловить будут как и при обычном преступлении.

Но... Как?

Здравствуйте, Eugeny__, Вы писали:

E__>Здравствуйте, мыщъх, Вы писали:

E__>>>Вот представьте ситуацию.

E__>>>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).
М>>а безопасники тут причем? а ловить будут как и при обычном преступлении.
E__>Но... Как?
зависит от. как-то чел. узнал откуда красть лямы (хотя опять -- зависит от). но в реальной жизни навряд ли этим кто-то будет заниматься. впрочем, и случаев кражи таким способом не припомню. а вот когда чел. имеющий доступ к кассе исчез с кассой -- об этом сообщения в прессе проскакивали. и один фиг что находили. ну то есть всем понятно кто. но где теперь оно -- хз.

Здравствуйте, hattab, Вы писали:


E>> Вот представьте ситуацию.

H>Ты все усложнил. Не проще подцепиться к любой открытой Wi-Fi?

Ну, камеры всякие там. У вайфая крайне малый радиус действия. На гпрсе можно(при условии нахождения в зоне 900-й точки) быть обнаруженным в круге радиусом в десятки километров. Или в густонаселенном районе в круге на пару км, что не легче. А вайфай он такой — 10 метров отойдешь, уже нет...

Я просто придумал самый параноидальный сценарий, и хочу узнать у спецов, как с таким бороться.

E__>Некий злоумышленник нашел дыру в безопасности вашей компании. Как — оставим за скобками(и не, это не из раздела "у моей подруги с ее парнем" — хакер из меня еще хуже, чем балерина, мне идея интересна) — идеальной защиты не бывает. Мало ли, мож инсайдер бывший, неважно.

И много в компании бывших сотрудников, выезжавших в Украину? Залиш цю ідею — тебе зловлять!

Здравствуйте, Eugeny__, Вы писали:

E__>Здравствуйте, hattab, Вы писали:


E>>> Вот представьте ситуацию.

E__>Я просто придумал самый параноидальный сценарий, и хочу узнать у спецов, как с таким бороться.
безопасники это не фбр. у них полномочий таких все равно нет. да и не должны они это делать. кстати, как ломать вы не сказали. допустим, у меня есть иннет и мой ip меня не выдаст. дальше-то что? мои действия? атака возможна только при наличии дыры. а чтобы не было дыр -- вот за этими и следят

Здравствуйте, мыщъх, Вы писали:


E__>>>>Вот представьте ситуацию.

E__>>>>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).
М>>>а безопасники тут причем? а ловить будут как и при обычном преступлении.
E__>>Но... Как?
М>зависит от. как-то чел. узнал откуда красть лямы (хотя опять -- зависит от).

Здесь этот вопрос я не собираюсь обсуждать, и уж тем более, узнавать, как можно украсть у кого-то лямы. Я предоставляю гипотетическую ситуацию с определенными, вполне реальными, и 100% публичными параметрами(все описанные действия(имеется ввиду покупка симки, телефона, выход на связь, и утилизация телефона) публично описаны, разрешены законом, и не могут сами по себе быть истрактованы как нарушение). Все остальное на уровне "предположим, что это так произошло".

М>но в реальной жизни навряд ли этим кто-то будет заниматься.

Крис, я же НЕ О РЕАЛЬНОЙ ситуации говорю. Не дай боги такому случиться с кем-то из безопасников. Я так, предположить, понимаешь? У нас тут КСВ, а не клуб молодых мошенников.

Здравствуйте, Eugeny__, Вы писали:

E> Ну, камеры всякие там. У вайфая крайне малый радиус действия. На гпрсе можно(при условии нахождения в зоне 900-й точки) быть обнаруженным в круге радиусом в десятки километров. Или в густонаселенном районе в круге на пару км, что не легче. А вайфай он такой — 10 метров отойдешь, уже нет...

Да перестань, ты прогуляйся по спальному району вечерком или на машине прокатись, там этого вайфая...

Здравствуйте, TimurSPB, Вы писали:

E__>>Некий злоумышленник нашел дыру в безопасности вашей компании. Как — оставим за скобками(и не, это не из раздела "у моей подруги с ее парнем" — хакер из меня еще хуже, чем балерина, мне идея интересна) — идеальной защиты не бывает. Мало ли, мож инсайдер бывший, неважно.

TSP>И много в компании бывших сотрудников, выезжавших в Украину? Залиш цю ідею — тебе зловлять!

У меня идеи и нет. Впрочем, если брать real ukrainian life, то если успеешь нужную сумму натырить, то не только тебя из страны проводят с цветочками и жопу поцелуют, а еще можно и депутатом ВНЕЗАПНО стать. Но мы же не про говно политику сейчас.

Здравствуйте, мыщъх, Вы писали:


E>>>> Вот представьте ситуацию.

E__>>Я просто придумал самый параноидальный сценарий, и хочу узнать у спецов, как с таким бороться.
М>безопасники это не фбр.

То есть, безопасники будут сидеть ровно на жопе? Ну и не забывай, что ФБР — одно, а та же УСБ(украинская служба безопасности) это другое. У них знаний в IT частенько как у курицы мозга.

М>у них полномочий таких все равно нет. да и не должны они это делать.

Согласен. Но вот беда. У тех, у кого есть полномочия, нет знаний: я напоминаю, место действия — Украина: инет тут в разгаре(у меня анонимный инет со скоростью на мир 100 мегабит в секунду(реально есть нюансы — максимум возможен только для торрентов, так как скачивание с разных магистралей) за 12 баксов в месяц), а вот госслужбам по уровню развития до ФБР как до Альфа Центавра.

М>кстати, как ломать вы не сказали. допустим, у меня есть иннет и мой ip меня не выдаст. дальше-то что? мои действия? атака возможна только при наличии дыры. а чтобы не было дыр -- вот за этими и следят

Ммм, предположим, что алгоритм взлома уже известен. Нужно просто это сделать из безопасной обстановки. За отсутствием дыр следят. Да за тысячью вещей следят. Но, Крис, ты же не скажешь, что есть возможность заткнуть все, правда? А тут я моделирую самую настоящую целевую атаку. Не каких-то там юзеров для ботнета. А целевую атаку на определенную компанию, с привлечением(по возможности) бывших инсайдеров.

Здравствуйте, hattab, Вы писали:

H>Здравствуйте, Eugeny__, Вы писали:

E>> Ну, камеры всякие там. У вайфая крайне малый радиус действия. На гпрсе можно(при условии нахождения в зоне 900-й точки) быть обнаруженным в круге радиусом в десятки километров. Или в густонаселенном районе в круге на пару км, что не легче. А вайфай он такой — 10 метров отойдешь, уже нет...

H>Да перестань, ты прогуляйся по спальному району вечерком или на машине прокатись, там этого вайфая...

Не, ну на машине не успеешь.

А гулять — у меня два варианта — либо я напою местных гопников(99%) и проведу адскую ночь, либо лишусь немного здоровья, денег, и телефона.

Здравствуйте, Eugeny__, Вы писали:

E__>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).

Кинь пару URL, пожалуйста, на банки, где можно открыть счет анонимно и без налогов при миллионных оборотах

Здравствуйте, Eugeny__, Вы писали:

E> E>> Ну, камеры всякие там. У вайфая крайне малый радиус действия. На гпрсе можно(при условии нахождения в зоне 900-й точки) быть обнаруженным в круге радиусом в десятки километров. Или в густонаселенном районе в круге на пару км, что не легче. А вайфай он такой — 10 метров отойдешь, уже нет...

E> H>Да перестань, ты прогуляйся по спальному району вечерком или на машине прокатись, там этого вайфая...

E> Не, ну на машине не успеешь.

Подъехал. Остановился. Куда торопиться? К тому же, если, как ты рядышком говоришь, алгоритм известен, можно ведь и автоматизировать (идешь с нетбукой, она нашла сеть, подключилась, твой софт определил момент подключения и запустил свой злобный алгоритм. ты дождался бипа, типа все готово и валишь).

E> А гулять — у меня два варианта — либо я напою местных гопников(99%) и проведу адскую ночь, либо лишусь немного здоровья, денег, и телефона.

Ну, гуляй не вечерком, а днем. Школота уже дома, в интернетах письки смотрит

Здравствуйте, Eugeny__, Вы писали:

E__>Здравствуйте, мыщъх, Вы писали:


E>>>>> Вот представьте ситуацию.

E__>>>Я просто придумал самый параноидальный сценарий, и хочу узнать у спецов, как с таким бороться.
М>>безопасники это не фбр.

E__>То есть, безопасники будут сидеть ровно на жопе? Ну и не забывай, что ФБР — одно, а та же УСБ(украинская служба безопасности) это другое.
E__>У них знаний в IT частенько как у курицы мозга.
в штатах еще хуже. даже IT безопасники, стоящее на страже стратегически важных объектов, знают только за exe файлы. о шелл-кодах они не знают вообще. более того они даже не догадываются, что дроп exe происходит после компроментации системы. более того, показывая мне малварный трафик _из_ их сети они говорят -- видишь чувак как у нас все клево? вирусы ловятся только так!!! вот тут десятки exe словили только за сегодня. а ты все шелл-коды, шелл-коды. у меня хвост дыбом -- раз малварь уже шлет трафф изнутри, машины уже заражены. а мне говорят -- не ссы чувак. это ж просто компы, они ж не реактором управляют. ну подумаешь там есть документы из разряда "гос-тайна".

а есть и такие люди, которые разбираются, но им система не дает работать. один умный мужик из очень критического учреждения просматривает в день тысячи и десятки тысяч записей систем защиты о разных инцидентах. потому что система выставлена на мак. уровень и орет на все. ес-но, реальные хиты хрен отловишь в лавине ложных срабатываний.


М>>у них полномочий таких все равно нет. да и не должны они это делать.
E__>Согласен. Но вот беда. У тех, у кого есть полномочия, нет знаний: я напоминаю, место действия — Украина:
E__>инет тут в разгаре(у меня анонимный инет со скоростью на мир 100 мегабит в секунду
E__>(реально есть нюансы — максимум возможен только для торрентов, так как скачивание с разных магистралей) за 12 баксов в месяц),
что я не на украине? у меня в штатах 20 мегабит за 100 баксов. правда мне больше не нужно. HD видео смотрит -- ну и ладно.

E__>Ммм, предположим, что алгоритм взлома уже известен. Нужно просто это сделать из безопасной обстановки. За отсутствием дыр следят. Да за тысячью вещей следят. Но, Крис, ты же не скажешь, что есть возможность заткнуть все, правда? А тут я моделирую самую настоящую целевую атаку. Не каких-то там юзеров для ботнета. А целевую атаку на определенную компанию, с привлечением(по возможности) бывших инсайдеров.

ну вот мы можете сказать о дырах в системе безопасности нашей компании? вот, я тоже не могу, ибо не в курсе. вы не от того начали плясать. скрыть IP технически не проблема. даже куртку одевать не надо и из дома выходить. вот только, чтобы кого-то атаковать нужно владеть непубличной инфой, которой владеет ограниченный круг людей. и опять же. пару лямов баксов я могу не напрягаясь украсть и легально, а то и десяток. и мне не потребуется чего-то там ломать. на самом деле пара лимонов -- это смешные деньги. на них даже хату не купишь. разве что шалаш.

кстати, хакеры в своей массе ни хвоста не знают о финансах, а финансисты не хакеры. а финансист + хакер это им еще нужно снюхаться, что не так-то просто. и как спрятать IP в этом случае будет вообще не вопрос. не по IP будут искать. и раз вы сами упомянули инсайдера -- а что мешает ему атаковать систему изнутри? физический доступ к езернет есть. и поскольку езернет не иннет, то все что можно отследить это из какого сегмента сети велась атака. а в этом крыле здания на момент атаки никого не было и кто из нескольких тысяч сотрудников атаковал -- хз. как искать в этом случае? как доказывать? ну вот сегодня я ушел последний. но этого никто не видел. камер нет. а может я и не последний. у нас кубики закрытые. может там еще кто-то был. может даже что-то ломал. не пойман не вор

но опять-таки, чтобы что-то ломать, нужно знать систему. как операционную, так и финансовую.

Здравствуйте, Eugeny__, Вы писали:

E__>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).
Основная методика следственных действий, АФАИК, не слишком изменилась со времён Римской империи.
Будут искать того, у кого была и возможность и мотив. Опросят сотрудников, поднимут логи. Кто интересовался вопросом, кто ещё знает об этой дыре. Кто куда делся за последнее время. Запросы были с Украины — прекрасно, давайте выясним, кто из причастных в последнее время ездил на Украину.

Суммы денег — тоже штука такая, они следы оставляют. Что значит "тырит"? Переводит на счёт в банке? Счёт на кого-то открыт. Обналичивает деньги в банкомате? Банкомат оборудован видеокамерой.

В общем, в процессе совершения преступления придётся контактировать с большим количеством людей, оставлять большое количество следов. Собственно, пользование интернетом — это не самый значительный этап. Если бы это был фильм, то по телефону перед его утилизацией подруга героя позвонила маме (она не дура, просто там было ОЧЕНЬ ВАЖНО, а она не знала, что телефоном пользоваться СОВСЕМ-СОВСЕМ НЕЛЬЗЯ), и сексуальный дознаватель с трёхдневной щетиной мчался бы на своём форд-фокусе из офиса Билайна в аэропорт, чтобы успеть потолковать с мамой до её отлёта на ПМЖ на Антигуа.

В жизни всё очень-очень быстро закончится рапортом директору компании о том, что набор косвенных и прямых признаков позволяет предположить, что преступление совершено таким-то таким-то, при помощи того-то и того-то.

Далее, в зависимости от ущерба, либо будет громкий показательный процесс (статьи 272, 273) — это если украл мало.
Либо дыру молча закроют, дело спустят на тормозах, рапорт отправят в шредер — если украл много. Потому что если широкая общественность узнает о том, что система безопасности в компании Х похожа скорее на детский штакетник, чем на железный занавес, то ущерб будет значительно больше.

Здравствуйте, мыщъх, Вы писали:


E__>>То есть, безопасники будут сидеть ровно на жопе? Ну и не забывай, что ФБР — одно, а та же УСБ(украинская служба безопасности) это другое.
E__>>У них знаний в IT частенько как у курицы мозга.
М>в штатах еще хуже. даже IT безопасники, стоящее на страже стратегически важных объектов, знают только за exe файлы. о шелл-кодах они не знают вообще. более того они даже не догадываются, что дроп exe происходит после компроментации системы. более того, показывая мне малварный трафик _из_ их сети они говорят -- видишь чувак как у нас все клево? вирусы ловятся только так!!! вот тут десятки exe словили только за сегодня. а ты все шелл-коды, шелл-коды. у меня хвост дыбом -- раз малварь уже шлет трафф изнутри, машины уже заражены. а мне говорят -- не ссы чувак. это ж просто компы, они ж не реактором управляют. ну подумаешь там есть документы из разряда "гос-тайна".

Хехе, так вот оно откуда гостайны в викиликс попадают .

Здравствуйте, Eugeny__, Вы писали:

E__>Вот представьте ситуацию.

Я не совсем понял к каким безопасникам ты тут обращаешься, но явно не к нашему брату. Мы специализируемся на том, что ты предпочел оставить за скобками, а всем остальным заведуют экономические безопасники и всяческие органы. Непонятно даже, кто предполагается в качестве ведущего расследование, какими возможностями он обладает. Но, ок, давай пофантазируем, исходя из того, что расследующий обладает доступом ко всей информации доступной МВД, ФСБ и СБ банка (как он его получил — оставим за скобками ):

E__>Некий злоумышленник нашел дыру в безопасности вашей компании. Как — оставим за скобками(и не, это не из раздела "у моей подруги с ее парнем" — хакер из меня еще хуже, чем балерина, мне идея интересна) — идеальной защиты не бывает. Мало ли, мож инсайдер бывший, неважно.

Еще как важно. Давай разовьем мысль... Вариантов, как он мог получить информацию о существовании этой дыры не так уж и много. Смотрим логи наших систем (а в правильных организациях эти логи хранятся в общем случае дольше, чем существуют любые незакрытые уязвимости) и находим потверждение тому, что нашу систему тыкали на предмет уязвимостей. Если тыкали, то отталкиваемся от той информации, которую мы имеем о тыкавшем из логов, если нет, то значит мы имеем дело с инсайдом, следовательно отталкиваемся от результатов проведенного внутреннего расследования. Есть также ряд уязвимостей, которые не требуют ни инсайда, ни предварительных попыток атаковать систему, но по крайней мере знакомство с ней они всегда предполагают. Так или иначе, но значительно сузить область подозреваемых мы сможем уже на этом этапе.

А ты говоришь "неважно".

E__>Он едет в Украину.

И весьма вероятно, засвечивается на границе.

E__>Покупает симку и несколько пакетов пополнения в ларьке с сигаретами типа "будка"(там, где покупатель и продавец друг друга не видят, но есть окошечко для обмена на уровне живота).
E__>Да, так это дело у нас продается(а могут и дать стартовый пакет в нагрузку с сигаретами, но в последнее время не встречал). Ну, баксов 10 потратит он на это.

И засвечивает факт своего пребывания в конкретное время в конкретном месте (по симке потом можно узнать, на какую точку продаж она была отгружена, по чеку — в какое время была продана). Смотрим камеры внешнего наблюдения соседних организаций, ГИБДД (как оно там у вас называется), МВД за это время +/- 10 минут, опрашиваем свидетелей.

E__>Еще 10 — на покупку старенького Сименса с ЖПРС и кабеля к нему на радиорынке(и получит благословение от продавца, радого, что у него это говно мамонта наконец-то купили). Злоумышленик меняет IMEI телефона(в Семене это элементарно).

О том, что IMEI был подделан будет достоверно известно на этапе расследования (в ответе оператора СС на наш запрос о принадлежности IMEI). Это означает, что наш подозреваемый должен обладать определенными знаниями, либо интересоваться ими в последнее время, либо обращаться за подобными услугами к тем, кто обладает такими знаниями. Это вряд ли поможет в его розыске, но является дополнительными зацепками, когда круг подозреваемых сузиться до приемлемого минимума, чтобы их проверить.

E__>Вставляет симку, подключает, делает свое черное дело(тырит крупные суммы у вашей конторы).

Светит факт своего пребывания в конкретное время в конкретном месте — делаем то, что я писал выше про этап покупки карты.

E__>Отключается, утилизирует телефон и симку(это несложно, не труп же человека).

Опять светит факт своего пребывания в конкретное время в конкретном месте (если на момент совершения черного дела он перемещался), опять делаем то, что уже делали ранее + из трех точек мы уже вполне можем построить маршруты его перемещения.

E__>Итак, что делать будете, как ловить злоумышленника, укравшего лямы? Считаем, что деньги переведены в оффшор, и страна-получатель денег не выдает ни под каким соусом никаких данных(или это анриал? тогда как они живут?).

Это анриал, при условии, что пострадавшей стороной является также другой банк. И вывести средства (любыми способами) гораздо сложнее чем их украсть, если что.

Здравствуйте, kochetkov.vladimir, Вы писали:


E__>>Он едет в Украину.

KV>И весьма вероятно, засвечивается на границе.

Это да.

E__>>Покупает симку и несколько пакетов пополнения в ларьке с сигаретами типа "будка"(там, где покупатель и продавец друг друга не видят, но есть окошечко для обмена на уровне живота).
E__>>Да, так это дело у нас продается(а могут и дать стартовый пакет в нагрузку с сигаретами, но в последнее время не встречал). Ну, баксов 10 потратит он на это.

KV>И засвечивает факт своего пребывания в конкретное время в конкретном месте (по симке потом можно узнать, на какую точку продаж она была отгружена, по чеку — в какое время была продана). Смотрим камеры внешнего наблюдения соседних организаций, ГИБДД (как оно там у вас называется), МВД за это время +/- 10 минут, опрашиваем свидетелей.

Хозяин сети ларьков даже не сможет сказать, в КАКОЙ ИМЕННО из своих ларьков попала конкретная симка(не говоря уже о времени продажи). У меня знакомый в студенчестве работал продавцом этого барахла. Периодически приезжал хозяин, смотрел, чего не хватает(ну там, этих карточек, этих, каких-то стартовых пакетов) — просто достает из сумки нужные карточки и едет "проверять" другую точку. Они все на упрощенке, и кассового аппарата нет. Если покупателю вдруг снадобился чек, его продавец напишет на бумажке с печатью этого ИП.

E__>>Еще 10 — на покупку старенького Сименса с ЖПРС и кабеля к нему на радиорынке(и получит благословение от продавца, радого, что у него это говно мамонта наконец-то купили). Злоумышленик меняет IMEI телефона(в Семене это элементарно).

KV>О том, что IMEI был подделан будет достоверно известно на этапе расследования (в ответе оператора СС на наш запрос о принадлежности IMEI). Это означает, что наш подозреваемый должен обладать определенными знаниями, либо интересоваться ими в последнее время, либо обращаться за подобными услугами к тем, кто обладает такими знаниями. Это вряд ли поможет в его розыске, но является дополнительными зацепками, когда круг подозреваемых сузиться до приемлемого минимума, чтобы их проверить.

В смысле, ему нужно не просто сменить имеи, а еще и узнать, на какой лучше, иначе это палится?