На ZeroNights 2017 рассказали об атаках на платежные системы и АЗС

На ZeroNights 2017 рассказали об атаках на платежные системы и АЗС

На ZeroNights 2017 рассказали об атаках на платежные системы и АЗС

Компания Digital Security, провела 16-17 ноября 2017 года седьмую конференцию по кибербезопасности ZeroNights при поддержке Яндекс и независимого сообщества Defcon Russia.

Мероприятие состоялось в Москве, в КЦ ЗИЛ, и собрало руководителей и сотрудников служб ИБ, программистов, исследователей, аналитиков, пентестеров, представителей комьюнити по ИБ, журналистов и всех, кто интересуется прикладными аспектами отрасли. В этом году мероприятие посетило более 2300 человек.

Основные темы конференции: Web-безопасность; безопасность Windows, MacOS, iOS; уязвимости платежных систем и приложений; атаки на смарт-контракты и безопасность блокчейн-проектов; реверс-инжиниринг; взлом автозаправок и самих автомобилей; новые хакерские техники. 

На конференции были представлены доклады более 60 спикеров из 9 стран мира (Россия, Аргентина, США, Германия, Канада, Китай, Великобритания, Сингапур, Израиль). В числе докладчиков – эксперты в области ИБ, аналитики, программисты, хакеры, реверс-инженеры. В частности, среди спикеров ивента были такие известные специалисты, как Томас Даллиен, Шей Герон, Лукас Апа, Джейис Форшоу, Алексей Тюрин, Идо Наор, Алекс Матросов, Максвел Кох и другие. Ознакомиться с биографиями спикеров, а также детально изучить описание выступлений можно на официальном сайте ZeroNights: https://2017.zeronights.ru/. 

Исследователи Digital Security представили в рамках основной программы три доклада. Алексей Перцев и Егор Карбутов, пентестеры Digital Security, выступили с темой «Чат с хакером» (13.30, 16 ноября, Track2). Они поделились с гостями конференции своим опытом и объяснили, как онлайн-чаты поддержки могут расширить поверхность атаки на компанию, её сотрудников, клиентов и даже самого вендора чатов. 

Далее, Алексей Перцев рассказал о том, как смарт-контракты, ICO и DAO выглядят глазами атакующего и куда он может приложить свои усилия для получения выгоды. Он выступил с докладом «DAO for penetration testers» (ДАО для пентестеров) (12.00, 17 ноября, Track2). Алексей рассмотрел типовые уязвимости в смарт-контрактах, рассказал, почему они возникают, и как их избежать.

И, наконец, Алексей Тюрин, директор департамента аудита защищенности Digital Security, представил доклад «Другой взгляд на MitM-атаки на HTTPS» (17.00 17 ноября, Track1). Несмотря на то, что основная цель TLS/HTTPS – защита от MitM-атак, с помощью различных трюков возможно проводить успешные атаки такого типа на данный протокол. Как? Алексей рассказал в своем выступлении. 

Доклады, представленные на конференции, прошли строгий отбор программного комитета из 13 авторитетных специалистов-практиков. В его состав входят как представители служб информационной безопасности и исследовательских команд известных компаний, так и независимые рисерчеры.

Помимо основных докладов, также на конференции были представлены воркшопы и выступления в слотах Defensive Track и Fast Track. Секция Defensive по праву пользуется большой популярностью у гостей конференции, поскольку здесь своим опытом делятся специалисты-практики по ИБ из крупных компаний. В этом году свои доклады в рамках секции представили Яндекс, Мail.ru, Facebook, Opera. Ну а слушатели Fast Track получили возможность узнать об интересных находках или хакерском инструментарии коллег из мини-докладов.  

В рамках ZN также были реализованы различные активности: многоступенчатый хакерский Квест Hack & Go, соревнования CTF (BI.Zone, Defcon NN), конкурсы на взлом и на сообразительность от Mail.ru, BI.Zone, Web Village, Hardware Zone. Победители конкурсов получили ценные призы. 

На ZeroNights впервые была представлена секция Web Village, где можно узнать о современных атаках на веб-приложения, попробовать себя в роли атакующего, выяснить, как работает современный веб, поучаствовать в конкурсах и многое другое! Первый день был полностью посвящен атакам на клиентов веб-приложений (Client-side), в рамках второго дня обсуждались атаки на серверную часть (Server-side). Свои доклады в рамках секции представили известные рисерчеры, багхантеры и пентестеры, в том числе, Алексей Тюрин, Егор Карбутов, Иван Чалыкин, Сергей Белов, Антон Лопаницын, Андрей Ковалев, Дмитрий Мулявка, Омар Ганиев, Ярослав Бабин. 

Любителей железа порадовала Hardware Zone. В течение обоих дней конференции ZeroNights здесь говорили про атаки на различные беспроводные технологии, от простейших радиопротоколов до платежных систем, низкоуровневые атаки и техники blackbox-анализа встраиваемых устройств, не осталась в стороне и промышленная автоматика.

Команда CarPWN снова погрузила нас в мир ИБ автомобилей. Здесь можно было ознакомиться с базовыми вопросами безопасности автомобильных технологий, включая self-driving car, connected-car, а также поговорить про трудности reverse engineering ECU и безопасность QNX. 

Национальной ERP не будет: Минцифры решило не создавать российский SAP

Идею создать в России единую «национальную ERP» — большой и универсальный аналог SAP — в Минцифры решили аккуратно отложить в сторону. Как пояснили в ведомстве, делать одну «главную» систему на всех — не лучшая идея ни для рынка, ни для самих заказчиков.

Как передаёт РБК, в министерстве считают, что выбор единственной национальной ERP поставил бы разработчиков в неравные условия и притормозил развитие уже существующих российских решений.

К тому же «отечественная» и «национальная» — это не одно и то же: отечественных ERP может быть несколько, а национальная по определению одна и с особым статусом.

Напомним, ERP — это системы управления ключевыми бизнес-процессами компаний. К теме государство вернулось после того, как на ЦИПР основатель «Севергрупп» Алексей Мордашов признался: российскую замену SAP для крупных холдингов найти по-прежнему сложно. В ответ правительство поручило Минцифры проработать формат ERP-консорциума — но, как выяснилось, не для создания нового «монолита».

Вместо этого консорциум будет собирать и систематизировать требования крупного бизнеса к ERP-системам и помогать вендорам дорабатывать свои продукты. Работу планируют вести на базе АНО «Национальный центр компетенций по информационным системам управления холдингом» (НЦК ИСУ). В него уже входят представители металлургии, нефтегаза, химии, транспорта и профильных индустриальных центров компетенций.

По словам главы НЦК ИСУ Кирилла Семионa, центр уже собрал более 1,3 тысячи требований бизнеса к ERP, включая свыше 200 критически важных технических требований для крупных холдингов. Эти данные легли в основу технического задания для универсального корпоративного ERP-шаблона. До 2027 года центр также займётся моделированием корпоративной архитектуры и формированием базы эталонных бизнес-процессов.

Контекст здесь понятный: SAP до 2022 года обслуживала в России около 1,5 тысячи клиентов — от РЖД и «Аэрофлота» до банков и нефтегазовых гигантов. После ухода компании бизнес оказался в ситуации, когда «одной кнопкой» заменить систему нельзя. Попытки создать российский аналог предпринимались — та же «Северсталь» вместе с «Сибуром» оценивали проект в $1 млрд, но в итоге отказались из-за сложности и цены.

При этом в Минцифры подчёркивают: рынок ERP в России живой. Уже используются «1С:ERP», «Галактика ERP», «Турбо ERP», Global ERP и другие решения. Более того, по оценкам экспертов, около 40% крупных холдингов в 2025 году всё ещё частично работают на SAP. Многие идут по пути «разрезания» системы на модули — так, например, поступает Сбербанк.

В министерстве считают, что полное копирование SAP — избыточная цель. Вместо этого предлагается формировать экосистему ERP из решений разных вендоров, если они могут нормально «стыковаться» между собой и соответствовать требованиям заказчиков. Задача консорциума — как раз помочь выработать общие правила игры и синхронизировать дорожные карты разработчиков.

Эксперты относятся к такому подходу по-разному. Одни считают его прагматичным и неизбежным, другие — временной мерой с высокими издержками и рисками для безопасности. Но в одном сходятся почти все: создать полноценный аналог SAP с нуля быстро и дёшево невозможно.

Так что ставка делается не на «великую национальную ERP», а на эволюцию — через экосистемы, методологии и постепенное замещение. Без громких лозунгов, зато ближе к реальности бизнеса.

Кстати, на днях Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

RSS: Новости на портале Anti-Malware.ru